Konfigurace služeb na Espressobinu [Wiki]

Tato stránka je pouze pro čtení. Můžete si pouze prohlédnout zdrojový kód, ale ne ho měnit. Zeptejte se správce, pokud si myslíte, že něco není v pořádku.
====== Konfigurace služeb na Espressobinu ======

> **Poznámka k datu vzniku:** Tento článek vychází z praktické zkušenosti z 14. 6. 2021. Postup odpovídá tehdejším verzím Armbianu, jednotlivých démonů a monitorovacích nástrojů a dnes už nemusí přesně odpovídat aktuálnímu stavu.

V [[hardware:jednodeskove-pocitace:espressobin:instalace-armbianu|předchozím článku]] popisuji instalaci Armbianu na mikropočítač Espressobin a konfiguraci sítě. Tím ale nastavení routeru nekončí. Potřeboval jsem zprovoznit další služby a sepsal jsem návody i potíže, se kterými jsem se při nastavování setkal.

V článku popisuji konfiguraci těchto služeb:

  * VPN server SoftEther
  * fail2ban
  * LVM a připojení již existujícího disku
  * uspávání disku
  * sdílení souborů na síti pomocí Samby
  * instalace Nextcloudu
  * sběr dat o serveru pomocí SNMP démona
  * nastavení monitorovacího systému Munin
  * nastavení monitorovacího systému MRTG
  * přesměrování pošty na existující e-mailovou adresu a konfigurace Postfixu pro odesílání přes Gmail
  * jednoduchý skript na zálohování databáze Nextcloudu

===== Instalace VPN serveru SoftEther =====

Instalaci SoftEtheru jsem provedl podle dříve připraveného postupu. Konfigurací se zde blíže nezabývám, protože jsem ji překopíroval z původního nastavení. Jakmile tedy SoftEther jednou nastavíte, lze celou konfiguraci umístěnou v ''/usr/vpnserver/'' kopírovat. Při prvním nastavování mi pomohl tento návod:

  * [[https://www.cactusvpn.com/tutorials/how-to-set-up-softether-vpn-client-on-linux/|How to set up SoftEther VPN client on Linux]]

===== Konfigurace fail2ban =====

Fail2ban slouží k banování IP adres, ze kterých se snaží útočník přihlásit k některé službě, například k SSH. Ve fail2ban se nastaví, že pokud uživatel překročí daný počet neúspěšných pokusů, nebude možné se po určitou dobu přihlásit z dané IP. Je to užitečné zejména při slovníkovém útoku na službu.

<code bash>
apt install fail2ban
</code>

Po instalaci démona jsem do složky ''/etc/fail2ban/filter.d'' nakopíroval tyto soubory:

<code ini>
# /etc/fail2ban/filter.d/vpnserver.conf
# Fail2Ban filter for SoftEther authentication failures
# Made by quixrick and jonisc

[INCLUDES]
before = common.conf

[Init]
maxlines = 2

[Definition]
failregex =IP address: .*\n.*User authentication failed.*
ignoreregex=
</code>

<code ini>
# /etc/fail2ban/filter.d/nextcloud.conf
[INCLUDES]
before = common.conf

[Definition]
_groupsre = (?:(?:,?\s*"\w+":(?:"[^"]+"|\w+))*)
failregex = ^\{%( _groupsre)s,?\s*"remoteAddr":""%( _groupsre)s,?\s*"message":"Login failed:
datepattern = ,?\s*"time"\s*:\s*"%%Y-%%m-%%d[T ]%%H:%%M:%%S(%%z)?"
ignoreregex =
</code>

<code ini>
# /etc/fail2ban/filter.d/ufwban.conf
[INCLUDES]
before = common.conf

[Definition]
failregex = UFW BLOCK.* SRC=
ignoreregex=
</code>

Samotnou editaci jsem prováděl v souboru ''/etc/fail2ban/jail.local'', který jsem vytvořil nově.

===== LVM a připojení existujícího disku =====

Protože disk už měl existující filesystem na LVM, musel jsem LVM inicializovat. K tomu mi pomohly tyto příkazy:

<code bash>
vgscan
vgchange -ay
</code>

===== Uspávání disku =====

K Espressobinu mám připojený HDD. Je zbytečné, aby disk běžel pořád, proto je vhodné nastavit uspávání disku. Zvolil jsem uspání po 30 minutách.

===== Sdílení souborů pomocí Samby =====

Protože se mi na síti občas vyskytují stroje s Windows, používám na sdílení souborů po síti Sambu. K instalaci jsem použil utilitu ''armbian-config''.

