Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:installation:basesetup-140 [2018/05/26 09:25]
flacco [Anpassungen]
+++ invis_server_wiki:installation:basesetup-140 [2018/05/26 16:11]
flacco [Festplatten-Management]
@@ Zeile 55: / Zeile 55: @@
 Verteilen Sie auf keinen Fall den gesamten zur Verfügung stehenden Plattenplatz auf die genannten Volumes. Mit einer ordentlichen Reserve, können ungenutzten Platz später nach Bedarf auf die vorhandenen Volumes verteilen. Weiterhin benötigen Sie eine Reserve die Sie temporär für LVM-Snapshots als Basis für Datensicherungen nutzen können. Die Größe dieser Reserve ist abhängig von den zu erwartenden "großen" Dateien. Wenn Sie beispielsweise virtuelle Maschinen mit großen Festplatten-Images einrichten müssen diese Images in die Reserve passen.
-===== Anpassungen =====
+//**Achtung:** Wenn Sie genau wie wir auf die Kombination aus Software-RAID, LVM und dem ext4 Dateisystem setzen, kann es insbesondere bei RAID5 Systemen zu einer unglücklichen Situation kommen. Nach dem ersten Start des installierten Servers laufen zwei sich gegenseitig stark behindernde Prozesse ab. Die RAID-Erstsynchronisation zum einen und die Fertigstellung der ext4-Dateisysteme (ext4lazyinit) zum anderen.\\ Beide Prozesse behindern sich so sehr, dass weitere parallele Zugriffe auf die Datenträger kaum möglich sind. Währenddessen als an die weitere Installation des invis-Servers zu denken ist keine sehr spaßige Idee. Es kann vereinzelt sogar zu ernsten Problemen kommen.\\
+Es gibt aus dieser Situation einen recht einfachen Ausweg. Der Kernelprozess "ext4lazyinit" kann nur laufen, wenn das fertigzustellende Dateisystem gemountet ist. Booten Sie Ihr System nach der Basis-Installation einfach per CD/DVD in das SUSE Rettungssystem und warten Sie bis die RAID-Synchronisation abgeschlossen ist. Das dauert zwar je nach Plattengröße auch eine ganze Weile (mehrere Stunden) ist aber in der Summe immer noch deutlich schneller als alles gleichzeitig laufen zu lassen. Sie können der RAID-Synchronisation mit folgendem Kommando zuschauen://
-Im Anschluss an Systemrollenwahl, Partitionierung und Zeiteinstellung werden Sie gebeten einen ersten Benutzer für das System anzulegen. Dies ist nicht notwendig. Wählen Sie einfach den Punkt "Benutzereinstellung überspringen" aus.
+<code>
+rescue:~ # watch cat /proc/mdstat
+</code>
+===== Anpassungen =====
-Damit Sie Ihren Server direkt nach dem Setup per SSH erreichen können, ist der SSH Dienst zu aktivieren und der entsprechende Port (22) in der Firewall zu öffnen. Anders als bei den Leap 42.x Versionen ist ab Leap 15.0 die Firewall wieder grundsätzlich aktiv. Nebenbei sei bemerkt, dass es sich hierbei nicht mehr um die "SuSEfirewall2", sondern den von RedHat entwickelten "firewalld" handelt. Klicken Sie in der Installationszusammenfassung unter Punkt "Firewall und SSH" auf die beiden Links "Aktivieren" und "Öffnen".{{ :invis_server_wiki:installation:firewall_und_ssh.png?200|}}
+Im Anschluss an Systemrollenwahl, Partitionierung und Zeiteinstellung werden Sie gebeten einen ersten Benutzer für das System anzulegen. Dies ist nicht notwendig. Wählen Sie einfach den Punkt "Benutzereinstellung überspringen" aus.{{ :invis_server_wiki:installation:firewall_und_ssh.png?300|}}
-Die entsprechenden Einstellungen lassen sich in der Installationszusammenfassung vornehmen.
