http://wiki.ipnp.su/api.php?action=feedcontributions&feedformat=atom&user=Andy
pNp Wiki - Вклад участника [ru]
2026-04-15T03:33:55Z
Вклад участника
MediaWiki 1.27.4
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2460
OpenSSL
2020-04-28T08:10:32Z
<p>Andy: /* Конвертация p11 в pem */</p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p12 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighlight><br />
<br />
== CertUtil ==<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2459
OpenSSL
2020-04-28T08:01:01Z
<p>Andy: </p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighlight><br />
<br />
== CertUtil ==<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2458
OpenSSL
2020-04-28T07:59:54Z
<p>Andy: </p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
== CertUtil ==<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2457
OpenSSL
2020-04-28T07:59:04Z
<p>Andy: /* Получение SPKI pin для DNS-over-TLS */</p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
== CertUtil ==<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighligh><br />
<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2456
OpenSSL
2020-04-28T07:58:44Z
<p>Andy: </p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
== CertUtil ==<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighligh><br />
<br />
[[Файл:Https://www.tutorialsteacher.com/Content/images/https/ssl-certificate-format.png|мини|Форматы сертификатов и их расширения]]<br />
<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2455
OpenSSL
2020-04-28T07:55:54Z
<p>Andy: /* CertUtil */</p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
== CertUtil ==<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighlight><br />
<br />
[[https://www.tutorialsteacher.com/Content/images/https/ssl-certificate-format.png]]<br />
<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2454
OpenSSL
2020-04-28T07:54:57Z
<p>Andy: /* Ссылки */</p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
=== CertUtil ===<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighlight><br />
<br />
[[https://www.tutorialsteacher.com/Content/images/https/ssl-certificate-format.png]]<br />
== Ссылки ==<br />
<br />
[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2453
OpenSSL
2020-04-28T07:52:39Z
<p>Andy: /* Получение SPKI pin для DNS-over-TLS */</p>
<hr />
<div>==== Получение SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -showcerts -connect ipa-01.example.com:636 < /dev/null 2> /dev/null | openssl x509 -outform PEM > /home/andy/ipa-01.example.com.pem<br />
</syntaxhighlight><br />
<br />
==== Конвертация p11 в pem ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in mycert.p12 -out file.key.pem -nocerts -nodes<br />
# openssl pkcs12 -in mycert.p12 -out file.crt.pem -clcerts -nokeys<br />
</syntaxhighlight><br />
<br />
==== Получение отпечатка SSL сертификата с сервера ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -noout -md5 -fingerprint<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# openssl x509 -in /home/andy/example.pem -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение crt и key из pfx ====<br />
<syntaxhighlight lang="bash"><br />
# openssl pkcs12 -in /home/andy/test.pfx -nocerts -nodes -out /home/andy/example.key<br />
# openssl pkcs12 -in /home/andy/test.pfx -clcerts -nokeys -out /home/andy/example.crt<br />
</syntaxhighlight><br />
<br />
=== CertUtil ===<br />
==== Добавление сертификата в базу NSS ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -A -n win.example.com -t CTcu -d /etc/openldap/certs/ -a -i /root/win2012.win.example.com.cer<br />
</syntaxhighlight><br />
<br />
==== Получение информации о SSL сертификате в человекочитаемом формате ====<br />
<syntaxhighlight lang="bash"><br />
# certutil -L -n win.example.com -d /etc/openldap/certs/ -a | openssl x509 -text -noout<br />
</syntaxhighlight><br />
<br />
==== Получение SPKI pin для DNS-over-TLS ====<br />
<syntaxhighlight lang="bash"><br />
# openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</syntaxhighlight><br />
<br />
[[https://www.tutorialsteacher.com/Content/images/https/ssl-certificate-format.png]]<br />
== Ссылки ==<br />
<br />
[[https://www.tutorialsteacher.com/https/ssl-certificate-format О сертификатах]]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=OpenSSL&diff=2452
OpenSSL
2020-04-28T05:53:31Z
<p>Andy: Новая страница: «== Получение SPKI pin для DNS-over-TLS == <code> openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout…»</p>
<hr />
<div>== Получение SPKI pin для DNS-over-TLS ==<br />
<code><br />
openssl s_client -connect '145.100.185.16:853' < /dev/null 2> /dev/null | openssl x509 -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64<br />
</code></div>
Andy
http://wiki.ipnp.su/index.php?title=Tftpd&diff=2404
Tftpd
2019-01-24T09:34:44Z
<p>Andy: /* Links */</p>
<hr />
<div>== Необходимость ==<br />
Иногда, требуется некое программное обеспечение, отсуствующее<br />
в репозитории, либо собранное не так, как требуется в данном, <br />
конкретном, случае. Исходя из этого, для поддержания системы<br />
в работоспособном состоянии и простоты сопровождения, <br />
[http://computerlib.narod.ru/html/rpm.htm '''ВСЕГДА'''] небходимо собирать пакет<br />
<br />
== Specfile ==<br />
%define tftp tftpd<br />
<br />
Summary: The client for the Trivial File Transfer Protocol (TFTP)<br />
Name: tftp<br />
Version: 5.2<br />
Release: 7%{?dist}<br />
License: BSD<br />
Group: Applications/Internet<br />
URL: http://www.kernel.org/pub/software/network/tftp/<br />
Source0: http://www.kernel.org/pub/software/network/tftp/tftp-hpa/tftp-hpa-%{version}.tar.bz2<br />
Source1: tftpd.sh<br />
Source2: tftpd<br />
<br />
Patch0: tftp-0.40-remap.patch<br />
Patch2: tftp-hpa-0.39-tzfix.patch<br />
Patch3: tftp-0.42-tftpboot.patch<br />
Patch4: tftp-0.49-chk_retcodes.patch<br />
Patch5: tftp-hpa-0.49-fortify-strcpy-crash.patch<br />
Patch6: tftp-0.49-cmd_arg.patch<br />
Patch7: tftp-hpa-0.49-stats.patch<br />
Patch8: tftp-hpa-5.2-pktinfo.patch <br />
<br />
BuildRequires: tcp_wrappers-devel readline-devel autoconf<br />
<br />
%description<br />
The Trivial File Transfer Protocol (TFTP) is normally used only for<br />
booting diskless workstations. The tftp package provides the user<br />
interface for TFTP, which allows users to transfer files to and from a<br />
remote machine. This program and TFTP provide very little security,<br />
and should not be enabled unless it is expressly needed. <br />
<br />
%package server<br />
Group: System Environment/Daemons<br />
Summary: The server for the Trivial File Transfer Protocol (TFTP)<br />
Requires(post): chkconfig<br />
Requires(preun): chkconfig<br />
# This is for /sbin/service<br />
Requires(preun): initscripts<br />
Requires(postun): initscripts<br />
<br />
%description server<br />
The Trivial File Transfer Protocol (TFTP) is normally used only for<br />
booting diskless workstations. The tftp-server package provides the<br />
server for TFTP, which allows users to transfer files to and from a<br />
remote machine. TFTP provides very little security, and should not be<br />
enabled unless it is expressly needed. <br />
<br />
%prep<br />
%setup -q -n tftp-hpa-%{version}<br />
%patch0 -p1 -b .zero<br />
%patch2 -p1 -b .tzfix<br />
%patch3 -p1 -b .tftpboot<br />
%patch4 -p1 -b .chk_retcodes<br />
%patch5 -p1 -b .fortify-strcpy-crash<br />
%patch6 -p1 -b .cmd_arg<br />
%patch7 -p1 -b .stats<br />
%patch8 -p1 -b .pktinfo<br />
<br />
%build<br />
autoreconf -fisv<br />
%configure<br />
make %{?_smp_mflags}<br />
<br />
%install<br />
rm -rf ${RPM_BUILD_ROOT}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_bindir}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_mandir}/man{1,8}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_sbindir}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_initrddir}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_sysconfdir}/sysconfig/<br />
mkdir -p ${RPM_BUILD_ROOT}%{_localstatedir}/lib/tftpboot<br />
<br />
make INSTALLROOT=${RPM_BUILD_ROOT} SBINDIR=%{_sbindir} MANDIR=%{_mandir} INSTALL='install -p' install<br />
<br />
install -p -m 755 %{SOURCE1} $RPM_BUILD_ROOT%{_initrddir}/tftpd<br />
mv ${RPM_BUILD_ROOT}%{_sbindir}/in.tftpd ${RPM_BUILD_ROOT}%{_sbindir}/tftpd<br />
install -p -m 755 %{SOURCE2} $RPM_BUILD_ROOT%{_sysconfdir}/sysconfig/tftpd<br />
<br />
%post server<br />
# This adds the proper /etc/rc*.d links for the script<br />
/sbin/chkconfig --add %{tftp}<br />
<br />
%preun server<br />
if [ $1 -eq 0 ] ; then<br />
/sbin/service %{tftp} stop >/dev/null 2>&1<br />
/sbin/chkconfig --del %{tftp}<br />
fi<br />
<br />
%postun server<br />
if [ "$1" -ge "1" ] ; then<br />
/sbin/service %{tftp} condrestart >/dev/null 2>&1 || :<br />
fi<br />
<br />
%clean<br />
rm -rf ${RPM_BUILD_ROOT} <br />
<br />
%files<br />
%doc README README.security CHANGES<br />
%{_bindir}/tftp<br />
%{_mandir}/man1/*<br />
<br />
%files server<br />
%doc README README.security CHANGES<br />
%config(noreplace) %{_sysconfdir}/sysconfig/tftpd<br />
%{_sbindir}/tftpd<br />
%{_mandir}/man8/*<br />
%attr(700,nobody,nobody) %dir %{_localstatedir}/lib/tftpboot<br />
%{_initrddir}/tftpd <br />
<br />
%changelog<br />
* Mon Feb 18 2013 Andrew Vedischev <andrey.vidischev@orange.com> - 5.2-7<br />
- repacked for RHEL 6.X, or CentOS 6.X<br />
- startup script added<br />
- removed xinet from buildreq<br />
<br />
<br />
== Startup script ==<br />
#!/bin/sh<br />
#<br />
# tftpd Startup script for tftp<br />
#<br />
# chkconfig: 2345 50 60<br />
# description: Starts, stops tftp server daemon<br />
# <br />
<br />
### BEGIN INIT INFO<br />
# Provides: tftpd<br />
# Required-Start: $local_fs $network $remote_fs<br />
# Required-Stop: $local_fs $network $remote_fs<br />
# Should-Start:<br />
# Should-Stop:<br />
# Default-Start: 2 3 4 5<br />
# Default-Stop: 0 1 6<br />
# Short-Description: IPv4 Trivial File Transfer Protocol server<br />
# Description: tftpd is a server for the Trivial File Transfer Protocol. \<br />
# The TFTP protocol is extensively used to support remote booting \<br />
# of diskless devices. The server is normally started by inetd, \<br />
# but can also run standalone.<br />
#<br />
### END INIT INFO<br />
<br />
# Source function library.<br />
. /etc/rc.d/init.d/functions<br />
<br />
exec="/usr/sbin/tftpd"<br />
prog="tftpd"<br />
pidfile="/var/run/tftpd"<br />
<br />
[ -e /etc/sysconfig/$prog ] && . /etc/sysconfig/$prog<br />
<br />
lockfile=/var/lock/subsys/$prog <br />
<br />
start() {<br />
[ -x $exec ] || exit 5<br />
[ -f $config ] || exit 6<br />
echo -n $"Starting $prog: "<br />
# if not running, start it up here, usually something like "daemon $exec"<br />
daemon --pidfile="$pidfile" $exec -l -P "$pidfile" $TFTPD_OPTIONS<br />
retval=$?<br />
echo<br />
[ $retval -eq 0 ] && touch $lockfile<br />
return $retval<br />
}<br />
<br />
stop() {<br />
echo -n $"Stopping $prog: "<br />
# stop it here, often "killproc $prog"<br />
killproc -p "$pidfile" $exec<br />
retval=$?<br />
echo<br />
[ $retval -eq 0 ] && rm -f $lockfile<br />
return $retval<br />
}<br />
<br />
restart() {<br />
stop<br />
start<br />
}<br />
<br />
reload() {<br />
restart<br />
} <br />
<br />
force_reload() {<br />
restart<br />
} <br />
<br />
rh_status() {<br />
# run checks to determine if the service is running or use generic status<br />
status $prog<br />
}<br />
<br />
rh_status_q() {<br />
rh_status >/dev/null 2>&1<br />
}<br />
<br />
<br />
case "$1" in<br />
start)<br />
rh_status_q && exit 0<br />
$1<br />
;;<br />
stop)<br />
rh_status_q || exit 0<br />
$1<br />
;;<br />
restart)<br />
$1<br />
;;<br />
reload)<br />
rh_status_q || exit 7<br />
$1<br />
;;<br />
force-reload)<br />
force_reload<br />
;;<br />
status)<br />
rh_status<br />
;;<br />
condrestart|try-restart)<br />
rh_status_q || exit 0<br />
restart<br />
;;<br />
*)<br />
echo $"Usage: $0 {start|stop|status|restart|condrestart|try-restart|reload|force-reload}"<br />
exit 2<br />
esac<br />
exit $?<br />
<br />
<br />
== Links ==<br />
[https://docs.fedoraproject.org/en-US/quick-docs/creating-rpm-packages/index.html Основы сборки и шаблоны для спеков и стартовых скриптов]<br />
<br />
[https://fedoraproject.org/wiki/EPEL:SysVInitScripts?rd=Packaging:SysVInitScript Шаблоны стартовых скриптов]<br />
<br />
[http://docs.fedoraproject.org/en-US/Fedora_Draft_Documentation/0.1/html/RPM_Guide/ch-creating-rpms.html RPM Guide]<br />
<br />
[https://src.fedoraproject.org/ Git репозиторий пакетов Fedora]<br />
<br />
[http://pkgs.org Один из источников SRPM'ов]</div>
Andy
http://wiki.ipnp.su/index.php?title=Tftpd&diff=2403
Tftpd
2019-01-24T09:31:07Z
<p>Andy: </p>
<hr />
<div>== Необходимость ==<br />
Иногда, требуется некое программное обеспечение, отсуствующее<br />
в репозитории, либо собранное не так, как требуется в данном, <br />
конкретном, случае. Исходя из этого, для поддержания системы<br />
в работоспособном состоянии и простоты сопровождения, <br />
[http://computerlib.narod.ru/html/rpm.htm '''ВСЕГДА'''] небходимо собирать пакет<br />
<br />
== Specfile ==<br />
%define tftp tftpd<br />
<br />
Summary: The client for the Trivial File Transfer Protocol (TFTP)<br />
Name: tftp<br />
Version: 5.2<br />
Release: 7%{?dist}<br />
License: BSD<br />
Group: Applications/Internet<br />
URL: http://www.kernel.org/pub/software/network/tftp/<br />
Source0: http://www.kernel.org/pub/software/network/tftp/tftp-hpa/tftp-hpa-%{version}.tar.bz2<br />
Source1: tftpd.sh<br />
Source2: tftpd<br />
<br />
Patch0: tftp-0.40-remap.patch<br />
Patch2: tftp-hpa-0.39-tzfix.patch<br />
Patch3: tftp-0.42-tftpboot.patch<br />
Patch4: tftp-0.49-chk_retcodes.patch<br />
Patch5: tftp-hpa-0.49-fortify-strcpy-crash.patch<br />
Patch6: tftp-0.49-cmd_arg.patch<br />
Patch7: tftp-hpa-0.49-stats.patch<br />
Patch8: tftp-hpa-5.2-pktinfo.patch <br />
<br />
BuildRequires: tcp_wrappers-devel readline-devel autoconf<br />
<br />
%description<br />
The Trivial File Transfer Protocol (TFTP) is normally used only for<br />
booting diskless workstations. The tftp package provides the user<br />
interface for TFTP, which allows users to transfer files to and from a<br />
remote machine. This program and TFTP provide very little security,<br />
and should not be enabled unless it is expressly needed. <br />
<br />
%package server<br />
Group: System Environment/Daemons<br />
Summary: The server for the Trivial File Transfer Protocol (TFTP)<br />
Requires(post): chkconfig<br />
Requires(preun): chkconfig<br />
# This is for /sbin/service<br />
Requires(preun): initscripts<br />
Requires(postun): initscripts<br />
<br />
%description server<br />
The Trivial File Transfer Protocol (TFTP) is normally used only for<br />
booting diskless workstations. The tftp-server package provides the<br />
server for TFTP, which allows users to transfer files to and from a<br />
remote machine. TFTP provides very little security, and should not be<br />
enabled unless it is expressly needed. <br />
<br />
%prep<br />
%setup -q -n tftp-hpa-%{version}<br />
%patch0 -p1 -b .zero<br />
%patch2 -p1 -b .tzfix<br />
%patch3 -p1 -b .tftpboot<br />
%patch4 -p1 -b .chk_retcodes<br />
%patch5 -p1 -b .fortify-strcpy-crash<br />
%patch6 -p1 -b .cmd_arg<br />
%patch7 -p1 -b .stats<br />
%patch8 -p1 -b .pktinfo<br />
<br />
%build<br />
autoreconf -fisv<br />
%configure<br />
make %{?_smp_mflags}<br />
<br />
%install<br />
rm -rf ${RPM_BUILD_ROOT}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_bindir}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_mandir}/man{1,8}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_sbindir}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_initrddir}<br />
mkdir -p ${RPM_BUILD_ROOT}%{_sysconfdir}/sysconfig/<br />
mkdir -p ${RPM_BUILD_ROOT}%{_localstatedir}/lib/tftpboot<br />
<br />
make INSTALLROOT=${RPM_BUILD_ROOT} SBINDIR=%{_sbindir} MANDIR=%{_mandir} INSTALL='install -p' install<br />
<br />
install -p -m 755 %{SOURCE1} $RPM_BUILD_ROOT%{_initrddir}/tftpd<br />
mv ${RPM_BUILD_ROOT}%{_sbindir}/in.tftpd ${RPM_BUILD_ROOT}%{_sbindir}/tftpd<br />
install -p -m 755 %{SOURCE2} $RPM_BUILD_ROOT%{_sysconfdir}/sysconfig/tftpd<br />
<br />
%post server<br />
# This adds the proper /etc/rc*.d links for the script<br />
/sbin/chkconfig --add %{tftp}<br />
<br />
%preun server<br />
if [ $1 -eq 0 ] ; then<br />
/sbin/service %{tftp} stop >/dev/null 2>&1<br />
/sbin/chkconfig --del %{tftp}<br />
fi<br />
<br />
%postun server<br />
if [ "$1" -ge "1" ] ; then<br />
/sbin/service %{tftp} condrestart >/dev/null 2>&1 || :<br />
fi<br />
<br />
%clean<br />
rm -rf ${RPM_BUILD_ROOT} <br />
<br />
%files<br />
%doc README README.security CHANGES<br />
%{_bindir}/tftp<br />
%{_mandir}/man1/*<br />
<br />
%files server<br />
%doc README README.security CHANGES<br />
%config(noreplace) %{_sysconfdir}/sysconfig/tftpd<br />
%{_sbindir}/tftpd<br />
%{_mandir}/man8/*<br />
%attr(700,nobody,nobody) %dir %{_localstatedir}/lib/tftpboot<br />
%{_initrddir}/tftpd <br />
