View source for Configuratie van applicaties

=== Basale infrastructuur ===
==== ntp ====
Uwork heeft in haar opzet voor de machines een onderverdeling gemaakt in ntp servers en ntp clients. De virtuele servers zijn gebouwd op basis van xen. Virtuele xen machines ontleden hun klok informatie aan de fysieke machine waarop ze zijn gebouwd.
Ntp servers zijn altijd fysieke machines, de rollen zijn verdeeld:
* ntp servers die de tijd van externe ntp-servers halen;
* ntp servers die de tijd van interne ntp-servers halen.

servers: ntp0.nl.net swisstime.ee.ethz.ch ntp0-rz.rrze.uni-erlangen.de

ntpdate synchroniseert de clock, twee keer uitvoeren

ntpdate -b pool.ntp.org

ntpq -pn

Als de clock goed staat, de hardwareclock zetten

hwclock --systohc --utc

==== bind ====
==== subversion ====
NameVirtualHost *:443
<VirtualHost *:443>

  ServerName svn.uwork.nl
  ServerAlias www.svn.uwork.nl
  ServerAdmin martin@webhuis.nl
  DocumentRoot /var/www/svn.uwork.nl
  ErrorLog /var/log/apache2/svn.uwork.nl-error.log
  TransferLog /var/log/apache2/svn.uwork.nl-access.log

    SSLProxyEngine on
    SSLEngine on
    SSLProtocol all -SSLv2
    SSLCertificateFile /etc/apache2/ssl/svn.uwork.nl.cert.pem
    SSLCertificateKeyFile /etc/apache2/ssl/svn.uwork.nl.key-nopw.pem
    SSLCACertificateFile /etc/apache2/ssl/cacert.pem

    <Location "/virtualisatie">
        DAV svn
        SVNPath /var/lib/svn/virtualisatie
        AuthType Basic

        AuthName "Subversion repository"
        AuthUserFile /etc/apache2/dav_svn.passwd

        require valid-user
    </Location>

</VirtualHost>
http://wiki.webhuis.nl/mediawiki/index.php/HowTo%27s#subversion
==== cfengine ====
==== dhcp ====
 apt-get install dhcp3-server

===== dhcpd.conf =====
 ddns-update-style none;

 option domain-name "uwork.nl";
 option domain-name-servers 10.x.y.z 10.x1.x2.z2;

 default-lease-time 600;
 max-lease-time 7200;
 lease-file-name "/var/cache/dhcpd/dhcp.leases";

 authoritative;

 log-facility local7;

 subnet 10.x.y.0 netmask 255.255.255.224 {
  range 10.x.y.10 10.x.y.30;
  option routers 10.x.y.1;

Let op:
Maak bij configuratie het bestand "/var/cache/dhcpd/dhcp.leases" aan (de server stopt als het bestand ontbreekt).
===== dhcp3.server =====
Specificeer in geval van een machine met meerdere netwerkkaarten de netwerkkaarten waarop de server luistert.
 INTERFACES="eth1"

=== VPN router ===
 apt-get install openssl racoon ipsec-tools

Kies bij de racoon configuratie voor de optie "direct".
==== Roadwarrior ====
Om racoonctl te laten werken:
 ln -s /var/racoon/racoon.sock /var/run/
 ln -s /var/racoon/racoon.sock /var/run/racoon/

commando:
 racoonctl vc -u user <ip adres>
 racoonctl vd <ip adres>

=== DNS complex master slaves (etch) ===
Voorlopige plek voor configuratie virtuele servers
 apt-get install apache2 php5-mysql libapache2-mod-php5 phpmyadmin mysql-server pdns-backend-mysql zip unzip bzip2 lynx arj
 php-pear php5-dev php-http php-db php-auth pdns-doc

pdnsadmin komt van een andere bron

libapache2-mod-php5 php5-mysql
 php-pear php5-dev php-http php-db php-auth
php5-mysql

=== Samba LDAP ===
Voor elke samba ldap server:
 apt-get install libpam-ldap libnss-ldap libpam-cracklib samba smbldap-tools db4.5-util smbclient slapd phpldapadmin
                 mc ldap-utils cupsys subversion openssl

