Gateway Installation

Kurzer Leitfaden für das Aufsetzen neuer Vereinsgateways.

Hardware

• sinnvoll >500 Mhz CPU, >256 MB RAM
• mindestens 2 NICs
• ausreichend HD-Kapazität; ideal SCSI (z.B. U2W), alternativ IDE (mit z.B. RAID1)

Basisinstallation

• Booten, z.B. per CD oder PXE mit Knoppix
• Dateisystem vorbereiten:
  • cfdisk /dev/<device>, z.B. /dev/hda (IDE) oder /dev/sda (SCSI)
  • primäre Partitionen: 32 MB boot (Typ 83 + bootable), 500 MB swap (Typ 82), Rest für / (Typ 83)
  • boot mit EXT2: mkfs.ext2 /dev/<device>1
  • swap mit SWAP: mkswap /dev/<device>2
  • root mit XFS: mkfs.xfs /dev/<device>3
• Debian Stable (oder Testing) installieren

a) Neuinstallation, vgl. Debian GNU/Linux-Installationsanleitung

c) per debootstap von Knoppix aus, vgl. Debian GNU/Linux-Installationsanleitung - C.4

b) als Kopie von vorhandenem GW, z.B. izumi

• Filesysteme auf izumi ggf. mounten, crontab Einträge ggf. deaktivieren (CPU-Last)
• boot einbinden: mount /dev/<device>1 /mnt/
• boot spiegeln: rsync -avz -e ssh root@izumi:/boot/ /mnt/
• root einbinden: umount /mnt; mount /dev/<device>3 /mnt/
• root spiegeln: rsync -avzlx -e ssh root@izumi:/ /mnt/

• Bootloader installieren (grub):
  • via chroot und grub-Skripte: (chroot...); grub-install --no-floppy /dev/<device>; update-grub
  • oder manuell, dabei /boot/grub/menu.lst selbst anpassen/erstellen: grub --no-floppy (root (hd0,0) / setup (hd0) / quit)
• Kernel bauen / aktualisieren
  • cd /usr/src/linux; make menuconfig; make; make install; make modules_install; update-grub
  • ggf. local-version neu setzen

Hilfsmittel: chroot Umgebung

mount /dev/<device>3 /mnt 
mount /dev/<device>1 /mnt/boot
mount -t proc proc /mnt/proc
mount --bind /dev /mnt/dev
chroot /mnt

Konfiguration

Allgemeines

• Hostname /etc/hostname + /etc/mailname
• Zeitzone /etc/timezone -> UTC
• Kernelmodule /etc/modules
• Dateisysteme /etc/fstab

/dev/<device>1   /boot         ext2     noauto,noatime    1 1
/dev/<device>3   /             xfs      noatime           0 0
/dev/<device>2   none          swap     sw                0 0
/dev/cdrom       /mnt/cdrom    iso9660  noauto,ro         0 0
none             /proc         proc     defaults          0 0
none             /dev/shm      tmpfs    defaults          0 0

Netzwerk-Geräte

• Ethernet /etc/network/interfaces

auto lo
iface lo inet loopback
auto eth0
iface eth0 inet manual
auto eth1
iface eth1 inet static
  address 192.168.0.X
  netmask 255.255.0.0
  network 192.168.0.0
  broadcast 192.168.255.255
auto <peername>
iface <peername> inet ppp
provider <peername>

• PPP /etc/ppp/*
  • /etc/ppp/pap-secrets -> "<account>" * "<password>"
  • /etc/ppp/peers/<peername>, Defaults mit:

logfile /var/log/pppd/qsc-dsl.log
#defaultroute
hide-password
lcp-echo-interval 20
lcp-echo-failure 3
connect /bin/true
noauth
persist
mtu 1492
noaccomp
default-asyncmap
plugin rp-pppoe.so eth0
user "<account>"

• ln -s /etc/ppp/peers/<peername> /etc/ppp/peers/provider
• mkdir /var/log/pppd
• /etc/ppp/ip-up.d

#!/bin/sh
# default routes
route add -net 0.0.0.0/1 gw $PPP_REMOTE
route add -net 128.0.0.0/1 gw $PPP_REMOTE
# uni rostock
route add -net 139.30.0.0/16 gw $PPP_REMOTE
# ipkg repositories
route add -host 195.56.146.238 gw $PPP_REMOTE
route add -host 212.91.225.42 gw $PPP_REMOTE
# wikipedia
route add -net 207.142.131.192/26 gw $PPP_REMOTE
route add -net 145.97.39.128/28 gw $PPP_REMOTE
route add -net 212.85.150.128/28 gw $PPP_REMOTE
# www.opennet-initiative.de
route add -host 212.105.204.29 gw $PPP_REMOTE
# rostock.de
route add -net 195.37.188.160/28 gw $PPP_REMOTE

• /etc/ppp/ip-down.d/00routes - analog nur s/add/del

Routing

• OLSR /etc/olsrd.conf, Defaults mit:

UseHysteresis       no
LinkQualityLevel    2
Interface "eth1"    { <defaults> }
Hna4
{
  # university rostock
  139.30.0.0      255.255.0.0
  # ipkg repositories
  195.56.146.238  255.255.255.255
  212.91.225.42   255.255.255.255
  # wikipedia
  207.142.131.192 255.255.255.192
  145.97.39.128   255.255.255.240
  212.85.150.128  255.255.255.240
  # www.opennet-initiative.de
  212.105.204.29  255.255.255.255
  # www.rostock.de
  195.37.188.160  255.255.255.240
}

• WAN-Routing /etc/network/ip-up.d/gatewaysetup.sh (Kopie besorgen)