<br />
%changelog<br />
* Mon Feb 18 2013 Andrew Vedischev <andrey.vidischev@orange.com> - 5.2-7<br />
- repacked for RHEL 6.X, or CentOS 6.X<br />
- startup script added<br />
- removed xinet from buildreq<br />
<br />
<br />
== Startup script ==<br />
#!/bin/sh<br />
#<br />
# tftpd Startup script for tftp<br />
#<br />
# chkconfig: 2345 50 60<br />
# description: Starts, stops tftp server daemon<br />
# <br />
<br />
### BEGIN INIT INFO<br />
# Provides: tftpd<br />
# Required-Start: $local_fs $network $remote_fs<br />
# Required-Stop: $local_fs $network $remote_fs<br />
# Should-Start:<br />
# Should-Stop:<br />
# Default-Start: 2 3 4 5<br />
# Default-Stop: 0 1 6<br />
# Short-Description: IPv4 Trivial File Transfer Protocol server<br />
# Description: tftpd is a server for the Trivial File Transfer Protocol. \<br />
# The TFTP protocol is extensively used to support remote booting \<br />
# of diskless devices. The server is normally started by inetd, \<br />
# but can also run standalone.<br />
#<br />
### END INIT INFO<br />
<br />
# Source function library.<br />
. /etc/rc.d/init.d/functions<br />
<br />
exec="/usr/sbin/tftpd"<br />
prog="tftpd"<br />
pidfile="/var/run/tftpd"<br />
<br />
[ -e /etc/sysconfig/$prog ] && . /etc/sysconfig/$prog<br />
<br />
lockfile=/var/lock/subsys/$prog <br />
<br />
start() {<br />
[ -x $exec ] || exit 5<br />
[ -f $config ] || exit 6<br />
echo -n $"Starting $prog: "<br />
# if not running, start it up here, usually something like "daemon $exec"<br />
daemon --pidfile="$pidfile" $exec -l -P "$pidfile" $TFTPD_OPTIONS<br />
retval=$?<br />
echo<br />
[ $retval -eq 0 ] && touch $lockfile<br />
return $retval<br />
}<br />
<br />
stop() {<br />
echo -n $"Stopping $prog: "<br />
# stop it here, often "killproc $prog"<br />
killproc -p "$pidfile" $exec<br />
retval=$?<br />
echo<br />
[ $retval -eq 0 ] && rm -f $lockfile<br />
return $retval<br />
}<br />
<br />
restart() {<br />
stop<br />
start<br />
}<br />
<br />
reload() {<br />
restart<br />
} <br />
<br />
force_reload() {<br />
restart<br />
} <br />
<br />
rh_status() {<br />
# run checks to determine if the service is running or use generic status<br />
status $prog<br />
}<br />
<br />
rh_status_q() {<br />
rh_status >/dev/null 2>&1<br />
}<br />
<br />
<br />
case "$1" in<br />
start)<br />
rh_status_q && exit 0<br />
$1<br />
;;<br />
stop)<br />
rh_status_q || exit 0<br />
$1<br />
;;<br />
restart)<br />
$1<br />
;;<br />
reload)<br />
rh_status_q || exit 7<br />
$1<br />
;;<br />
force-reload)<br />
force_reload<br />
;;<br />
status)<br />
rh_status<br />
;;<br />
condrestart|try-restart)<br />
rh_status_q || exit 0<br />
restart<br />
;;<br />
*)<br />
echo $"Usage: $0 {start|stop|status|restart|condrestart|try-restart|reload|force-reload}"<br />
exit 2<br />
esac<br />
exit $?<br />
<br />
<br />
== Links ==<br />
[http://fedoraproject.org/wiki/How_to_create_an_RPM_package#The_basics_of_building_RPM_packages| Основы сборки и шаблоны для спеков и стартовых скриптов]<br />
<br />
[http://fedoraproject.org/wiki/Packaging:SysVInitScript Шаблоны стартовых скриптов]<br />
<br />
[http://docs.fedoraproject.org/en-US/Fedora_Draft_Documentation/0.1/html/RPM_Guide/ch-creating-rpms.html RPM Guide]<br />
<br />
[http://pkgs.fedoraproject.org/cgit/ Git репозиторий пакетов Fedora]<br />
<br />
[http://pkgs.org Один из источников SRPM'ов]</div>
Andy
http://wiki.ipnp.su/index.php?title=Iscsi&diff=2398
Iscsi
2018-12-04T07:49:42Z
<p>Andy: /* Ссылки */</p>
<hr />
<div>== Конфигурирование iscsi ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с сетевыми интерфейсами<br />
* На виртуальную машину <code>vm-01</code> необходимо подключить второй неразмеченный диск примерно на 5Gb. <br />
* Установленные пакеты: <code>bash-completion</code><br />
<br />
==== Общая информация и терминология ====<br />
iSCSI - протокол передачи SCSI команд поверх TCP/IP, для управления устройствами хранения данных. <br />
<br />
Терминология iSCSI во многом основывается на терминологии, использующейся в SCSI:<br />
* '''initiator''' — тот, кто устанавливает соединение с целью(target). Чаще всего это узел (в общем случае) осуществляет ввод/вывод на блочные устройства.<br />
* '''target''' — экспортируемый объект. В зависимости от контекста цель(target) называют или целиком экспортирующий узел, или только экспортируемый объект. Сам объект может делиться на lun’ы.<br />
* '''Портал''' — группа целей(targets), которые анонсируются вместе. Чаще всего один узел хранения — один портал.<br />
* '''IQN''' — полное имя участника взаимодействия. На практике существует iqn у инициатора и у цели(target).<br />
* '''endpoint''' — уточнённое имя ресурса, чаще всего включает в себя iqn, номер LUN’а и указание на конкретный метод доступа к нему (например, номер соединения, [[LUN]] и IP-адрес, с которого следует получать доступ к устройству).<br />
* '''LUN''' (Logical Unit Number) — номер объекта внутри цели(target). Ближайшим аналогом является раздел диска или отдельный том.<br />
* '''ACL''' (Access Control List) — список доступа, основанный на iqn инициатора, позволяющий предоствить доступ к конкретной цели.<br />
<br /><br />
По iscsi можно подключить как отдельный неразмеченный диск, так и том LVM или даже файл, который будет выполнять<br />
роль хранилища информации. Поэтому алгоритм действий следующий:<br />
* Создаем хранилище<br />
* Присваеваем iqn хранилищу и создаем группу порталов<br />
* Конфигурируем acl для группы порталов<br />
* Создаем lun'ы, через которые будем предоставлять доступ к хранилищу<br />
* Создаем сетевой интерфейс, через который инициатор(ы) будут получать доступ к хранилищу<br />
<br />
== Настройка target'а ==<br />
Установим пакет <code>targetcli</code> и запустим сервис:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# yum install -y targetcli <br />
Loaded plugins: product-id, search-disabled-repos, subscription-manager<br />
This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.<br />
Package targetcli-2.1.fb41-3.el7.noarch already installed and latest version<br />
Nothing to do<br />
[root@vm-01 ~]# systemctl enable target.service <br />
Created symlink from /etc/systemd/system/multi-user.target.wants/target.service to /usr/lib/systemd/system/target.service.<br />
[root@vm-01 ~]# systemctl start target.service <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем наличие диска в системе:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# lsblk <br />
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT<br />
sr0 11:0 1 3.5G 0 rom <br />
vda 252:0 0 20G 0 disk <br />
├─vda1 252:1 0 512M 0 part /boot<br />
└─vda2 252:2 0 19.5G 0 part <br />
└─rhel-root 253:0 0 19.5G 0 lvm /<br />
vdb 252:16 0 5G 0 disk <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<code>targetcli</code> - это оболочка с иерархической системой, в каждом иерархическом элементе которой<br />
существует собственный набор команд (по смыслу похожа на оболочку Mikrotik). Однако, можно вводить команды не в интерактивном режиме. <br />
Итак, нашим хранилищем будет устройство <code>/dev/vdb</code>, которое следует создать:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# targetcli --help<br />
Usage: /usr/bin/targetcli [--version|--help|CMD]<br />
--version Print version<br />
--help Print this information<br />
CMD Run targetcli shell command and exit<br />
<nothing> Enter configuration shell<br />
See man page for more information.<br />
# targetcli 'backstores/block/ create vm-01-disk /dev/vdb'<br />
Created block storage object vm-01-disk using /dev/vdb.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Присваеваем iqn хранилищу и создаем группу порталов:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# targetcli 'iscsi/ create iqn.2017-11.com.example:target1'<br />
Created target iqn.2017-11.com.example:target1.<br />
Created TPG 1.<br />
Global pref auto_add_default_portal=true<br />
Created default portal listening on all IPs (0.0.0.0), port 3260.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем acl. Указываем имя клиента (initiator) которому можно подключаться к нашему серверу (target):<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# targetcli 'iscsi/iqn.2017-11.com.example:target1/tpg1/acls create iqn.2017-11.com.example:client1'<br />
Created Node ACL for iqn.2017-11.com.example:client1<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем lun. acl ему присваивается автоматически:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# targetcli 'iscsi/iqn.2017-11.com.example:target1/tpg1/luns create storage_object=/backstores/block/vm-01-disk'<br />
Created LUN 0.<br />
Created LUN 0->0 mapping in node ACL iqn.2017-11.com.example:client1<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Удалим прослушиваение всех адресов iSCSI сервисом, и разрешим принимать соединение только на определенном интерфейсе:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# targetcli 'iscsi/iqn.2017-11.com.example:target1/tpg1/portals delete ip_address=0.0.0.0 ip_port=3260'<br />
Deleted network portal 0.0.0.0:3260<br />
[root@vm-01 ~]# targetcli 'iscsi/iqn.2017-11.com.example:target1/tpg1/portals create ip_address=192.168.122.158 ip_port=3260'<br />
Using default IP port 3260<br />
Created network portal 192.168.122.158:3260.<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
Откроем соедниения по протоколу ''tcp'' для порта ''3260'':<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-port=3260/tcp --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
== Настройка initiator'а ==<br />
Устанавливаем пакет <code>iscsi-initiator-utils</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# yum install -y iscsi-initiator-utils.x86_64<br />
</syntaxhighlight><br />
Приводим файл <code>/etc/iscsi/initiatorname.iscsi</code> к следующему виду:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# cat /etc/iscsi/initiatorname.iscsi <br />
InitiatorName=iqn.2017-11.com.example:client1<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Теперь поищем, есть ли доступные подключения к нашему таргету на виртуальной машине <code>vm-01</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# iscsiadm -m discovery --type sendtargets --portal 192.168.122.158 --discover<br />
192.168.122.158:3260,1 iqn.2017-11.com.example:target1<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Подключаемся к таргету:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# iscsiadm --mode node --targetname iqn.2017-11.com.example:target1 --portal 192.168.122.158:3260 --login<br />
Logging in to [iface: default, target: iqn.2017-11.com.example:target1, portal: 192.168.122.158,3260] (multiple)<br />
Login to [iface: default, target: iqn.2017-11.com.example:target1, portal: 192.168.122.158,3260] successful.<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Посмотрим информацию о соединении:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# iscsiadm --mode session -P 3<br />
iSCSI Transport Class version 2.0-870<br />
version 6.2.0.873-21<br />
Target: iqn.2017-11.com.example:target1 (non-flash)<br />
Current Portal: 192.168.122.158:3260,1<br />
Persistent Portal: 192.168.122.158:3260,1<br />
**********<br />
Interface:<br />
**********<br />
Iface Name: default<br />
Iface Transport: tcp<br />
Iface Initiatorname: iqn.2017-11.com.example:client1<br />
Iface IPaddress: 192.168.122.179<br />
Iface HWaddress: <empty><br />
Iface Netdev: <empty><br />
SID: 1<br />
iSCSI Connection State: LOGGED IN<br />
iSCSI Session State: LOGGED_IN<br />
Internal iscsid Session State: NO CHANGE<br />
*********<br />
Timeouts:<br />
*********<br />
Recovery Timeout: 120<br />
Target Reset Timeout: 30<br />
LUN Reset Timeout: 30<br />
Abort Timeout: 15<br />
*****<br />
CHAP:<br />
*****<br />
username: <empty><br />
password: ********<br />
username_in: <empty><br />
password_in: ********<br />
************************<br />
Negotiated iSCSI params:<br />
************************<br />
HeaderDigest: None<br />
DataDigest: None<br />
MaxRecvDataSegmentLength: 262144<br />
MaxXmitDataSegmentLength: 262144<br />
FirstBurstLength: 65536<br />
MaxBurstLength: 262144<br />
ImmediateData: Yes<br />
InitialR2T: Yes<br />
MaxOutstandingR2T: 1<br />
************************<br />
Attached SCSI devices:<br />
************************<br />
Host Number: 8 State: running<br />
scsi8 Channel 00 Id 0 Lun: 0<br />
Attached scsi disk sda State: running<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Проверим блочные устройства, доступные на нашей виртуальной машине:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# lsblk --scsi -m<br />
NAME HCTL TYPE VENDOR MODEL REV TRAN NAME SIZE OWNER GROUP MODE<br />
sda 8:0:0:0 disk LIO-ORG vm-01-disk 4.0 iscsi sda 5G root disk brw-rw----<br />
sr0 2:0:0:0 rom QEMU QEMU DVD-ROM 2.5+ sata sr0 3.5G root cdrom brw-rw----<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Далее отформатируем устройство и прописываем монтирование в <code>/etc/fstab</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mkfs.xfs /dev/sda <br />
meta-data=/dev/sda isize=256 agcount=8, agsize=163840 blks<br />
= sectsz=512 attr=2, projid32bit=1<br />
= crc=0<br />
data = bsize=4096 blocks=1310720, imaxpct=25<br />
= sunit=0 swidth=0 blks<br />
naming =version 2 bsize=4096 ascii-ci=0 ftype=0<br />
log =internal log bsize=4096 blocks=2560, version=2<br />
= sectsz=512 sunit=0 blks, lazy-count=1<br />
realtime =none extsz=4096 blocks=0, rtextents=0<br />
[root@vm-02 ~]# lsblk --scsi -o NAME,HCTL,TYPE,VENDOR,MODEL,REV,TRAN,SIZE,OWNER,GROUP,MODE,UUID<br />
NAME HCTL TYPE VENDOR MODEL REV TRAN SIZE OWNER GROUP MODE UUID<br />
sda 8:0:0:0 disk LIO-ORG vm-01-disk 4.0 iscsi 5G root disk brw-rw---- 2740f870-02c3-42e6-a808-0b6227e92ca5<br />
sr0 2:0:0:0 rom QEMU QEMU DVD-ROM 2.5+ sata 3.5G root cdrom brw-rw---- 2014-05-07-03-58-46-00<br />
[root@vm-02 ~]# cat /etc/fstab <br />
<br />
#<br />
# /etc/fstab<br />
# Created by anaconda on Wed Nov 22 11:45:46 2017<br />
#<br />
# Accessible filesystems, by reference, are maintained under '/dev/disk'<br />
# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info<br />
#<br />
/dev/mapper/rhel-root / xfs defaults 1 1<br />
UUID=cc10fe05-aa22-42d6-a18e-39d1eb5ad338 /boot xfs defaults 1 2<br />
UUID=2740f870-02c3-42e6-a808-0b6227e92ca5 /media xfs _netdev 0 2<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Проверим, правильно ли мы заполнили <code>/etc/fstab</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mount -a<br />
[root@vm-02 ~]# findmnt -A -t xfs<br />
TARGET SOURCE FSTYPE OPTIONS<br />
/ /dev/mapper/rhel-root xfs rw,relatime,seclabel,attr2,inode64,noquota<br />
├─/boot /dev/vda1 xfs rw,relatime,seclabel,attr2,inode64,noquota<br />
└─/media /dev/sda xfs rw,relatime,seclabel,attr2,inode64,noquota<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/online-storage-management Управление онлайн хранилищами]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2397
Rhcsa-rhce-playbook
2018-12-03T10:45:43Z
<p>Andy: /* Ссылки */</p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
<br />
=== Дальнейшие действия ===<br />
После разворачивания виртуальных машин, необходимо информацию о них занести в DNS, на сервере <code>vm-03</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-03 ~]# cat /var/named/zone/virtual.lab <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
@ IN NS kdc1.virtual.lab.<br />
<br />
; Our services<br />
_kerberos._tcp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos._udp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos-adm._tcp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos-adm._udp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos_master._udp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kerberos_master._tcp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kpasswd._udp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab.<br />
_kpasswd._tcp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab. <br />
_ldap._udp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
_ldap._tcp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
<br />
<br />
kdc1 IN A 192.168.10.10<br />
vm-03 IN CNAME kdc1<br />
ns1 IN CNAME kdc1<br />
<br />
vm-01 IN A 192.168.10.8<br />
vm-01 IN A 192.168.10.9<br />
[root@vm-03 ~]# cat /var/named/addr.arpa/10.168.192.in-addr.arpa <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
IN NS kdc1.virtual.lab.<br />
<br />
8 IN PTR vm-01.virtual.lab.<br />
9 IN PTR vm-02.virtual.lab.<br />
10 IN PTR kdc1.virtual.lab.<br />
[root@vm-03 ~]#<br />
</syntaxhighlight><br />
<br />
На виртуальных машинах нужно прописать адрес DNS из внутренней сети:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth1 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.ignore-auto-dns yes<br />
[root@vm-02 ~]# systemctl restart NetworkManager<br />
[root@vm-02 ~]# cat /etc/resolv.conf <br />
# Generated by NetworkManager<br />
search virtual.lab<br />
nameserver 192.168.10.10<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]<br /><br />
