invis_server_wiki:installation:post-140

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
invis_server_wiki:installation:post-140 [2018/05/26 18:23]
flacco [Passwortsicherheit]
invis_server_wiki:installation:post-140 [2021/08/23 17:24] (aktuell)
flacco [ownCloud]
Zeile 4: Zeile 4:
  
 ===== Router ===== ===== Router =====
 +Nach der Installation ist es erforderlich ein paar Anpassungen an Ihrem Router vorzunehmen.
 +
 +==== Portweiterleitungen ====
  
 Wenn Sie Ihren invis-Server hinter einem Router betreiben, müssen Sie darin bis zu 5 Portweiterleitungen einrichten, wenn Sie Ihren invis-Server auch via Internet nutzen möchten. Wenn Sie Ihren invis-Server hinter einem Router betreiben, müssen Sie darin bis zu 5 Portweiterleitungen einrichten, wenn Sie Ihren invis-Server auch via Internet nutzen möchten.
Zeile 10: Zeile 13:
  
   - der vom invis Server genutzte "​verschobene"​ SSH-Port (TCP)   - der vom invis Server genutzte "​verschobene"​ SSH-Port (TCP)
-  - Port 443/TCP (HTTPs), ​wenn Sie ActiveSync/​Z-Push ​nutzen möchtenum Mobilgeräte mit der Groupware des Servers zu synchronisieren.+  - Port 443/TCP (HTTPs), ​(ActiveSync/​Z-Push, ​Direktzugriffe auf ownCloud und die Kopano-Webapp).
   - der vom invis Server genutzte "​verschobene"​ HTTPs-Port (TCP) für den Zugriff auf das invis-Portal.   - der vom invis Server genutzte "​verschobene"​ HTTPs-Port (TCP) für den Zugriff auf das invis-Portal.
   - Port 80/TCP (HTTP), ist erforderlich,​ wenn Sie für externe Zugriffe automatisch aktualisierte Zertifikate von Let's Encrypt verwenden möchten.   - Port 80/TCP (HTTP), ist erforderlich,​ wenn Sie für externe Zugriffe automatisch aktualisierte Zertifikate von Let's Encrypt verwenden möchten.
Zeile 20: Zeile 23:
 linux:~ # sine2 showconf linux:~ # sine2 showconf
 </​code>​ </​code>​
 +
 +//​**Hinweis:​** Damit es möglichst nicht zu Konflikten mit anderen Diensten kommt werden zufällige Ports nur im "​dynamischen Bereich"​ (größer 50000) generiert.//​
 +
 +==== DDNS ====
 +
 +Wird ein invis-Server an einer DSL-Leitung betrieben besteht beim Zugriff von extern darauf das Problem, dass sich die IP-Adresse der Internet-Anbindung prinzipiell täglich ändert. Dies erfordert für eine zuverlässige Erreichbarkeit,​ dass der Server unter einem feststehenden Namen erreichbar sind. Die erforderliche Technik namens "​dynamik DNS" beherrschen eigentlich alle Router. Dabei nennt der Router immer wenn er eine neue IP-Adresse erhält diese einem Nameserver, damit dieser sie dem festgelegten Namen zugeordnet werden kann. Es gibt eine Reihe von Providern die DDNS, teils kostenlos anbieten.
 +
 +//​**Hinweis:​** Neben der Nutzung der DDNS-Funktionalität eines Routers, bietet der invis-Server DDNS auch direkt an, dies erfordert allerdings, dass Sie selbst im Internet einen DDNS-fähigen Nameserver betreiben und Besitzer der Domäne sind, der der Name des invis-Servers angehören soll.//
 +
 +//​**Achtung:​** Die Nutzung einer festen IP-Adresse ist zwar praktisch, aber kein Ersatz für einen gültigen Namen. Das liegt einfach daran, dass Zertifizierungsstellen wie Let's Encrypt keine Sicherheitszertifikate auf IP-Adressen ausstellen, sondern nur auf Namen. Sprich, ohne gültigen Namen müssen Sie bei Nutzung von HTTPs immer mit Zertifikatswarnungen rechnen. Das macht sich insbesondere dann nicht gut, wenn Sie Dritten Daten per ownCloud freigeben.//​
 +
 +Eine Anleitung, wie Sie die DDNS-Funktion Ihres invis-Servers nutzen, finden Sie **[[https://​wiki.invis-server.org/​doku.php/​invis_server_wiki:​administration#​ddns_funktion|hier]]**.
 ===== Passwortsicherheit ===== ===== Passwortsicherheit =====
  
Zeile 72: Zeile 87:
  
 Im gezeigten Beispiel wird dafür gesorgt, dass der betroffene Benutzer sein Passwort bei der nächsten Anmeldung ändern muss. Im gezeigten Beispiel wird dafür gesorgt, dass der betroffene Benutzer sein Passwort bei der nächsten Anmeldung ändern muss.
 +
 +===== Let's Encrypt Zertifikate für Externzugriffe =====
 +
 +Die im Laufe der invis-Server-Installation erzeugten eigenen Zertifikate bringen ein Problem mit sich. Greift jemand beispielsweise mit einem Browser via Internet auf Ihren invis-Server zu wird dies mit einer Sicherheitswarnung beantwortet. Die betrifft Zugriffe auf Z-Push, ownCloud oder auch das invis-Portal. Speziell im Falle von ownCloud ist das unschön. Gerade, wenn Sie darüber Dateien mit Dritten teilen möchten, wirkt eine Zertifikatswarnung unseriös.
 +
 +Zwar lässt sich das durch den Import des Server-Stammzertifikates beheben, allerdings ist die Verteilung des Stammzertifikates an Dritte ebenfalls nicht gerade einfach.
 +
 +Eine Umstellung auf "​echte"​ Zertifikate von Let's Encrypt behebt dieses Problem. Für die Umstellung müssen gewisse Voraussetzungen gegeben sein:
 +
 +  - Der Server muss an seinem Betriebsort stehen.
 +  - Im vorgeschalteten Router muss Port 80 auf den invis-Server weitergeleitet sein
 +  - Der Server muss über einen im Internet gültigen Namen verfügen. (DDNS)
 +
 +Sind alle Voraussetzungen erfüllt, genügt es für den Umstieg auf die echten Zertifikate den folgenden Befehl auszuführen:​
 +
 +<​code>​
 +invis:~ # actdehydrated
 +</​code>​
 +
 +Alles weitere geschiet automatisch. ​
  
 ===== NFS Fileserver ===== ===== NFS Fileserver =====
Zeile 117: Zeile 152:
 Melden Sie sich jetzt mit dem zuvor definierten Adminitrationskonto an ownCloud an. Klicken Sie dann auf den Pulldown Pfeil oben rechts und dann auf "​Administration"​. Melden Sie sich jetzt mit dem zuvor definierten Adminitrationskonto an ownCloud an. Klicken Sie dann auf den Pulldown Pfeil oben rechts und dann auf "​Administration"​.
  
-Klicken Sie jetzt links am oberen Rand auf den Eintrag "Apps" und dann auf das PluszeichenKlicken Sie als nächstes auf den Menüeintrag "Nicht aktiviert"​Aktivieren ​Sie aus der Liste nicht aktivierter Apps den Eintrag ​"​LDAP ​user and group backend" und melden ​Sie sich daraufhin einmal ab und wieder an.+Klicken Sie jetzt links am oberen Rand auf den Eintrag "Benutzer" und dann auf das Market-Symbol in Form eines EinkaufswagensEs öffnet sich der ownCloud-MarketplaceSuchen ​Sie dort die Erweiterung ​"​LDAP ​Integration" und installieren ​Sie sie.
  
-Jetzt finden Sie unter "Administration" den Eintrag "LDAP". Dort können Sie ownCloud schrittweise an Ihr Active Directory ​anbinden.+Jetzt finden Sie im Pulldown-Menü rechts oben, unter "Einstellungen" den Eintrag "Nutzer-Einstellungen". Dort können Sie ownCloud schrittweise an Ihr ActiveDirectory ​anbinden.
  
 Im ersten Schritt müssen Sie die Zugangsdaten zum LDAP Server angeben: Im ersten Schritt müssen Sie die Zugangsdaten zum LDAP Server angeben:
  
-  * **Host:** [[ldaps://localhost]]+  * **Host:** [[ldaps://invis.invis-server.lan]] (Ersetzen Sie den Hostname durch de Ihres invis-Servers)
   * **Port:** 636   * **Port:** 636
-  * **Bind-DN:​** ldap.admin@invis-net.loc (Ersetzen Sie die Domäne durch Ihre lokale Domäne)+  * **Bind-DN:​** ldap.admin@invis-net.lan (Ersetzen Sie die Domäne durch Ihre lokale Domäne)
   * **Bind-Passwort:​** Das Password für das "​ldap.admin"​ Konto können Sie sich mit "sine showconf"​ anzeigen lassen.   * **Bind-Passwort:​** Das Password für das "​ldap.admin"​ Konto können Sie sich mit "sine showconf"​ anzeigen lassen.
-  * **Base-DN:​** dc=invis-net,​dc=loc (Ersetzen Sie die Domänenbestandteile durch die Ihrer lokalen Domäne)+  * **Base-DN:​** dc=invis-net,​dc=lan (Ersetzen Sie die Domänenbestandteile durch die Ihrer lokalen Domäne) 
 + 
 +Neuere ownCloud-Versionen unterstützen auch die StartTLS-Methode. Dabei können dann folgende Angaben für die LDAP-Anbindung gemacht werden: 
 + 
 +  * **Host:** [[ldap://​invis.invis-server.lan]] (Ersetzen Sie den Hostname durch de Ihres invis-Servers) 
 +  * **Port:** 389 
 + 
 +Es muss dann die Checkbox "​Benutze StartTLS support"​ aktiviert werden.
  
 //​**Hinweis:​** ownCloud überprüft die Eingaben sofort. Wenn Sie also einen Fehler bei der Konfiguration machen wird dies unmittelbar angezeigt.//​ //​**Hinweis:​** ownCloud überprüft die Eingaben sofort. Wenn Sie also einen Fehler bei der Konfiguration machen wird dies unmittelbar angezeigt.//​
 +
 +//​**Achtung:​** Es scheint, als steckt ein Bug in der LDAP-Anbindung neuerer ownCloud-Versionen (> 10.5 (?)). Wird anfangs bei der Konfiguration des Base-DNS ein Tippfehler gemacht lässt sich dieser nicht mehr beheben, auch wenn ownCloud brav die geänderten Daten anzeigt. In diesem Fall ist die ganze Konfiguration zu löschen und von vorne zu beginnen.//
  
 Auf der zweiten Seite der Konfiguration "​Nutzer-Filter"​ können Einschränkungen dafür vorgenommen werden welche Benutzerkonten von ownCloud im LDAP gefunden werden. Hier sind folgende Angaben zu machen: Auf der zweiten Seite der Konfiguration "​Nutzer-Filter"​ können Einschränkungen dafür vorgenommen werden welche Benutzerkonten von ownCloud im LDAP gefunden werden. Hier sind folgende Angaben zu machen:
Zeile 143: Zeile 187:
 </​code>​ </​code>​
  
-In Schritt drei "Anmeldefilter" ​können ​Sie die Vorgabe "​LDAP-Benutzername" ​einfach beibehalten. Die Anmeldung erfolgt dann mit dem Login-Namen ohne angehängte Domain.+In Schritt drei "Login-Attribute" ​wählen ​Sie zusätzlich zur Vorgabe "AD/LDAP-Benutzername" ​im Auswahlmenü "​Andere Attribute"​ noch das Attribut "​sAMAccountName"​ aus. Die Anmeldung erfolgt dann mit dem Login-Namen ohne angehängte Domain.
  
 Im letzten Schritt legen Sie die Gruppen fest, die von ownCloud im LDAP gefunden und verwendet werden können. Hier sind folgende Angaben zu machen: Im letzten Schritt legen Sie die Gruppen fest, die von ownCloud im LDAP gefunden und verwendet werden können. Hier sind folgende Angaben zu machen:
Zeile 149: Zeile 193:
   * **Nur diese Objekt-Klassen:​** group   * **Nur diese Objekt-Klassen:​** group
   * **Nur diese Gruppen:** Lassen Sie das Feld leer wenn alle Gruppen der Domäne gefunden werden sollen oder wählen Sie die Gruppen aus, auf die Sie ownCloud beschränken möchten.   * **Nur diese Gruppen:** Lassen Sie das Feld leer wenn alle Gruppen der Domäne gefunden werden sollen oder wählen Sie die Gruppen aus, auf die Sie ownCloud beschränken möchten.
 +
 +//​**Achtung:​**Überlassen Sie alles sich selbst identifiziert ownCloud alle AD-Benutzer eindeutig anhand des LDAP-Attributes "​objectGUID"​. Dieser Wert erfüllt zwar das Kriterium der Eindeutigkeit ist aber fürs menschliche Auge eher ungeeignet. Des weiteren exisitiert mit **''​inhume''​** in der invis-Server Toolbox ein Script um den Server von verwaisten Nutzerdaten aus Kopano und ownCloud zu befreien. Dieses Script hat ebenfalls ein Problem mit der "​objectGUID"​. Daher sollte die eindeutige Benutzerzuordnung zwischen ownCloud und AD über das Attribut "​samaccountname"​ erfolgen. Ändern Sie dies in der ownCloud-LDAP-Konfiguration im Reiter "​Experte"​. Tragen Sie dort **"​samaccountname"​** in das Eingabefeld "​UUID-Attribute für Benutzer:"​ ein.//
  
 Damit ist die LDAP bzw. Active Directory Anbindung abgeschlossen und ownCloud bereit zur Nutzung. Einen echten Nutzen hat es natürlich nur dann, wenn Ihr Server über einen DDNS-Namen via Internet erreichbar ist. Damit ist die LDAP bzw. Active Directory Anbindung abgeschlossen und ownCloud bereit zur Nutzung. Einen echten Nutzen hat es natürlich nur dann, wenn Ihr Server über einen DDNS-Namen via Internet erreichbar ist.
 +
 +===== Kimai =====
 +
 +Zum Abschluss der Kimai-Installation muss dessen Setup-Routine durchlaufen werden. Dazu einfach auf denn Link "​Zeiterfassung"​ im invis-Portal klicken und den Anweisungen folgen. Im Verlauf des Setups wird nach dem Passwort des Kimai-Datenbank-Benutzers gefragt. Das können Sie auf der Kommandozeile des Servers mit dem Kommando:
 +
 +<​code>​
 +invis:~ # sine2 showpws
 +</​code>​
 +
 +erfragen. Der zugehörige Benutzer ist schlicht "​kimai"​.
 +
 +Nach Abschluss der Installation ist das Installer Verzeichnis <​file>/​srv/​www/​htdocs/​kimai/​installer</​file>​ zu löschen. Es fehlt noch die Anbindung ans ActiveDirectory. Dazu ist in der Datei <​file>/​srv/​www/​htodcs/​kimai/​includes/​autoconfig.php</​file>​ die Option:
 +
 +<​code>​
 +...
 +$authenticator = "​activeDirectory";​
 +...
 +</​code>​
 +
 +von ''​kimai''​ auf den Wert ''​activeDirectory''​ zu ändern.
 +
 +Das wars. Sie können sich jetzt zunächst mit dem Benutzer "​admin"​ und dem Passwort ''​changme''​ anmelden und Kimai ihrem Berdarf anzupassen.
  
 ===== Kivitendo ===== ===== Kivitendo =====
Zeile 243: Zeile 311:
  
 Für Kivitendo können Sie auch kommerziellen Support erhalten, wenden Sie sich diesbezüglich an eines der Kivitendo-Partner Unternehmen:​ [[http://​www.kivitendo.de/​partner.html]]//​ Für Kivitendo können Sie auch kommerziellen Support erhalten, wenden Sie sich diesbezüglich an eines der Kivitendo-Partner Unternehmen:​ [[http://​www.kivitendo.de/​partner.html]]//​
 +
 +===== WaWision, InvoicePlane =====
 +
 +Alle drei genannten Programme bringen ein Web-gestütztes geführtes Setup mit. Sie müssen die Applikation jeweils nur im Browser öffnen. Das geht am einfachsten über die entsprechenden Links in der local-Section des invis-Portals. Die Webinstaller starten jeweils automatisch.
 +
 +Jedes der drei Programme benötigt eine eigene MariaDB-Datenbank,​ welche bereits von //​**sine2**//​ erstellt wurden. Damit die Programm darauf zugreifen und sie mit Tabellen füllen können, benötigt der jeweilige Installer ​ die Zugangsdaten zur Datenbank, bestehend aus Datenbankname,​ Benutzername des Dantenbankbenutzers und dessen Passwort.
 +
 +Die Passwörter können Sie wie folgt in Erfahrung bringen:
 +
 +<​code>​
 +invis:~ # sine2 showps
 +</​code>​
 +
 +**Datenbank & Benutzername**
 +  * WaWision: DB = wawision, Benutzer = wawision
 +  * InvoicePlane:​ DB = invoiceplane,​ Benutzer = ip
 +
 +
 +
  
 ===== acpupsd einrichten ===== ===== acpupsd einrichten =====
Zeile 294: Zeile 381:
 Um Clients anzubinden müssen Sie Client-Zertifikate und OpenVPN Client-Konfigurationen erzeugen. Um Clients anzubinden müssen Sie Client-Zertifikate und OpenVPN Client-Konfigurationen erzeugen.
  
-Das Erzeugen der Zertifikatsdateien wird seit invis-Server 11.0 mittels des Scripts //​**[[http://​wiki.invis-server.org/​doku.php/​invis_server_wiki:​administration#​verwaltung_von_schluesseln_und_zertifikaten |inviscerts]]**//​ vorgenommen.+Das Erzeugen der Zertifikatsdateien wird seit invis-Server 11.0 mittels des Scripts //​**[[http://​wiki.invis-server.org/​doku.php/​invis_server_wiki:​administration#​verwaltung_von_schluesseln_und_zertifikaten |inviscerts]]**//​ vorgenommen. Für eine Anleitung klicken Sie auf den vorangegangenen Link
  
 Vorgefertigte Client-Konfigurationsdateien,​ die Sie lediglich anpassen müssen finden Sie in der Service-Freigabe Ihres Fileservers. Vorgefertigte Client-Konfigurationsdateien,​ die Sie lediglich anpassen müssen finden Sie in der Service-Freigabe Ihres Fileservers.
  • invis_server_wiki/installation/post-140.1527359005.txt.gz
  • Zuletzt geändert: 2018/05/26 18:23
  • von flacco