[[PageOutline]] = Aufsetzen eines neuen LtspServers from scratch Hier werden Hinweise beschrieben, wie man einen völlig neuen LtspServer im pädagogischen Netzwerk des Kepler-Gymnasiums aufsetzen kann. Dies ist i.d.R. erheblich aufwändiger, als [LtspServerKlonen einen existierenden Server auf eine neue Maschine zu klonen]. == Vorbermerkung Zur Zeit sieht es so aus, als ob wir in Zukunft nur noch virtualisierte Server verwenden werden. Der Rest dieser Seite geht also davon aus, dass ein Virtualisierer (bei uns derzeit ProxMox 2) bereits korrekt aufgesetzt ist. Der "bare metal" Host sollte mit einem RAID 1 aufgesetzt sein, die virtuelle Maschine selbst kann daher ein einfaches Dateisystem haben. Im folgenden gehen wir davon aus, dass das Root-Dateisystem der neuen VM auf `/dev/vda` angelegt wird und der Swap auf `/dev/vdb`. Gelten diese Gegebenheiten zum aktuellen Zeitpunkt nicht mehr, so muss das Vorgehen auf dieser Seite entsprechend angepasst werden. == Edubuntu installieren - Ein aktuelles Edubuntu-Installations-ISO herunterladen und in das virtuelle DVD-Laufwerk der VM einhängen - VM starten - Sprache "Deutsch" auswählen - "Edubuntu installieren auswählen" - "Aktualisierungen herunterladen" auswählen - "Lizensierte Inhalte installieren" auswählen - "LTSP installieren" auswählen - Bei der Partitionswahl "etwas anderes" auswählen, dann wählen: - `/dev/vda1` als `/` - `/dev/vdb1` als Swap - Nutzer "linadmin" mit dem zugehörigen Passwort Die Installation dauert nur wenige Minuten :-). - Installations-DVD aus dem virtuellen DVD-Laufwerk entfernen und den neuen Server booten. == Grundkonfiguration === Netzwerk einrichten - als lindamin einloggen - mittels `sudo -sH` root werden - Unser neuer Server benötigt zuerst eine feste IP-Adresse im Kepler-Netzwerk. {{{ # editor /etc/networks/interfaces }}} - Anpassen nach dem folgende Schema: {{{ # This file describes the network interfaces available on your system # and how to activate them. For more information, see interfaces(5). # The loopback network interface auto lo iface lo inet loopback # The primary network interface auto eth0 #iface eth0 inet dhcp iface eth0 inet static dns-nameservers 10.32.1.251 dns-search kg-fds.de address 10.32.2. netmask 255.240.0.0 gateway 10.32.1.254 network 10.32.0.0 broadcast 10.47.255.255 }}} - Server neu booten Ab jetzt ist unser neuer Server im Kepler-Netzwerk (und im VPN) unter `ssh linadmin@10.32.2.` erreichbar und hat Verbindung zum Internet. Natürlich soll unser neuer Server im Netzwerk auch einen Namen haben, daher - In `paedml:/etc/hosts` einen Eintrag für "ltsp" eintragen und den dnsmasq neu starten. (Hinweis: Steht der neue Server im Lehrernetz, so gehört der Eintrag auf den Rechner `dhcp` (10.16.112.2): `dhcp:/etc/hosts`.) === SSH-Zugang einrichten - Wir loggen uns per `ssh linadmin@ltsp` ein. - Wir werden root mittels `sudo -sH` - Pakete auf den neusten Stand bringen: {{{ # apt-get update # apt-get dist-upgrade }}} - Bevor wir irgend etwas weiteres beginnen, installieren wir einen Editor :-) : {{{ # apt-get install emacs }}} - Root-Login ermöglichen: {{{ # passwd }}} - Den SSH-Schlüssel von `root@LTSP`, sowie