[http://labs.opinsys.com/blog/2010/02/05/setting-up-openldap-kerberos-on-ubuntu-10-04-lucid/ Настройка OpenLDAP и Kerberos v5]<br /><br />
[http://www.rjsystems.nl/en/2100-d6-kerberos-openldap-provider.php Настройка OpenLDAP и Kerberos v5 на Debian Squeeze]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2396
Rhcsa-rhce-playbook
2018-12-03T10:45:29Z
<p>Andy: /* Ссылки */</p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
<br />
=== Дальнейшие действия ===<br />
После разворачивания виртуальных машин, необходимо информацию о них занести в DNS, на сервере <code>vm-03</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-03 ~]# cat /var/named/zone/virtual.lab <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
@ IN NS kdc1.virtual.lab.<br />
<br />
; Our services<br />
_kerberos._tcp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos._udp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos-adm._tcp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos-adm._udp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos_master._udp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kerberos_master._tcp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kpasswd._udp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab.<br />
_kpasswd._tcp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab. <br />
_ldap._udp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
_ldap._tcp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
<br />
<br />
kdc1 IN A 192.168.10.10<br />
vm-03 IN CNAME kdc1<br />
ns1 IN CNAME kdc1<br />
<br />
vm-01 IN A 192.168.10.8<br />
vm-01 IN A 192.168.10.9<br />
[root@vm-03 ~]# cat /var/named/addr.arpa/10.168.192.in-addr.arpa <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
IN NS kdc1.virtual.lab.<br />
<br />
8 IN PTR vm-01.virtual.lab.<br />
9 IN PTR vm-02.virtual.lab.<br />
10 IN PTR kdc1.virtual.lab.<br />
[root@vm-03 ~]#<br />
</syntaxhighlight><br />
<br />
На виртуальных машинах нужно прописать адрес DNS из внутренней сети:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth1 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.ignore-auto-dns yes<br />
[root@vm-02 ~]# systemctl restart NetworkManager<br />
[root@vm-02 ~]# cat /etc/resolv.conf <br />
# Generated by NetworkManager<br />
search virtual.lab<br />
nameserver 192.168.10.10<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]<br />
[http://labs.opinsys.com/blog/2010/02/05/setting-up-openldap-kerberos-on-ubuntu-10-04-lucid/ Настройка OpenLDAP и Kerberos v5]<br />
[http://www.rjsystems.nl/en/2100-d6-kerberos-openldap-provider.php Настройка OpenLDAP и Kerberos v5 на Debian Squeeze]</div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2395
Nfs krb5
2018-12-03T10:40:16Z
<p>Andy: /* Ссылки */</p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Копируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-01.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Восстановим контекст <code>SELinux</code> у <code>keytab</code> файла:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-01 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-secure-server</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-secure-server<br />
ln -s '/usr/lib/systemd/system/nfs-secure-server.service' '/etc/systemd/system/nfs.target.wants/nfs-secure-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-secure-server<br />
[root@vm-01 ~]# systemctl status -l nfs-secure-server<br />
nfs-secure-server.service - Secure NFS Server<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure-server.service; disabled)<br />
Active: active (running) since Mon 2018-12-03 14:20:42 MSK; 7s ago<br />
Process: 32315 ExecStart=/usr/sbin/rpc.svcgssd $RPCSVCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 32316 (rpc.svcgssd)<br />
CGroup: /system.slice/nfs-secure-server.service<br />
└─32316 /usr/sbin/rpc.svcgssd<br />
<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Starting Secure NFS Server...<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Started Secure NFS Server.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/krb-share 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/krb-share</code> и смонтируем сетевую директорию <code>krb-share</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/krb-share 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir /mnt/nfs/krb-share<br />
</syntaxhighlight><br />
Теперь скопируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-02.virtual.lab</code> и сразу восстановим контекст <code>SELinux</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
The authenticity of host 'vm-03.virtual.lab (192.168.10.10)' can't be established.<br />
ECDSA key fingerprint is ae:71:ab:e1:8a:33:77:68:c7:de:a3:16:14:14:4c:0b.<br />
Are you sure you want to continue connecting (yes/no)? yes<br />
Warning: Permanently added 'vm-03.virtual.lab,192.168.10.10' (ECDSA) to the list of known hosts.<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-02 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-02 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Для работы керберезированных сетевых директорий, нам понадобиться включить сервис <code>nfs-secure.service</code> на клиентской машине <code>vm-02.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# systemctl enable nfs-secure.service<br />
ln -s '/usr/lib/systemd/system/nfs-secure.service' '/etc/systemd/system/nfs.target.wants/nfs-secure.service'<br />
[root@vm-02 ~]# systemctl start nfs-secure.service<br />
[root@vm-02 ~]# systemctl status -l nfs-secure.service<br />
nfs-secure.service - Secure NFS<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure.service; enabled)<br />
Active: active (running) since Mon 2018-12-03 14:30:06 MSK; 4s ago<br />
Process: 25392 ExecStart=/usr/sbin/rpc.gssd $RPCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 25393 (rpc.gssd)<br />
CGroup: /system.slice/nfs-secure.service<br />
└─25393 /usr/sbin/rpc.gssd<br />
<br />
Dec 03 14:30:06 vm-02.virtual.lab systemd[1]: Started Secure NFS.<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо примонтировать сетевую директорию:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2,sec=krb5p vm-01.virtual.lab:/srv/nfs/krb-share /mnt/nfs/krb-share<br />
mount.nfs4: timeout set for Mon Dec 3 14:34:10 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,sec=krb5p,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# findmnt -ADt nfs4<br />
SOURCE FSTYPE SIZE USED AVAIL USE% TARGET<br />
vm-01.virtual.lab:/srv/nfs/account nfs4 4.5G 4.2G 345M 92% /mnt/nfs/account<br />
vm-01.virtual.lab:/srv/nfs/krb-share nfs4 4.5G 4.2G 345M 92% /mnt/nfs/krb-share<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/krb-share<br />
ls: cannot open directory /mnt/nfs/krb-share: Permission denied<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code>, пробуем от пользователя <code>randy</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# su - randy<br />
Creating home directory for randy.<br />
</syntaxhighlight><br />
Получаем билет <code>kerberos</code>:<br />
<syntaxhighlight lang="bash"><br />
[randy@vm-02 ~]$ kinit <br />
Password for randy@VIRTUAL.LAB: <br />
[randy@vm-02 ~]$ klist <br />
Ticket cache: KEYRING:persistent:10002:10002<br />
Default principal: randy@VIRTUAL.LAB<br />
<br />
Valid starting Expires Service principal<br />
12/03/2018 14:33:13 12/04/2018 14:33:13 krbtgt/VIRTUAL.LAB@VIRTUAL.LAB<br />
renew until 12/03/2018 14:33:13<br />
</syntaxhighlight><br />
Пробуем записать файл в директорию:<br />
<syntaxhighlight lang="bash"><br />
[randy@vm-02 ~]$ printf "This is very important file.\n" > /mnt/nfs/krb-share/randy.txt<br />
[randy@vm-02 ~]$ ls -lahiZ /mnt/nfs/krb-share/randy.txt <br />
-rw-r--r--. randy virtuallab unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/krb-share/randy.txt<br />
[randy@vm-02 ~]$ cat /mnt/nfs/krb-share/randy.txt <br />
This is very important file.<br />
[randy@vm-02 ~]$<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /><br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/s1-nfs-security Securing NFS]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2394
Nfs krb5
2018-12-03T10:37:34Z
<p>Andy: </p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Копируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-01.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Восстановим контекст <code>SELinux</code> у <code>keytab</code> файла:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-01 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-secure-server</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-secure-server<br />
ln -s '/usr/lib/systemd/system/nfs-secure-server.service' '/etc/systemd/system/nfs.target.wants/nfs-secure-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-secure-server<br />
[root@vm-01 ~]# systemctl status -l nfs-secure-server<br />
nfs-secure-server.service - Secure NFS Server<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure-server.service; disabled)<br />
Active: active (running) since Mon 2018-12-03 14:20:42 MSK; 7s ago<br />
Process: 32315 ExecStart=/usr/sbin/rpc.svcgssd $RPCSVCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 32316 (rpc.svcgssd)<br />
CGroup: /system.slice/nfs-secure-server.service<br />
└─32316 /usr/sbin/rpc.svcgssd<br />
<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Starting Secure NFS Server...<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Started Secure NFS Server.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/krb-share 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/krb-share</code> и смонтируем сетевую директорию <code>krb-share</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/krb-share 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir /mnt/nfs/krb-share<br />
</syntaxhighlight><br />
Теперь скопируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-02.virtual.lab</code> и сразу восстановим контекст <code>SELinux</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
The authenticity of host 'vm-03.virtual.lab (192.168.10.10)' can't be established.<br />
ECDSA key fingerprint is ae:71:ab:e1:8a:33:77:68:c7:de:a3:16:14:14:4c:0b.<br />
Are you sure you want to continue connecting (yes/no)? yes<br />
Warning: Permanently added 'vm-03.virtual.lab,192.168.10.10' (ECDSA) to the list of known hosts.<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-02 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-02 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Для работы керберезированных сетевых директорий, нам понадобиться включить сервис <code>nfs-secure.service</code> на клиентской машине <code>vm-02.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# systemctl enable nfs-secure.service<br />
ln -s '/usr/lib/systemd/system/nfs-secure.service' '/etc/systemd/system/nfs.target.wants/nfs-secure.service'<br />
[root@vm-02 ~]# systemctl start nfs-secure.service<br />
[root@vm-02 ~]# systemctl status -l nfs-secure.service<br />
nfs-secure.service - Secure NFS<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure.service; enabled)<br />
Active: active (running) since Mon 2018-12-03 14:30:06 MSK; 4s ago<br />
Process: 25392 ExecStart=/usr/sbin/rpc.gssd $RPCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 25393 (rpc.gssd)<br />
CGroup: /system.slice/nfs-secure.service<br />
└─25393 /usr/sbin/rpc.gssd<br />
<br />
Dec 03 14:30:06 vm-02.virtual.lab systemd[1]: Started Secure NFS.<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо примонтировать сетевую директорию:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2,sec=krb5p vm-01.virtual.lab:/srv/nfs/krb-share /mnt/nfs/krb-share<br />
mount.nfs4: timeout set for Mon Dec 3 14:34:10 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,sec=krb5p,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# findmnt -ADt nfs4<br />
SOURCE FSTYPE SIZE USED AVAIL USE% TARGET<br />
vm-01.virtual.lab:/srv/nfs/account nfs4 4.5G 4.2G 345M 92% /mnt/nfs/account<br />
vm-01.virtual.lab:/srv/nfs/krb-share nfs4 4.5G 4.2G 345M 92% /mnt/nfs/krb-share<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/krb-share<br />
ls: cannot open directory /mnt/nfs/krb-share: Permission denied<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code>, пробуем от пользователя <code>randy</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# su - randy<br />
Creating home directory for randy.<br />
</syntaxhighlight><br />
Получаем билет <code>kerberos</code>:<br />
<syntaxhighlight lang="bash"><br />
[randy@vm-02 ~]$ kinit <br />
Password for randy@VIRTUAL.LAB: <br />
[randy@vm-02 ~]$ klist <br />
Ticket cache: KEYRING:persistent:10002:10002<br />
Default principal: randy@VIRTUAL.LAB<br />
<br />
Valid starting Expires Service principal<br />
12/03/2018 14:33:13 12/04/2018 14:33:13 krbtgt/VIRTUAL.LAB@VIRTUAL.LAB<br />
renew until 12/03/2018 14:33:13<br />
</syntaxhighlight><br />
Пробуем записать файл в директорию:<br />
<syntaxhighlight lang="bash"><br />
[randy@vm-02 ~]$ printf "This is very important file.\n" > /mnt/nfs/krb-share/randy.txt<br />
[randy@vm-02 ~]$ ls -lahiZ /mnt/nfs/krb-share/randy.txt <br />
-rw-r--r--. randy virtuallab unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/krb-share/randy.txt<br />
[randy@vm-02 ~]$ cat /mnt/nfs/krb-share/randy.txt <br />
This is very important file.<br />
[randy@vm-02 ~]$<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2393
Nfs krb5
2018-12-03T10:37:01Z
<p>Andy: /* Проверка */</p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Копируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-01.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Восстановим контекст <code>SELinux</code> у <code>keytab</code> файла:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-01 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-secure-server</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-secure-server<br />
ln -s '/usr/lib/systemd/system/nfs-secure-server.service' '/etc/systemd/system/nfs.target.wants/nfs-secure-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-secure-server<br />
[root@vm-01 ~]# systemctl status -l nfs-secure-server<br />
nfs-secure-server.service - Secure NFS Server<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure-server.service; disabled)<br />
Active: active (running) since Mon 2018-12-03 14:20:42 MSK; 7s ago<br />
Process: 32315 ExecStart=/usr/sbin/rpc.svcgssd $RPCSVCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 32316 (rpc.svcgssd)<br />
CGroup: /system.slice/nfs-secure-server.service<br />
└─32316 /usr/sbin/rpc.svcgssd<br />
<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Starting Secure NFS Server...<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Started Secure NFS Server.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/krb-share 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/krb-share</code> и смонтируем сетевую директорию <code>krb-share</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/krb-share 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir /mnt/nfs/krb-share<br />
</syntaxhighlight><br />
Теперь скопируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-02.virtual.lab</code> и сразу восстановим контекст <code>SELinux</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
The authenticity of host 'vm-03.virtual.lab (192.168.10.10)' can't be established.<br />
ECDSA key fingerprint is ae:71:ab:e1:8a:33:77:68:c7:de:a3:16:14:14:4c:0b.<br />
Are you sure you want to continue connecting (yes/no)? yes<br />
Warning: Permanently added 'vm-03.virtual.lab,192.168.10.10' (ECDSA) to the list of known hosts.<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-02 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-02 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Для работы керберезированных сетевых директорий, нам понадобиться включить сервис <code>nfs-secure.service</code> на клиентской машине <code>vm-02.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# systemctl enable nfs-secure.service<br />
ln -s '/usr/lib/systemd/system/nfs-secure.service' '/etc/systemd/system/nfs.target.wants/nfs-secure.service'<br />
[root@vm-02 ~]# systemctl start nfs-secure.service<br />
[root@vm-02 ~]# systemctl status -l nfs-secure.service<br />
nfs-secure.service - Secure NFS<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure.service; enabled)<br />
Active: active (running) since Mon 2018-12-03 14:30:06 MSK; 4s ago<br />
Process: 25392 ExecStart=/usr/sbin/rpc.gssd $RPCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 25393 (rpc.gssd)<br />
CGroup: /system.slice/nfs-secure.service<br />
└─25393 /usr/sbin/rpc.gssd<br />
<br />
Dec 03 14:30:06 vm-02.virtual.lab systemd[1]: Started Secure NFS.<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо примонтировать сетевую директорию:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2,sec=krb5p vm-01.virtual.lab:/srv/nfs/krb-share /mnt/nfs/krb-share<br />
mount.nfs4: timeout set for Mon Dec 3 14:34:10 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,sec=krb5p,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# findmnt -ADt nfs4<br />