De samba ldap master heeft de winbindd daemon nodig voor netbios name resolution:
 apt-get install winbind

==== Printen ====
Netwerk printen is een van de meest gecompliceerde en foutgevoelige dagelijkse taken waar gebruikers en beheerders mee te maken hebben. Je kunt een printer eenvoudig op een computer installeren, maar dat maakt het beheer lastig.
De mooiste methode is een printer share aanmaken op de server. De werkplek computer installeert dan de voor geïnstalleerde printer van de Server.
De Uwork Kantoor Server maakt gebruik van de “driver download” methode, die gebruik maakt van geïnstalleerde en geconfigureerde stuurprogramma's op de server. De methode bestaat uit vier stappen:
# Installeer de printer op de Server met Cups, voor elke printer;
# Zorg voor de Cups drivers op de Linux Server, voor de eerst geïnstalleerde printer;
# Maak een Samba printer van de Cups printer, voor elke printer / print queue;
# Maak de printer als Domain Administrator beschikbaar, voor elke print share.
Werkwijze:
===== cups =====
ad 1.           Cups printer installeren
In de browser: http://10.10.10.11:631
Voer de dialoog uit bij printer toevoegen, de queue naam is de share naam.

ad 2.           Zorg voor bijbehorende drivers in /usr/share/cups/drivers

ad 2.1.         De eerst geïnstalleerde printer op de Server

* de Negen bestanden
* ppd driver met naam van de queue
* doen als root.
* met -H netbiosname

uitvoeren met -H netbiosname


in /home/user staat:
 user@prod:~$ ls al
 rwrr 1 martin martin 38284 20070206 20:25 cupswindows6.0ource.tar.bz2
Dit bestand bevat de benodigde drivers uitgepakt in de directory cupswindows6.0/i386.
 user@prod:~/cupswindows6.0/i386$ ls al
 rwrr  1 martin martin   803 20050617 23:09 cups6.infr
 rwrr  1 martin martin    72 20050617 23:09 cups6.ini
 rwrr  1 martin martin  9529 20050617 23:09 cups6.ppd
 rwrr  1 martin martin 12568 20050617 23:09 cupsps6.dll
 rwrr  1 martin martin 13672 20050617 23:09 cupsui6.dll

Kopieer deze bestanden naar /usr/share/cups/drivers.
====== cups-samba ======
CUPS users may get the exact same package from <http://www.cups.org/ software.html>.
It is a separate package from the CUPS-based software ﬁles, tagged as CUPS 1.1.x Windows NT/200x/XP Printer Driver for Samba (tar.gz, 192k).
The ﬁlename to download is cups-samba-1.1.x.tar.gz. Upon untar and unzipping, it will reveal these ﬁles:
 root# tar xvzf cups-samba-1.1.19.tar.gz
 cups-samba.install
 cups-samba.license
 cups-samba.readme
 cups-samba.remove
 cups-samba.ss
These have been packaged with the ESP meta-packager software EPM. The * .install and *.remove ﬁles are simple shell scripts, which untar the *.ss (the *.ss is nothing else but a tar archive, which can be untarred by “tar” too). Then it puts the content into /usr/share/cups/drivers/.
This content includes three ﬁles:
 root# tar tv cups-samba.ss
 cupsdrvr.dll
 cupsui.dll
 cups.hlp
The cups-samba.install shell scripts are easy to handle:
 root# ./cups-samba.install
 [....] Installing software...
 Updating file permissions...
 Running post-install commands...
 Installation is complete.
The script should automatically put the driver ﬁles into the /usr/share/ cups/drivers/ directory:
 root# cp /usr/share/drivers/cups.hlp /usr/share/cups/drivers/

cupsaddsmb op een Samba PDC
cupsaddsmb -U CIRQUEST\\root -H cirq-m.cirquest.nl -h 10.10.75.11:631 -v irc2880

===== De Windows XP driver vinden =====
Zorg voor het bij de printer behorende ppdbestand. Vaak staat dit bestand al in de directorytree 
/usr/share/cups/model.

===== Samba printer maken =====
ad 3.           Samba printer maken met cupsaddsmb
 prod:~#    cupsaddsmb U Administrator v prsbg
ad 4.           Printer beschikbaar stellen met Domain Administrator
# Login als Domain Administrator en voer de wizard “add printer” uit;
# Controleer de instellingen en bewaar de instellingen;
# Print test pagina.

