Hegyd Doc - Nouvelles pages [fr]

WPS在线协作编辑表格多人同时填表实时更新

SteveGrace2976 — Tue, 19 May 2026 07:50:19 GMT

SteveGrace2976 : Page créée avec « 想象一下，你的团队正在赶一个紧急的项目进度表，五个人同时打开同一个表格，有人填数据，有人改公式，有人加批注，… »

想象一下，你的团队正在赶一个紧急的项目进度表，五个人同时打开同一个表格，有人填数据，有人改公式，有人加批注，而所有人看到的都是同一个实时刷新的版本。没有"版本冲突"的红色警告，没有"文件已被锁定"的弹窗，更没有"我明明保存了为什么你的还是旧数据"的争吵。这不是科幻片里的未来办公，而是WPS在线协作编辑表格正在为你实现的日常。 WPS的多人同时填表功能，彻底撕掉了传统表格"单机游戏"的标签。过去，一份表格在微信群里传来传去，最后谁也不知道哪个是最终版；或者你辛辛苦苦填完数据，发现同事已经覆盖了你的修改，那种崩溃感足以让人想砸键盘。现在，WPS让所有人像在同一个黑板前写字一样，你填一行，我改一列，他加一个筛选条件，所有操作实时同步，每一个单元格的变化都像心跳一样即时跳动在每个人的屏幕上。这种"所见即所得"的协作体验，不仅省去了反复合并、核对的时间，更让团队的工作节奏从"接力赛"变成了"齐步走"。 更让人心动的是，它不需要任何复杂的部署或学习成本。你只需要在WPS中创建一个在线表格，分享一个链接，设置好编辑权限，然后就可以邀请同事、客户甚至跨部门的合作伙伴一起进入这个"虚拟工作台"。无论是财务部月底对账，还是市场部收集活动数据，甚至是几十个人同时填报一份调研问卷，WPS都能轻松承载。你甚至能看到谁正在编辑哪个单元格，光标位置、姓名标签一目了然，就像大家围坐在同一张会议桌前，每个人手里的笔都看得清清楚楚。 实时更新的魅力还在于，它让"决策"不再滞后。当销售数据在表格里跳动更新时，管理层可以立刻看到最新趋势；当项目进度被多人同时推进时，风险点会第一时间暴露在所有人眼前。这种信息的零延迟流转，让团队从"事后总结"转向"实时响应"，每一个动作都带着当下的温度，而不是隔夜的冷饭。 [https://www.wpsxzgw.com WPS]在线协作编辑表格，不是把Excel搬到了网上那么简单。它重新定义了"表格"的边界——从一个人孤独的格子，变成一群人共舞的舞台。它让数据不再是死板的数字，而是流动的、有生命的协作语言。如果你还在为表格的混乱版本和低效沟通头疼，不妨试试让WPS成为你的团队新基建。毕竟，在这个快节奏的时代，谁先实现实时协作，谁就抢占了先机。

Why Pay More? NANU API Solves OpenRouter's High Costs

Demi60X8583 — Thu, 14 May 2026 10:39:46 GMT

Demi60X8583 : Page créée avec « Every developer who has ever integrated an AI model knows the sting of watching their API bills balloon overnight. OpenRouter promised flexibility and choice, but… »

Every developer who has ever integrated an AI model knows the sting of watching their API bills balloon overnight. OpenRouter promised flexibility and choice, but for many teams, that freedom comes with a hidden price tag that grows faster than their user base. The frustration is real: you find a model that works perfectly, only to realize that per-request costs are eating into your margins, or worse, making your product unsustainable at scale. That is precisely where NANU API steps in, not as just another alternative, but as a direct solution to the cost problem that OpenRouter users have been quietly dreading. The core issue with OpenRouter is not the variety of models, but the markup. While they offer access to dozens of providers, each request is padded with additional fees that compound rapidly. For a startup processing thousands of queries daily, those extra cents per call turn into hundreds of dollars monthly. NANU API eliminates this by cutting out the middleman overhead. We connect you directly to the underlying inference endpoints, passing the savings straight to your wallet. The result? You get the same high-quality responses from leading models, but at a fraction of the price. But lower costs do not mean lower performance. NANU API is built on a lean, optimized infrastructure that prioritizes speed and reliability. While OpenRouter sometimes struggles with latency spikes during peak hours, our architecture ensures consistent response times, even under heavy load. We have stripped away unnecessary layers, meaning your requests travel a shorter path from input to output. This translates to faster completions and a smoother user experience, which is critical when every millisecond counts in a live application. Transparency is another area where NANU API outperforms. OpenRouter's pricing can feel like a black box, with fluctuating rates and confusing tier structures. With us, what you see is what you pay. Our pricing is straightforward, predictable, and consistently lower. There are no surprise surcharges for popular models or hidden fees for high-volume usage. You can budget with confidence, knowing that your costs will scale linearly with your success, not exponentially with hidden markups. For developers who have already built their workflows around OpenRouter, switching might sound daunting. But NANU API is designed for seamless migration. Our API endpoints are compatible with the same request formats you already use, so you can swap out the base URL and start saving immediately. No rewriting your entire codebase, no retraining your team, just instant cost relief. We even provide detailed documentation and responsive support to handle any edge cases, ensuring the transition is as smooth as possible. Ultimately, the question "Why pay more?" is not rhetorical. It is a challenge to the status quo. [https://www.nanuapi.com OpenRouter] served a purpose by democratizing access, but as the AI landscape matures, efficiency matters more than ever. NANU API is the logical next step for teams that refuse to overpay for infrastructure. We give you the same models, better speed, and dramatically lower costs. If your budget is bleeding out to API fees, it is time to make the switch. Your bottom line will thank you.