+Damit Sie Ihren Server direkt nach dem Setup per SSH erreichen können, ist der SSH Dienst zu aktivieren und der entsprechende Port (22) in der Firewall zu öffnen. Anders als bei den Leap 42.x Versionen ist ab Leap 15.0 die Firewall wieder grundsätzlich aktiv. Nebenbei sei bemerkt, dass es sich hierbei nicht mehr um die "SuSEfirewall2", sondern den von RedHat entwickelten "firewalld" handelt. Klicken Sie in der Installationszusammenfassung unter Punkt "Firewall und SSH" auf die beiden Links "Aktivieren" und "Öffnen".
 Bestätigen Sie Ihre Einstellungen und überlassen Sie Ihren zukünftigen Server für eine Weile sich selbst; Zeit für ein **[[https://en.opensuse.org/openSUSE:Beer|Bier]]** ;-).
-Sollten Sie bei der Installation nicht die Online-Repositories hinzugefügt haben, führen Sie nach Abschluß der Installation zunächst ein vollständiges Online-Update durch. Hierzu bietet sich entweder YaST oder die direkte Verwendung des Paketmanagers //**zypper**// an:
+Sollten Sie bei der Installation nicht die Online-Repositories hinzugefügt haben, führen Sie nach Abschluss der Installation zunächst ein vollständiges Online-Update durch. Hierzu bietet sich entweder YaST oder die direkte Verwendung des Paketmanagers //**zypper**// an:
 <code>
@@ Zeile 82: / Zeile 87: @@
   - **spins:invis:stable** - Stabile Version der invis-Server Setup Pakets. Nutzen Sie dieses Repository für produktiv genutzte invis-Server
   - **spins:invis:unstable** - In Entwicklung befindliche Versionen der invis-Server Setup Pakets. Nutzen Sie dieses Repository, wenn Sie uns mit Rat, Tat, Lob oder Kritik bei der Weiterentwicklung unterstützen möchten.
-Ab invis-Server Version 12.0 bieten wir eigene Samba-Pakete inkl. Active-Directory an. Diese werden in gesonderten Repositories bereit gestellt. Auch hier wird zwischen "stable" und "unstable" unterschieden:
-  - **spins:invis:stable:samba46** - Stabile und getestete Samba-Pakete
-  - **spins:invis:unstable:samba** - Experimentelle Samba-Pakete zum Testen. Auch hier wünschen wir uns Feedback.
 Zur Einbindung des gewünschten Repositories haben wir mit //**invisprep**// ein Script erstellt, welches diesen Schritt automatisch durchführt.
@@ Zeile 99: / Zeile 99: @@
 linux:~ # wget -O invisprep.gz http://wiki.invis-server.org/lib/exe/fetch.php/invis_server_wiki:invisprep.gz
 </code>
-//**Hinweis:** invisprep wurde bereits so angepasst, dass invis-Server 13.0 damit bereits aus dem unstable Zweig installiert werden kann.//
 Danach kann das invis-Setup Paket installiert werden:
@@ Zeile 106: / Zeile 104: @@
 <code>
 linux:~ # zypper ref
-linux:~ # zypper in invisAD-setup-12
+linux:~ # zypper in invisAD-setup-13
 </code>
+(Stand Mai 2018: Für die Stable-Installation lesen Sie bitte [[https://wiki.invis-server.org/doku.php/invis_server_wiki:installation#installation_invis_ad_ab_version_110|hier]] weiter.)