SOURCE FSTYPE SIZE USED AVAIL USE% TARGET<br />
vm-01.virtual.lab:/srv/nfs/account nfs4 4.5G 4.2G 345M 92% /mnt/nfs/account<br />
vm-01.virtual.lab:/srv/nfs/krb-share nfs4 4.5G 4.2G 345M 92% /mnt/nfs/krb-share<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/krb-share<br />
ls: cannot open directory /mnt/nfs/krb-share: Permission denied<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code>, пробуем от пользователя <code>randy</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# su - randy<br />
Creating home directory for randy.<br />
</syntaxhighlight><br />
Получаем билет <code>kerberos</code>:<br />
<syntaxhighlight lang="bash"><br />
[randy@vm-02 ~]$ kinit <br />
Password for randy@VIRTUAL.LAB: <br />
[randy@vm-02 ~]$ klist <br />
Ticket cache: KEYRING:persistent:10002:10002<br />
Default principal: randy@VIRTUAL.LAB<br />
<br />
Valid starting Expires Service principal<br />
12/03/2018 14:33:13 12/04/2018 14:33:13 krbtgt/VIRTUAL.LAB@VIRTUAL.LAB<br />
renew until 12/03/2018 14:33:13<br />
<br />
Пробуем записать файл в директорию:<br />
<syntaxhighlight lang="bash"><br />
[randy@vm-02 ~]$ printf "This is very important file.\n" > /mnt/nfs/krb-share/randy.txt<br />
[randy@vm-02 ~]$ ls -lahiZ /mnt/nfs/krb-share/randy.txt <br />
-rw-r--r--. randy virtuallab unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/krb-share/randy.txt<br />
[randy@vm-02 ~]$ cat /mnt/nfs/krb-share/randy.txt <br />
This is very important file.<br />
[randy@vm-02 ~]$<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2392
Nfs krb5
2018-12-03T10:22:06Z
<p>Andy: </p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Копируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-01.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Восстановим контекст <code>SELinux</code> у <code>keytab</code> файла:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-01 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-secure-server</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-secure-server<br />
ln -s '/usr/lib/systemd/system/nfs-secure-server.service' '/etc/systemd/system/nfs.target.wants/nfs-secure-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-secure-server<br />
[root@vm-01 ~]# systemctl status -l nfs-secure-server<br />
nfs-secure-server.service - Secure NFS Server<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure-server.service; disabled)<br />
Active: active (running) since Mon 2018-12-03 14:20:42 MSK; 7s ago<br />
Process: 32315 ExecStart=/usr/sbin/rpc.svcgssd $RPCSVCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 32316 (rpc.svcgssd)<br />
CGroup: /system.slice/nfs-secure-server.service<br />
└─32316 /usr/sbin/rpc.svcgssd<br />
<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Starting Secure NFS Server...<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Started Secure NFS Server.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir -p /mnt/nfs/account<br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/<br />
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public<br />
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt <br />
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# su - mary<br />
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0<br />
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt <br />
This is Lisa, and this is my file.<br />
This is Mary, and this is my contibution to Lisa's work.<br />
[mary@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/<br />
ls: cannot open directory /mnt/nfs/account/: Permission denied<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2391
Nfs krb5
2018-12-03T10:21:29Z
<p>Andy: /* Запуск */</p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Копируем <code>keytab</code> файл с сервера <code>vm-03.virtual.lab</code>, на сервер <code>vm-01.virtual.lab</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# scp -p root@vm-03.virtual.lab:/etc/krb5.keytab /etc/<br />
root@vm-03.virtual.lab's password: <br />
krb5.keytab 100% 1818 1.8KB/s 00:00 <br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Восстановим контекст <code>SELinux</code> у <code>keytab</code> файла:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# restorecon -vR /etc/krb5.keytab <br />
[root@vm-01 ~]# ls -lahiZ /etc/krb5.keytab<br />
-rw-------. root root unconfined_u:object_r:krb5_keytab_t:s0 /etc/krb5.keytab<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для поддержки керберос аутентикации сетевых директорий <code>NFS</code>, в RHEL 7.0 надо, кроме сервиса <code>nfs-server</code> запустить сервис <code>nfs-server-secure</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-secure-server<br />
ln -s '/usr/lib/systemd/system/nfs-secure-server.service' '/etc/systemd/system/nfs.target.wants/nfs-secure-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-secure-server<br />
[root@vm-01 ~]# systemctl status -l nfs-secure-server<br />
nfs-secure-server.service - Secure NFS Server<br />
Loaded: loaded (/usr/lib/systemd/system/nfs-secure-server.service; disabled)<br />
Active: active (running) since Mon 2018-12-03 14:20:42 MSK; 7s ago<br />
Process: 32315 ExecStart=/usr/sbin/rpc.svcgssd $RPCSVCGSSDARGS (code=exited, status=0/SUCCESS)<br />
Main PID: 32316 (rpc.svcgssd)<br />
CGroup: /system.slice/nfs-secure-server.service<br />
└─32316 /usr/sbin/rpc.svcgssd<br />
<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Starting Secure NFS Server...<br />
Dec 03 14:20:42 vm-01.virtual.lab systemd[1]: Started Secure NFS Server.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir -p /mnt/nfs/account<br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/<br />
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public<br />
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt <br />
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# su - mary<br />
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0<br />
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt <br />
This is Lisa, and this is my file.<br />
This is Mary, and this is my contibution to Lisa's work.<br />
[mary@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/<br />
ls: cannot open directory /mnt/nfs/account/: Permission denied<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_share&diff=2390
Nfs share
2018-12-03T10:05:31Z
<p>Andy: </p>
<hr />
<div>== Конфигурирование NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code><br />
<br />
== Конфигурирование сетевой директории ==<br />
Для развертывания <code>NFS</code> необходимые утилиты и демоны включены в пакет <code>nfs-utils</code>. Файл <code>/etc/sysconfig/nfs</code> необходим для настроек параметров демона <code>rpc.nfsd</code>. <br />
В данном файле необходимо указать версию протокола <code>NFS</code> - 4.1. Приводим файл <code>/etc/sysconfig/nfs</code> к следующему виду:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sysconfig/nfs<br />
#<br />
# Optinal options passed to rquotad<br />
RPCRQUOTADOPTS=""<br />
#<br />
# Optional arguments passed to in-kernel lockd<br />
#LOCKDARG=<br />
# TCP port rpc.lockd should listen on.<br />
#LOCKD_TCPPORT=32803<br />
# UDP port rpc.lockd should listen on.<br />
#LOCKD_UDPPORT=32769<br />
#<br />
# Optional arguments passed to rpc.nfsd. See rpc.nfsd(8)<br />
RPCNFSDARGS="-V 4.1"<br />
# Number of nfs server processes to be started.<br />
# The default is 8. <br />
RPCNFSDCOUNT=8<br />
# Set V4 grace period in seconds<br />
#NFSD_V4_GRACE=90<br />
#<br />
# Optional arguments passed to rpc.mountd. See rpc.mountd(8)<br />
RPCMOUNTDOPTS=""<br />
#<br />
# Optional arguments passed to rpc.statd. See rpc.statd(8)<br />
STATDARG=""<br />
#<br />
# Optional arguments passed to rpc.idmapd. See rpc.idmapd(8)<br />
RPCIDMAPDARGS=""<br />
#<br />
# Optional arguments passed to rpc.gssd. See rpc.gssd(8)<br />
RPCGSSDARGS=""<br />
# Enable usage of gssproxy. See gssproxy-mech(8).<br />
GSS_USE_PROXY="no"<br />
#<br />
# Optional arguments passed to rpc.svcgssd. See rpc.svcgssd(8)<br />
RPCSVCGSSDARGS=""<br />
#<br />
# Optional arguments passed to blkmapd. See blkmapd(8)<br />
BLKMAPDARGS=""<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Настройки сетевых директорий располагаются в файле <code>/etc/exports</code>, для удобства, можно класть файлы с расширением <code>.exports</code> в директорию <code>/etc/exports.d</code>.<br />
Структура файла /etc/exports следующая: <br />
# Путь к сетевой директории<br />
# Хост или сеть, для который будет предоставляться общий доступ к директории<br />
# Опции для хоста<br />
Создаем файл <code>/etc/exports.d/public.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/public.exports <br />
/srv/nfs/public 192.168.10.0/24(ro,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/public</code> доступна машинам из сети 192.168.10.0/24, директория доступна только для чтения, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Создаем директорию и записываем в нее проверочный файл:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/public<br />
[root@vm-01 ~]# printf "This is test file for NFSv4.1 for RHEL7.0\n" > /srv/nfs/public/nfs_test.txt<br />
[root@vm-01 ~]# ls -lahi /srv/nfs/public/nfs_test.txt <br />
12948466 -rw-r--r--. 1 root root 42 Nov 30 14:30 /srv/nfs/public/nfs_test.txt<br />
[root@vm-01 ~]# cat /srv/nfs/public/nfs_test.txt <br />
This is test file for NFSv4.1 for RHEL7.0<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Запускаем сервис:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-server<br />
ln -s '/usr/lib/systemd/system/nfs-server.service' '/etc/systemd/system/nfs.target.wants/nfs-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-server<br />
[root@vm-01 ~]# systemctl is-active nfs-server<br />
active<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Теперь монитируем:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.1 vm-01.virtual.lab:/srv/nfs/public /mnt/<br />
mount.nfs4: timeout set for Fri Nov 30 14:52:53 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.1,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# cat /mnt/nfs_test.txt <br />
This is test file for NFSv4.1 for RHEL7.0<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_share_group&diff=2389
Nfs share group
2018-12-03T10:04:48Z
<p>Andy: </p>
<hr />
<div>== Конфигурирование NFS для сетевых групп ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>account</code> и присваиваем соответствующий контекст <code>SELinux</code>, права и владельца:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/account<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/account(/.*)?' <br />
[root@vm-01 ~]# chmod 2770 /srv/nfs/account/ <br />
[root@vm-01 ~]# id lisa<br />
uid=10000(lisa) gid=10000(virtuallab) groups=10000(virtuallab),10001(account)<br />
[root@vm-01 ~]# id mary<br />
uid=10001(mary) gid=10000(virtuallab) groups=10000(virtuallab),10001(account)<br />
[root@vm-01 ~]# chown root:account /srv/nfs/account/<br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/account/<br />
restorecon reset /srv/nfs/account context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/account/<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Группа <code>account</code> существует на сервере LDAP, так же как и пользователи <code>lisa</code> и <code>mary</code>, которые входят в группу <code>account</code>.<br />
Для того, что бы контекст <code>SELinux</code> необходимо исправить файл <code>/etc/sysconfig/nfs</code> и указать, что будет использоваться версия <code>NFS</code> - <code>4.2</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sysconfig/nfs<br />
#<br />
# Optinal options passed to rquotad<br />
RPCRQUOTADOPTS=""<br />
#<br />
# Optional arguments passed to in-kernel lockd<br />
#LOCKDARG=<br />
# TCP port rpc.lockd should listen on.<br />
#LOCKD_TCPPORT=32803<br />
# UDP port rpc.lockd should listen on.<br />
#LOCKD_UDPPORT=32769<br />
#<br />
# Optional arguments passed to rpc.nfsd. See rpc.nfsd(8)<br />
RPCNFSDARGS="-V 4.2"<br />
# Number of nfs server processes to be started.<br />
# The default is 8. <br />
RPCNFSDCOUNT=8<br />
# Set V4 grace period in seconds<br />
#NFSD_V4_GRACE=90<br />
#<br />
# Optional arguments passed to rpc.mountd. See rpc.mountd(8)<br />
RPCMOUNTDOPTS=""<br />
#<br />
# Optional arguments passed to rpc.statd. See rpc.statd(8)<br />
STATDARG=""<br />
#<br />
# Optional arguments passed to rpc.idmapd. See rpc.idmapd(8)<br />
RPCIDMAPDARGS=""<br />
#<br />
# Optional arguments passed to rpc.gssd. See rpc.gssd(8)<br />
RPCGSSDARGS=""<br />
# Enable usage of gssproxy. See gssproxy-mech(8).<br />
GSS_USE_PROXY="no"<br />
#<br />
# Optional arguments passed to rpc.svcgssd. See rpc.svcgssd(8)<br />
RPCSVCGSSDARGS=""<br />
#<br />
# Optional arguments passed to blkmapd. See blkmapd(8)<br />
BLKMAPDARGS=""<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/account.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/account 192.168.10.0/24(rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/public</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Перезапустим сервис, так как мы поменяли версию <code>NFS</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl restart nfs-server.service <br />
[root@vm-01 ~]# systemctl is-active nfs-server.service<br />
active<br />
[root@vm-01 ~]# systemctl is-enabled nfs-server.service<br />
enabled<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir -p /mnt/nfs/account<br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/<br />
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public<br />
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt <br />
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# su - mary<br />
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0<br />
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt <br />
This is Lisa, and this is my file.<br />
This is Mary, and this is my contibution to Lisa's work.<br />
[mary@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/<br />
ls: cannot open directory /mnt/nfs/account/: Permission denied<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2388
Nfs krb5
2018-12-03T10:04:23Z
<p>Andy: /* Конфигурирование сетевой директории */</p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Проверяем разрешения <code>SELinux</code> на монтирование директорий <code>NFS</code><br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# semanage boolean -l | grep nfs_export<br />
nfs_export_all_rw (on , on) Allow any files/directories to be exported read/write via NFS.<br />
nfs_export_all_ro (on , on) Allow any files/directories to be exported read/only via NFS.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Перезапустим сервис, так как мы поменяли версию <code>NFS</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl restart nfs-server.service <br />
[root@vm-01 ~]# systemctl is-active nfs-server.service<br />
active<br />
[root@vm-01 ~]# systemctl is-enabled nfs-server.service<br />
enabled<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir -p /mnt/nfs/account<br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/<br />
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public<br />
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt <br />
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# su - mary<br />
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0<br />
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt <br />
This is Lisa, and this is my file.<br />
This is Mary, and this is my contibution to Lisa's work.<br />
[mary@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/<br />
ls: cannot open directory /mnt/nfs/account/: Permission denied<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_krb5&diff=2387
Nfs krb5
2018-12-03T09:49:06Z
<p>Andy: Новая страница: «== Конфигурирование Kerberos NFS == ==== Предварительные требования ==== * Виртуальная машина с дву…»</p>
<hr />
<div>== Конфигурирование Kerberos NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>krb-share</code> и присваиваем соответствующий контекст <code>SELinux</code>:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/krb-share<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/krb-share(/.*)?' <br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/krb-share/<br />
restorecon reset /srv/nfs/krb-share context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:var_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:public_content_rw_t:s0 krb-share<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 public<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/krb-share.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/krb-share 192.168.10.0/24(sec=krb5p,rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/krb-share</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Присвоим права на директорию пользователю <code>randy</code> и группе <code>unix</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id randy<br />
uid=10002(randy) gid=10000(virtuallab) groups=10000(virtuallab),10002(unix)<br />