=== Mailbox limiet voor Squirrelmail ===
The values can be set in bytes (1,048,576 per MB) or they can be set by MB by appending the value with an "M", i.e. 8M.

To upload large files, post_max_size must be larger than upload_max_filesize. If memory limit is enabled by configure script, memory_limit also affects file uploading. Generally speaking, memory_limit should be larger than post_max_size.

=== openssh server ===
Security vereist ssh toegang op basis van PKI.

Aanpassen /etc/ssh/sshd_config

 PermitRootLogin no
 PasswordAuthentication no

Firewall opzet voor ssh tegen brute force atacks:
 #!/bin/sh
 #
 #       Variabelen en interfaces
 
 IPTABLES="/sbin/iptables"
 ext="eth0"
 int="eth1" 
 
 #       Beperk de toegang tot de externe interface (ext)
 #
 lijst="D A"
 for i in $lijst ; do
   $IPTABLES -${i} INPUT -i ${int} -p tcp --dport 22 -j ACCEPT ;
 
   $IPTABLES -${i} INPUT -i ${ext} -p tcp --dport 22 -m recent --update --seconds 600 --hitcount 7 --name SSH -j DROP ;
   $IPTABLES -${i} INPUT -i ${ext} -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH -j ACCEPT ;
 
   $IPTABLES -${i} OUTPUT -p tcp --sport 22 -j ACCEPT ;
 done

Door de rules eerst te verwijderen en daarna weer op te voeren is het script bruikbaar in combinatie met andere firewall scripts

Tonen van de geregistreerde IP-adressen
 user@prod:~$ cat /proc/net/ipt_recent/SSH

Flushen van de geregistreerde IP-adressen
 user@prod:~$ echo clear > /proc/net/ipt_recent/SSH
=== OS Financials ===

=== SugarCRM ===

Customer relationship Management met behulp van SugarCRM community edtion.

Een goede handleiding is te vinden op:
http://www.sugarcrm.com/wiki/index.php?title=Installation

Genereer een standaard virtuele server, met twee bijzonderheden:
- Intern geheugen 1 Gb;
- swap partitie 1gb.

 apt-get install apache2 mysql-server php5

Let op:
Deze moet, maar gaat niet automatisch:
 apt-get install php5-mysql

Vervolgens haal je de CRM applicatie op.

 wget http://www.sugarforge.org/frs/download.php/5252/SugarCE-5.2.0c.zip

De installatie bestaat uit het uitpakken van het bestand in de directory voor de webserver en er vervolgens met de browser naartoe te gaan.
==== IMAP ====
IMAP doet het pas na installatie van:
 apt-get install php5-imap
De library doet het pas na
 apt-get install libc-client2007b
 libc-client2007b is already the newest version.           
 libc-client2007b set to manually installed.
 dpkg -i /var/cache/apt/archives/libc-client2007b_7%3a2007b~dfsg-4+lenny3_amd64.deb
==== Diversen ====
Verbergen waarschuwing upgrade.

Pas aan in config_override.php in de root van de sugarcrm installatie:
 $sugar_config['admin_access_control'] = true;

Let op:
Deze fijne optie doet tevens een disable van de Module Builder!

==== Taal module ====
De taalmodules zijn versie afhankelijk. Het activeren van een taalmodule gaat via admin modules.
 http://www.sugarcrm.com/wiki/index.php?title=How_to_use_the_Module_Loader_to_add_a_new_theme_or_language_pack
==== Upgrade nieuwe release ====
===== 5.1 5.2 =====
 http://www.sugarforge.org/frs/download.php/6106/SugarCE-Upgrade-5.1.0-to-5.2.0k.zip
 http://www.sugarforge.org/frs/download.php/4973/Sugar_Upgrade_Guide_5.2.pdf

=== Xen dom0 voor Windows VM's ===
Xen-config voor initiele installatie en xen-config voor voorgebakken Windows install.
==== Voordat je aan de virtuele Windows installatie begint ====
Bepaal het IP adres van de virtuele machine en beperk de toegang op de firewall tot het lokale netwerk:
    iptables -A FORWARD -i eth0 -o eth1 -s ! 10.0.0.0/8 -d $ip_domU -j DROP
    iptables -A INPUT -i eth0 -s ! 10.0.0.0/8 -d $ip_domU -j DROP
    iptables -A OUTPUT -o eth0 -s $ip_domU -d ! 10.0.0.0/8 -j DROP

NB:
De installatie mag pas starten nadat de configuratie op de firewall is doorgevoerd en getest. De virtuele machine gaat anders ongecontroleerd op Internet met blijvende gevolgen.

