LM v7 Walkthrough

[baumhof]

Hallo Michael,

Mar 5 08:44:20 bw-nb01 cifs.upcall: key description:
cifs.spnego;0;0;39010000;ver=0x2;host=server.fsmw.lan;ip4=10.0.0.1;sec=krb5;uid=0x0;creduid=0x0;user=global-admin;pid=0x83e

/etc/krb5.keytab vor Domänenaufnahme am Client gelöscht?
Vielelicht versucht er den Key, wenn die Datei da ist.
Also erst löschen, dann nimmt er die Credentials.
nur so eine Idee

LG

Holger

[mdt]

@baumhof

mit denen mountet er
das sysvol

Nein, genau das schlägt ja fehl wie ich schrieb.

@baumhof

Liegt bei dir auf dem Server der key

Ja.

@baumhof

er ist in der workstations

Das verstehe ich nicht. Ich habe die MAC in eine devices.csv aufgenommen - meinst du das?

@baumhof

die /etc/k3b.keytab (oder so) wurde gelöscht

Ja.

@baumhof

die /etc/fstab ist korrekt gepatched: Domain und Rechnernamen stimmen

Die Datei enthält bei mir keine Rechner oder Domainnamen, nur lokale Geräte.

@baumhof

Also erst löschen, dann nimmt er die Credentials

Gerade nochmal gemacht, keine Änderung.

[mdt]

Für uns alle zum merken:

Wenn die Uhrzeit nicht stimmt, geht nix mit Kerberus!

Die Uhr lief vor: 05.03.2020 09:16:16 statt 2020-03-04T22:22. Das mag der Höllenhund garnicht … puh! Danke für eure Hilfe

Apropos: Das Readme erwähnt /srv/linbo/linuxmuster-client/bionic/common/etc/systemd/timesync.conf die ich nicht habe… auch auf dem client nicht. Sie heisst …syncd…

[baumhof]

Hallo Michael,

baumhof:

er ist in der workstations

Das verstehe ich nicht. Ich habe die MAC in eine |devices.csv|
aufgenommen - meinst du das?

ja.
workstations ist lmn6.2 …

baumhof:

die /etc/fstab ist korrekt gepatched: Domain und Rechnernamen stimmen

Die Datei enthält bei mir keine Rechner oder Domainnamen, nur lokale Geräte.

das ist falsch.
Die wird durch den postsync gepatched.
Das mußt du korrigieren.

Sie sollte so aussehen, wenn dein Rechner
r100pc01 und die Domäne wedlergymnasium heisen
ServerIP ist 10.16.1.1

[baumhof]

Hallo Michael,

Wenn die Uhrzeit nicht stimmt, geht nix mit Kerberus!

Die Uhr lief vor: 05.03.2020 09:16:16 statt 2020-03-04T22:22. Das mag
der Höllenhund garnicht … puh! Danke für eure Hilfe

Apropos: Das Readme erwähnt

/srv/linbo/linuxmuster-client/bionic/common/etc/systemd/timesync.conf|
die ich nicht habe… auch auf dem client nicht. Sie heisst …syncd…

ich hab es angepaßt im Readme.

LG

Holger

[Michael]

@mdt

Wenn die Uhrzeit nicht stimmt, geht nix mit Kerberus

… und seitdem die Uhrzeit stimmt, klappt auch das Kopieren wieder? Oder gibt es weiterhin ein Problem?

Die Sache mit dem Timeserver und ntp wurde ja erst kürzlich hier diskutiert:

Ntp.service status inactive (dead)

Hallo, unter folgender Version: root@server:~# dpkg -l | grep linuxmuster ii linuxmuster-base7 7.0.44-0ubuntu0 ii linuxmuster-linbo-common7 2.3.53-0 ist nach jedem reboot der ntp.service inactive (dead) wie eine Abfrage mit systemctl status ntp zeigt. Wir müssen nach jedem Neustart des Servers ein restart: systemctl restart ntp absetzen, dann läuft er erst wieder. Obwohl der Dienst enabled ist, wie im folgenden zu sehen: root@server:~# systemctl status ntp ● ntp.service - Netw…

[mdt]

@Michael

seitdem die Uhrzeit stimmt, klappt auch das Kopieren

Ja, problemlos. Ich habe jetzt im walkthrough einen flow, die uhrzeit auf dem client so zu setzen wie auf dem server. ntp kommt ja erst später.

Das walkthrough bedient jetzt auch LINBO fern sodass auch ein Client „unattended“ installiert wird…

[mdt]

So, der aktuelle Stand ist: Ohne Eingriff wird nun alles (Netz, Opnsense, Server, Client) installiert, provisioniert und migriert. Ich kann mich mit meinem alten Nutzer aus dem alten Setup anmelden. Allerdings funktioniert SSO nicht, ich muss mich dem Proxy gegenüber erneut anmelden (was funktioniert und ich dann auch surfen kann).

Wo kann ich suchen?

Ach ja: Die Standard Firefox Konfiguration enthält ein paar Artefakte anderer Installationen, zB „lmn.lan“ oder „windeck-gymnasium.de“. Und: Ich dachte immer, das Home vom „linuxuser“ würde beim Anmelden kopiert, ich habe aber das Home von „linuxadmin“ (oder liegt das daran, dass ich Lehrer / Admin oder eine ähnlich andere Rolle habe?