[root@vm-01 ~]# chown randy:unix /srv/nfs/krb-share/<br />
[root@vm-01 ~]# chmod 750 /srv/nfs/krb-share/<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/krb-share/<br />
drwxr-x---. randy unix unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/krb-share<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Запуск ====<br />
Перезапустим сервис, так как мы поменяли версию <code>NFS</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl restart nfs-server.service <br />
[root@vm-01 ~]# systemctl is-active nfs-server.service<br />
active<br />
[root@vm-01 ~]# systemctl is-enabled nfs-server.service<br />
enabled<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir -p /mnt/nfs/account<br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/<br />
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public<br />
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt <br />
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# su - mary<br />
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0<br />
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt <br />
This is Lisa, and this is my file.<br />
This is Mary, and this is my contibution to Lisa's work.<br />
[mary@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/<br />
ls: cannot open directory /mnt/nfs/account/: Permission denied<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_share_group&diff=2386
Nfs share group
2018-11-30T13:38:18Z
<p>Andy: Новая страница: «== Конфигурирование NFS для сетевых групп == ==== Предварительные требования ==== * Виртуальна…»</p>
<hr />
<div>== Конфигурирование NFS для сетевых групп ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code><br />
* На серверной и клиентской машине настроена аутентикация и авторизация через LDAP и Kerberos<br />
<br />
== Конфигурирование сетевой директории ==<br />
Создаем директорию <code>account</code> и присваиваем соответствующий контекст <code>SELinux</code>, права и владельца:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/account<br />
[root@vm-01 ~]# semanage fcontext -at public_content_rw_t '/srv/nfs/account(/.*)?' <br />
[root@vm-01 ~]# chmod 2770 /srv/nfs/account/ <br />
[root@vm-01 ~]# id lisa<br />
uid=10000(lisa) gid=10000(virtuallab) groups=10000(virtuallab),10001(account)<br />
[root@vm-01 ~]# id mary<br />
uid=10001(mary) gid=10000(virtuallab) groups=10000(virtuallab),10001(account)<br />
[root@vm-01 ~]# chown root:account /srv/nfs/account/<br />
[root@vm-01 ~]# restorecon -vR /srv/nfs/account/<br />
restorecon reset /srv/nfs/account context unconfined_u:object_r:var_t:s0->unconfined_u:object_r:public_content_rw_t:s0<br />
[root@vm-01 ~]# ls -lahiZ /srv/nfs/account/<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 .<br />
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0 ..<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Группа <code>account</code> существует на сервере LDAP, так же как и пользователи <code>lisa</code> и <code>mary</code>, которые входят в группу <code>account</code>.<br />
Для того, что бы контекст <code>SELinux</code> необходимо исправить файл <code>/etc/sysconfig/nfs</code> и указать, что будет использоваться версия <code>NFS</code> - <code>4.2</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sysconfig/nfs<br />
#<br />
# Optinal options passed to rquotad<br />
RPCRQUOTADOPTS=""<br />
#<br />
# Optional arguments passed to in-kernel lockd<br />
#LOCKDARG=<br />
# TCP port rpc.lockd should listen on.<br />
#LOCKD_TCPPORT=32803<br />
# UDP port rpc.lockd should listen on.<br />
#LOCKD_UDPPORT=32769<br />
#<br />
# Optional arguments passed to rpc.nfsd. See rpc.nfsd(8)<br />
RPCNFSDARGS="-V 4.2"<br />
# Number of nfs server processes to be started.<br />
# The default is 8. <br />
RPCNFSDCOUNT=8<br />
# Set V4 grace period in seconds<br />
#NFSD_V4_GRACE=90<br />
#<br />
# Optional arguments passed to rpc.mountd. See rpc.mountd(8)<br />
RPCMOUNTDOPTS=""<br />
#<br />
# Optional arguments passed to rpc.statd. See rpc.statd(8)<br />
STATDARG=""<br />
#<br />
# Optional arguments passed to rpc.idmapd. See rpc.idmapd(8)<br />
RPCIDMAPDARGS=""<br />
#<br />
# Optional arguments passed to rpc.gssd. See rpc.gssd(8)<br />
RPCGSSDARGS=""<br />
# Enable usage of gssproxy. See gssproxy-mech(8).<br />
GSS_USE_PROXY="no"<br />
#<br />
# Optional arguments passed to rpc.svcgssd. See rpc.svcgssd(8)<br />
RPCSVCGSSDARGS=""<br />
#<br />
# Optional arguments passed to blkmapd. See blkmapd(8)<br />
BLKMAPDARGS=""<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Создаем файл <code>/etc/exports.d/account.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/account.exports <br />
/srv/nfs/account 192.168.10.0/24(rw,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/public</code> доступна машинам из сети 192.168.10.0/24, директория доступна для записи, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Перечитаем список сетевых директорий:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# exportfs -avr<br />
exporting 192.168.10.0/24:/srv/nfs/public<br />
exporting 192.168.10.0/24:/srv/nfs/account<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
На клиенте созд<br />
==== Запуск ====<br />
Перезапустим сервис, так как мы поменяли версию <code>NFS</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl restart nfs-server.service <br />
[root@vm-01 ~]# systemctl is-active nfs-server.service<br />
active<br />
[root@vm-01 ~]# systemctl is-enabled nfs-server.service<br />
enabled<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине. Создадим директорию <code>/srv/nfs/account</code> и смонтируем сетевую директорию <code>account</code> в нее:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
/srv/nfs/account 192.168.10.0/24<br />
[root@vm-02 ~]# mkdir -p /mnt/nfs/account<br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.2 vm-01.virtual.lab:/srv/nfs/account /mnt/nfs/account/<br />
mount.nfs4: timeout set for Fri Nov 30 17:31:40 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.2,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# ls -lahiZ /mnt/nfs/<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 .<br />
drwxr-xr-x. root root system_u:object_r:mnt_t:s0 ..<br />
drwxrws---. root account unconfined_u:object_r:public_content_rw_t:s0 account<br />
drwxr-xr-x. root root unconfined_u:object_r:mnt_t:s0 public<br />
[lisa@vm-02 ~]$ printf "This is Lisa, and this is my file.\n" > /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ chmod 660 /mnt/nfs/account/account.txt <br />
[lisa@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[lisa@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# su - mary<br />
Last login: Fri Nov 30 17:32:49 MSK 2018 on pts/0<br />
[mary@vm-02 ~]$ printf "This is Mary, and this is my contibution to Lisa's work.\n" >> /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ ls -lahiZ /mnt/nfs/account/account.txt <br />
-rw-rw----. lisa account unconfined_u:object_r:public_content_rw_t:s0 /mnt/nfs/account/account.txt<br />
[mary@vm-02 ~]$ cat /mnt/nfs/account/account.txt <br />
This is Lisa, and this is my file.<br />
This is Mary, and this is my contibution to Lisa's work.<br />
[mary@vm-02 ~]$ exit<br />
logout<br />
[root@vm-02 ~]# ls -lahi /mnt/nfs/account/<br />
ls: cannot open directory /mnt/nfs/account/: Permission denied<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Пользователя <code>root</code> не пускает потому, что сетевая директория имеет опцию <code>root_squash</code><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_share&diff=2385
Nfs share
2018-11-30T10:51:52Z
<p>Andy: /* Конфигурирование сетевой директории */</p>
<hr />
<div>== Конфигурирование NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code><br />
<br />
== Конфигурирование сетевой директории ==<br />
Для развертывания <code>NFS</code> необходимые утилиты и демоны включены в пакет <code>nfs-utils</code>. Файл <code>/etc/sysconfig/nfs</code> необходим для настроек параметров демона <code>rpc.nfsd</code>. <br />
В данном файле необходимо указать версию протокола <code>NFS</code> - 4.1. Приводим файл <code>/etc/sysconfig/nfs</code> к следующему виду:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sysconfig/nfs<br />
#<br />
# Optinal options passed to rquotad<br />
RPCRQUOTADOPTS=""<br />
#<br />
# Optional arguments passed to in-kernel lockd<br />
#LOCKDARG=<br />
# TCP port rpc.lockd should listen on.<br />
#LOCKD_TCPPORT=32803<br />
# UDP port rpc.lockd should listen on.<br />
#LOCKD_UDPPORT=32769<br />
#<br />
# Optional arguments passed to rpc.nfsd. See rpc.nfsd(8)<br />
RPCNFSDARGS="-V 4.1"<br />
# Number of nfs server processes to be started.<br />
# The default is 8. <br />
RPCNFSDCOUNT=8<br />
# Set V4 grace period in seconds<br />
#NFSD_V4_GRACE=90<br />
#<br />
# Optional arguments passed to rpc.mountd. See rpc.mountd(8)<br />
RPCMOUNTDOPTS=""<br />
#<br />
# Optional arguments passed to rpc.statd. See rpc.statd(8)<br />
STATDARG=""<br />
#<br />
# Optional arguments passed to rpc.idmapd. See rpc.idmapd(8)<br />
RPCIDMAPDARGS=""<br />
#<br />
# Optional arguments passed to rpc.gssd. See rpc.gssd(8)<br />
RPCGSSDARGS=""<br />
# Enable usage of gssproxy. See gssproxy-mech(8).<br />
GSS_USE_PROXY="no"<br />
#<br />
# Optional arguments passed to rpc.svcgssd. See rpc.svcgssd(8)<br />
RPCSVCGSSDARGS=""<br />
#<br />
# Optional arguments passed to blkmapd. See blkmapd(8)<br />
BLKMAPDARGS=""<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Настройки сетевых директорий располагаются в файле <code>/etc/exports</code>, для удобства, можно класть файлы с расширением <code>.exports</code> в директорию <code>/etc/exports.d</code>.<br />
Структура файла /etc/exports следующая: <br />
# Путь к сетевой директории<br />
# Хост или сеть, для который будет предоставляться общий доступ к директории<br />
# Опции для хоста<br />
Создаем файл <code>/etc/exports.d/public.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/public.exports <br />
/srv/nfs/public 192.168.10.0/24(ro,root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/public</code> доступна машинам из сети 192.168.10.0/24, директория доступна только для чтения, пользователь <code>root</code> будет отображаться в<br />
пользователя <code>nobody</code> на сервере.<br />
Создаем директорию и записываем в нее проверочный файл:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/public<br />
[root@vm-01 ~]# printf "This is test file for NFSv4.1 for RHEL7.0\n" > /srv/nfs/public/nfs_test.txt<br />
[root@vm-01 ~]# ls -lahi /srv/nfs/public/nfs_test.txt <br />
12948466 -rw-r--r--. 1 root root 42 Nov 30 14:30 /srv/nfs/public/nfs_test.txt<br />
[root@vm-01 ~]# cat /srv/nfs/public/nfs_test.txt <br />
This is test file for NFSv4.1 for RHEL7.0<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Запускаем сервис:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable nfs-server<br />
ln -s '/usr/lib/systemd/system/nfs-server.service' '/etc/systemd/system/nfs.target.wants/nfs-server.service'<br />
[root@vm-01 ~]# systemctl start nfs-server<br />
[root@vm-01 ~]# systemctl is-active nfs-server<br />
active<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для корректной работы nfs, необхомо включить несколько сервисов в файрволе. Добавляем разрешения:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={mountd,nfs,rpc-bind} --permanent<br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload<br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services<br />
dhcpv6-client http https mountd nfs rpc-bind ssh<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверим доступность сетевой директории на самом сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Теперь проверим на клиентской машине:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# showmount -e vm-01.virtual.lab<br />
Export list for vm-01.virtual.lab:<br />
/srv/nfs/public 192.168.10.0/24<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
Теперь монитируем:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# mount.nfs4 -v -o nfsvers=4.1 vm-01.virtual.lab:/srv/nfs/public /mnt/<br />
mount.nfs4: timeout set for Fri Nov 30 14:52:53 2018<br />
mount.nfs4: trying text-based options 'nfsvers=4.1,addr=192.168.10.8,clientaddr=192.168.10.9'<br />
[root@vm-02 ~]# cat /mnt/nfs_test.txt <br />
This is test file for NFSv4.1 for RHEL7.0<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_share&diff=2384
Nfs share
2018-11-30T10:31:32Z
<p>Andy: </p>
<hr />
<div>== Конфигурирование NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code><br />
<br />
== Конфигурирование сетевой директории ==<br />
Для развертывания <code>NFS</code> необходимые утилиты и демоны включены в пакет <code>nfs-utils</code>. Файл <code>/etc/sysconfig/nfs</code> необходим для настроек параметров демона <code>rpc.nfsd</code>. <br />
В данном файле необходимо указать версию протокола <code>NFS</code> - 4.1. Приводим файл <code>/etc/sysconfig/nfs</code> к следующему виду:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sysconfig/nfs<br />
#<br />
# Optinal options passed to rquotad<br />
RPCRQUOTADOPTS=""<br />
#<br />
# Optional arguments passed to in-kernel lockd<br />
#LOCKDARG=<br />
# TCP port rpc.lockd should listen on.<br />
#LOCKD_TCPPORT=32803<br />
# UDP port rpc.lockd should listen on.<br />
#LOCKD_UDPPORT=32769<br />
#<br />
# Optional arguments passed to rpc.nfsd. See rpc.nfsd(8)<br />
RPCNFSDARGS="-V 4.1"<br />
# Number of nfs server processes to be started.<br />
# The default is 8. <br />
RPCNFSDCOUNT=8<br />
# Set V4 grace period in seconds<br />
#NFSD_V4_GRACE=90<br />
#<br />
# Optional arguments passed to rpc.mountd. See rpc.mountd(8)<br />
RPCMOUNTDOPTS=""<br />
#<br />
# Optional arguments passed to rpc.statd. See rpc.statd(8)<br />
STATDARG=""<br />
#<br />
# Optional arguments passed to rpc.idmapd. See rpc.idmapd(8)<br />
RPCIDMAPDARGS=""<br />
#<br />
# Optional arguments passed to rpc.gssd. See rpc.gssd(8)<br />
RPCGSSDARGS=""<br />
# Enable usage of gssproxy. See gssproxy-mech(8).<br />
GSS_USE_PROXY="no"<br />
#<br />
# Optional arguments passed to rpc.svcgssd. See rpc.svcgssd(8)<br />
RPCSVCGSSDARGS=""<br />
#<br />
# Optional arguments passed to blkmapd. See blkmapd(8)<br />
BLKMAPDARGS=""<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Настройки сетевых директорий располагаются в файле <code>/etc/exports</code>, для удобства, можно класть файлы с расширением <code>.exports</code> в директорию <code>/etc/exports.d</code>.<br />
Структура файла /etc/exports следующая: <br />
# Путь к сетевой директории<br />
# Хост или сеть, для который будет предоставляться общий доступ к директории<br />
# Опции для хоста<br />
Создаем файл <code>/etc/exports.d/public.exports</code> в котором будет указана сетевая директория, следующего содержания:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/exports.d/public.exports <br />
/srv/nfs/public 192.168.10.0/24(ro,no_root_squash)<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Директория <code>/srv/nfs/public</code> доступна машинам из сети 192.168.10.0/24, директория доступна только для чтения.<br />
Создаем директорию и записываем в нее проверочный файл:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# mkdir -p /srv/nfs/public<br />
[root@vm-01 ~]# printf "This is test file for NFSv4.1 for RHEL7.0\n" > /srv/nfs/public/nfs_test.txt<br />
[root@vm-01 ~]# ls -lahi /srv/nfs/public/nfs_test.txt <br />
12948466 -rw-r--r--. 1 root root 42 Nov 30 14:30 /srv/nfs/public/nfs_test.txt<br />
[root@vm-01 ~]# cat /srv/nfs/public/nfs_test.txt <br />
This is test file for NFSv4.1 for RHEL7.0<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Запуск ====<br />
Запускаем сервис:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 logs]# systemctl start httpd<br />
[root@vm-01 logs]# systemctl is-active httpd<br />
active<br />
[root@vm-01 logs]#<br />
</syntaxhighlight><br />
Добавляем разрешение в файрволе:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={http,https} --permanent <br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload <br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services <br />
dhcpv6-client https http ssh dns<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-02</code> обратимся к странице при помощи утилиты <code>curl</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# curl "http://192.168.1.1"<br />
Hello world.<br />
Tue Jan 23 13:57:22 MSK 2018<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=Nfs_share&diff=2383
Nfs share
2018-11-30T09:43:04Z
<p>Andy: Новая страница: «== Конфигурирование NFS == ==== Предварительные требования ==== * Виртуальная машина с двумя се…»</p>
<hr />
<div>== Конфигурирование NFS ==<br />
<br />
==== Предварительные требования ====<br />
* Виртуальная машина с двумя сетевыми интерфейсами<br />
* Установленные пакеты: <code>bash-completion</code>, <code>policycoreutils</code>, <code>policycoreutils-python</code>, <code>policycoreutils-devel</code>, <code>setroubleshoot-server</code>, <code>nfs-utils</code><br />
<br />