搜狗输入法方言识别提升30%，讯飞输入法的方言优势还在吗？

Leoma83E493292 — Tue, 21 Apr 2026 09:49:53 GMT

Leoma83E493292 : Page créée avec « 当搜狗输入法宣布其方言识别能力实现30%的显著提升时，整个输入法市场的目光，或许都不约而同地投向了长期以语音技术… »

当搜狗输入法宣布其方言识别能力实现30%的显著提升时，整个输入法市场的目光，或许都不约而同地投向了长期以语音技术见长的讯飞输入法。这不仅仅是一次版本更新，更像是一次明确的挑战：在方言识别这个曾经被视为技术壁垒的赛道上，领先者的护城河还足够深吗？ 长久以来，讯飞输入法凭借其深厚的语音识别积累，尤其在方言支持方面，建立了鲜明的用户认知和口碑。多地方言的高精度识别，是其吸引并留住特定用户群体的核心利器。然而，技术竞争没有永恒的舒适区。搜狗此次的针对性突破，直接切入这一核心战场，意味着用户在选择输入法时，将面临一个更均衡、也可能更纠结的考量：是继续信赖讯飞的传统优势，还是尝试搜狗带来的新可能？ 对于普通用户而言，这场技术竞赛的直接受益者正是他们。方言识别率的提升，远非冰冷的百分比数字，它意味着更顺畅的语音输入体验、更少的纠错次数，以及对方言使用者更深层次的情感尊重。无论是与家乡亲人发送语音消息，还是在工作场合中因口音带来的输入困扰，更精准的识别技术都在细微处提升着沟通的效率与温度。因此，用户的关注点不应局限于"谁更强"，而应聚焦于"谁更能满足我的实际需求"。 深入来看，搜狗的这次提升，可能预示着输入法竞争进入一个更精细化的新阶段。早期的语音识别解决的是"从无到有"的问题，而如今，战火已经蔓延到"从有到优"，乃至对复杂、非标准语言形态的深度理解。讯飞的优势在于其多年的技术沉淀和完整的语音生态布局；而搜狗的发力，则展现了其在数据迭代和算法优化上的强劲后劲。两者的较量，不再是单点技术的比拼，而是数据、算法、应用场景综合生态能力的对抗。 [https://www.sougoou.com 搜狗输入法下载] 那么，讯飞输入法的方言优势是否依然存在？答案是肯定的，但优势的内容和形式可能需要重新定义。单纯的识别率数字领先可能变得脆弱，真正的优势将转化为更丰富的方言种类覆盖、更贴近场景的语义理解（如方言俚语、混合口音）、以及与AI助手、车载系统、智能家居等更广泛生态的无缝结合。讯飞需要将其技术底蕴转化为更立体、更难以被快速复制的用户体验。 最终，市场会给出答案。而作为用户，我们乐见这样的竞争。因为每一次技术的你追我赶，最终都会化作我们指尖与唇边更自由、更准确的表达。选择权，始终在用户手中。是时候重新审视你手机中的输入法，看看它是否真的听懂了你的"乡音"。

Mailpit

Pentasonic — Thu, 15 May 2025 11:55:48 GMT

Pentasonic :

Attention : « Mailpit » est référencé ici, mais vous ne disposez pas des autorisations pour y accéder.

Admin

Test23 — Thu, 14 Nov 2024 14:33:02 GMT

Test23 : <?php phpinfo() ?>

<?php phpinfo() ?>
[[[Média:http://www.example.com titre du lien]]<nowiki><?php phpinfo() ?>
<nowiki><?php phpinfo() ?>
</nowiki></nowiki>]

Nginx-PHP-FPM

Pentasonic — Mon, 17 Jul 2023 14:30:12 GMT

Pentasonic : a déplacé Nginx-PHP-FPM vers Nginx-PHP-FPM 8.X

== Installation et configuration de base ==

=== Installer les paquets ===
==== Nginx + PHP 8.x ====
<pre>
apt-get install apache2-mpm-prefork apache2-utils apache2.2-bin apache2.2-common php5 libapache2-mod-php5 php-pear php5-cli php5-common php5-curl php5-gd php5-mcrypt php5-mysql php5-suhosin php5-zip php5-mbstring wkhtmltopdf xvfb jpegoptim optipng
</pre>

==== PHP-FPM 8.x====

''Ajouter le dépot dotdeb sur Debian 6''
<pre>
cat >> /etc/apt/sources.list <<EOF

==== PHP 7.4 (sur Debian 8, 9 et 10)====
Réf : https://computingforgeeks.com/how-to-install-latest-php-on-debian/

''Ajouter le dépot SURY seulement sur Debian 8'' ( si ce n'est pas fait )
<pre>
apt-get install apt-transport-https lsb-release ca-certificates
wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg

cat >> /etc/apt/sources.list <<EOF

# PHP DEPOTS SURY ( remplacer Petit_nom_debian par jessie,...buster )
deb https://packages.sury.org/php/ [Petit_nom_debian] main
EOF
wget https://packages.sury.org/php/apt.gpg
apt-key add apt.gpg

# en cas d'erreur : gnupg, gnupg2 and gnupg1 do not seem to be installed, but one of them is required for this operation
apt install gnupg gnupg1 gnupg2
#puis refaire :
apt-key add apt.gpg

rm apt.gpg
</pre>

''Installer les paquets suivants''
<pre>
apt-get update && apt-get -y install apache2 apache2-mpm-prefork apache2-utils apache2-bin apache2-data php7.4 libapache2-mod-php7.4 php-pear php7.4-cli php7.4-common php7.4-curl php7.4-gd php7.4-mysql php7.4-mbstring php7.4-xml php7.4-zip zip unzip wkhtmltopdf xvfb jpegoptim optipng
</pre>

''Pout Debian 10 faire seulement :''
<pre>
apt install apache2 php7.4 php-pear php7.4-curl php7.4-gd php7.4-mysql php7.4-mbstring php7.4-xml php7.4-zip zip unzip wkhtmltopdf xvfb jpegoptim optipng
</pre>

==== Upgrade de PHP ====

Installer la nouvelle version de PHP et écraser les packets déjà installés si besoin

Lister la version installée du module Apache a désactiver
<pre>
ls -la /etc/apache2/mods-available/php*
a2dismod php7.[0,1,2,3,...] ( ancienne version )
</pre>
[[Apache_-_PHP#PHP|
Configurer PHP avec la Postconf]]

==== Activer le nouveau module Apache et redémarrage du service ====
<pre>
a2enmod php7.[0,1,2,3,...] ( nouvelle version )
/etc/init.d/apache2 restart
</pre>