 oder "unstable"
@@ Zeile 113: / Zeile 113: @@
 <code>
 linux:~ # zypper ref
-linux:~ # zypper in invisAD-setup-13
+linux:~ # zypper in invisAD-setup-14
 </code>
@@ Zeile 120: / Zeile 120: @@
 //**Hinweis:** Dass bei der Installation des invisAD-setup RPMs sehr viele weitere Software-Pakete installiert werden ist normal. ;-)//
-//**Hinweis:** Beim Installieren des Setup-Paketes bemängelt **zypper** einen Paketkonflikt bezüglich des Nameservers "bind". Wählen Sie Lösungsvorschlag Nr.: **1**//
+//**Hinweis:** Beim Installieren des Setup-Paketes bemängelt **zypper** einen Paketkonflikt bezüglich unseres eigenen DHCP-Server Pakets "invisdhcp". Wählen Sie Lösungsvorschlag Nr.: **1**//
 ===== Netzwerkkonfiguration =====
@@ Zeile 128: / Zeile 128: @@
   * Der Name muss dem Schema **//host.domain.tld//** gehorchen. (//host.tld// ist **nicht** zulässig!)
-  * Für die Top-Level-Domain (TLD) muss eine Fantasie-Domain wie beispielsweise //**.loc**//, //**.local**// oder //**.lan**// verwendet werden. Die Verwendung einer im Internet gültigen Domain führt zu Problemen beim Routing und dem EMail-Handling.
+  * Für die Top-Level-Domain (TLD) sollte eine Fantasie-Domain wie beispielsweise //**.loc**//, //**.lan**// oder //**.corp**// verwendet werden. Die Verwendung einer im Internet gültigen bzw. bereits vergebenen Domain führt zu Problemen beim Routing und dem EMail-Handling.
+//**Hinweis:** Dieses Thema ist hoch umstritten. Die für die Zulassung von Top-Level-Domains zuständige Organisation ICANN warnt wegen der ständig neu zugelassenen TLDs vor Domain-Kollisionen, hat aber die Vergabe von beispielsweise .corp auf unbestimmte Zeit zurück gestellt. [[https://heise.de/-2062606|Infos zum Thema]]. Unserer Meinung nach fällt es gerade kleineren Unternehmen, an die sich unser Projekt ja wendet, schwer auch für interne Zwecke mit offiziell registrierten Domains zu arbeiten. Es steht Ihnen natürlich frei dies zu tun.//
 Um die Benennung der Netzwerkschnittstellen mit den einzelnen Firewall-Zonen eines invis-Servers in Verbindung zu bringen, haben wir uns entschlossen, auf Basis von udev-Regeln klare Namen für die Netzwerkschnittstellen zu vergeben. Auch die Benennung der im Laufe des Setups einzurichtenden VPN-Schnittstelle wurde ein entsprechender Name gegeben:
@@ Zeile 138: / Zeile 140: @@
 Die erste Netzwerkkarte des Systems (extern) stellt die Verbindung des Servers mit dem Internet her - entspricht somit der externen Zone Ihrer Firewall.
-Verwenden Sie vor dem Server einen Router, sollten Sie "extern" als DHCP-Client Konfigurieren. Wenn Sie ein Modem oder einen Router im Pass-Through Modus verwenden müssen Sie sie als PPPoE-Device einrichten und Ihren DSL-Zugang einrichten. Sorgen Sie dafür, dass bei der Internet-Einwahl **nicht** der verwendete DNS-Server geändert wird.
+Je nach dem, wie der dem invis-Server vorgeschaltete Router konfiguriert ist, müssen Sie "extern" als DHCP-Client oder gemäß den Vorgaben Ihres Providers Konfigurieren.
 Die zweite Netzwerkkarte (intern) muss mit einer festen IP-Adresse versehen werden. Selbst, wenn über den Internet-Service-Provider eine feste IP-Adresse zur Verfügung steht, ist für das interne Netz die Verwendung eines eigenen Netzes zwingend.
