Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:client [2017/01/20 09:33]
flacco [1. Hintergründe]
+++ invis_server_wiki:client [2018/03/09 08:15]
flacco [Manuelle Anbindung -- online Clients]
@@ Zeile 24: / Zeile 24: @@
 Domänenbeitritte können nicht mit den Personal-Versionen von Windows durchgeführt werden (OK -- Heise hat gezeigt, dass es mit XP Home mit ein bisschen getrickse doch geht.).
-  - Ist der PDC ein Samba-PDC mit NTLM Domäne (**invis Classic**) müssen zunächst zwei Einträge in der Win7 Registry geändert werden. Einen fertigen Patch gibt es [[https://bugzilla.samba.org/attachment.cgi?id=4988&action=view|hier]]. (Zusätzliche Infos [[http://wiki.samba.org/index.php/Windows7|hier]]). Ein Windows Neustart ist nach Einspielen des Patches nicht nötig.
+  - Ist der PDC ein Samba-PDC mit NTLM Domäne (**invis Classic**) müssen zunächst zwei Einträge in der Win7 Registry geändert werden. Einen fertigen Patch gibt es [[https://bugzilla.samba.org/attachment.cgi?id=4988&action=view|hier]]. (Zusätzliche Infos [[http://wiki.samba.org/index.php/Windows7|hier]]). Ein Windows Neustart ist nach Einspielen des Patches nicht nötig. In Verbindung mit Active-Directory Domänen entfällt dieser Schritt.
   - Unter Windows 7 lässt sich die Funktion "Einer Domäne Beitreten" am besten über die Desktop-Suche finden. Einfach //Domäne// in der Suchleiste eingeben und dann auf den entsprechenden Menüeintrag klicken.
   - Als nächstes auf die Schaltfläche "Ändern" klicken und dann das Feld "Domäne" aktivieren, den Domänennamen eintragen und mit OK bestätigen.
@@ Zeile 74: / Zeile 74: @@
 ===== Linux Clients mit SSSD integrieren =====
-Anbindung von Linux-Clients an einen invis-Server. Die folgende Beschreibung orientiert sich an **Ubuntu 12.04 LTS** und **Linux Mint 17 "Qiana"** (Getestet auch mit Linux Mint 13 "Maya"), gilt aber prinzipiell auch für andere Linux-Distributionen. Unter **openSUSE** kann der Vorgang bezogen auf den invis-Classic vollständig mit **YaST** vorgenommen werden. Die Anbindung an die Active-Directory Variante erfordert etwas mehr Handarbeit.
+Anbindung von Linux-Clients an einen invis-Server. Die folgende Beschreibung orientiert sich an **Ubuntu 12.04 LTS** und **Linux Mint 17 "Qiana"** (Getestet auch mit Linux Mint 13 "Maya"), gilt aber prinzipiell auch für andere Linux-Distributionen.
 Kern der Beschreibung ist die Anbindung eines Linux-Clients an eine LDAP-gestützte Benutzerverwaltung mit Hilfe des noch recht jungen System Security Services Daemon (SSSD). Nicht alle Distributionen haben den SSSD bereits vollständig integriert, daher muss in vielen Fällen wie beim hier gezeigten Ubuntu die Einrichtung vollständig manuell durchgeführt werden.
@@ Zeile 81: / Zeile 81: @@
 Um das zu erreichen baut und pflegt SSSD lokal einen Cache der Benutzerverwaltung. Nachteilig daran ist bisher, dass es nicht möglich ist ein Aktualisieren des Caches zu triggern. Daraus resultiert oft eine zeitliche Verzögerung, bis Änderungen, die an der Benutzerdatenbank des Servers vorgenommen wurden auf dem Client zur Verfügung stehen. Wird beispielsweise auf dem Server eine neuer Benutzer angelegt, können einige Minuten vergehen, bis sich der Benutzer tatsächlich anmelden kann.