Pas het script qemu-ifup aan zodat de laatste regel luidt:
 brctl addif $2 $1 || true
==== Windows 2008 VM ====
===== Opzet =====
Gevirtualiseerde Windows XP in het netwerk voor remote toegang met RDP. De beschrijving is voor de 8G variant de 4G variant verloopt analoog.
===== Uitwerking vanaf installatie cd =====
Voorbereiding installatie:
Maak een iso van de installatie cd

Installatie configuratie
 #
 #       Windows 2008 Xen install configuratie
 #
 kernel = '/usr/lib/xen/boot/hvmloader'
 builder = 'hvm'
 memory = '512'
 cpus = '0,1'
 device_model = '/usr/lib/xen/bin/qemu-dm'
 
 disk    = [ 'phy:/dev/dev-xen/w2008-disk,ioemu:hda,w' ,
          'file:/mnt/SW_DVD5_Windows_Svr_DC_Ent_Std_2008_Dutch_32bit_MLF_X14-26790.ISO,ioemu:hdc:cdrom,r' ]

 device_model = '/usr/lib/xen/bin/qemu-dm'

 # Hostname
 name = 'win2008-01'
 
 # Networking
 vif = ['type=ioemu, bridge=xenbr0,ip=10.x.y.z']
 
 # Behaviour
 boot='d'
 vnc=1
 vncviewer=1
 vnclisten= "0.0.0.0"
 sdl=0
 guest_os_type='windows'

Installatie van de standaard iso:
 # lvcreate -L 20G -n w2008.img dev-xen
 # dd if=/dev/zero of=/dev/dev-xen/w2008.img bs=1M count=21480
 # apt-get install nfs-common
 # mount -t nfs staging.uwork.nl:/var/local/staging/msoft /mnt

Start de configuratie met:
 # xm create /etc/xen/winxp-8g-install.cfg
Start vncviewer op de dom0

Configuratiestappen op de Windows machine:
* Selecteer de partitie en gebruik deze
* Na de herstart:
* Lokale op Dutch zetten en de tijdzone op Amsterdam
* Geen registratie
* Geen Domain aanmelding kiezen.
Sluit af en kopieer het filesystem naar een veilige centrale plek. Je hebt nu een cleane base install van Windows. Het is de moeite waarde om een backup te maken van dit file systeem afgesloten en wel om daar later op terug te kunnen vallen.

===== Uitrollen voor gebruik =====
Bepaal het IP adres van de virtuele machine en beperk de toegang op de firewall tot het lokale netwerk:

NB:
De installatie mag pas starten nadat de configuratie op de firewall is doorgevoerd en getest. De virtuele machine gaat anders ongecontroleerd op Internet met blijvende gevolgen.
 #
 #       Windows XP Xen install configuratie
 #
 kernel = '/usr/lib/xen/boot/hvmloader'
 builder = 'hvm'
 memory = '512'
 cpus = '0,1'
 device_model='/usr/lib/xen/bin/qemu-dm'
 # Disks
 disk = [ 'file:/var/lib/xen/domains/winxp/rdp-04.img,ioemu:hda,w' ,  'phy:/dev/dev-xen/dvd.iso,ioemu:hdc:cdrom,r' ]
 # Hostname
 name = 'rdp-x'
 # Networking
 vif = ['type=ioemu, bridge=xenbr0,mac=00:16:3e:53:1a:7a,ip=10.x.y.z']
 # Behaviour
 boot='c'
 vnc=1
 vncviewer=1
 vnclisten= "0.0.0.0"
 sdl=0
kopieer winxp-8g.img naar /dev/dev-xen/winxp.img
 # dd if=/mnt/testuser/winxp-8g.img of=/dev/dev-xen/winxp.img