-//**Achtung:** Bevor Sie jetzt die Netzwerkschnittstellen Ihres invis-Servers konfigurieren ein Hinweis dazu. invis-Server können lediglich mit 16 und 24 Bit breiten Netzwerkmasken also "255.255.0.0" und "255.255.255.0" umgehen. Idealerweise konfigurieren Sie für die interne Netzwerkschnittstelle ein privates IP-Netzwerk der Klassen "B" (172.16.0.0 bis 172.31.255.255) oder "C" (192.168.0.0 bis 192.168.255.255). An der Unterstützung von Klasse "A" Netzen arbeiten wir noch.//
+//**Achtung:** Bevor Sie jetzt die Netzwerkschnittstellen Ihres invis-Servers konfigurieren ein Hinweis dazu. invis-Server können lediglich mit 16 und 24 Bit breiten Netzwerkmasken also "255.255.0.0" (/16) und "255.255.255.0" (/24) umgehen. Idealerweise konfigurieren Sie für die interne Netzwerkschnittstelle ein privates IP-Netzwerk der Klassen "B" (172.16.0.0 bis 172.31.255.255) oder "C" (192.168.0.0 bis 192.168.255.255). Über die Unterstützung von Klasse "A" Netzen denken wir noch nach, erachten dies aber nicht wirklich als notwendig für "kleine" Netze.//
 //**Achtung: Vermeiden Sie es Ihrem lokalen Netzwerk typisch Adressbereiche gängiger Router-Modelle zu verpassen. Hier ein paar Beispiele von denen Sie die Finger lassen sollten:**//
@@ Zeile 152: / Zeile 154: @@
 |  192.168.100.0/24  |
 |  192.168.178.0/24  |
+|  192.168.188.0/24  |
-Wir unterteilen die Netze der beiden unterstützten Netzwerkklassen für den DHCP-Server in verschiedene Bereiche eingeteilt (Damit ist **kein** Subnetting gemeint). Die nachfolgende Tabelle zeigt die verschiedenen Bereiche, angezeigt wird jeweils nur der Host-Anteil der IP-Adressen.
+Wir unterteilen die Netze der beiden unterstützten Netzwerkklassen für den DHCP-Server in verschiedene Bereiche (Damit ist **kein** Subnetting gemeint). Die nachfolgende Tabelle zeigt die verschiedenen Bereiche, angezeigt wird jeweils nur der Host-Anteil der IP-Adressen.
 ^  Geräteklasse  ^  Klasse C Netz  ^  Klasse B Netz  ^
@@ Zeile 164: / Zeile 167: @@
 //**Hinweis:** Achten Sie darauf, dass Sie der internen Netzwerkschnittstelle des Servers eine Adresse außerhalb dieser Bereiche geben. Beispielsweise 192.168.x.10 im Falle einer 24Bit Netzwerkmaske oder 172.x.0.10 im Falle einer 16Bit Netzwerkmaske.//
-Die Bereiche können, **müssen aber nicht**, in der Konfiguration des invis-Portals <file>/etc/invis/portal/config.php</file> nach eigenen Anforderungen angepasst werden.
+Die Bereiche können, **müssen aber nicht**, in der Konfiguration des invis-Portals <file>/etc/invis/portal/config.php</file> nach eigenen Anforderungen angepasst werden. Wenn Sie dies tun möchten, sollten Sie es erledigen, bevor Sie die ersten Geräte in Ihr Netzwerk aufnehmen.
 Zur Benennung der Netzwerkschnittstellen steht nach der Installation des invis-Setup RPMs mit //**netsetup**// ein eigenes Script zur Verfügung. Führen Sie es einfach ohne weitere Optionen aus:
@@ Zeile 191: / Zeile 194: @@
   * **Hostname**, entsprechend der obigen Überlegungen
   * **Externe Schnittstelle**: Bei Verwendung eines Routers mit DHCP-Server einfach als DHCP-Client einrichten. Bei Verwendung eines Routers ohne aktiven DHCP-Server ist die Schnittstelle statisch entsprechend der Netzwerk-Konfiguration des Routers einzurichten und zusätzlich der Router als Gateway zu konfigurieren.