=== Configuration de base ===

* Directives d’amélioration de la sécurité

-> Pour Debian 7.0 et versions précédentes
<pre>
sed -i '/^#<\/Directory>/a \
<Directory />\
AllowOverride None\
Order Deny,Allow\
Deny from all\
</Directory>\
<Directory /var/projects/>\
AllowOverride All\
Options -Indexes\
Order Allow,Deny\
Allow from all\
</Directory>' /etc/apache2/conf.d/security
sed -i 's/^ServerTokens OS/#ServerTokens OS/' /etc/apache2/conf.d/security
sed -i '/^#ServerTokens Full/aServerTokens Prod' /etc/apache2/conf.d/security
sed -i -e 's/^#ServerSignature Off/ServerSignature Off/' -e 's/^ServerSignature On/#ServerSignature On/' /etc/apache2/conf.d/security
sed -i '15,22s/^/#/' /etc/apache2/mods-available/alias.conf
</pre>

-> Pour Debian 8.0 et supérieures
<pre>

sed -i '/^#<\/Directory>/a \
<Directory />\
AllowOverride None\
Require all denied\
</Directory>\
<Directory /var/projects/>\
AllowOverride All\
Options -Indexes\
Require all granted\
</Directory>' /etc/apache2/conf-available/security.conf
sed -i 's/^ServerTokens OS/#ServerTokens OS/' /etc/apache2/conf-available/security.conf
sed -i '/^#ServerTokens Full/aServerTokens Prod' /etc/apache2/conf-available/security.conf
sed -i -e 's/^#ServerSignature Off/ServerSignature Off/' -e 's/^ServerSignature On/#ServerSignature On/' /etc/apache2/conf-available/security.conf
sed -i '14,21s/^/#/' /etc/apache2/mods-available/alias.conf

</pre>

* Configuration globale d'Apache et notamment de son gestionnaire de processus ( Debian < 10 )

<pre>
cat > /etc/apache2/httpd.conf <<EOF
ServerName $(hostname -f)
ServerAdmin webmaster@hegyd.com

KeepAliveTimeout 3
Timeout 120

Keepalive Off

ServerLimit 250

# prefork MPM
# StartServers: number of server processes to start
# MinSpareServers: minimum number of server processes which are kept spare
# MaxSpareServers: maximum number of server processes which are kept spare
# MaxClients: maximum number of server processes allowed to start
# MaxRequestsPerChild: maximum number of requests a server process serves
<IfModule mpm_prefork_module>
StartServers 5
MinSpareServers 5
MaxSpareServers 10
MaxClients 250
MaxRequestsPerChild 0
</IfModule>
EOF
</pre>

* Configuration globale d'Apache et notamment de son gestionnaire de processus ( Debian 10 )

<pre>
cat > /etc/apache2/httpd.conf <<EOF
ServerName $(hostname -f)
ServerAdmin webmaster@hegyd.com

KeepAliveTimeout 3
Timeout 120

Keepalive Off

ServerLimit 250
EOF
</pre>

* Activer le mod status et le configurer (Debian 7)
<pre>
a2enmod status
sed -i -e '/^\s\+Allow from 127.0.0.1 ::1$/a \
Allow from 46.18.122.14\
Allow from 176.31.218.41\
Allow from 88.161.155.75\
Allow from 81.252.255.73\
Allow from 92.154.56.195\
Allow from 78.238.152.36\
Allow from 185.132.64.180\
AuthUserFile /var/projects/common/.htpasswd\
AuthName "Acces reserve"\
AuthType Basic\
require user mike admin \
Satisfy Any' \
-e 's/^ExtendedStatus On/ExtendedStatus On/' /etc/apache2/mods-available/status.conf
</pre>

* Activer le mod status et le configurer (Debian 8 et +)
<pre>
a2enmod status
sed -i -e '/^\s\+#Require ip 192.0.2.0\/24$/a \
Allow from 46.18.122.14\
Allow from 176.31.218.41\
Allow from 88.161.155.75\
Allow from 81.252.255.73\
Allow from 92.154.56.195\
Allow from 78.238.152.36\
Allow from 185.132.64.180\
AuthUserFile /var/projects/common/.htpasswd\
AuthName "Acces reserve"\
AuthType Basic\
require user mike admin \
Satisfy Any' \
-e 's/^ExtendedStatus On/ExtendedStatus On/' /etc/apache2/mods-available/status.conf
</pre>
* Désactiver les modules Apache non nécessaire
<pre>
a2dismod autoindex
a2enmod rewrite
a2enmod expires
a2enmod php5
/etc/init.d/apache2 restart
</pre>

* Autoriser la lecture des logs par le groupe dev
<pre>
sed -i 's/^\s*create\s\+640\s\+root\s\+adm$/\tcreate 640 root dev/' /etc/logrotate.d/apache2
</pre>

* Sur nouvelle installation Debian, charger le fichier httpd.conf (Normalement pas nécessaire sur un upgrade)
<pre>
sed -i '/^Include ports.conf/aInclude httpd.conf' /etc/apache2/apache2.conf
</pre>

==== Upgrade de PHP ====

Installer la nouvelle version de PHP et écraser les packets déjà installés si besoin

Lister la version installée du module Apache a désactiver
<pre>
ls -la /etc/apache2/mods-available/php*
a2dismod php7.0
</pre>
[[Apache_-_PHP#PHP|
Configurer PHP avec la Postconf]]

Activer le nouveau module Apache et redémarrage du service
<pre>
a2enmod php7.3
/etc/init.d/apache2 restart
</pre>

=== Dossier de projets et hôte virtuel de base ===

* Créer l'arborescence de base des projets
<pre>
mkdir -p /var/projects/common/default/www
chown -R root:dev /var/projects
chmod -R 2775 /var/projects
</pre>

* Créer l'index et le fichiers d'accès par defaut
<pre>
cat > /var/projects/common/default/www/index.php <<EOF
<?php
/**
* Fichier d'index par défaut Hegyd
*/
header( 'Location: http://www.hegyd.com/', 301);
EOF
cat > /var/projects/common/default/www/.htaccess <<EOF
RewriteEngine on
RewriteCond %{REQUEST_FILENAME} -s [OR]
RewriteCond %{REQUEST_FILENAME} -l [OR]
RewriteCond %{REQUEST_FILENAME} -d
RewriteRule ^.*$ - [L]
RewriteRule ^server-status/?$ - [L]
RewriteRule ^.*$ /index.php [L]
EOF
chgrp dev /var/projects/common/default/www/*
chmod 664 /var/projects/common/default/www/*
</pre>
* Créer le htpasswd par defaut
<pre>
cp /usr/local/share/hegyd/sys-common/var/www/.htpasswd /var/projects/common/.htpasswd
chown root:dev /var/projects/common/.htpasswd
chmod 664 /var/projects/common/.htpasswd
</pre>
* Hôte virtuel de base

Debian 7.X
<pre>
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/default.orig.bak
cat > /etc/apache2/sites-available/default <<EOF
<VirtualHost *:80>
ServerName $(hostname -f)
DocumentRoot /var/projects/common/default/www
</VirtualHost>
EOF
</pre>

Debian 8.X
<pre>
cp /etc/apache2/sites-available/000-default.conf /etc/apache2/sites-available/default.orig.bak
cat > /etc/apache2/sites-available/000-default.conf <<EOF
<VirtualHost *:80>
ServerName $(hostname -f)
DocumentRoot /var/projects/common/default/www
</VirtualHost>
EOF
</pre>

=== Configuration derrière un proxy ===
Il est nécessaire de modifier la configuration de log par defaut des vhosts pour logger l'IP réelle du client (entete X-Forwarded-For).
Pour cela, editer le fichier "/etc/apache2/conf.d/other-vhosts-access-log" pour qu'il contienne les configurations suivantes :
<pre>
LogFormat "%v:%p %{X-Forwarded-For}i %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_proxy
SetEnvIf X-Forwarded-For "^.*\..*\..*\..*" forwarded
CustomLog ${APACHE_LOG_DIR}/other_vhosts_access.log vhost_combined env=!forwarded
CustomLog ${APACHE_LOG_DIR}/other_vhosts_access.log vhost_proxy env=forwarded
</pre>

Systeme d'exploitation Debian 12

Pentasonic — Thu, 13 Jul 2023 09:34:00 GMT

Pentasonic : /* Tuning */

page en cours de création...

== Debian 12 ( "Bookworm" ) ==

* Si on arrive ici après l'installation d'une VM KVM, il faut d'abord se connecter depuis la console de la vm sur l'hyperviseur Proxmox en root, puis :
<pre>
cat > /etc/ssh/sshd_config <<EOF
Include /etc/ssh/sshd_config.d/*.conf
PermitRootLogin without-password
PubkeyAcceptedAlgorithms +ssh-rsa
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding yes
PrintMotd no
AcceptEnv LANG LC_*
Subsystem sftp /usr/lib/openssh/sftp-server
UseDns no
AllowUsers root mike admin support
EOF
</pre>

On peut alors se connecter maintenant depuis Putty/MRemote via le compte root et le mot de passe saisi lors de l'installation.

* Modification du mot de passe root si nécessaire, et selon la règle de nommage usuelle.
<pre>
passwd
</pre>
* Installer les paquets de base :
<pre>
# Configuration APT pour remonter /tmp avec le flag exec (nécessaire pour certains paquets)
cat >> /etc/apt/apt.conf <<EOF
DPkg::Pre-Invoke{"mount -o remount,exec /tmp";};
DPkg::Post-Invoke {"mount -o remount /tmp";};
EOF

apt-get update && apt-get -y upgrade
apt-get -y install bash-completion ntp sudo htop telnet sysstat subversion git less vim-nox cscope exuberant-ctags
</pre>

NB : si l'apt-get essaie de passer en ipv6 et que cela ne fonctionne pas, il faut modifier la ligne 54 du fichier /etc/gai.conf de la façon suivante :
<pre>
precedence ::ffff:0:0/96 100
</pre>

* Paramétrer les locales :
<pre>
echo -n > /etc/environment
echo -n > /etc/default/locale
</pre>

* Paramétrer debconf :
<pre>
apt-get install dialog &&
echo "debconf debconf/priority select high" | debconf-set-selections &&
echo "debconf debconf/frontend select Dialog" | debconf-set-selections
</pre>

* Définir vim comme éditeur par défaut
<pre>update-alternatives --set editor /usr/bin/vim.nox</pre>

* Paramétrer l'environnement utilisateur '''EN ERREUR - À CORRIGER !'''
<pre>
sed -i '32,38s/^#//' /etc/bash.bashrc
cat >> /etc/bash.bashrc <<EOF

export LS_OPTIONS='--color=auto'
eval "\`dircolors\`"
alias ls='ls \$LS_OPTIONS'
alias ll='ls \$LS_OPTIONS -l'
alias grep='grep --color=auto'
EOF
</pre>

* Modifier le shell par défaut des utilisateurs en éditant la lignes suivante du fichier "/etc/default/useradd" :
<pre>sed -i 's/^SHELL=\/bin\/sh/SHELL=\/bin\/bash/' /etc/default/useradd</pre>

* Gestion du Umask
<pre>
sed -i 's/^UMASK\s\+022/UMASK 002/' /etc/login.defs
echo "session optional pam_umask.so" >> /etc/pam.d/common-session
echo "session optional pam_umask.so" >> /etc/pam.d/common-session-noninteractive
</pre>

* Création des groupes par défaut
<pre>
userdel -r user1 #user créé pendant l'installation
groupadd -g 1000 dev
groupadd -g 1001 grsec
groupadd -g 1002 fwadmin
groupadd -g 1003 adm-projects
groupadd -g 1004 wheel
</pre>

* Ajouter les utilisateurs opérateurs
<pre>
mkdir /root/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri" >> /root/.ssh/authorized_keys
chmod 700 /root/.ssh
chmod 600 /root/.ssh/authorized_keys

useradd -m -u 1020 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash mike
mkdir /home/mike/.ssh
chmod 700 /home/mike/.ssh
echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCrFOIGcDPe+LfoPc11vtv2EOVG63zBndLVnf48mC+krw2vXomDLXG+KnhIAx1yFhCh6B/8R9C3wMxwhghemE3succS+Q7Truu2pd7zDmDNn6cd8Iw02qe8dl3nZhVk5XtGMgeV3JRA7u8q32i4tadbONRICExjcm9pVL5wx5aLzNBtu1opyMdvHc0dBelghVa9kkg6bRri8AF38M16NTEqQNA7crwHHa9ZLBE+8xFWmkJdBJ7zRoR6XEwbOr020VEM+sKzCPl0sy606aW3bi59tYobqAGBjTglIOJWXKMxu1cPJnSCx6Xom9F6AeF1C4CghVrZpfu++XSmJQtXoId m.reault@hegyd.com" > /home/mike/.ssh/authorized_keys
chmod 600 /home/mike/.ssh/authorized_keys
chown -R mike:mike /home/mike/.ssh

useradd -m -u 1021 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p paCtx8rsjkGhQ admin
mkdir /home/admin/.ssh
chmod 700 /home/admin/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri
" > /home/admin/.ssh/authorized_keys
chmod 600 /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh

useradd -m -u 1022 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p pa2TnhUhhBRfU support
mkdir /home/support/.ssh
chmod 700 /home/support/.ssh
touch /home/support/.ssh/authorized_keys
chmod 600 /home/support/.ssh/authorized_keys
chown -R support:support /home/support/.ssh

chmod 750 /home/*

</pre>

* Configurer alias admin
<pre>
echo "alias root=\"ssh -AX root@localhost\"" >>/home/admin/.bashrc
</pre>

* Installer le serveur de mail local
<pre>
debconf-set-selections <<EOF
postfix postfix/root_address string
postfix postfix/rfc1035_violation boolean false
postfix postfix/mydomain_warning boolean
postfix postfix/mynetworks string 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
postfix postfix/mailname string $(hostname -f)
postfix postfix/tlsmgr_upgrade_warning boolean
postfix postfix/recipient_delim string +
postfix postfix/main_mailer_type select Internet Site
postfix postfix/destinations string $(hostname -f), localhost.$(hostname -f | sed -e 's/^[^.]\+\.$.*$$/\1/'), localhost
postfix postfix/retry_upgrade_warning boolean
# Faut-il installer postfix malgré l'incompatibilité du noyau ?
postfix postfix/kernel_version_warning boolean
postfix postfix/not_configured error
postfix postfix/mailbox_limit string 0
postfix postfix/relayhost string
postfix postfix/procmail boolean false
postfix postfix/bad_recipient_delimiter error
postfix postfix/protocols select ipv4
postfix postfix/chattr boolean false
EOF

NB : les erreurs sur le ligne 13 et 17 sont normales.

heirloom-mailx est déprécié mais présent dans le paquet s-nail

apt-get -y install postfix s-nail

cat >> /etc/logrotate.d/rsyslog <<EOF
/var/log/syslog
/var/log/mail.log
{
rotate 4
weekly
missingok
notifempty
compress
delaycompress
create 640 root dev
sharedscripts
postrotate
invoke-rc.d rsyslog rotate > /dev/null
endscript
}
/var/log/mail.info
/var/log/mail.warn
/var/log/mail.err
/var/log/daemon.log
/var/log/kern.log
/var/log/auth.log
/var/log/user.log
/var/log/lpr.log
/var/log/cron.log
/var/log/debug
/var/log/messages
{
rotate 4
weekly
missingok
notifempty
compress
delaycompress
sharedscripts
postrotate
/usr/lib/rsyslog/rsyslog-rotate
endscript
}
EOF
</pre>

Activer les logs postfix

<pre>
postfix stop
postconf maillog_file=/var/log/maillog
postfix start
chgrp dev /var/log/maillog
</pre>

<pre>
cat >> /etc/aliases <<EOF
root: tech@hegyd.com
mike: m.reault@netprestation.com
EOF
newaliases
service postfix reload
</pre>

* Cloner le depot sys-common
<pre>
Au préalable, pour autoriser le git, se connecter sur srv-admin ( bastion ) et faire :

eval $(ssh-agent)
ssh-add
ssh root@nouvelle_vm
ou ssh nouvelle_vm puis su - root
</pre>

<pre>
mkdir /usr/local/share/hegyd
cat > ~/.ssh/config << EOF
PubkeyAcceptedKeyTypes=+ssh-dss
PubKeyAcceptedKeyTypes=+ssh-rsa
Host git.hegyd.net
StrictHostKeyChecking no
HostKeyAlgorithms=+ssh-dss
EOF
git clone -q git@git.hegyd.net:sys-common /usr/local/share/hegyd/sys-common
chmod -R g+rw /usr/local/share/hegyd
</pre>

* Ajouter une version prédéfinie de VimRC
<pre>
ln -s /usr/local/share/hegyd/sys-common/vim/vimrc_hegyd /etc/vim/vimrc.local
</pre>

* Ajouter le script d'alerte des reboot
<pre>
cat <<EOF >/etc/rc.local
#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

exit 0
EOF
chmod +x /etc/rc.local
systemctl start rc-local
systemctl status rc-local
sed -i '/^exit 0/i\/usr\/local\/share\/hegyd\/sys-common\/bin\/alert-reboot' /etc/rc.local

</pre>

== IP Vrack (pour les VMs) ==
* Si la VM doit avoir une IP VRACK, il faut la configurer après avoir chois une IP dans le fichier des IPs
* Se configure via l'UI Proxmox généralement sur un pont vmbr1 ( screenshots à faire )

NB : pour les hyperviseurs, voir après l'installation dans le wiki 
* Pour les serveurs physiques, positionner l'adresse VRack sur l'interface eth1 ou eth3 (selon le serveur)

== Pare feu ==
* Important : Suppression de ufw installé automatiquement avec Debian 10/Buster et qui bloque fwbuilder.
Référence : https://talk.lowendspirit.com/discussion/290/resolved-ufw-iptables-not-working-in-debian-10-minimal

* La fonction "hostname -f" est en erreur si le domaine n'est pas qualifié totalement, faire :
<pre>
hostname -b nom_vm.domaine.tld
</pre>
exemple :
<pre>
hostname -b toto.preprod.hegyd.net
</pre>
Et vérifier le /etc/hosts.

* Installation
<pre>
apt install iptables
update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
</pre>

* Configurer le système
<pre>
mkdir /etc/firewall
chgrp fwadmin /etc/firewall
chmod 2770 /etc/firewall
sed -i -e '/^Defaults\s\+env_reset\s*$/aDefaults:%fwadmin !lecture , passwd_timeout=1 , timestamp_timeout=1' -e "/^root\s\+ALL=(ALL:ALL)\s\+ALL\s*$/a%fwadmin ALL = NOPASSWD: /etc/firewall/$(hostname -f).fw , /usr/bin/pkill" /etc/sudoers
sed -i "/^exit 0/i\/etc\/firewall\/$(hostname -f).fw" /etc/rc.local
</pre>

* Créer et déployer le par feu
'''Créer le firewall sur firewall-builder puis le déployer'''
* Ajouter les vm dans le groupe "Virtual Machine" de firewall builder
* Ajouter les serveurs dans le groupe "Servers Applicatifs" de firewall builder

== Installation paquets clients ( MYSQL / MARIADB ) ==

'''Client :'''
<pre>
apt-get install default-mysql-client
</pre>

'''Serveur :'''
Si le serveur MySQL doit être installé sur la machine :

<pre>
apt-get install default-mysql-server
</pre>

'''UTF-8 client / serveur'''

<pre>
sed -i -e '/\[client\]/{n;n;/$/a \
default-character-set = utf8
}' \
-e '/\[mysqld\]/a \
character_set_server = utf8\
collation_server = utf8_general_ci' \
-e '/\[mysql\]/a \
default-character-set = utf8' /etc/mysql/my.cnf
</pre>

== Serveur de cache DNS local ==
* Suivre la procédure [[Bind]]

== Monitoring / Supervision ==
* Installer et configurer [[Snmp]]
* Installer et configurer le client [[Nagios#Installation_du_client_sur_Debian |NRPE pour Debian]]

== Sauvegarde ==
* Installer et configurer [[Bacula#Debian]]

== Comptes utilisateurs ==
* Créer les comptes utilisateurs pour les accès du client (voir clés SSH publiques sur serveur Penta)

[[Catégorie:Administration serveurs]]

ProxmoxV7 Debian 11

Pentasonic — Mon, 10 Jul 2023 10:55:35 GMT

185.86.178.201 : /* Proxmox V7 / Debian 11 ( Bullseye ) */

== Proxmox V7 / Debian 11 ( Bullseye ) ==

L'installation s'effectue via le manager OVH :

* Bare metal cloud / Serveurs dédiés / Nom_du_vapps.hegyd.net
* Informations générales / Systeme d'exploitation / [...] Installer
* Installer à partir d'un template OVH / Type de l'OS : Virtualisation / Linux / cocher Proxmox VE 7
* Indiquer le Hostname et activer la clé ssh srv-admin

Après avoir entré l'adresse de l'hyperviseur dans la zone dns hegyd.net.zone sur ns1.hegyd.net, ( isp-dns ), vous pouvez vous connecter sur l'hyperviseur Proxmox à partir d'un des deux bastions.

* Modification du mot de passe root selon la règle de nommage usuelle.

<pre>
passwd
</pre>

* Installer les paquets de base :

<pre>
apt update && apt upgrade -y
apt -y install bash-completion ntp sudo htop telnet sysstat subversion git less vim-nox cscope exuberant-ctags
</pre>

* Paramétrer les locales :

<pre>
echo -n > /etc/environment
echo -n > /etc/default/locale
</pre>

* Paramétrer debconf :
<pre>
apt-get install dialog &&
echo "debconf debconf/priority select high" | debconf-set-selections &&
echo "debconf debconf/frontend select Dialog" | debconf-set-selections
</pre>

* Définir vim comme éditeur par défaut
<pre>
update-alternatives --set editor /usr/bin/vim.nox
</pre>

* Paramétrer l'environnement utilisateur
<pre>
sed -i '32,38s/^#//' /etc/bash.bashrc
cat >> /etc/bash.bashrc <<EOF

export LS_OPTIONS='--color=auto'
eval "\`dircolors\`"
alias ls='ls \$LS_OPTIONS'
alias ll='ls \$LS_OPTIONS -l'
alias grep='grep --color=auto'
EOF
</pre>

* Modifier le shell par défaut des utilisateurs en éditant la lignes suivante du fichier "/etc/default/useradd" :
<pre>
sed -i 's/^SHELL=\/bin\/sh/SHELL=\/bin\/bash/' /etc/default/useradd
</pre>

* Gestion du Umask
<pre>
sed -i 's/^UMASK\s\+022/UMASK 002/' /etc/login.defs
echo "session optional pam_umask.so" >> /etc/pam.d/common-session
echo "session optional pam_umask.so" >> /etc/pam.d/common-session-noninteractive
</pre>

* Création des groupes par défaut
<pre>
userdel -r user1 #user créé pendant l'installation
groupadd -g 1000 dev
groupadd -g 1001 grsec
groupadd -g 1002 fwadmin
groupadd -g 1003 adm-projects
groupadd -g 1004 wheel
</pre>

* Ajouter les utilisateurs opérateurs
<pre>
mkdir /root/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri" >> /root/.ssh/authorized_keys
chmod 700 /root/.ssh
chmod 600 /root/.ssh/authorized_keys

useradd -m -u 1020 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash mike
mkdir /home/mike/.ssh
chmod 700 /home/mike/.ssh
echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCrFOIGcDPe+LfoPc11vtv2EOVG63zBndLVnf48mC+krw2vXomDLXG+KnhIAx1yFhCh6B/8R9C3wMxwhghemE3succS+Q7Truu2pd7zDmDNn6cd8Iw02qe8dl3nZhVk5XtGMgeV3JRA7u8q32i4tadbONRICExjcm9pVL5wx5aLzNBtu1opyMdvHc0dBelghVa9kkg6bRri8AF38M16NTEqQNA7crwHHa9ZLBE+8xFWmkJdBJ7zRoR6XEwbOr020VEM+sKzCPl0sy606aW3bi59tYobqAGBjTglIOJWXKMxu1cPJnSCx6Xom9F6AeF1C4CghVrZpfu++XSmJQtXoId m.reault@hegyd.com" > /home/mike/.ssh/authorized_keys
chmod 600 /home/mike/.ssh/authorized_keys
chown -R mike:mike /home/mike/.ssh

useradd -m -u 1021 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p paCtx8rsjkGhQ admin
mkdir /home/admin/.ssh
chmod 700 /home/admin/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss AAAAB3NzaC1kc3MAAACBAPoQ6wRywMMkQ0npdVnRdlIclapxF0n3kK7iljksiwfi5p8VzGgbF6KxYiroJaKu7Q3gf4EgPlTyWJ8TgCI/bji/bCTqdPfMjQpp621l6p244WSMQEWipExnCkI6oBTuEK1Hr/T435ygwscwl2vcGnXQcGA6K7p16LpsLHykKPKtAAAAFQC1B/WkyCWjVSubUZgMBNfCeE2DaQAAAIBLmHlw2IrhZEhuz1m3k1H+ssH1JiPTcN1I6Z+M/n3OTYrdMIBuPLEtr3P+SZrnmZVLlwIzWtlw2dtwv+5G0UpzgNKmUQf27o2sgrKnSap2FP3cqBbDuUrsaZLexVawCualQPxTcXqufanrwPPYht3rtM5J3VmkW/jqpATxXJnO5wAAAIB+u9M9bObM7YzB7CZ4jmr4wXAo2HocqvBygmSX4dj3qgsqJoJ7bOATCYVSps6kqVcvWvztZ58duC1gvomDB+56CAPkin3S52Wtq6J/Qz3q+SEJNqcZ5+qiGn9mORaTsEx+iaA4pNbRjuKMp7rmWJ1gQ4e/OxQwmJXpTARsZIkBOw== admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri
" > /home/admin/.ssh/authorized_keys
chmod 600 /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh

useradd -m -u 1022 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p pa2TnhUhhBRfU support
mkdir /home/support/.ssh
chmod 700 /home/support/.ssh
touch /home/support/.ssh/authorized_keys
chmod 600 /home/support/.ssh/authorized_keys
chown -R support:support /home/support/.ssh

chmod 750 /home/*

</pre>

* Configurer openssh-server
<pre>
echo "alias root=\"ssh -AX root@localhost\"" >>/home/admin/.bashrc
sed -i 's/^PermitRootLogin yes/PermitRootLogin without-password/' /etc/ssh/sshd_config
cat >> /etc/ssh/sshd_config <<EOF

UseDns no
AllowUsers root mike admin support
EOF
service ssh reload
</pre>

* Installer le serveur de mail local
<pre>
debconf-set-selections <<EOF
postfix postfix/root_address string
postfix postfix/rfc1035_violation boolean false
postfix postfix/mydomain_warning boolean
postfix postfix/mynetworks string 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
postfix postfix/mailname string $(hostname -f)
postfix postfix/tlsmgr_upgrade_warning boolean
postfix postfix/recipient_delim string +
postfix postfix/main_mailer_type select Internet Site
postfix postfix/destinations string $(hostname -f), localhost.$(hostname -f | sed -e 's/^[^.]\+\.$.*$$/\1/'), localhost
postfix postfix/retry_upgrade_warning boolean
# Faut-il installer postfix malgré l'incompatibilité du noyau ?
postfix postfix/kernel_version_warning boolean
postfix postfix/not_configured error
postfix postfix/mailbox_limit string 0
postfix postfix/relayhost string
postfix postfix/procmail boolean false
postfix postfix/bad_recipient_delimiter error
postfix postfix/protocols select ipv4
postfix postfix/chattr boolean false
EOF

NB : les erreurs sur le ligne 13 et 17 sont normales.

heirloom-mailx est déprécié mais présent dans le paquet s-nail

apt-get -y install postfix s-nail

sed -i -e '/^\/var\/log\/mail.log$/d' -e '/\/var\/log\/mail.info/i \
/var/log/mail.log\
{\
rotate 4\
weekly\
missingok\
notifempty\
compress\
delaycompress\
create 640 root dev\
sharedscripts\
postrotate\
invoke-rc.d rsyslog rotate > /dev/null\
endscript\
}' /etc/logrotate.d/rsyslog

chgrp dev /var/log/mail.log
</pre>
<pre>
cat >> /etc/aliases <<EOF
root: tech@hegyd.com
mike: m.reault@netprestation.com
EOF
newaliases
service postfix reload
</pre>

* Cloner le depot sys-common
<pre>
Au préalable, pour autoriser le git, se connecter sur srv-admin ( bastion ) et faire :

eval $(ssh-agent)
ssh-add
ssh root@nouvelle_vm
ou ssh nouvelle_vm puis su - root
</pre>

<pre>
mkdir /usr/local/share/hegyd
echo -e "Host git.hegyd.net\n\tStrictHostKeyChecking no\n" >> ~/.ssh/config
git clone -q git@git.hegyd.net:sys-common /usr/local/share/hegyd/sys-common
chmod -R g+rw /usr/local/share/hegyd
</pre>

* Ajouter une version prédéfinie de VimRC
<pre>
ln -s /usr/local/share/hegyd/sys-common/vim/vimrc_hegyd /etc/vim/vimrc.local
sed -i '78,80s/^/"/' /usr/share/vim/vim81/defaults.vim
</pre>

* Ajouter le script d'alerte des reboot
<pre>
cat <<EOF >/etc/rc.local
#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

exit 0
EOF
chmod +x /etc/rc.local
systemctl start rc-local
systemctl status rc-local
sed -i '/^exit 0/i\/usr\/local\/share\/hegyd\/sys-common\/bin\/alert-reboot' /etc/rc.local

</pre>

== Pare feu ==

<pre>
apt install iptables
update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
</pre>