== Конфигурирование сетевой директории ==<br />
Для включения <br />
<br />
<code>/content</code>. Скопируем пример из документации в качестве "рыбы" для нашего будущего виртуального хоста, затем создадим директорию и присвоем ей контекст <code>SELinux</code>:<br />
<syntaxhighlight lang="bash"><br />
<br />
</syntaxhighlight><br />
<br />
==== Запуск ====<br />
Запускаем сервис:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 logs]# systemctl start httpd<br />
[root@vm-01 logs]# systemctl is-active httpd<br />
active<br />
[root@vm-01 logs]#<br />
</syntaxhighlight><br />
Добавляем разрешение в файрволе:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# firewall-cmd --add-service={http,https} --permanent <br />
success<br />
[root@vm-01 ~]# firewall-cmd --reload <br />
success<br />
[root@vm-01 ~]# firewall-cmd --list-services <br />
dhcpv6-client https http ssh dns<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
==== Проверка ====<br />
С виртуальной машины <code>vm-02</code> обратимся к странице при помощи утилиты <code>curl</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# curl "http://192.168.1.1"<br />
Hello world.<br />
Tue Jan 23 13:57:22 MSK 2018<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/storage_administration_guide/nfs-serverconfig Configuring the NFS Server]<br /></div>
Andy
http://wiki.ipnp.su/index.php?title=RHCE&diff=2382
RHCE
2018-11-30T09:36:25Z
<p>Andy: /* NFS */</p>
<hr />
<div>Для подготовки к экзамену использовались следующие материалы:<br />
<br />
* [https://linuxacademy.com/cp/modules/view/id/50 Видеокурсы] Linux Academy<br />
* Замечательная книга Сандера Ван Вогта: [http://www.sandervanvugt.com/book-red-hat-rhcsa-rhce-7-cert-guide/ Sander van Vugt - Red Hat RHCSA/RHCE7 Cert Guide: Red Hat Enterprise Linux 7(EX200 and EX300)]<br />
* [https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/?version=7 Официальная документация] по Red Hat Enterprise Linux 7<br />
* Официальная документация для подготовки к экзамену EX300<br />
* Сайт с информацией для подготовки к экзамену [https://www.certdepot.net/rhel7-rhce-exam-objectives/ CertDepot]<br />
* Сайт с информацией для подготовки к экзамену [https://www.lisenet.com/rhce/ Lisnet]<br />
* [[rhcsa-rhce-playbook|ansible playbook]] для настройки окружения сервера<br />
В данный момент, экзамен носит номер [https://www.redhat.com/en/services/training/ex300-red-hat-certified-engineer-rhce-exam EX300] и включает в себя следующие темы:<br />
<br />
==== System configuration and management ====<br />
* [[network_teaming_or_bonding|Use network teaming or bonding to configure aggregated network links between two Red Hat Enterprise Linux systems]]<br />
* [[ipv6|Configure IPv6 addresses and perform basic IPv6 troubleshooting]]<br />
* [[static_routes|Route IP traffic and create static routes]]<br />
* [[firewalld|Use firewalld and associated mechanisms such as rich rules, zones and custom rules, to implement packet filtering and configure network address translation (NAT)]]<br />
* [[auth_krb|Configure a system to authenticate using Kerberos]]<br />
* [[iscsi|Configure a system as either an iSCSI target or initiator that persistently mounts an iSCSI target]]<br />
* [[system_reports|Produce and deliver reports on system utilization (processor, memory, disk, and network)]]<br />
* [[shell_script|Use shell scripting to automate system maintenance tasks]]<br />
<br />
==== Network services ====<br />
* [[Installpackages|Install the packages needed to provide the service]]<br />
* [[SELinuxservice|Configure SELinux to support the service]]<br />
* [[SELinuxports|Use SELinux port labeling to allow services to use non-standard ports]]<br />
* [[Config_service|Configure the service to start when the system is booted]]<br />
* [[Config_service|Configure the service for basic operation]]<br />
* [[Configure host-based and user-based security for the service]]<br />
<br />
==== HTTP/HTTPS ====<br />
* [[vhost|Configure a virtual host]]<br />
* [[apache_restrictions|Configure access restrictions on directories]]<br />
* [[cgi_app|Deploy a basic CGI application]]<br />
* [[apache_group|Configure group-managed content]]<br />
* [[apache_tls|Configure TLS security]]<br />
<br />
==== DNS ====<br />
* [[cache_dns|Configure a caching-only name server]]<br />
* [[tshoot_dns|Troubleshoot DNS client issues]]<br />
==== NFS ====<br />
* [[nfs_share|Provide network shares to specific clients]]<br />
* [[nfs_share_group|Provide network shares suitable for group collaboration]]<br />
* [[nfs_krb5|Use Kerberos to control access to NFS network shares]]<br />
<br />
==== SMB ====<br />
* [[smb_client|Provide network shares to specific clients]]<br />
* [[smb_group|Provide network shares suitable for group collaboration]]<br />
<br />
==== SMTP ====<br />
* [[postfix_null_client | Configure a system to forward all email to a central mail server]]<br />
<br />
==== SSH ====<br />
* [[configure_ssh_key|Configure key-based authentication]]<br />
* [[configure_ssh_params|Configure additional options described in documentation]]<br />
<br />
==== NTP ====<br />
* [[time_sync|Synchronize time using other NTP peers]]<br />
<br />
==== Database services ====<br />
* [[install_db|Install and configure MariaDB]]<br />
* [[backup_db|Backup and restore a database]]<br />
* [[create_schema|Create a simple database schema]]<br />
* [[query_db|Perform simple SQL queries against a database]]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2381
Auth krb
2018-11-26T14:12:11Z
<p>Andy: /* Проверка */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code>, <code>krb5-workstation</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf</code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>, после чего проверить файл <code>/etc/nsswitch.conf</code>, который будет иметь следующий вид:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/nsswitch.conf<br />
#<br />
# /etc/nsswitch.conf<br />
#<br />
# An example Name Service Switch config file. This file should be<br />
# sorted with the most-used services at the beginning.<br />
#<br />
# The entry '[NOTFOUND=return]' means that the search for an<br />
# entry should stop if the search in the previous entry turned<br />
# up nothing. Note that if the search failed due to some other reason<br />
# (like no NIS server responding) then the search continues with the<br />
# next entry.<br />
#<br />
# Valid entries include:<br />
#<br />
# nisplus Use NIS+ (NIS version 3)<br />
# nis Use NIS (NIS version 2), also called YP<br />
# dns Use DNS (Domain Name Service)<br />
# files Use the local files<br />
# db Use the local database (.db) files<br />
# compat Use NIS on compat mode<br />
# hesiod Use Hesiod for user lookups<br />
# [NOTFOUND=return] Stop searching if not found so far<br />
#<br />
<br />
# To use db, put the "db" in front of "files" for entries you want to be<br />
# looked up first in the databases<br />
#<br />
# Example:<br />
#passwd: db files nisplus nis<br />
#shadow: db files nisplus nis<br />
#group: db files nisplus nis<br />
<br />
passwd: files sss ldap<br />
shadow: files sss ldap<br />
group: files sss ldap<br />
#initgroups: files<br />
<br />
#hosts: db files nisplus nis dns<br />
hosts: files dns<br />
<br />
# Example - obey only what nisplus tells us...<br />
#services: nisplus [NOTFOUND=return] files<br />
#networks: nisplus [NOTFOUND=return] files<br />
#protocols: nisplus [NOTFOUND=return] files<br />
#rpc: nisplus [NOTFOUND=return] files<br />
#ethers: nisplus [NOTFOUND=return] files<br />
#netmasks: nisplus [NOTFOUND=return] files <br />
<br />
bootparams: nisplus [NOTFOUND=return] files<br />
<br />
ethers: files<br />
netmasks: files<br />
networks: files<br />
protocols: files<br />
rpc: files<br />
services: files sss<br />
<br />
netgroup: files sss ldap<br />
<br />
publickey: nisplus<br />
<br />
automount: files sss ldap<br />
aliases: files nisplus<br />
<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
А файл <code>/etc/krb5.conf</code>, будет следующим:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/krb5.conf <br />
[logging]<br />
default = FILE:/var/log/krb5libs.log<br />
kdc = FILE:/var/log/krb5kdc.log<br />
admin_server = FILE:/var/log/kadmind.log<br />
<br />
[libdefaults]<br />
dns_lookup_realm = false<br />
ticket_lifetime = 24h<br />
renew_lifetime = 7d<br />
forwardable = true<br />
rdns = false<br />
# default_realm = EXAMPLE.COM<br />
default_ccache_name = KEYRING:persistent:%{uid}<br />
<br />
default_realm = VIRTUAL.LAB<br />
[realms]<br />
# EXAMPLE.COM = {<br />
# kdc = kerberos.example.com<br />
# admin_server = kerberos.example.com<br />
# }<br />
<br />
VIRTUAL.LAB = {<br />
admin_server = kdc1.virtual.lab<br />
}<br />
<br />
VIRTUAL.LAB = {<br />
admin_server = kdc1.virtual.lab<br />
}<br />
<br />
[domain_realm]<br />
# .example.com = EXAMPLE.COM<br />
# example.com = EXAMPLE.COM<br />
virtual.lab = VIRTUAL.LAB<br />
.virtual.lab = VIRTUAL.LAB<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо включить сервис <code>sssd</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable sssd<br />
ln -s '/usr/lib/systemd/system/sssd.service' '/etc/systemd/system/multi-user.target.wants/sssd.service'<br />
[root@vm-01 ~]# systemctl start sssd<br />
[root@vm-01 ~]# systemctl status -l sssd<br />
sssd.service - System Security Services Daemon<br />
Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled)<br />
Active: active (running) since Mon 2018-11-26 17:23:10 MSK; 5s ago<br />
Process: 1016 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=0/SUCCESS)<br />
Main PID: 1017 (sssd)<br />
CGroup: /system.slice/sssd.service<br />
├─1017 /usr/sbin/sssd -D -f<br />
├─1018 /usr/libexec/sssd/sssd_be --domain LDAP --debug-to-files<br />
├─1019 /usr/libexec/sssd/sssd_nss --debug-to-files<br />
└─1020 /usr/libexec/sssd/sssd_pam --debug-to-files<br />
<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1017]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[be[1018]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1019]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1020]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab systemd[1]: Started System Security Services Daemon.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверяем пользователей LDAP/Kerberos:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id <br />
uid=0(root) gid=0(root) groups=0(root) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023<br />
[root@vm-01 ~]# id lisa<br />
uid=10000(lisa) gid=10000(virtuallab) groups=10000(virtuallab),10001(account)<br />
[root@vm-01 ~]# su - lisa<br />
Creating home directory for lisa.<br />
[lisa@vm-01 ~]$ id<br />
uid=10000(lisa) gid=10000(virtuallab) groups=10000(virtuallab),10001(account) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023<br />
[lisa@vm-01 ~]$ kinit lisa<br />
Password for lisa@VIRTUAL.LAB: <br />
[lisa@vm-01 ~]$ klist <br />
Ticket cache: KEYRING:persistent:10000:10000<br />
Default principal: lisa@VIRTUAL.LAB<br />
<br />
Valid starting Expires Service principal<br />
11/26/2018 18:10:50 11/27/2018 18:10:50 krbtgt/VIRTUAL.LAB@VIRTUAL.LAB<br />
renew until 11/26/2018 18:10:50<br />
[lisa@vm-01 ~]$<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/system-level_authentication_guide Документация по системной аутентикации]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2380
Auth krb
2018-11-26T14:06:26Z
<p>Andy: </p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code>, <code>krb5-workstation</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf</code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>, после чего проверить файл <code>/etc/nsswitch.conf</code>, который будет иметь следующий вид:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/nsswitch.conf<br />
#<br />
# /etc/nsswitch.conf<br />
#<br />
# An example Name Service Switch config file. This file should be<br />
# sorted with the most-used services at the beginning.<br />
#<br />
# The entry '[NOTFOUND=return]' means that the search for an<br />
# entry should stop if the search in the previous entry turned<br />
# up nothing. Note that if the search failed due to some other reason<br />
# (like no NIS server responding) then the search continues with the<br />
# next entry.<br />
#<br />
# Valid entries include:<br />
#<br />
# nisplus Use NIS+ (NIS version 3)<br />
# nis Use NIS (NIS version 2), also called YP<br />
# dns Use DNS (Domain Name Service)<br />
# files Use the local files<br />
# db Use the local database (.db) files<br />
# compat Use NIS on compat mode<br />
# hesiod Use Hesiod for user lookups<br />
# [NOTFOUND=return] Stop searching if not found so far<br />
#<br />
<br />
# To use db, put the "db" in front of "files" for entries you want to be<br />
# looked up first in the databases<br />
#<br />
# Example:<br />
#passwd: db files nisplus nis<br />
#shadow: db files nisplus nis<br />
#group: db files nisplus nis<br />
<br />
passwd: files sss ldap<br />
shadow: files sss ldap<br />
group: files sss ldap<br />
#initgroups: files<br />
<br />
#hosts: db files nisplus nis dns<br />
hosts: files dns<br />
<br />
# Example - obey only what nisplus tells us...<br />
#services: nisplus [NOTFOUND=return] files<br />
#networks: nisplus [NOTFOUND=return] files<br />
#protocols: nisplus [NOTFOUND=return] files<br />
#rpc: nisplus [NOTFOUND=return] files<br />
#ethers: nisplus [NOTFOUND=return] files<br />
#netmasks: nisplus [NOTFOUND=return] files <br />
<br />
bootparams: nisplus [NOTFOUND=return] files<br />
<br />
ethers: files<br />
netmasks: files<br />
networks: files<br />
protocols: files<br />
rpc: files<br />
services: files sss<br />
<br />
netgroup: files sss ldap<br />
<br />
publickey: nisplus<br />
<br />
automount: files sss ldap<br />
aliases: files nisplus<br />
<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
А файл <code>/etc/krb5.conf</code>, будет следующим:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/krb5.conf <br />
[logging]<br />
default = FILE:/var/log/krb5libs.log<br />
kdc = FILE:/var/log/krb5kdc.log<br />
admin_server = FILE:/var/log/kadmind.log<br />
<br />
[libdefaults]<br />
dns_lookup_realm = false<br />
ticket_lifetime = 24h<br />
renew_lifetime = 7d<br />
forwardable = true<br />
rdns = false<br />
# default_realm = EXAMPLE.COM<br />
default_ccache_name = KEYRING:persistent:%{uid}<br />
<br />
default_realm = VIRTUAL.LAB<br />
[realms]<br />
# EXAMPLE.COM = {<br />
# kdc = kerberos.example.com<br />
# admin_server = kerberos.example.com<br />
# }<br />
<br />
VIRTUAL.LAB = {<br />
admin_server = kdc1.virtual.lab<br />
}<br />
<br />
VIRTUAL.LAB = {<br />
admin_server = kdc1.virtual.lab<br />
}<br />
<br />
[domain_realm]<br />
# .example.com = EXAMPLE.COM<br />
# example.com = EXAMPLE.COM<br />
virtual.lab = VIRTUAL.LAB<br />
.virtual.lab = VIRTUAL.LAB<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо включить сервис <code>sssd</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable sssd<br />
ln -s '/usr/lib/systemd/system/sssd.service' '/etc/systemd/system/multi-user.target.wants/sssd.service'<br />
[root@vm-01 ~]# systemctl start sssd<br />
[root@vm-01 ~]# systemctl status -l sssd<br />
sssd.service - System Security Services Daemon<br />
Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled)<br />
Active: active (running) since Mon 2018-11-26 17:23:10 MSK; 5s ago<br />
Process: 1016 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=0/SUCCESS)<br />
Main PID: 1017 (sssd)<br />
CGroup: /system.slice/sssd.service<br />
├─1017 /usr/sbin/sssd -D -f<br />
├─1018 /usr/libexec/sssd/sssd_be --domain LDAP --debug-to-files<br />
├─1019 /usr/libexec/sssd/sssd_nss --debug-to-files<br />
└─1020 /usr/libexec/sssd/sssd_pam --debug-to-files<br />
<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1017]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[be[1018]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1019]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1020]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab systemd[1]: Started System Security Services Daemon.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
==== Проверка ====<br />
С виртуальной машины <code>vm-01</code> проверяем пользователей LDAP/Kerberos:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# id <br />
uid=0(root) gid=0(root) groups=0(root) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023<br />
[root@vm-01 ~]# id lisa<br />
uid=10000(lisa) gid=10000(virtuallab) groups=10000(virtuallab),10001(account)<br />
[root@vm-01 ~]# su - lisa<br />
Creating home directory for lisa.<br />
[lisa@vm-01 ~]$ id<br />
uid=10000(lisa) gid=10000(virtuallab) groups=10000(virtuallab),10001(account) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023<br />
[lisa@vm-01 ~]$<br />
</syntaxhighlight><br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/system-level_authentication_guide Документация по системной аутентикации]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2379
