Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:client [2016/11/16 10:23]
flacco [sssd-Konfiguration invis-Server Active Directory]
+++ invis_server_wiki:client [2018/03/09 07:40]
flacco [2. Vorgehensweise]
@@ Zeile 24: / Zeile 24: @@
 Domänenbeitritte können nicht mit den Personal-Versionen von Windows durchgeführt werden (OK -- Heise hat gezeigt, dass es mit XP Home mit ein bisschen getrickse doch geht.).
-  - Ist der PDC ein Samba-PDC mit NTLM Domäne (**invis Classic**) müssen zunächst zwei Einträge in der Win7 Registry geändert werden. Einen fertigen Patch gibt es [[https://bugzilla.samba.org/attachment.cgi?id=4988&action=view|hier]]. (Zusätzliche Infos [[http://wiki.samba.org/index.php/Windows7|hier]]). Ein Windows Neustart ist nach Einspielen des Patches nicht nötig.
+  - Ist der PDC ein Samba-PDC mit NTLM Domäne (**invis Classic**) müssen zunächst zwei Einträge in der Win7 Registry geändert werden. Einen fertigen Patch gibt es [[https://bugzilla.samba.org/attachment.cgi?id=4988&action=view|hier]]. (Zusätzliche Infos [[http://wiki.samba.org/index.php/Windows7|hier]]). Ein Windows Neustart ist nach Einspielen des Patches nicht nötig. In Verbindung mit Active-Directory Domänen entfällt dieser Schritt.
   - Unter Windows 7 lässt sich die Funktion "Einer Domäne Beitreten" am besten über die Desktop-Suche finden. Einfach //Domäne// in der Suchleiste eingeben und dann auf den entsprechenden Menüeintrag klicken.
   - Als nächstes auf die Schaltfläche "Ändern" klicken und dann das Feld "Domäne" aktivieren, den Domänennamen eintragen und mit OK bestätigen.
@@ Zeile 100: / Zeile 100: @@
 ==== 2. Benutzerverwaltung ====
-Die folgenden Erläuterungen beschreiben die Anbindung eines Linux-Clients an einen invis-Server, sowohl AD, als auch Classic. Für die Anbindung von openSUSE Leap (42.1) an einen invis AD Server steht in unserem Github-Repository inzwischen ein Client-Setup-Script zur Verfügung, welches die Anbindung vollständig automatisch durchführt.
+Die folgenden Erläuterungen beschreiben die Anbindung eines Linux-Clients an einen invis-Server, sowohl AD, als auch Classic. Für die Anbindung von openSUSE Leap (42.x) an einen invis AD Server steht in unserem Github-Repository inzwischen ein Client-Setup-Script zur Verfügung, welches die Anbindung vollständig automatisch durchführt.
 **[[https://github.com/invisserver/invisAD-client]]**
@@ Zeile 447: / Zeile 447: @@
 Geeignet ist das folgende Setup für Notebooks die unterwegs genutzt werden sollen oder den PC im Home-Office.
-Ziel des Setups ist es von Ferne via OpenVPN und NFS vollständigen Zugriff auf den Datenbestand und die Webapplikationen des invis-Servers zuzugreifen. Für diesen Zweck wird lokal ein Benutzerkonto genutzt werden, welches zum Zeitpunkt des Logins noch nicht zur Verfügung steht. D.h. es wird vor allem ein lokales Home-Verzeichnis benötigt, da ohne ein solches ein Login an einer graphischen Oberfläche unter Linux nicht möglich ist.
+Ziel des Setups ist es von Ferne via OpenVPN und NFS vollständigen Zugriff auf den Datenbestand und die Webapplikationen des invis-Servers zu erhalten. Für diesen Zweck wird lokal ein Benutzerkonto benötigt, da zum Zeitpunkt des Logins die Verbindung zum Server noch nicht zur Verfügung steht. D.h. es wird vor allem ein lokales Home-Verzeichnis benötigt, da ohne ein Solches, ein Login an einer graphischen Oberfläche unter Linux nicht möglich ist.
-Geht man wie oben von einer Ubuntu- oder Mint-Installation aus, wird zum Anlegen dieses Home-Verzeichnisses wie auch zur Konfiguration des SSSD zunächst ein Systemverwalter-Konto benötigt, da ein Root-Zugang unter Ubuntu normalerweise nicht zur Verfügung steht.
+Geht man wie oben beschrieben von einer Ubuntu- oder Mint-Installation aus, wird zum Anlegen dieses Home-Verzeichnisses wie auch zur Konfiguration des SSSD zunächst ein Systemverwalter-Konto benötigt, da ein Root-Zugang unter Ubuntu normalerweise nicht zur Verfügung steht.
-Mit diesem Konto kann der Zugriff auf die Benutzerverwaltung des invis-Servers eingerichtet werden. Für ein Notbook kann das der Einfachheit halber direkt im Netzwerk des invis-Servers erfolgen, der PC im Home-Office wiederum benötigt zunächst eine OpenVPN-Verbindung zum invis-Netzwerk. Das Konto wir später nicht mehr benötigt.
+Mit diesem Konto kann der Zugriff auf die Benutzerverwaltung des invis-Servers eingerichtet werden. Für ein Notbook kann das der Einfachheit halber direkt im Netzwerk des invis-Servers erfolgen, der PC im Home-Office wiederum benötigt zunächst eine OpenVPN-Verbindung zum invis-Netzwerk. Das Konto wird später nicht mehr benötigt.
 Ziel ist unter Anderem auch der Zugriff auf das eigene Home-Verzeichnis auf dem invis-Server. Da dieses zum Zeitpunkt der lokalen Anmeldung aber noch nicht zur Verfügung steht, kann es nicht wie bei lokalen PCs nach "/home" gemountet werden.
@@ Zeile 503: / Zeile 503: @@
 # Authentifizierung und Verschluesselung
 tls-client
-auth SHA1
+auth SHA512
-tls-remote server.ihredomain.de
+cipher AES-256-CBC
 ....
 # The hostname/IP and port of the server.
@@ Zeile 619: / Zeile 619: @@
 //**Achtung:** Das gilt nur für Ubuntu und nicht für openSUSE. Dort genügt es eine fehlerhafte "resolv.conf" zu löschen und die Netzwerkverbindung kurz zu unterbrechen. Danach wird automatisch eine neue "resolv.conf" erzeugt.//
+Hier noch der Vollständigkeit halber das //**invisconnect**// Script:
+<code>
+#!/bin/bash
+# (c) 2015 Stefan Schaefer - invis-server.org
+# License: GPLv3
+ovpnconf="/etc/openvpn/vpn-client.ovpn"
+mntpathbase="/mnt/invis"
+domain="invis-net.loc"
+invisip="192.168.220.10"
+delay=20
+usage() {
+    echo -e "Geben Sie an, ob Sie die Verbindung zum Server aufbauen oder trennen möchten."
+    echo -e "Verbinden:\tinvisconnect c"
+    echo -e "Trennen:\tinvisconnect d"
+}
+case "$1" in
+    "c")
+            # OpenVPN Verbindung aufbauen
+            sudo /usr/sbin/openvpn --config $ovpnconf --daemon -log ovpnsession.log
+            # invis Server Freigaben einhaengen
+            echo "$delay Sekunden Wartezeit, bevor das Script fortgesetzt wird."
+            sleep $delay
+            # invis DNS Server nutzen
+            # resolv.conf sichern
+            sudo mv /etc/resolv.conf /etc/resolv.conf.ori
+            # temporaere resolv.conf erzeugen
+            sudo echo -e "search $domain" > /tmp/resolv.conf
+            sudo echo -e "nameserver $invisip" >> /tmp/resolv.conf
+            sudo mv /tmp/resolv.conf /etc/resolv.conf
+            # Testen, ob Zielverzeichnisse vorhanden, wenn nicht anlegen.
+            if [[ ! -d $mntpathbase ]]; then
+                sudo mkdir -p $mntpathbase/shares
+                sudo mkdir -p $mntpathbase/home
+            fi
+            # Freigaben einhaengen
+            sudo mount -t nfs $invisip:/srv/nfs4_base/shares $mntpathbase/shares
+            sudo mount -t nfs $invisip:/srv/nfs4_base/home $mntpathbase/home
+            ;;
+        "d")
+            # Freigaben aushaengen
+            sudo umount $mntpathbase/shares
+            sudo umount $mntpathbase/home
+            # OpenVPN beenden
+            openvpnpid=$(pgrep openvpn)
+            sudo kill $openvpnpid
+            # Urspruengliche resolv.conf wiederherstellen
+            sudo mv /etc/resolv.conf.ori /etc/resolv.conf
+            ;;
+        *)
+            usage
+            ;;
+esac
+</code>