die `known hosts` und `authorized_keys` von einem existierenden LtspServer auf unseren neuen Server schieben: - auf einem laufenden LtspServer als root einloggen, dort: {{{ # rsync -a .ssh ltsp: }}} Ab jetzt können sich kup, bau, root@paedml und root@LTSP mit ihren SSH-Schlüsseln einloggen. - Den Passwort-Login für Root unterbinden: {{{ # emacs -nw /etc/ssh/sshd_config # service ssh force-reload }}} Option "`PermitRootLogin without-password`" setzen. === Filesysteme beim Boot automatisch reparieren In `/etc/default/rcS` ändern: {{{ FSCKFIX=yes }}} === Niemals am GRUB-Bootschirm warten - In `/etc/default/grub` einfügen: {{{ # This is a headless server. We never want it to wait for user input: GRUB_RECORDFAIL_TIMEOUT=60 }}} - dann `update grub` ausführen An dieser Stelle bietet sich ein Backup der VM an. == Zugriff auf den paedml === Interne Firewall Damit der neue Server über alle Ports auf den paedml zugreifen darf (für LDAP, NFS, etc), muss dafür ein Eintrag in der Konfiguration der "internen Firewall" der Linuxmusterlösung eingefügt werden. (Siehe auch PaedmlAnpassungen.) In `paedml:/etc/init.d/linuxmuster-base`: {{{ iptables -A IN-eth1-ALLOWED -s 10.32.2./32 -j ACCEPT }}} === NFS-Anbindung Die Anbindung an verschiedene Serververzeichnisse geschieht bei uns momentan gemischt über NFS und CIFS. Das Setup ist aber noch immer im Fluss, siehe u.a. #1213, #1192. Momentan werden die Himeverzeichnisse //nicht// über NFS gemountet (sondern "just in Time" beim Login per `pam_mount` über CIFS (s.u.). Daher ist `home` unten auskommentiert. Je nach Bedarf anpassen! - In `/etc/fstab` hinzufügen (Hinweis: die `noauto` EInträge sind ein Workaround und können möglicherweise inzwischen entfallen, siehe #856): {{{ # Home ueber NFS: #10.32.1.1:/nfsexport/home/students /home/students nfs _netdev,bg,noauto 0 0 #10.32.1.1:/nfsexport/home/teachers /home/teachers nfs _netdev,bg,noauto 0 0 10.32.1.1:/nfsexport/home/share /home/share nfs _netdev,bg,noauto 0 0 10.32.1.1:/nfsexport/tasks /var/cache/sophomorix/tasks nfs _netdev,bg,noauto 0 0 10.32.1.1:/nfsexport/home/ftp/Scans /home/ftp/Scans nfs _netdev,bg,noauto 0 0 10.32.1.1:/nfsexport/home/cds /home/cds nfs _netdev,bg,noauto 0 0 }}} - Verzeichnisse anlegen, richtige Besitzrechte einstellen und mounten {{{ # mkdir -p /home/{students,teachers,share,ftp/Scans,cds} /var/cache/sophomorix/tasks # chgrp teachers /home/teachers # chmod o-r /home/teachers # apt-get install nfs-common # mount -a }}} === LDAP-Anbindung ==== 1. Option: linuxmuster.net-Paket Die einfachste Möglichkeit, die LDAP-Anbindung an den Linuxmuster.net-Server (paedml) einzurichten, wäre sicherlich, das entsprechende linuxmuster.net-Paket zu installieren (`linuxmuster-client-auth`). Die Pakete gibt es aber nur für die LTS-Versionen von Ubuntu. Befinden wir uns auf einer nicht-LTS-Version, müssen wir die Anbindung von Hand vornehmen. ==== 2. Option: LDAP manuell konfigurieren - LDAP-Client-Pakete und Name Server Caching Daemon installieren {{{ # apt-get install ldap-auth-client nscd }}} - Server: `ldaps://10.32.1.1/` - Distinguished name: `dc=kg-fds,dc=de` - LDAP-Version: 3 - Make local root Database admin: ja - LDAP-Login nötig: nein - LDAP account for root: cn=admin,dc=kg-fds,dc=de - LDAP-Root-Passwort: (siehe `paedml:/etc/ldap/slapd.conf`) - Wir verwenden innherhalb des Kepler-Netzwerkes keine Zertifikate für SSL-Verbindungen.