Auth krb
2018-11-26T13:31:11Z
<p>Andy: </p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code>, <code>krb5-workstation</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf</code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>, после чего проверить файл <code>/etc/nsswitch.conf</code>, который будет иметь следующий вид:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/nsswitch.conf<br />
#<br />
# /etc/nsswitch.conf<br />
#<br />
# An example Name Service Switch config file. This file should be<br />
# sorted with the most-used services at the beginning.<br />
#<br />
# The entry '[NOTFOUND=return]' means that the search for an<br />
# entry should stop if the search in the previous entry turned<br />
# up nothing. Note that if the search failed due to some other reason<br />
# (like no NIS server responding) then the search continues with the<br />
# next entry.<br />
#<br />
# Valid entries include:<br />
#<br />
# nisplus Use NIS+ (NIS version 3)<br />
# nis Use NIS (NIS version 2), also called YP<br />
# dns Use DNS (Domain Name Service)<br />
# files Use the local files<br />
# db Use the local database (.db) files<br />
# compat Use NIS on compat mode<br />
# hesiod Use Hesiod for user lookups<br />
# [NOTFOUND=return] Stop searching if not found so far<br />
#<br />
<br />
# To use db, put the "db" in front of "files" for entries you want to be<br />
# looked up first in the databases<br />
#<br />
# Example:<br />
#passwd: db files nisplus nis<br />
#shadow: db files nisplus nis<br />
#group: db files nisplus nis<br />
<br />
passwd: files sss ldap<br />
shadow: files sss ldap<br />
group: files sss ldap<br />
#initgroups: files<br />
<br />
#hosts: db files nisplus nis dns<br />
hosts: files dns<br />
<br />
# Example - obey only what nisplus tells us...<br />
#services: nisplus [NOTFOUND=return] files<br />
#networks: nisplus [NOTFOUND=return] files<br />
#protocols: nisplus [NOTFOUND=return] files<br />
#rpc: nisplus [NOTFOUND=return] files<br />
#ethers: nisplus [NOTFOUND=return] files<br />
#netmasks: nisplus [NOTFOUND=return] files <br />
<br />
bootparams: nisplus [NOTFOUND=return] files<br />
<br />
ethers: files<br />
netmasks: files<br />
networks: files<br />
protocols: files<br />
rpc: files<br />
services: files sss<br />
<br />
netgroup: files sss ldap<br />
<br />
publickey: nisplus<br />
<br />
automount: files sss ldap<br />
aliases: files nisplus<br />
<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
А файл <code>/etc/krb5.conf</code>, будет следующим:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/krb5.conf <br />
[logging]<br />
default = FILE:/var/log/krb5libs.log<br />
kdc = FILE:/var/log/krb5kdc.log<br />
admin_server = FILE:/var/log/kadmind.log<br />
<br />
[libdefaults]<br />
dns_lookup_realm = false<br />
ticket_lifetime = 24h<br />
renew_lifetime = 7d<br />
forwardable = true<br />
rdns = false<br />
# default_realm = EXAMPLE.COM<br />
default_ccache_name = KEYRING:persistent:%{uid}<br />
<br />
default_realm = VIRTUAL.LAB<br />
[realms]<br />
# EXAMPLE.COM = {<br />
# kdc = kerberos.example.com<br />
# admin_server = kerberos.example.com<br />
# }<br />
<br />
VIRTUAL.LAB = {<br />
admin_server = kdc1.virtual.lab<br />
}<br />
<br />
VIRTUAL.LAB = {<br />
admin_server = kdc1.virtual.lab<br />
}<br />
<br />
[domain_realm]<br />
# .example.com = EXAMPLE.COM<br />
# example.com = EXAMPLE.COM<br />
virtual.lab = VIRTUAL.LAB<br />
.virtual.lab = VIRTUAL.LAB<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо включить сервис <code>sssd</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable sssd<br />
ln -s '/usr/lib/systemd/system/sssd.service' '/etc/systemd/system/multi-user.target.wants/sssd.service'<br />
[root@vm-01 ~]# systemctl start sssd<br />
[root@vm-01 ~]# systemctl status -l sssd<br />
sssd.service - System Security Services Daemon<br />
Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled)<br />
Active: active (running) since Mon 2018-11-26 17:23:10 MSK; 5s ago<br />
Process: 1016 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=0/SUCCESS)<br />
Main PID: 1017 (sssd)<br />
CGroup: /system.slice/sssd.service<br />
├─1017 /usr/sbin/sssd -D -f<br />
├─1018 /usr/libexec/sssd/sssd_be --domain LDAP --debug-to-files<br />
├─1019 /usr/libexec/sssd/sssd_nss --debug-to-files<br />
└─1020 /usr/libexec/sssd/sssd_pam --debug-to-files<br />
<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1017]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[be[1018]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1019]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1020]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab systemd[1]: Started System Security Services Daemon.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2378
Auth krb
2018-11-26T13:25:37Z
<p>Andy: /* Предварительные требования */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code>, <code>krb5-workstation</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf</code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>, после чего проверить файл <code>/etc/nsswitch.conf</code>, который будет иметь следующий вид:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/nsswitch.conf<br />
#<br />
# /etc/nsswitch.conf<br />
#<br />
# An example Name Service Switch config file. This file should be<br />
# sorted with the most-used services at the beginning.<br />
#<br />
# The entry '[NOTFOUND=return]' means that the search for an<br />
# entry should stop if the search in the previous entry turned<br />
# up nothing. Note that if the search failed due to some other reason<br />
# (like no NIS server responding) then the search continues with the<br />
# next entry.<br />
#<br />
# Valid entries include:<br />
#<br />
# nisplus Use NIS+ (NIS version 3)<br />
# nis Use NIS (NIS version 2), also called YP<br />
# dns Use DNS (Domain Name Service)<br />
# files Use the local files<br />
# db Use the local database (.db) files<br />
# compat Use NIS on compat mode<br />
# hesiod Use Hesiod for user lookups<br />
# [NOTFOUND=return] Stop searching if not found so far<br />
#<br />
<br />
# To use db, put the "db" in front of "files" for entries you want to be<br />
# looked up first in the databases<br />
#<br />
# Example:<br />
#passwd: db files nisplus nis<br />
#shadow: db files nisplus nis<br />
#group: db files nisplus nis<br />
<br />
passwd: files sss ldap<br />
shadow: files sss ldap<br />
group: files sss ldap<br />
#initgroups: files<br />
<br />
#hosts: db files nisplus nis dns<br />
hosts: files dns<br />
<br />
# Example - obey only what nisplus tells us...<br />
#services: nisplus [NOTFOUND=return] files<br />
#networks: nisplus [NOTFOUND=return] files<br />
#protocols: nisplus [NOTFOUND=return] files<br />
#rpc: nisplus [NOTFOUND=return] files<br />
#ethers: nisplus [NOTFOUND=return] files<br />
#netmasks: nisplus [NOTFOUND=return] files <br />
<br />
bootparams: nisplus [NOTFOUND=return] files<br />
<br />
ethers: files<br />
netmasks: files<br />
networks: files<br />
protocols: files<br />
rpc: files<br />
services: files sss<br />
<br />
netgroup: files sss ldap<br />
<br />
publickey: nisplus<br />
<br />
automount: files sss ldap<br />
aliases: files nisplus<br />
<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо включить сервис <code>sssd</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable sssd<br />
ln -s '/usr/lib/systemd/system/sssd.service' '/etc/systemd/system/multi-user.target.wants/sssd.service'<br />
[root@vm-01 ~]# systemctl start sssd<br />
[root@vm-01 ~]# systemctl status -l sssd<br />
sssd.service - System Security Services Daemon<br />
Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled)<br />
Active: active (running) since Mon 2018-11-26 17:23:10 MSK; 5s ago<br />
Process: 1016 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=0/SUCCESS)<br />
Main PID: 1017 (sssd)<br />
CGroup: /system.slice/sssd.service<br />
├─1017 /usr/sbin/sssd -D -f<br />
├─1018 /usr/libexec/sssd/sssd_be --domain LDAP --debug-to-files<br />
├─1019 /usr/libexec/sssd/sssd_nss --debug-to-files<br />
└─1020 /usr/libexec/sssd/sssd_pam --debug-to-files<br />
<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1017]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[be[1018]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1019]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1020]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab systemd[1]: Started System Security Services Daemon.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2377
Auth krb
2018-11-26T13:23:29Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf</code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>, после чего проверить файл <code>/etc/nsswitch.conf</code>, который будет иметь следующий вид:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/nsswitch.conf<br />
#<br />
# /etc/nsswitch.conf<br />
#<br />
# An example Name Service Switch config file. This file should be<br />
# sorted with the most-used services at the beginning.<br />
#<br />
# The entry '[NOTFOUND=return]' means that the search for an<br />
# entry should stop if the search in the previous entry turned<br />
# up nothing. Note that if the search failed due to some other reason<br />
# (like no NIS server responding) then the search continues with the<br />
# next entry.<br />
#<br />
# Valid entries include:<br />
#<br />
# nisplus Use NIS+ (NIS version 3)<br />
# nis Use NIS (NIS version 2), also called YP<br />
# dns Use DNS (Domain Name Service)<br />
# files Use the local files<br />
# db Use the local database (.db) files<br />
# compat Use NIS on compat mode<br />
# hesiod Use Hesiod for user lookups<br />
# [NOTFOUND=return] Stop searching if not found so far<br />
#<br />
<br />
# To use db, put the "db" in front of "files" for entries you want to be<br />
# looked up first in the databases<br />
#<br />
# Example:<br />
#passwd: db files nisplus nis<br />
#shadow: db files nisplus nis<br />
#group: db files nisplus nis<br />
<br />
passwd: files sss ldap<br />
shadow: files sss ldap<br />
group: files sss ldap<br />
#initgroups: files<br />
<br />
#hosts: db files nisplus nis dns<br />
hosts: files dns<br />
<br />
# Example - obey only what nisplus tells us...<br />
#services: nisplus [NOTFOUND=return] files<br />
#networks: nisplus [NOTFOUND=return] files<br />
#protocols: nisplus [NOTFOUND=return] files<br />
#rpc: nisplus [NOTFOUND=return] files<br />
#ethers: nisplus [NOTFOUND=return] files<br />
#netmasks: nisplus [NOTFOUND=return] files <br />
<br />
bootparams: nisplus [NOTFOUND=return] files<br />
<br />
ethers: files<br />
netmasks: files<br />
networks: files<br />
protocols: files<br />
rpc: files<br />
services: files sss<br />
<br />
netgroup: files sss ldap<br />
<br />
publickey: nisplus<br />
<br />
automount: files sss ldap<br />
aliases: files nisplus<br />
<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Далее, необходимо включить сервис <code>sssd</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# systemctl enable sssd<br />
ln -s '/usr/lib/systemd/system/sssd.service' '/etc/systemd/system/multi-user.target.wants/sssd.service'<br />
[root@vm-01 ~]# systemctl start sssd<br />
[root@vm-01 ~]# systemctl status -l sssd<br />
sssd.service - System Security Services Daemon<br />
Loaded: loaded (/usr/lib/systemd/system/sssd.service; enabled)<br />
Active: active (running) since Mon 2018-11-26 17:23:10 MSK; 5s ago<br />
Process: 1016 ExecStart=/usr/sbin/sssd -D -f (code=exited, status=0/SUCCESS)<br />
Main PID: 1017 (sssd)<br />
CGroup: /system.slice/sssd.service<br />
├─1017 /usr/sbin/sssd -D -f<br />
├─1018 /usr/libexec/sssd/sssd_be --domain LDAP --debug-to-files<br />
├─1019 /usr/libexec/sssd/sssd_nss --debug-to-files<br />
└─1020 /usr/libexec/sssd/sssd_pam --debug-to-files<br />
<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1017]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[be[1018]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1019]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab sssd[1020]: Starting up<br />
Nov 26 17:23:10 vm-01.virtual.lab systemd[1]: Started System Security Services Daemon.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2376
Auth krb
2018-11-26T13:14:17Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf</code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>:<br />
И за<br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2375
Auth krb
2018-11-26T13:13:53Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf<code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf</code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>:<br />
И за<br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2374
Auth krb
2018-11-26T13:13:20Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf<code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf<code>, ему необходимо присвоить права:<br />
<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>:<br />
И за<br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2373
Auth krb
2018-11-26T13:12:40Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf<code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf<code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>:<br />
И за<br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2372
Auth krb
2018-11-26T13:12:19Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>, однако, почему-то, после установки пакета <code>sssd-common</code>, конфигурационный файл <code>/etc/sssd/sssd.conf<code> сервиса <code>sssd</code> отсутствует, поэтому<br />
его надо сделать самостоятельно, по примерам из манов <code>sssd</code>, <code>sssd-ldap</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# cat /etc/sssd/sssd.conf <br />
[sssd]<br />
domains = LDAP<br />
services = nss, pam<br />
config_file_version = 2<br />
<br />
[nss]<br />
filter_groups = root<br />
filter_users = root<br />
<br />
[pam]<br />
<br />
[domain/LDAP]<br />
id_provider = ldap<br />
ldap_uri = ldap://kdc1.virtual.lab<br />
ldap_search_base = dc=virtual,dc=lab<br />
ldap_tls_reqcert = allow<br />
<br />
auth_provider = krb5<br />
krb5_server = kdc1.virtual.lab<br />
krb5_realm = VIRTUAL.LAB<br />
cache_credentials = false<br />
<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
После создания файла <code>/etc/sssd/sssd.conf<code>, ему необходимо присвоить права:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# chmod 600 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]# ls -lahi /etc/sssd/sssd.conf<br />
780266 -rw-------. 1 root root 379 Nov 26 17:04 /etc/sssd/sssd.conf<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>:<br />
И за<br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2371
Auth krb
2018-11-26T12:48:02Z
<p>Andy: /* Настройка аутентикации LDAP/Kerberos */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>. Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты<br />
с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# authconfig --enableldap --enableldapauth --ldapserver=kdc1.virtual.lab --ldapbasedn="dc=virtual,dc=lab" --enableldaptls --enablekrb5 --krb5adminserver=kdc1.virtual.lab --krb5realm=VIRTUAL.LAB --enablesssd --enablesssdauth --disablecachecreds --enablemkhomedir --test<br />
[root@vm-01 ~]# <br />
</syntaxhighlight><br />
Вводим команду и получаем следующий вывод:<br />
<syntaxhighlight lang="bash"><br />
caching is disabled<br />
nss_files is always enabled<br />
nss_compat is disabled<br />
nss_db is disabled<br />
nss_hesiod is disabled<br />
hesiod LHS = ""<br />
hesiod RHS = ""<br />
nss_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
nss_nis is disabled<br />
NIS server = ""<br />
NIS domain = ""<br />
nss_nisplus is disabled<br />
nss_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
Winbind template shell = "/bin/false"<br />
SMB idmap range = "16777216-33554431"<br />
nss_sss is enabled by default<br />
nss_wins is disabled<br />
nss_mdns4_minimal is disabled<br />
DNS preference over NSS or WINS is disabled<br />
pam_unix is always enabled<br />
shadow passwords are enabled<br />
password hashing algorithm is sha512<br />
pam_krb5 is enabled<br />
krb5 realm = "VIRTUAL.LAB"<br />
krb5 realm via dns is disabled<br />
krb5 kdc = ""<br />
krb5 kdc via dns is disabled<br />
krb5 admin server = "kdc1.virtual.lab"<br />
pam_ldap is enabled<br />
LDAP+TLS is enabled<br />
LDAP server = "kdc1.virtual.lab"<br />
LDAP base DN = "dc=virtual,dc=lab"<br />
LDAP schema = "rfc2307"<br />
pam_pkcs11 is disabled<br />
use only smartcard for login is disabled<br />
smartcard module = ""<br />
smartcard removal action = ""<br />
pam_fprintd is disabled<br />
pam_ecryptfs is disabled<br />
pam_winbind is disabled<br />
SMB workgroup = ""<br />
SMB servers = ""<br />
SMB security = "user"<br />
SMB realm = ""<br />
pam_sss is enabled by default<br />
credential caching in SSSD is disabled<br />
SSSD use instead of legacy services if possible is enabled<br />
IPAv2 is disabled<br />