SSH-Server

• ggf. neue Schlüssel erstellen in /etc/ssh/
  • RSA-Host-Key per ssh-keygen -b 2048 -t rsa -f ssh_host_rsa_key
  • DSA-Host-Key per ssh-keygen -b 2048 -t rsa -f ssh_host_rsa_key

VPN-Server

• OpenVPN:
  • openvpn + openssl installieren
  • /etc/openvpn/openssl.conf anpassen (Kopie besorgen)
  • /etc/openvpn/opennet_users.conf anpassen (Kopie besorgen), key + cert anpassen
  • Csr/Key erstellen: openssl req -days 3650 -nodes -new -keyout <hostname>.key -out <hostname>.csr -extensions server -config openssl.cnf (Common Name = <hostname>.on)
  • Csr absenden und unterschreiben lassen, Crt einspielen
  • Diffie hellman PEM: openssl dhparam -out /etc/openvpn/dh2048.pem 2048

• automatische ACL Aktualisierung
  • Nutzer openvpn-acl anlegen + absichern
  • SSH Schlüsselpaar erzeugen: su openvpn-acl; cd .ssh/; ssh-keygen -t rsa
  • SSH Public Key (id_rsa.pub) in opennetca@ratte:.ssh/authorized_keys hinzufügen
  • cronttab für openvpn-acl mit "*/10 * * * * rsync -rt --delete --safe-links opennetca@139.30.3.52:'opennet_users opennet_users_disabled' /etc/openvpn/acl"

Nameserver

• zuerst chroot-bind9 installieren und einrichten
• rndc absichern per rndc-conf -a (Key ins chroot kopieren)
• im chroot /etc/bind/named.conf.options:

options {
  directory "/var/cache/bind";
  forward first;
  forwarders {
    <isp-dns1>;
    <isp-dns2>;
    192.168.0.254;
  };
  auth-nxdomain no;    # conform to RFC1035
  listen-on {
    127.0.0.1;
    <gateway-ip>
  };
  # ignoriert unterstrich in Domainnamen vom ON 
  check-names slave ignore;
};

• im chroot /etc/bind/named.conf.local:

// on - forward (includes vpn)
zone "on." {
  type    slave;
  file    "db.on";
  masters {192.168.0.254;};
};
//on - reverse
zone "168.192.in-addr.arpa" {
  type    slave;
  file    "db.192.168";
  masters {192.168.0.254;};
};
//on-vpn - reverse
zone "1.10.in-addr.arpa" {
  type    slave;
  file    "db.10.1";
  masters {192.168.0.254;};
};

• lokale Namensauflösung /etc/resolv.conf:

search on
nameserver 127.0.0.1

• Nameserver starten: /etc/init.d/bind9 start;
• Funktion prüfen:

gate:~# ps aux|grep bind
bind     25640  0.0  1.4  30764  3596 ?        Ssl  20:10   0:02 /chroot/named/sbin/named -u bind -t /chroot/named
root     31833  0.0  0.2   3680   624 pts/3    S+   22:18   0:00 grep bind
gate:~# rndc status; 
number of zones: 7
debug level: 0
xfers running: 0
xfers deferred: 0
soa queries in progress: 0
query logging is OFF
recursive clients: 0/1000
tcp clients: 0/100
server is up and running

• Läuft der Nameserver noch nicht sollte man im daemon.log nach Fehlermeldungen suchen. Zum Glückt gibt Bind sehr genau Auskunft darüber was beim start nicht so war wie es sein sollte.

 gate:~# grep named /var/log/daemon.log|tail -20 
 Jan 10 09:34:25 izumi named[8280]: starting BIND 9.3.1 -u bind -t /chroot/named
 Jan 10 09:34:25 izumi named[8280]: found 1 CPU, using 1 worker thread
 Jan 10 09:34:25 izumi named[8280]: loading configuration from '/etc/bind/named.conf'
 Jan 10 09:34:25 izumi named[8280]: /etc/bind/named.conf.options:2: change directory to '/var/cache/bind' failed: file not found
 Jan 10 09:34:25 izumi named[8280]: /etc/bind/named.conf.options:2: parsing failed
 Jan 10 09:34:25 izumi named[8280]: loading configuration: file not found
 Jan 10 09:34:25 izumi named[8280]: exiting (due to fatal error)

• Hier hat Bind z.B. auf Grund einer Konfiguration in /etc/bind/named.conf.options versucht in das nicht existierende Verzeichnis /var/cache/bind zu wechseln. Befindet sich ein einer der Konfigurationsdateien ein Syntaxfehler wird die Datei und die Zeile angegeben so das man in den meisten Fällen den Fehler schnell finden sollte. Hier erwartete er z.B. eine IP Adresse in Zeile 19 wo allerdings die Zeichenkette "nameserver" stand.

Jan 10 10:12:18 izumi named[19568]: /etc/bind/named.conf.options:19: expected IP address near 'nameserver'

• Wenn der Nameserver läuft kann man versuchen eine Anfrage zu stellen. Das geht mit host <hostname> oder mit dig <hostname>. Bei dig kann man auch noch mit @server den Server und mit <record> den abzufragenden DNS record angeben. So kann man sich z.B. mit dig @192.168.0.254 on ns die zuständigen Nameserver für die Opennet-Zone direkt von Titan geben lassen.

Webserver

• apache2 installieren
  • in /etc/apache2/ports.conf eintragen: Listen 80
  • Default-Site deaktivieren: #RedirectMatch ^/$ /apache2-default/
  • Default-Site unter /var/www/apache2-default ggf. löschen

• OpenVPN-Status-Skript anpassen unter /root/tasks/openvpn-users-status.py: host = '<hostname>.on'