Wijzig alle occurrences in winxp-8g.cfg van winxp-8g naar rdp-<volgnummer>
Sloop de cdrom entry eruit.

 xm create /etc/xen/rdp-<volgnummer>.cfg
 Start vncviewer op de dom0
 Naam van de computer naar rdp-<volgnummer>
 Varander in een keer zonder reboot:
 Join Domain
 Remote Access: <Domain>\Domain Users

N.B.
Virtuele windozen buiten het subnet van de authenticerende bdc hebben het IP adres van de wins server nodig.

Daarna Reboot en start nieuwe sessie met rdesktop (duurt even, windows he ;-)) ).

===== ToDo =====
Imagen van XP met:
- SP3 in de installatie cd verwerkt;
- Mogelijkheid tot drie concurrent RDP gebruikers in de configuratie.

==== Windows XP VM ====
===== Opzet =====
Gevirtualiseerde Windows XP in het netwerk voor remote toegang met RDP. De beschrijving is voor de 8G variant de 4G variant verloopt analoog.
Er bestaan twee types installatie:
* Uitrollen van een preconfigured Windows XP
* Maagdelijke installatie vanaf iso-image

===== Uitwerking =====
Voorbereiding installatie:

Maak een iso van de installatie cd

Installatie van de standaard iso:

Maak een filesystem aan op dom0 voor de virtuele machine
dd if=/dev/zero of=/var/lib/xen/domains/winxp/rdp-<volgnummer>.img bs=1M count=8192

Bepaal het IP adres van de virtuele machine en beperk de toegang op de firewall tot het lokale netwerk:
    iptables -A FORWARD -i eth0 -o eth1 -s ! 10.0.0.0/8 -d $ip_domU -j DROP
    iptables -A INPUT -i eth0 -s ! 10.0.0.0/8 -d $ip_domU -j DROP
    iptables -A OUTPUT -o eth0 -s $ip_domU -d ! 10.0.0.0/8 -j DROP

NB:
De installatie mag pas starten nadat de configuratie op de firewall is doorgevoerd en getest. De virtuele machine gaat anders ongecontroleerd op Internet met blijvende gevolgen.

Pas het script qemu-ifup aan zodat de laatste regel luidt:
 brctl addif $2 $1 || true

Start de configuratie met:
xm create /etc/xen/winxp-8g-install.cfg
Start vncviewer op de dom0

Configuratie:
Selecteer de partitie en gebruik deze
Na de herstart:
Lokale op Dutch zetten en de tijdzone op Amsterdam
Geen registratie
Geen Domain aanmelding kiezen.

Sluit af en kopieer het filesystem naar een veilige centrale plek.

Uitrollen voor gebruik:
Bepaal het IP adres van de virtuele machine en beperk de toegang op de firewall tot het lokale netwerk:

NB:
De installatie mag pas starten nadat de configuratie op de firewall is doorgevoerd en getest. De virtuele machine gaat anders ongecontroleerd op Internet met blijvende gevolgen.

kopieer winxp-8g.img naar /var/lib/xen/domains/winxp/rdp-<volgnummer>.img
dom0:/var/lib/xen/domains/winxp# wget --no-check-certificate https://svn.webhuis.nl/sources/winxp-8g.img -O rdp-<volgnummer>.img

Wijzig alle occurrences in winxp-8g.cfg van winxp-8g naar rdp-<volgnummer>
Sloop de cdrom entry eruit.

xm create /etc/xen/rdp-<volgnummer>.cfg
Start vncviewer op de dom0
Naam van de computer naar rdp-<volgnummer>
Varander in een keer zonder reboot:
Join Domain
Remote Access: <Domain>\Domain Users

N.B.
Virtuele windozen buiten het subnet van de authenticerende bdc hebben het IP adres van de wins server nodig.

Daarna Reboot en start nieuwe sessie met rdesktop (duurt even, windows he ;-)) ).

===== ToDo =====
Imagen van XP met:
- SP3 in de installatie cd verwerkt;
- Mogelijkheid tot drie concurrent RDP gebruikers in de configuratie.