-  * **Interne Schnittstelle**: Hier ist eine statische Adresse (bevorzugt Klasse A-Netzwerk) einzurichten. Wichtig ist, dass mit der Adresse auch im letzten Eingabefeld der zuvor vergebene Hostname erneut einzugeben ist. Der Host-Teil der IP-Adresse sollte bezogen auf Ihr Netzwerk im Bereich von 1 bis 10 liegen, da ansonsten die Gefahr besteht, dass Ihr Server in einem der vom DHCP-Dienst verwendeten Bereiche liegt. Diese sind: sonstige Server: 11-19, Drucker 20-50, sonstige IP-Geräte: 60-90 und Client-PCs: 120-199, sowie ein dynamischer Pool von 200-220. Die Bereiche können später in der Konfiguration des invis-Portals angepasst werden.
+  * **Interne Schnittstelle**: Hier ist eine statische Adresse einzurichten. Wichtig ist, dass mit der Adresse auch im letzten Eingabefeld der zuvor vergebene Hostname erneut einzugeben ist. Der Host-Teil der IP-Adresse sollte bezogen auf Ihr Netzwerk im Bereich von 1 bis 10 liegen, da ansonsten die Gefahr besteht, dass Ihr Server in einem der vom DHCP-Dienst verwendeten Bereiche liegt. Diese sind in obiger Tabelle aufgeführt.{{ :invis_server_wiki:installation:network_setup_intern.png?500 |}}
 Prüfen Sie Ihre Konfiguration mit:
 <code>
-linux:~ # ifconfig
+linux:~ # ip address show
-extern    Link encap:Ethernet  Hardware Adresse 08:00:27:DB:46:89
+: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
-          inet Adresse:192.168.240.205  Bcast:192.168.240.255  Maske:255.255.255.0
+    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
-          inet6 Adresse: fe80::a00:27ff:fedb:4689/64 Gültigkeitsbereich:Verbindung
+    inet 127.0.0.1/8 scope host lo
-          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
+       valid_lft forever preferred_lft forever
-          RX packets:282 errors:0 dropped:96 overruns:0 frame:0
+    inet6 ::1/128 scope host
-          TX packets:79 errors:0 dropped:0 overruns:0 carrier:0
+       valid_lft forever preferred_lft forever
-          collisions:0 Sendewarteschlangenlänge:1000
+: extern: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
-          RX bytes:23953 (23.3 Kb)  TX bytes:9356 (9.1 Kb)
+    link/ether 08:00:27:9c:9a:2f brd ff:ff:ff:ff:ff:ff
+    inet 172.22.200.204/16 brd 172.22.0.255 scope global extern
-intern    Link encap:Ethernet  Hardware Adresse 08:00:27:1A:53:3A
+       valid_lft forever preferred_lft forever
-          inet Adresse:192.168.222.10  Bcast:192.168.222.255  Maske:255.255.255.0
+    inet6 fe80::a00:27ff:fe9c:9a2f/64 scope link
-          inet6 Adresse: fe80::a00:27ff:fe1a:533a/64 Gültigkeitsbereich:Verbindung
+       valid_lft forever preferred_lft forever
-          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
+: intern: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
-          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
+    link/ether 08:00:27:d2:de:e6 brd ff:ff:ff:ff:ff:ff
-          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
+    inet 172.18.0.10/16 brd 172.18.255.255 scope global intern
-          collisions:0 Sendewarteschlangenlänge:1000
+       valid_lft forever preferred_lft forever
-          RX bytes:0 (0.0 b)  TX bytes:648 (648.0 b)
+    inet6 fe80::a00:27ff:fed2:dee6/64 scope link
+       valid_lft forever preferred_lft forever
 </code>
+//**Hinweis:** Korrekt bemerkt, das in die Jahre gekommene Tool **ipconfig** ist nicht mehr Bestandteil von openSUSE leap 15.//
 Zu prüfen ist auch ob der Hostname korrekt gesetzt wurde: