Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- invis_server_wiki:upgrade [2016/04/23 09:14]
flacco [Nacharbeit]
+++ invis_server_wiki:upgrade [2016/07/25 07:42]
flacco [invisAD 10.4 -> invisAD 11.0]
@@ Zeile 66: / Zeile 66: @@
 Dabei stößt //**zypper**// auf einen Paketkonflikt mit dem Paket "php5-mapi-7.2.0". Wählen Sie hier Lösung 1, die Installation des erwähnten Paketes. Daraus resultiert kein weiteres Problem, da das Paket durch ein neues geringfügig anders benanntes Paket ersetzt wird.
+Installiert werden muss auch das Paket "zarafa-compat":
+<code>
+linux:~ # zypper in zarafa-compat
+</code>
 Ist die Installation der neuen Pakete abgeschlossen, müssen manuell alle Reste der alten Paket-Struktur entfernt werden. Das lässt sich am besten per YaST erledigen. Suchen Sie hier in der Software-Verwaltung nach "zarafa" und entfernen Sie alle Pakete die "7.2.0" im Namen oder als Versionsnummer tragen.
@@ Zeile 78: / Zeile 84: @@
 linux:~ # chown -R zarafa.zarafa /srv/zarafa/
 linux:~ # chown -R zarafa.zarafa /var/log/zarafa/
-linux:~ # choen -R .zarafa /etc/zarafa/*
+linux:~ # chown -R .zarafa /etc/zarafa/*
+linux:~ # chown -R zarafa.zarafa /var/lib/zarafa/
 </code>
@@ Zeile 98: / Zeile 105: @@
 </code>
-Sie müssen jetzt Ihre individuellen Konfigurationen in die neue Datei übernehmen. Die wichtigen Anpassungen im Einzelnen:
+Sie müssen jetzt Ihre individuellen Konfigurationen in die neue Datei übernehmen.
+//**Hinweis:** Auf Systemen, die sowohl IPv4 als auch IPv6 unterstützen müssen Sie in allen Konfigurationstateien, in denen URLs genannt sind, die "localhost" enthalten, dies auf die IP-Adresse "127.0.0.1" ändern. Ansonsten wird der Name "localhost" in die IPv6 Adresse "::1" aufgelöst, womit Zarafa (derzeit) nicht umgehen kann.//
+Alle weiteren wichtigen Anpassungen im Einzelnen:
 **ical.cfg**
@@ Zeile 269: / Zeile 280: @@
 //**Achtung:** Nicht enthalten ist der Lizenz-Dienst in den Open-Source Paketen.//
+Auch an der Konfiguration des License-Daemons muss der Pfad zum Zarafa-Socket an das neue Setup angepasst werden.
+**licensed.cfg**
+<code>
+...
+# The URL on which we can contact zarafa-server
+# default: file:///var/run/zarafa
+server_socket = file:///var/run/zarafad/prio.sock
+...
+</code>
+//**Achtung:** Beobachten Sie nach dem Upgrade die Logfiles des Zarafa-Servers, stellen Sie notfalls die Log-Level der einzelnen Dienste vorübergehend hoch. Testen Sie jetzt alles aus. Sollten Fehler auftauchen (davon gab es bei meinen Upgrades reichlich), hat es sich als rettende Maßnahme erwiesen im Zweifel alle Zarafa-Pakete per YaST einfach noch einmal "drüber" zu installieren. Danach müssen erneut die Rechte an den Zarafa-Konfigurationsdateien wie eingangs beschrieben gesetzt werden.//
 ==== "kleines Update" mit dem invis-updater Script ====
@@ Zeile 397: / Zeile 421: @@
 "gelöst".
+Fügen Sie jetzt als vorübergehenden Workaround für eine mit Version 4.2.9 eingeführte Sicherheitseinstellung folgende Zeile in <file>/etc/samba/smb.invis.conf</file> ein:
+<code>
+...
+ldap server require strong auth = no
+...
+</code>
+//**Hinweis:**Diese Einstellung verhindert, dass Sambas LDAP Dienst eine verschlüsselte Verbindung oder eine Kerberos-Authentifizierung erfordert. Die "starke" Authentifizierung erhöht die Sicherheit des LDAP-Dienstes deutlich, leider unterstützen einige Komponenten des invis-Servers bis einschließlich Version 10.4 noch nicht. Da auf einem invis-Server die Anmeldungen am LDAP-Dienst in der Regel nur über "localhost" erfolgen erwächst daraus kein erhöhtes Sicherheitsrisiko. Ab invis-Server Version 11.0 kann diese Einstellung wieder entfernt werden.//
 Führen Sie jetzt das Script //**afterup**// aus:
@@ Zeile 425: / Zeile 459: @@
 </code>
-Durch Auswahl von "Lösung 1" lies sich das Problem beheben. Da sie auch die Blockade eines "systemd" Updates verursachte wird auch diese Update gleich mit erledigt.
+Durch Auswahl von "Lösung 1" lies sich das Problem beheben. Da sie auch die Blockade eines "systemd" Updates verursachte wird auch diese Update gleich mit erledigt. Sollte ein weiterer, ähnlicher Konflikt folgen, kann dieser auch durch Lösung 1 behoben werden.
 Sie können sich jetzt mit
@@ Zeile 443: / Zeile 477: @@
 === Clamav ===
-Das Clamav beim regulären Update nicht vollständig aktualisiert wurde liegt daran, dass für openSUSE 13.1 lediglich Version 0.99 zur Verfügung steht. Das Bugfix-Release 0.99.1 stellen wir über unser invis-common Repository zur Verfügung. D.h. Das Upgrade erfordert also einen Anbieter-Wechsel.
+Wenn Clamav beim regulären Update nicht vollständig aktualisiert wurde, liegt daran, dass für openSUSE 13.1 keine aktuelle Clamav Version zur Verfügung steht. Alternativ stellen wir aktuelle Bugfix-Releases über unser invis-common Repository zur Verfügung. D.h. Das Upgrade erfordert also einen Anbieter-Wechsel.
-Der Versuch Clamav zu aktualisieren liefert folgenden Hinweis:
+Der Versuch Clamav zu aktualisieren liefert dann folgenden Hinweis:
 <code>
@@ Zeile 457: / Zeile 491: @@
 </code>
-Entsprechend dem Hinweis sieht dann das Upgrade aus:
+Wird dies nicht angezeigt, wurde bereits eine aktuelle Version installiert.
+Entsprechend obigem Hinweis sieht dann das Upgrade aus:
 <code>
@@ Zeile 646: / Zeile 682: @@
 Das Upgrade lief etwa eine Stunde. Obwohl ich vermutet hatte, dass es mit Grub Probleme geben würde, habe ich mich zu einem direkten Reboot entschieden und mein System startete nicht mehr.
-Um das zu beheben habe ich zur "Super-Grub-Disk" gegriffen **(und das ist an einem 1. April ein ECHTER Spaß)** und mein System gestartet, was ebenfalls problemlos funktionierte.
+Um das zu beheben habe ich zur "Super-Grub-Disk" gegriffen **[[https://www.youtube.com/watch?v=CDqQWXYD2RI|(und das ist an einem 1. April ein ECHTER Spaß)]]** und mein System gestartet, was ebenfalls problemlos funktionierte.
 Zum Beheben der Probleme genügte es Grub neu in die MBRs aller Festplatten zu installieren:
@@ Zeile 657: / Zeile 693: @@
 Der nächste Reboot funktioniert dann ohne Super-Grub-Disk (hätte man auch vorher erledigen können), allerdings ohne unser invis-Grub-Theme. Das wiederherzustellen ist aber allenfalls Kosmetik und fällt in die Rubrik Nacharbeit.
-...und Nacharbeit gibt es, wäre ja auch ein bisschen zuviel des Guten, wenn ein System nach Neuinstallation von mehr als 1300 Paketen Problemlos funktioniert.
+...und Nacharbeit gibt es, wäre ja auch ein bisschen zu viel des Guten, wenn ein System nach Neuinstallation von mehr als 1300 Paketen Problemlos funktioniert.
 === Nacharbeit ===
@@ Zeile 877: / Zeile 913: @@
 Ansonsten gilt: **Wilkommen zu Ihrem aktuellen invis-Server**
-===== invisAD 10.4 -> invisAD 10.5 =====
+===== invisAD 10.4 -> invisAD 11.0 =====
-Mit Version 10.5 des invis-Servers ergeben sich ein paar strukturelle Unterschiede. Allem voran geht dabei die Umstellung der "Public Key Infrastructure", also die Organisation von Schlüsseln und Zertifikaten für die verschiedenen Verschlüsselungsaufgaben.
+Mit Version 11.0 des invis-Servers ergeben sich ein paar strukturelle Unterschiede. Allem voran geht dabei die Umstellung der "Public Key Infrastructure", also die Organisation von Schlüsseln und Zertifikaten für die verschiedenen Verschlüsselungsaufgaben.