IPAv2 domain was not joined<br />
IPAv2 server = ""<br />
IPAv2 realm = ""<br />
IPAv2 domain = ""<br />
pam_pwquality is enabled (try_first_pass local_users_only retry=3 authtok_type=)<br />
pam_passwdqc is disabled ()<br />
pam_access is disabled ()<br />
pam_mkhomedir or pam_oddjob_mkhomedir is enabled (umask=0077)<br />
Always authorize local users is enabled ()<br />
Authenticate system accounts against network services is disabled<br />
</syntaxhighlight><br />
Если введенная информация верна, то можно заменить ключ <code>--test</code> на ключ <code>--update</code>:<br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2370
Auth krb
2018-11-26T12:40:11Z
<p>Andy: </p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
Заодно проверим записи о нашем LDAP/Kerberos сервере:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# dig vm-03.virtual.lab +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-03.virtual.lab +noall +answer<br />
;; global options: +cmd<br />
vm-03.virtual.lab. 3600 IN CNAME kdc1.virtual.lab.<br />
kdc1.virtual.lab. 3600 IN A 192.168.10.10<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Настройка аутентикации LDAP/Kerberos ==<br />
Аутентикации будет происходит посредством демона <code>SSSD</code>. Для конфигурации аутентикации в LDAP будем использовать утилиту <code>authconfig</code>. Вывод утилиты<br />
с ключом <code>--help</code> обширный, поэтому ключи будем вводить сверху вниз:<br />
<syntaxhighlight lang="bash"><br />
<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2369
Auth krb
2018-11-26T12:33:30Z
<p>Andy: /* Предварительная настройка сетевых интерфейсов на виртуальных машинах */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная проверка настроек на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2368
Auth krb
2018-11-26T12:25:15Z
<p>Andy: </p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code>, <code>openldap-clients</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная настройка сетевых интерфейсов на виртуальных машинах ==<br />
Сначала стоит проверить прямую и обратную записи нашего клиента:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# hostnamectl <br />
Static hostname: vm-01.virtual.lab<br />
Icon name: computer<br />
Chassis: n/a<br />
Machine ID: dae7e96c98de7f40aeb335bcaf3e35c2<br />
Boot ID: 36ea0ee3d744490e897c7f595bb98978<br />
Virtualization: kvm<br />
Operating System: Red Hat Enterprise Linux Server 7.0 (Maipo)<br />
CPE OS Name: cpe:/o:redhat:enterprise_linux:7.0:GA:server<br />
Kernel: Linux 3.10.0-123.el7.x86_64<br />
Architecture: x86_64<br />
[root@vm-01 ~]# dig vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> vm-01.virtual.lab @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
vm-01.virtual.lab. 3600 IN A 192.168.10.8<br />
[root@vm-01 ~]# dig -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
<br />
; <<>> DiG 9.9.4-RedHat-9.9.4-14.el7 <<>> -x 192.168.10.8 @192.168.10.10 +noall +answer<br />
;; global options: +cmd<br />
8.10.168.192.in-addr.arpa. 3600 IN PTR vm-01.virtual.lab.<br />
[root@vm-01 ~]#<br />
</syntaxhighlight><br />
<br />
Далее, следует убедиться, что LDAP сервер настроен и отдает пользователей/группы:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# ldapsearch -LLL -H ldap://vm-03.virtual.lab -D "cn=admin,dc=virtual,dc=lab" -b "dc=virtual,dc=lab" -W "(uid=randy)"<br />
Enter LDAP Password: <br />
dn: uid=randy,ou=users,dc=virtual,dc=lab<br />
displayName: Randall Clark<br />
uid: randy<br />
objectClass: inetOrgPerson<br />
objectClass: organizationalPerson<br />
objectClass: person<br />
objectClass: posixAccount<br />
objectClass: top<br />
loginShell: /bin/bash<br />
userPassword:: e1NTSEF9aGdmWlNsUTlUb3g1NHVpM3lrV3FVMEo1S1hUd0s4amg=<br />
uidNumber: 10002<br />
gidNumber: 10000<br />
sn: Clark<br />
homeDirectory: /home/randy<br />
mail: rclark@virtual.lab<br />
givenName: Randall<br />
cn: randy<br />
<br />
[root@vm-01 ~]<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2367
Auth krb
2018-11-26T11:57:25Z
<p>Andy: /* Предварительные требования */</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code><br />
* Установленный и настроенный сервис точного времени<br />
* Наличие прямой и обратной записи клиента и kerberos сервера в DNS.<br />
<br />
== Предварительная настройка сетевых интерфейсов на виртуальных машинах ==<br />
==== Настройка параметров ядра ====<br />
<br />
<syntaxhighlight lang="bash"><br />
<br />
</syntaxhighlight><br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Auth_krb&diff=2366
Auth krb
2018-11-26T11:35:12Z
<p>Andy: Новая страница: «== Настройка аутентикации Kerberos == ==== Предварительные требования ==== * Две виртуальная маши…»</p>
<hr />
<div>== Настройка аутентикации Kerberos ==<br />
<br />
==== Предварительные требования ====<br />
* Две виртуальная машины с двумя сетевыми интерфейсами в каждой<br />
* Установленные пакеты: <code>bash-completion</code>, <code>pam_krb5</code>, <code>nss-pam-ldapd</code>, <code>sssd-ldap</code>, <code>sssd</code>, <code>sssd-krb5</code>, <code>sssd-krb5-common</code>, <code>sssd-client</code>, <code>oddjob</code>, <code>oddjob-mkhomedir</code><br />
* Установленный и настроенный сервис точного времени<br />
<br />
== Предварительная настройка сетевых интерфейсов на виртуальных машинах ==<br />
==== Настройка параметров ядра ====<br />
<br />
<syntaxhighlight lang="bash"><br />
<br />
</syntaxhighlight><br />
== Ссылки ==<br />
[https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/networking_guide/sec-editing_network_configuration_files Редакирование конфигурационных файлов сети]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2365
Rhcsa-rhce-playbook
2018-11-20T07:11:01Z
<p>Andy: /* Дальнейшие действия */</p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
<br />
=== Дальнейшие действия ===<br />
После разворачивания виртуальных машин, необходимо информацию о них занести в DNS, на сервере <code>vm-03</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-03 ~]# cat /var/named/zone/virtual.lab <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
@ IN NS kdc1.virtual.lab.<br />
<br />
; Our services<br />
_kerberos._tcp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos._udp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos-adm._tcp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos-adm._udp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos_master._udp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kerberos_master._tcp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kpasswd._udp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab.<br />
_kpasswd._tcp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab. <br />
_ldap._udp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
_ldap._tcp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
<br />
<br />
kdc1 IN A 192.168.10.10<br />
vm-03 IN CNAME kdc1<br />
ns1 IN CNAME kdc1<br />
<br />
vm-01 IN A 192.168.10.8<br />
vm-01 IN A 192.168.10.9<br />
[root@vm-03 ~]# cat /var/named/addr.arpa/10.168.192.in-addr.arpa <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
IN NS kdc1.virtual.lab.<br />
<br />
8 IN PTR vm-01.virtual.lab.<br />
9 IN PTR vm-02.virtual.lab.<br />
10 IN PTR kdc1.virtual.lab.<br />
[root@vm-03 ~]#<br />
</syntaxhighlight><br />
<br />
На виртуальных машинах нужно прописать адрес DNS из внутренней сети:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth1 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.ignore-auto-dns yes<br />
[root@vm-02 ~]# systemctl restart NetworkManager<br />
[root@vm-02 ~]# cat /etc/resolv.conf <br />
# Generated by NetworkManager<br />
search virtual.lab<br />
nameserver 192.168.10.10<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2364
Rhcsa-rhce-playbook
2018-11-20T07:06:31Z
<p>Andy: /* Дальнейшие действия */</p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
<br />
=== Дальнейшие действия ===<br />
После разворачивания виртуальных машин, необходимо информацию о них занести в DNS, на сервере <code>vm-03</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-03 ~]# cat /var/named/zone/virtual.lab <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
201811i2000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
@ IN NS kdc1.virtual.lab.<br />
<br />
; Our services<br />
_kerberos._tcp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos._udp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos-adm._tcp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos-adm._udp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos_master._udp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kerberos_master._tcp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kpasswd._udp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab.<br />
_kpasswd._tcp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab. <br />
_ldap._udp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
_ldap._tcp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
<br />
<br />
kdc1 IN A 192.168.10.10<br />
vm-03 IN CNAME kdc1<br />
ns1 IN CNAME kdc1<br />
<br />
vm-01 IN A 192.168.10.8<br />
vm-01 IN A 192.168.10.9<br />
[root@vm-03 ~]# cat /var/named/addr.arpa/10.168.192.in-addr.arpa <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
IN NS kdc1.virtual.lab.<br />
<br />
8 IN PTR vm-01.virtual.lab.<br />
9 IN PTR vm-02.virtual.lab.<br />
10 IN PTR kdc1.virtual.lab.<br />
[root@vm-03 ~]#<br />
</syntaxhighlight><br />
<br />
На виртуальных машинах нужно прописать адрес DNS из внутренней сети:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth1 ipv4.dns 192.168.10.10<br />
[root@vm-02 ~]# nmcli connection modify eth0 ipv4.ignore-auto-dns yes<br />
[root@vm-02 ~]# systemctl restart NetworkManager<br />
[root@vm-02 ~]# cat /etc/resolv.conf <br />
# Generated by NetworkManager<br />
search virtual.lab<br />
nameserver 192.168.10.10<br />
[root@vm-02 ~]#<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2363
Rhcsa-rhce-playbook
2018-11-20T07:04:23Z
<p>Andy: </p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
<br />
=== Дальнейшие действия ===<br />
После разворачивания виртуальных машин, необходимо информацию о них занести в DNS, на сервере <code>vm-03</code>:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-03 ~]# cat /var/named/zone/virtual.lab <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
201811i2000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
@ IN NS kdc1.virtual.lab.<br />
<br />
; Our services<br />
_kerberos._tcp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos._udp.virtual.lab. IN SRV 0 0 88 kdc1.virtual.lab.<br />
_kerberos-adm._tcp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos-adm._udp.virtual.lab. IN SRV 0 0 749 kdc1.virtual.lab.<br />
_kerberos_master._udp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kerberos_master._tcp.virtual.lab. IN SRV 0 0 751 kdc1.virtual.lab.<br />
_kpasswd._udp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab.<br />
_kpasswd._tcp.virtual.lab. IN SRV 0 0 464 kdc1.virtual.lab. <br />
_ldap._udp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
_ldap._tcp.virtual.lab. IN SRV 0 0 389 kdc1.virtual.lab.<br />
<br />
<br />
kdc1 IN A 192.168.10.10<br />
vm-03 IN CNAME kdc1<br />
ns1 IN CNAME kdc1<br />
<br />
vm-01 IN A 192.168.10.8<br />
vm-01 IN A 192.168.10.9<br />
[root@vm-03 ~]# cat /var/named/addr.arpa/10.168.192.in-addr.arpa <br />
$TTL 3600<br />
@ IN SOA kdc1.virtual.lab. admin.virtual.lab. (<br />
2018112000<br />
604800 ; Refresh<br />
86400 ; Retry<br />
2419200 ; Expire<br />
3600 ) ; Negative Cache TTL<br />
;<br />
IN NS kdc1.virtual.lab.<br />
<br />
8 IN PTR vm-01.virtual.lab.<br />
9 IN PTR vm-02.virtual.lab.<br />
10 IN PTR kdc1.virtual.lab.<br />
[root@vm-03 ~]#<br />
</syntaxhighlight><br />
<br />
На виртуальных машинах нужно прописать адрес DNS из внутренней сети:<br />
<syntaxhighlight lang="bash"><br />
[root@vm-01 ~]# nmcli connection modify eth0 ipv4.dns 192.168.10.10<br />
[root@vm-01 ~]# nmcli connection modify eth1 ipv4.dns 192.168.10.10<br />
[root@vm-01 ~]# nmcli connection modify eth0 ipv4.ignore-auto-dns yes<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2362
Rhcsa-rhce-playbook
2018-11-20T06:49:04Z
<p>Andy: </p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
<br />
=== Дальнейшие действия ===<br />
После разворачивания виртуальных машин, необходимо информацию о них занести в DNS, на сервере <code>vm-03</code>:<br />
<br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2361
Rhcsa-rhce-playbook
2018-11-15T07:52:17Z
<p>Andy: /* Сервер */</p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
Утилита <code>string2hex.pl</code> служит для создания файла <code>service.keyfile</code> и вызывается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
$ ./string2hex.pl -s cn=krbadmin,ou=users,dc=virtual,dc=lab -p test1234<br />
cn=krbadmin,ou=users,dc=virtual,dc=lab#{HEX}7465737431323334<br />
$<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]</div>
Andy
http://wiki.ipnp.su/index.php?title=Rhcsa-rhce-playbook&diff=2360
Rhcsa-rhce-playbook
2018-11-14T11:08:23Z
<p>Andy: </p>
<hr />
<div>== Ansible playbook для подготовки к экзаменам RHCSA/RHCE (EX200/EX300) ==<br />
<br />
=== Общая информация ===<br />
Плейбук разворачивает окружение для подготовки к экзамену RHCSA-RHCE (EX200/EX300). Пользователь, который <br />
разворачивает плейбук должен иметь доступ к локальной машине по протоколу <code>ssh</code><br />
* <code>Domain: virual.lab</code><br />
* <code>Network: 192.168.10.0/24</code><br />
Предполагается, что пользовательские виртуальные машины носят название: и <code>vm-02</code>, <br />
сервер называется <code>vm-03</code> и необходим для работы DNS, LDAP и предоставления тестовых пользователей. <br />
Все задачи по выполнению экзамена происходят на пользовательских виртуальных машинах.<br />
Предполагается следующая адресация:<br />
* <code>vm-01 - 192.168.10.8</code><br />
* <code>vm-02 - 192.168.10.9</code><br />
* <code>vm-03 - 192.168.10.10</code><br />
<br />
=== Пользовательские машины ===<br />
<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Установленные пакеты в виртуальных машинах: <code>nfs-utils</code>, <code>krb5-workstation</code><br />
* пароль <code>root</code> - <code>test1234</code><br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_vm.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=9 vmname=vm-02 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso username=andy'<br />
</syntaxhighlight><br />
При запуске обязательно следует передавать параметры:<br />
* <code>lastoctet</code> - число присваивается последнему октету внутренней сети<br />
* <code>vmname</code> - имя виртуальной машины<br />
* <code>vmname</code> - путь к iso файлу, с образом RHEL7. <br />
Использовать именно RHEL7 именно версии 7.0, не обязательно, можно взять и версию 7.x, либо какую-нибудь СentOS7.x, однако, из-за обновления некоторых программ, возможно иное поведение, отличное от старых версий.<br />
Например, <code>NetworkManager</code> в RHEL/CentOS 7.1 и выше знает про опцию <code>ipv4.gateway</code>, в версии 7.0 она прописывается после опции <code>ipv4.adresses</code> через пробел. Так же, <code>firewalld</code> в версии <br />
RHEL/CentOS 7.1 и выше имеет большее количество шаблонов сервисов. Например:<br /><br />
Версия 7.0<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
Red Hat Enterprise Linux Server release 7.0 (Maipo)<br />
# firewall-cmd --get-services<br />
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https<br />
</syntaxhighlight><br />
Версия 7.5<br />
<syntaxhighlight lang="bash"><br />
# cat /etc/redhat-release <br />
CentOS Linux release 7.5.1804 (Core) <br />
# firewall-cmd --get-services<br />
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nfs3 nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server<br />
</syntaxhighlight><br />
<br />
=== Сервер ===<br />
* Виртуальная машина с двумя сетевыми интерфейсами, двумя жесткими дисками<br />
* Учетные записи:<br />
1. SSH<br /><br />
<code>root/test1234</code><br /><br />
2. LDAP<br /><br />
<code>cn=admin,dc=virtual,dc=lab/123321</code><br /><br />
<code>cn=lisa,ou=users,dc=virtual,dc=lab/elizabeth1</code><br /><br />
<code>cn=mary,ou=users,dc=virtual,dc=lab/maria1</code><br /><br />
<code>cn=randy,ou=users,dc=virtual,dc=lab/randy1</code><br /><br />
3. Kerberos<br /><br />
<code>krbadmin/test1234</code><br /><br />
<br />
<br />
Машина разворачивается следующим образом:<br />
<syntaxhighlight lang="bash"><br />
ansible-playbook -v /home/andy/tmp/rhcsa-rhce/deploy_srv.yml -i /home/andy/tmp/rhcsa-rhce/inventories/localhost/hosts -u andy -k --become-method=su -K -e 'lastoctet=10 vmname=vm-03 isopath=/home/andy/Downloads/RHEL7/rhel-server-7.0-x86_64-dvd.iso playbookpath=/home/andy/tmp/rhcsa-rhce/ username=andy'<br />
</syntaxhighlight><br />
<br />
== Ссылки ==<br />
[https://docs.ansible.com Документация для Ansible]<br /><br />
[https://natenka.gitbooks.io/ansible-dlya-setevih-inzhenerov/content/ Ansible для сетевых инженеров]</div>
Andy