\\ Daher in `/etc/ldap.conf` ändern: {{{ tls_checkpeer no }}} - Nun dem [wikipedia:"Name Service Switch"] sagen, dass er die Nutezrinformationen über LDAP beziehen soll:\\ In `/etc/nsswitch.conf` ändern: {{{ passwd: compat ldap group: compat ldap shadow: compat ldap }}} Ab jetzt könnten sich Nutzer des Kepler-Netzwerkes mit ihrem Nutzernamen und Passwort einloggen -- wenn sie ein Homeverzeichnis hätten. Sofern die Homeverzeichnisse nicht komplett über NFS gemountet werden, wird hierzu der Service `pam_mount` verwendet, der die Homeverzeichnisse //just in time// anlegt und mountet. ==== Userspace-LDAP-Unterstützung Außer für die Authentifizierung wollen wir auch LDAP-Anfragen an den paedml schicken, um z.B. Nutzernamen etc. abzufragen (viele unserer Skripte nutzen das). Hierfür werden die folgenden Pakete benötigt: {{{ # apt-get install ldap-utils }}} Die Userspace-LDAP-Tools benutzen ein anderes Konfigurationsfile, als die Authentifizierungstools. In `/etc/ldap/ldap.conf` eintragen: {{{ BASE dc=kg-fds,dc=de URI ldaps://10.32.1.1/ TLS_REQCERT never bind_policy soft }}} === pam_mount konfigurieren (CIFS-Anbindung) Dieser Schritt wird nur benötigt, wenn die Homeverzeichnisse (wie bei der Linuxmuster.net üblich) //just in time// über CIFS gemountet werden. Zudem mounten wir die Verzeichnisse als workaround derzeit nicht direkt nach `/home/`, sondern nach `/home/pam_mounts`. Die Sache ist noch immer in der Testphase. {{{ # apt-get install libpam-mount cifs-utils }}} In `/etc/security/pam_moubnt.conf.xml` ändern/hinzufügen: {{{ }}} {{{ }}} Ab jetzt können sich Nutzer des Kepler-Netzwerkes mit Nutzername und Passwort einloggen und sehen ihr Homeverzeichnis. == LightDM konfigurieren LightDM-Optionen setzen. Z.B. muss die Eingabe eines Benutzernamens erlaubt werden. Die Gast-Sitzung sollte deaktiviert sein. Hier kann auch die voreingestellte Sitzung gewählt werden: In `/etc/lightdm/lightdm.conf`: {{{ [SeatDefaults] user-session=gnome-fallback greeter-hide-users=false greeter-show-manual-login=true greeter-allow-guest=false }}} Um Zugriff per XDMCP zu aktivieren (derzeit noch experimentell) außerdem: {{{ greeter-show-remote-login=true [XDMCPServer] enabled=true }}} - dann {{{ # restart lightdm }}} == Software Einige zusätzliche Software muss installiert und konfiguriert werden. - Siehe hierzu LtspServerUpdate/Saucy: Die dort beschriebenen Prozeduren zu Gnome-Panel, Docky und Hintergrundbild durchführen. - weitere Software: {{{ # apt-get install aptitude dconf-editor subversion nautilus-dropbox synapse virtualbox remmina-plugin-xdmcp codeblocks pingus hedgewars }}} - TODO: weitere? == Vorgaben für Gnome-Settings (dconf) einrichten - User-Datenbank einrichten und erzeugen: {{{ # cat > /etc/dconf/profile/user < /etc/dconf/db/site.d/00_site_settings < /etc/dconf/db/site.d/locks/00_site_locks < /etc/xdg/autostart/synapse.desktop < /etc/xdg/autostart/ltsp-startup.desktop <