[Michael]

@mdt

Firefox Konfiguration enthält ein paar Artefakte anderer Installationen

… das liegt einfach daran, dass (nach meinem Wissen) Dominik und Holger den bionic-Client bei sich vorbereitet haben, ihn an ihre Schulen angepasst haben und ihn dann in die weite Welt entlassen haben. Daher stehen diese Einträge noch im Firefox-Profil. Kann man aber leicht ändern …

@mdt

Ohne Eingriff wird nun alles (Netz, Opnsense, Server, Client) installiert, provisioniert und migriert.

Starke Leistung! Applaus!

Allerdings funktioniert SSO nicht,

Hast du in der OPNSense denn SSO schon aktiviert?

[mdt]

@Michael

Kann man aber leicht ändern

Klar, es war nur ein Hinweis, dass da noch Domains stehen da hier einige vorsichtig sind mit ihren Domains (besonders, wenn sie offizielle Domains nutzen).

Wenn ich herausgefunden habe, was ich im FF umstellen muß, damit der Kerberos macht, wird das in dem walkthrough gleich mitangepasst.

[Michael]

@mdt

da hier einige vorsichtig sind mit ihren Domains

Ich ersetze die auch immer, wenn ich hier Konfigurationen poste … nervt zwar, aber ich bekomme auch schon so genügend eMails von unserem Wordpress, dass wieder diese oder jene IP für 24 Stunden gesperrt wurde, weil zu viele falsche Logins ausprobiert wurden. Muss man ja nicht unbedingt noch befeuern, indem die domain überall auftaucht und automatisch abgegriffen werden kann, meine ich…

Jedenfalls: Danke, fail2ban!

@mdt

Wenn ich herausgefunden habe, was ich im FF umstellen muß

Hier ein Screenshot, wie es bei mir zZ aussieht – die alten Einträge hatte ich dort auch gelöscht:

Ähnliches müsste man dann aber auch für Chromium etc einstellen?!?
Hm – habe gerade gesehen, dass Chromium auf die Systemeinstellungen verweist:
Netzwerk → Netzwerk-Proxy und da steht: AUS

Im Moment steht der Client hier aber auch noch in der OPNSense unter
Firewall --> Alias --> NoProxy in der Ausnahmeliste

Hast du bei dir auf der OPNSense-FW unter „Dienste → WebProxy → Single Sign On“ etwas eingestellt?

Setup und Inbetriebnahme des Systems

[mdt]

@Michael

Hast du bei dir auf der OPNSense-FW

Verdammt, den Schritt habe ich verschwitzt… der lässt sich nicht automatisieren, weil Opnsense kein hübschen Shell-Commands hat wie das mustergültige Linuxmuster.

[Michael]

Warum nicht? Packt OPNSense diese Einträge in Konfigurationsfiles oder in Datenbanken?

[mdt]

@Michael

Warum nicht

Vor allem,weil es nicht dokumentiert ist.

Ich habe jetzt gesehen, dass die eine Menge Scripte (php, python, shell) nutzen, die das Menü einfach aufruft. Ein chsh funktioniert auch, dann hat man sofort eine Shell und kann per ssh fernsteuern. Alles ist aber eben Reverse-Engenieering, was wenig Spass macht.

Du siehst: Ich bin dran

[Michael]

Hast du’s schon im OPNSense-Forum versucht? Da findet man auch Hilfe, wenn’s klemmt … https://forum.opnsense.org/index.php?board=6.0

[mdt]

Ich habe im Forum folgendes gefunden:

is it possible to add a firewall rule from CLI?

Not with the default tools - you would have to edit /config/config.xml or write a service file and reload the filter afterwards. There is no command for that

Generell scheint bei denen in Richtung Automation wenig Interesse zu bestehen. Das Tool configctl wird nicht dokumentiert und die API enthält nur eine magere Handvoll Funktionen.

[Michael]

Hallo, was mir noch einfiel: beim Setup des Servers werden doch auch ein paar Settings automatisch auf der OPNSense-FW eingetragen, wie zB die Gateways (bei Subnetting) u.ä… Vielleicht ist das ein Ansatz, wo du dich mit deinem Script einklinken kannst?

[mdt]

@Michael

werden doch auch ein paar Settings automatisch auf der OPNSense-FW eingetragen

Hast du einen Pointer für mich?

[Michael]

Guck mal hier rein

linuxmuster/linuxmuster-base7/blob/master/sbin/linuxmuster-import-subnets

Da sind einige Zugriffe auf die Firewall

[mdt]

@Michael

Guck mal hier rein

Danke!

Wow, das nutzt sowohl die API als auch Ändern der XML-Config.

Ich habe für beides keine Doku gefunden und bei vielen Funktionen der API ein ‚not found‘ zurückerhalten.

Die API wäre schon der richtige Weg, nur ohne Doku? Das XML zu ändern halte ich für gefährlich. Hm. Für den Python-Code zeichnet thomas@linuxmuster.net (ist das @thomas hier?) verantwortlich, hat Thomas mehr Informationen (und könnte mir weiterhelfen)?