<code bash>
armbian-config
</code>

Skrz utilitu jsem se k instalaci Samby dostal přes ''Software'' -> ''Softy'' -> ''Samba''. Co se týče nastavení Samby, použil jsem konfigurační soubor z původního serveru. Po zkopírování konfigurace ale nebylo možné se ke sdíleným složkám připojit. Samba vyžadovala heslo a mnou zadávané nefungovalo, i když jsem si byl jistý správností.

Problém byl v tom, že jsem neměl přidaného uživatele do Samby, kterému je nutné nastavit heslo. V konfiguračním souboru ''/etc/samba/smb.conf'' se hesla nepřenášejí, ta jsou uložená v ''/var/lib/samba/private/passdb.tdb''. Uživatele do Samby a heslo jsem přidal pomocí příkazu:

<code bash>
smbpasswd -a jmeno_uzivatele
</code>

===== Instalace Nextcloudu =====

K instalaci Nextcloudu jsem opět zvolil utilitu ''armbian-config'', protože tím mám zajištěnou veškerou instalaci, včetně Apache a dalších závislostí.

<code bash>
armbian-config
</code>

Skrz utilitu jsem se k instalaci dostal přes ''Software'' -> ''Softy'' -> ''NCP''.

Po instalaci je prvním krokem zadat URL serveru do prohlížeče a uložit si hesla na administrátora služby na portu 4433 a do Nextcloudu. Poté editovat soubor ''/var/www/nextcloud/config/config.php'' a nastavit IP adresu, na které bude Nextcloud provozován. Jedná se o proměnnou ''trusted_domains'':

<code php>
'trusted_domains' =>
  array (
    0 => 'localhost',
    1 => '192.168.1.1',
  ),
</code>

Dalším rozumným krokem je zkontrolovat v administraci, jestli není zapnutý ''nc-hdd-monitor'', který způsoboval, že disk se neustále probouzel z režimu spánku.

{{.:nextcloud-hdd-health-monitor-1.jpg|Nextcloud HDD health monitor}}

Další věc, kterou je dobré omezit kvůli probouzení disku, je spouštění údržby Nextcloudu v cronu. Po instalaci bylo nastavené spouštění každých 15 minut. Protože Nextcloud používám jako automatické zálohování a za den přenesu pár drobných souborů, stačí mi frekvence údržby jednou denně. Zvolil jsem čas, ve kterém je pravděpodobné, že disk bude v provozu, tedy v 10:12.

<code bash>
crontab -e -u www-data
</code>

<code>
12 10 * * * php -f /var/www/nextcloud/cron.php
</code>

Aby se ve dvě ráno automaticky nespustilo generování náhledů obrázků, které by patrně položilo server výkonově, zakomentoval jsem v cronu tvorbu náhledů:

<code>
#0  2  *  *  *  root  /usr/local/bin/nc-previews
</code>

Pokud mám již nakonfigurovanou službu fail2ban, není dobré ji explicitně zapínat v Nextcloudu, protože přepíše veškeré nastavení služby fail2ban.

Po restartu jsem zjistil, že instalace Nextcloudu mi způsobila pár problémů:

  - po spuštění byl vypnutý DHCP server ''dnsmasq'' a později jsem zjistil, že byla vypnutá i služba ''fail2ban''
  - po naběhnutí systému se zobrazila chyba, že nebylo možné spustit soubor ''/etc/rc.local'', ve kterém mám nějaké skripty po startu
  - Nextcloud mi přepisoval ''trusted_domains'' na veřejnou IP, což je v mém případě nežádoucí; interní IP ze souboru mizela

První bod byl jednoduchý. Znovu jsem nastavil spouštění ''dnsmasq'' a ''fail2ban'' po startu systému:

<code bash>
systemctl enable dnsmasq
systemctl enable fail2ban
</code>

Se spouštěním souboru ''/etc/rc.local'' jsem se trochu potrápil. Nakonec mi pomohl tento návod:

  * [[https://www.linuxbabe.com/linux-server/how-to-enable-etcrc-local-with-systemd|How to enable /etc/rc.local with systemd]]

V návodu je napsané, že mám zapnout ''/etc/rc.local'' přes systemd. Ovšem to samo o sobě nestačilo, protože v souboru ''/usr/lib/systemd/system/rc-local.service'' chyběla tato část:

<code ini>
[Install]
WantedBy=multi-user.target
</code>

Řešením tedy bylo přidat řádek do souboru, reloadovat systemd a aktivovat ''rc-local'' podobně jako ''dnsmasq'':

<code bash>
systemctl daemon-reload
systemctl enable rc-local
systemctl start rc-local
</code>

Pro úplnost zde ještě uvádím podobu souboru ''rc-local.service'' podle zdrojového návodu:

<code ini>
[Unit]
Description=/etc/rc.local Compatibility
ConditionPathExists=/etc/rc.local

[Service]
Type=forking
ExecStart=/etc/rc.local start
TimeoutSec=0
StandardOutput=tty
RemainAfterExit=yes
SysVStartPriority=99

[Install]
WantedBy=multi-user.target
</code>

Poslední problém byl v tom, že Nextcloud po restartu spouští skript ''/usr/local/bin/nextcloud-domain.sh'', který zapisuje IP adresy zařízení v systému do souboru ''/var/www/nextcloud/config/config.php'' k proměnné ''trusted_domains''. V mém případě je to nežádoucí, protože tam chci mít pouze IP adresu zařízení ve vnitřní síti. Proto jsem si IP adresu u ''trusted_domains'' nastavil ručně a proces po startu zařízení vypnul.

<code bash>
systemctl status nextcloud-domain
</code>

===== SNMP =====

SNMP umožňuje průběžný sběr nejrůznějších dat pro potřeby správy sítě a jejich následné vyhodnocování. Standardně využívá port 161 a jeho nastavení je první krok předcházející monitorovacím službám jako Munin nebo MRTG.

<code bash>
apt install snmp snmpd
vim /etc/snmp/snmpd.conf
</code>

<code>
rocommunity public 127.0.0.1
netstat -nlpu | grep 161
snmpwalk -v 1 -c public localhost
</code>

===== Munin =====

Nejprve jsem nainstaloval tyto knihovny, jinak nefungovalo generování detailů u grafů.

<code bash>
apt install libcgi-fast-perl libapache2-mod-fcgid libcache-perl libwww-perl
apt-get install munin munin-node munin-plugins-extra
a2enmod fcgid
</code>

V ''/etc/munin/munin-node.conf'' jsem povolil naslouchání na veřejné IP a zároveň nastavil hostname:

<code>
allow ^94\.112\.143\.45$
host_name espressobin
</code>

Nastavení ''/etc/munin/munin.conf'':

<code ini>
dbdir   /var/lib/munin
htmldir /var/cache/munin/www
logdir  /var/log/munin
rundir  /var/run/munin
tmpldir /etc/munin/templates

[espressobin]
   address 84.112.112.112
</code>

Dále následovalo:

<code bash>
munin-node-configure --suggest
ln -s /etc/munin/apache24.conf /etc/apache2/sites-available/munin.conf
a2ensite munin
systemctl reload apache2
systemctl restart munin-node
su - munin --shell=/bin/bash /usr/bin/munin-cron
</code>

===== Nastavení pošty pomocí Postfixu =====

<code bash>
apt-get install libsasl2-modules
touch /etc/postfix/sasl_passwd
</code>

Do souboru ''/etc/postfix/sasl_passwd'':

<code>
[smtp.gmail.com]:587 username@gmail.com:password
</code>

Poté:

<code bash>
chmod 600 /etc/postfix/sasl_passwd
postmap /etc/postfix/sasl_passwd
systemctl restart postfix.service
</code>

A do souboru ''/etc/postfix/main.cf'' doplnit tyto řádky:

<code ini>
relayhost = [smtp.gmail.com]:587
smtp_use_tls = yes
smtp_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_tls_security_level = encrypt
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
</code>

Přesměrování pošty z roota na existující externí e-mail znamenalo editovat soubor ''/etc/aliases'' a přidat řádek:

<code>
root: yourexternalemailaddress@gmail.com
</code>

Načíst nové aliasy a restartovat Postfix:

<code bash>
newaliases
systemctl restart postfix
</code>

Otestovat lze posláním pošty uživateli ''root''.

===== Zálohování databáze Nextcloudu =====

Jeden z dalších kroků byla záloha databáze Nextcloudu. Připravil jsem si jednoduchý skript, který jsem umístil do složky ''/etc/cron.daily'':

<code bash>
#!/bin/bash

DIR="/backup"
FILE=`date '+%F-nextcloud-sql'`

cd "$DIR"
mysqldump -u root nextcloud > "$FILE"
gzip "$FILE"
</code>

===== Instalace MRTG =====

<code bash>
apt install mrtg
</code>

Při instalaci jsem potvrdil, že ''/etc/mrtg.cfg'' je čitelný jen rootem.

<code bash>
mkdir /var/www/mrtg
chown www-data:www-data /var/www/mrtg/
</code>

Vytvořil jsem i další konfigurační soubory pro MRTG a umístil je do ''/etc/mrtg''.

<code>
# /etc/mrtg/cpu.cfg
WorkDir: /var/www/mrtg
LoadMIBs: /usr/share/snmp/mibs/UCD-SNMP-MIB.txt
Target[localhost.cpu]: ssCpuRawUser.0&ssCpuRawUser.0:public@127.0.0.1 + ssCpuRawSystem.0&ssCpuRawSystem.0:public@127.0.0.1 + ssCpuRawNice.0&ssCpuRawNice.0:public@127.0.0.1
RouterUptime[localhost.cpu]: public@127.0.0.1
MaxBytes[localhost.cpu]: 100
Title[localhost.cpu]: CPU Load
PageTop[localhost.cpu]: <H1>Active CPU Load %</H1>
Unscaled[localhost.cpu]: ymwd
ShortLegend[localhost.cpu]: %
YLegend[localhost.cpu]: CPU Utilization
LegendI[localhost.cpu]: Active
Options[localhost.cpu]: growright,nopercent
</code>

<code>
# /etc/mrtg/mem.cfg
LoadMIBs: /usr/share/snmp/mibs/HOST-RESOURCES-MIB.txt
Target[localhost.mem]: .1.3.6.1.4.1.2021.4.6.0&.1.3.6.1.4.1.2021.4.6.0:public@localhost
PageTop[localhost.mem]: <H1>Free Memory</H1>
WorkDir: /var/www/mrtg
Options[localhost.mem]: nopercent,growright,gauge,noinfo
Title[localhost.mem]: Free Memory
MaxBytes[localhost.mem]: 1000000
kMG[localhost.mem]: k,M,G,T,P,X
YLegend[localhost.mem]: bytes
ShortLegend[localhost.mem]: bytes
LegendI[localhost.mem]: Free Memory:
Legend1[localhost.mem]: Free memory, not including swap, in bytes
</code>

Dále vygenerovat konfigurační soubor:

<code bash>
cfgmaker -zero-speed=100000000 --global "Options[_]: growright,bits" public@localhost > /etc/mrtg.cfg
</code>

Nastavit, aby MRTG sbíral data i ze souborů ''cpu.cfg'' a ''mem.cfg'', a přidat do souboru ''/etc/cron.d/mrtg'' tyto řádky:

<code>
*/5 * * * * root env LANG=C /usr/bin/mrtg /etc/mrtg/cpu.cfg
*/5 * * * * root env LANG=C /usr/bin/mrtg /etc/mrtg/mem.cfg
</code>

Vytvořit soubor ''/etc/apache2/sites-available/mrtg.conf'':

<code apache>
Alias /mrtg "/var/www/mrtg/"
<Directory "/var/www/mrtg/">
  Options None
  AllowOverride None
  Require all granted
</Directory>
</code>

Následně aktivovat Apache:

<code bash>
a2ensite mrtg
systemctl reload apache2
</code>

Jako poslední vygenerovat index soubor a počkat minimálně pět minut, aby se vygenerovaly první grafy:

<code bash>
indexmaker --output=/var/www/mrtg/index.html --title="Network, memory and CPU Usage" --sort=name --enumerate /etc/mrtg.cfg /etc/mrtg/cpu.cfg /etc/mrtg/mem.cfg
</code>

===== Užitečné zdroje =====

  * [[https://www.cactusvpn.com/tutorials/how-to-set-up-softether-vpn-client-on-linux/|How to set up SoftEther VPN client on Linux]]
  * [[https://www.cyberciti.biz/faq/linux-mount-an-lvm-volume-partition-command/|Linux mount an LVM volume partition command]]
  * [[https://www.kernel.org/doc/Documentation/ABI/testing/procfs-diskstats|Linux procfs diskstats]]
  * [[https://www.thegeekdiary.com/how-to-add-or-delete-a-samba-user-under-linux/|How to add or delete a Samba user]]
  * [[https://kifarunix.com/install-and-configure-snmp-on-debian-10-buster/|Install and configure SNMP on Debian 10]]
  * [[https://wiki.debian.org/SNMP|Debian Wiki: SNMP]]
  * [[https://debian-handbook.info/browse/stable/sect.monitoring.html#sect.munin|Debian Handbook: Monitoring]]
  * [[https://www.linode.com/docs/guides/configure-postfix-to-send-mail-using-gmail-and-google-apps-on-debian-or-ubuntu/|Configure Postfix to use Gmail as a relay]]
  * [[https://www.howtoforge.com/tutorial/configure-postfix-to-use-gmail-as-a-mail-relay/|Configure Postfix to use Gmail as a mail relay]]
  * [[https://www.linuxbabe.com/linux-server/how-to-enable-etcrc-local-with-systemd|How to enable /etc/rc.local with systemd]]