 Bisher wurden zwei sogenannte Zertifizierungsstellen (CA) erstellt, davon diente eine zur Verwaltung der Schlüssel und Zertifikate für die verschiedenen Serverdienste (LDAP, Mail, Web) und eine zweite ausschließlich für openVPN. Zur Pflege der Schlüssel- und Zertifikate wurde das Toolkit "easy-rsa" in Version 2.0 verwendet, der Rest direkt mit //**openssl**// und eigenen Scripten.
-Das Toolkit "easy-rsa" liegt inzwischen in Version 3.0 vor und wurde im Zuge der Weiterentwicklung deutlich verbessert. Nach ersten Tests damit war klar, dass easy-rsa 3.0 ideal zur Verwaltung aller Schlüssel- und Zertifikaten eines invis-Servers ist. Kurzum ab Version 10.5 verfügen invis-Server nur noch über eine mit easy-rsa erstellte Zertifizierungsstelle.
+Das Toolkit **"easy-rsa"** liegt inzwischen in Version 3.0 vor und wurde im Zuge der Weiterentwicklung deutlich verbessert. Nach ersten Tests damit war klar, dass easy-rsa 3.0 ideal zur Verwaltung aller Schlüssel- und Zertifikaten eines invis-Servers ist. Kurzum ab Version 11.0 verfügen invis-Server nur noch über eine mit **easy-rsa** erstellte Zertifizierungsstelle.
 Aus dem bisherigen Script //**serverkeys**// zur Generierung  von Serverzertifikaten wurde //**inviscerts**//. Die Handhabung des Scripts wird im Abschnitt "invis Administration" erläutert.
-Beim Upgrade von 10.4 auf 10.5 müssen die Schritte zum Aufbau einer PKI die //**sine**// während des Setups erledigt manuell vorgenommen werden.
+Beim Upgrade von 10.4 auf 11.0 müssen die Schritte zum Aufbau einer PKI die //**sine**// während des Setups erledigt manuell vorgenommen werden.
 ==== Aufbau einer Public Key Infrastruktur mit easy-rsa ====
@@ Zeile 957: / Zeile 993: @@
 <code>
-linux:~ easyrsa gen-dh
+linux:~ # openssl gendh -out $path/$domain/dh.pem -2 2048
+linux:~ # openssl gendh -out $path/$domain/dh_512.pem -2 512
 </code>
+Die Diffie-Hellman Parameter-Dateien werden bewusst direkt mit //**openssl**// erstellt, da das Script //**easyrsa**// immer die in der Konfiguration vorgegebene Schlüssellänge verwendet. Diese sollte auf 4096Bit eingestellt sein. Der Bau einer 4096 Bit großen DH-Parameterdatei dauert allerdings je nach System mehrere Stunden. Außerdem wird für die überarbeitete Postfix-Konfiguration noch eine 512Bit lange Datei benötigt.
 **CRL erzeugen**
 <code>
-linux:~ easyrsa gen-crl
+linux:~ # easyrsa gen-crl
 </code>
 Hierfür wird wieder das CA-Passwort benötigt.
+=== Aufbau der invis-Server Verzeichnisstruktur ===
+Es sind drei neue Verzeichnisse anzulegen:
+<code>
+linux:~ # mkdir /etc/invis/certs
+linux:~ # mkdir /etc/invis/private
+linux:~ # mkdir /etc/openvpn/keys
+</code>
+Jetzt muss das Stammzertifikat der Zertifizierungsstelle "verteilt" werden:
+<code>
+linux:~ # cp /etc/easy-rsa/yourdomain.tld/ca.crt /etc/invis/certs/
+linux:~ # cp /etc/easy-rsa/yourdomain.tld/ca.crt /etc/openvpn/keys/
+</code>
+Ebenfalls zu kopieren sind die CRL, sowie die Diffie-Hellman-Parameter Dateien
+<code>
+linux:~ # cp /etc/easy-rsa/yourdomain.tld/dh.pem /etc/openvpn/keys/
+linux:~ # cp /etc/easy-rsa/yourdomain.tld/crl.pem /etc/openvpn/keys/
+linux:~ # cp /etc/easy-rsa/yourdomain.tld/dh*.pem /etc/postfix/
+</code>
+Jetzt können wie im Abschnitt "invis Administration" beschrieben Schlüssel und Zertifikate für den Server erstellt werden.
+Um die Umstellung zu komplettieren, müssen die Pfade zu Schlüsseln- und Zertifikaten in den Konfigurationsdateien des Apache-Webservers, von Postfix und ggf. Dovecot, von Samba und openVPN an die neuen Verzeichnisse und Dateinamen anzupassen.
+Eine detaillierte Anleitung dafür folgt.
 ====== invis-Classic -> invis-AD ======