-==== 1. Freigaben einbinden ====
+//**Achtung:** Bevor Sie damit beginnen Linux-Clients in Ihr Netzwerk zu integrieren, müssen Sie auf Ihrem invis-Server den NFS-Dienst aktiviert haben. Wie das geht, lesen Sie **[[https://wiki.invis-server.org/doku.php/invis_server_wiki:installation:post-110#nfs_fileserver |hier]]**//
+==== openSUSE Leap ====
+Für openSUSE Leap basierte Clients stellen wir ein eigenes Setup-Paktet über unsere Repositories zur Verfügung, mit dem sich der ganze Vorgang der Client-Anbindung automatisieren lässt. Unter der aktuellen openSUSE Leap 42.3 lässt sich das entsprechende Repository wie folgt einrichten:
+<code>
+invis-client:~ # zypper ar https://download.opensuse.org/repositories/spins:/invis:/unstable/openSUSE_Leap_42.3/spins:invis:unstable.repo
+</code>
+Danach kann das Setup-Paket dann installiert werden:
+<code>
+invis-client:~ # zypper ref
+invis-client:~ # zypper in invisAD-client
+</code>
+Danach ist lediglich das Client-Integrationsscript auszuführen. sie benötigen dafür das Passwort des Domänen-Administrators und den Namen der Domäne.
+<code>
+invis-client:~ # joininvis
+</code>
+Beantworten Sie die Fragen und das wars.
+==== Manuelle Anbindung - online Clients ====
+=== 1. Freigaben einbinden ===
 Zur Anbindung eines Linux-Clients an den Server müssen zunächst die Server-Freigaben **home** und **shares** per NFSv4 ins lokale Verzeichnissystem eingehängt werden. Dazu sind in der Datei <file>/etc/fstab</file> folgende Einträge vorzunehmen:
@@ Zeile 98: / Zeile 126: @@
 linux:~ # sudo apt-get install nfs-common
 </code>
-==== 2. Benutzerverwaltung ====
+=== 2. Benutzerverwaltung ===
 Die folgenden Erläuterungen beschreiben die Anbindung eines Linux-Clients an einen invis-Server, sowohl AD, als auch Classic. Für die Anbindung von openSUSE Leap (42.x) an einen invis AD Server steht in unserem Github-Repository inzwischen ein Client-Setup-Script zur Verfügung, welches die Anbindung vollständig automatisch durchführt.
@@ Zeile 134: / Zeile 162: @@
 Danach ist unter dem Namen <file>/etc/sssd/sssd.conf</file> eine Konfigurationsdatei für den Daemon anzulegen. Dabei gibt es je nach verwendeter invis-Server-Version Unterschiede. Schauen wir uns zunächst die klassische Variante an:
-=== sssd-Konfiguration invis-Server Classic ===
+== sssd-Konfiguration invis-Server Classic ==
 <code>
@@ Zeile 167: / Zeile 195: @@
 </code>
-=== sssd-Konfiguration invis-Server Active Directory ===
+== sssd-Konfiguration invis-Server Active Directory ==
 <code>
@@ Zeile 266: / Zeile 294: @@
 Der Debug-Level kann für die einzelnen Sektionen "[sssd]", "[nss]", "[pam]" und "[domain/...]" auch individuell gesetzt werden. Weitere Infos zum Debug-Level sind in der Manpage des Dienstes zu finden (https://jhrozek.fedorapeople.org/sssd/1.13.1/man/sssd.conf.5.html)
-=== Name-Service-Switch anpassen ===
+== Name-Service-Switch anpassen ==
 Damit PAM weiss, dass Benutzerkonten sowohl in der lokalen "/etc/passwd" als auch im Active-Directory bzw. OpenLDAP des invis-Servers geführt werden, muss die Datei <file>/etc/nsswitch.conf</file> wie folgt angepasst werden:
@@ Zeile 279: / Zeile 307: @@
 Beide gezeigten Einträge müssen um den Wert "sss" ergänzt werden.
-=== PAM konfigurieren ===
+== PAM konfigurieren ==
 Auch die PAM Module für die Benutzeranmeldung am System müssen an den **sssd** angepasst werden. Dies kann im einfachsten Fall mit Hilfe des Tools //**pam-config**// vorgenommen werden:
@@ Zeile 377: / Zeile 405: @@
 Alle gezeigten Beispiele stammen aus einer Anbindung an einen invis-Classic Server.
-=== Kerberos Konfiguration für Client-Anbindung an invis-Server ActiveDirectory ===
+== Kerberos Konfiguration für Client-Anbindung an invis-Server ActiveDirectory ==
 Zur Anbindung eines Linux-Clients an einen invis-Server ActiveDirectory ist es mit der bloßen sssd-Konfiguration nicht getan. Client-Seitig wird darüber hinaus eine Kerberos-Konfiguration sowie eine Kerberos-Keymap benötigt.
@@ Zeile 437: / Zeile 465: @@
 </code>
-===== offline Linux Clients integrieren mit SSSD und OpenVPN =====
+==== offline Linux Clients integrieren mit SSSD und OpenVPN ====
 Allem voran, sollte klar sein, dass ein solches Setup nur dann wirklich Sinn macht, wenn der invis-Server mit einer akzeptablen DSL-Anbindung (>= 16000kBit/s) ausgestattet ist. Zu bedenken ist hier, dass der Upload der begrenzende Faktor ist und der liegt bezogen auf eine 16000er ADSL Leitung bei nur 1000kBit/s. Alles darunter wird sehr zäh! Bei einer 6000er DSL Leitung schrumpft der Upload beispielsweise schon auf magere 256kBit/s.
@@ Zeile 443: / Zeile 471: @@
 Die nachfolgende beschriebene Vorgehensweise ist derzeit noch vollständig manuell durchzuführen und birgt durchaus Potential für Fehler. Problematisch ist vor allem die Reihenfolge der einzelnen Schritte.
-==== 1. Hintergründe ====
+=== 1. Hintergründe ===
 Geeignet ist das folgende Setup für Notebooks die unterwegs genutzt werden sollen oder den PC im Home-Office.
@@ Zeile 457: / Zeile 485: @@
 Damit sind die Schwierigkeiten grob umrissen.
-==== 2. Vorgehensweise ====
+=== 2. Vorgehensweise ===
 Wir gehen davon aus, dass die Einrichtung an einem PC erfolgt, der vollständig vom invis-Server Netzwerk getrennt ist, da dies alle Schwierigkeiten berücksichtigt.
@@ Zeile 503: / Zeile 531: @@
 # Authentifizierung und Verschluesselung
 tls-client
-auth SHA1
+auth SHA512
-tls-remote server.ihredomain.de
+cipher AES-256-CBC
 ....
 # The hostname/IP and port of the server.
@@ Zeile 619: / Zeile 647: @@
 //**Achtung:** Das gilt nur für Ubuntu und nicht für openSUSE. Dort genügt es eine fehlerhafte "resolv.conf" zu löschen und die Netzwerkverbindung kurz zu unterbrechen. Danach wird automatisch eine neue "resolv.conf" erzeugt.//
+Hier noch der Vollständigkeit halber das //**invisconnect**// Script:
+<code>
+#!/bin/bash
+# (c) 2015 Stefan Schaefer - invis-server.org
+# License: GPLv3
+ovpnconf="/etc/openvpn/vpn-client.ovpn"
+mntpathbase="/mnt/invis"
+domain="invis-net.loc"
+invisip="192.168.220.10"
+delay=20
+usage() {
+    echo -e "Geben Sie an, ob Sie die Verbindung zum Server aufbauen oder trennen möchten."
+    echo -e "Verbinden:\tinvisconnect c"
+    echo -e "Trennen:\tinvisconnect d"
+}
+case "$1" in
+    "c")
+            # OpenVPN Verbindung aufbauen
+            sudo /usr/sbin/openvpn --config $ovpnconf --daemon -log ovpnsession.log
+            # invis Server Freigaben einhaengen
+            echo "$delay Sekunden Wartezeit, bevor das Script fortgesetzt wird."
+            sleep $delay
+            # invis DNS Server nutzen
+            # resolv.conf sichern
+            sudo mv /etc/resolv.conf /etc/resolv.conf.ori
+            # temporaere resolv.conf erzeugen
+            sudo echo -e "search $domain" > /tmp/resolv.conf
+            sudo echo -e "nameserver $invisip" >> /tmp/resolv.conf
+            sudo mv /tmp/resolv.conf /etc/resolv.conf
+            # Testen, ob Zielverzeichnisse vorhanden, wenn nicht anlegen.
+            if [[ ! -d $mntpathbase ]]; then
+                sudo mkdir -p $mntpathbase/shares
+                sudo mkdir -p $mntpathbase/home
+            fi
+            # Freigaben einhaengen
+            sudo mount -t nfs $invisip:/srv/nfs4_base/shares $mntpathbase/shares
+            sudo mount -t nfs $invisip:/srv/nfs4_base/home $mntpathbase/home
+            ;;
+        "d")
+            # Freigaben aushaengen
+            sudo umount $mntpathbase/shares
+            sudo umount $mntpathbase/home
+            # OpenVPN beenden
+            openvpnpid=$(pgrep openvpn)
+            sudo kill $openvpnpid
+            # Urspruengliche resolv.conf wiederherstellen
+            sudo mv /etc/resolv.conf.ori /etc/resolv.conf
+            ;;
+        *)
+            usage
+            ;;
+esac
+</code>