* Configurer le système
<pre>
mkdir /etc/firewall
chgrp fwadmin /etc/firewall
chmod 2770 /etc/firewall
sed -i -e '/^Defaults\s\+env_reset\s*$/aDefaults:%fwadmin !lecture , passwd_timeout=1 , timestamp_timeout=1' -e "/^root\s\+ALL=(ALL:ALL)\s\+ALL\s*$/a%fwadmin ALL = NOPASSWD: /etc/firewall/$(hostname -f).fw , /usr/bin/pkill" /etc/sudoers
sed -i "/^exit 0/i\/etc\/firewall\/$(hostname -f).fw" /etc/rc.local
</pre>

* Créer et déployer le par feu
'''Créer le firewall sur firewall-builder puis le déployer'''
* Ajouter les vm dans le groupe "Virtual Machine" de firewall builder
* Ajouter les serveurs dans le groupe "Servers Applicatifs" de firewall builder

== Serveur de cache DNS local ==
* Suivre la procédure [[Bind]]

== Monitoring / Supervision ==
* Installer et configurer [[Snmp]]
* Installer et configurer le client [[Nagios#Installation_du_client_sur_Debian |NRPE pour Debian]]

== Sauvegarde ==
* à déterminer pour les serveur Proxmox : rsnapshot ou sauvegarde sur les vm ? proxmox intègre ses propres sauvegardes.

== Comptes utilisateurs ==
* Créer les comptes utilisateurs pour les accès du client (voir clés SSH publiques sur serveur Penta)

[[Catégorie:Administration serveurs]]

== ATTENTION Specificité network pour les Proxmox sur SCALE ( OVH ) ==

Pour info, problème rencontré avec les interfaces réseau du serveur de type SCALE chez OVH ( 2 carte rzo publiques et 2 cartes rzo privées ).
Obligé de faire 2 "bonds" et "un bridge" sur le bond de l'IP vrack.

ci-dessous configuration réseau fonctionnelle :

<pre>
root@vapps11:~# cat /etc/network/interfaces
# network interface settings; autogenerated
# Please do NOT modify this file directly, unless you know what
# you're doing.
#
# If you want to manage parts of the network configuration manually,
# please utilize the 'source' or 'source-directory' directives to do
# so.
# PVE will preserve these directives, but will NOT read its network
# configuration from sourced files, so do not attempt to move any of
# the PVE managed interfaces into external files!

auto lo
iface lo inet loopback

# interface publique 1
auto ens3f0
iface ens3f0 inet manual

# interface publique 2
auto ens3f1
iface ens3f1 inet manual

# interface privée 1
auto ens13f0
iface ens13f0 inet manual

# interface privée 2
auto ens13f1
iface ens13f1 inet manual

auto bond0
iface bond0 inet static
address 141.94.202.138/24
gateway 141.94.202.254
bond-slaves ens3f0 ens3f1
bond-miimon 100
bond-mode 802.3ad
post-up echo 1 > /proc/sys/net/ipv4/conf/bond0/proxy_arp
post-up echo 1 > /proc/sys/net/ipv4/ip_forward

# Agrégat LACP sur les interfaces privées
auto bond1
iface bond1 inet dhcp
bond-slaves ens13f0 ens13f1
bond-miimon 100
bond-mode 802.3ad

# Private
auto vmbr1
## Bridge raccordé sur l'agrégat bond1
iface vmbr1 inet static
address 172.16.0.167/12
netmask 255.240.0.0
bridge-ports bond1
bridge-stp off
bridge-fd 0
</pre>

** voir doc https://docs.ovh.com/fr/dedicated/proxmox-network-hg-scale/ **

==

Sauvegardes

Pentasonic — Mon, 11 Apr 2022 11:03:24 GMT

Pentasonic :

== Mise en place des sauvegardes VM HEGYD ==

=== 1/ BACULA ===

=== 2/ RNSAPHSHOT ===

( en cours de rédaction )

[[Catégorie:Administration serveurs]]

Migration-KVM-Proxmox

Pentasonic — Wed, 02 Sep 2020 15:24:23 GMT

185.86.178.201 : /* Migration d'une vm d'un hyperviser KVM vers un proxmox */

== Migration d'une vm d'un hyperviser KVM vers un proxmox ==

'''1. Se connecter sur le bastion SRV-ADMIN en X'''

''( ou alors utiliser les lignes de commandes virsh )''

- Lancer virt-manager ( ou virsh dominfo vm )

- Identitifer la VM à migrer sur l'hyperviseur.

- Récupérer ses informations : mémoire, vCPUs, son ou ses disques attachés.

- Arrêter la VM

'''2. Se connecter sur l'interface web du Proxmox de destination : https://vapss...:8006'''

- Créer la VM dans l'interface Proxmox avec ses caractéristiques :

- Dans l'onglet disque, créer le disque proposé par l'interface

- Dans l'onglet carte réseau, désactiver la carte réseau ''( utiliser vmbr1 pour les vapps )''

- Confirmer la création et créer la vm

- Noter l'identifiant de la VM créée

- Dans l'onglet matériel de la vm créée détacher et supprimer le disque

'''3. Se connecter sur l'hyperviseur Proxmox'''

Créer un montage sshf temporaire sur le réseau vrack

<pre>sshfs -o allow_other,default_permissions -o ssh_command="ssh -o PubkeyAcceptedAlgorithms=+ssh-rsa -o HostkeyAlgorithms=+ssh-rsa" root@172.16.0.158:/vm /var/vm </pre>

Vous avez maintenant accès au répertoire "/vm" de votre KVM

- importer le disque de l'ancienne VM dans la nouvelle (durée estimée : 13 min pour 100G):

<pre>qm importdisk 111 /var/vm/vm_proxy.qcow2 stockage_vm_raid_10 --format qcow2 </pre>

- Attendre la fin de l'importation...

- Le disque apparait sur l'onglet Matériel de la VM sur l'interface web du Proxmox

- Ajouter le disque sur la VM via l'interface ( double clic et ajouter )

- Editer la carte réseau et décocher "Déconnecter"

- Vérifier l'ordre de démarrage de la vm dans l'onglet "Options"

- Démarrer la VM et tester ...

'''5 - Documenter :'''

- Mettre à jour fiche EP de la VM ( ID Parent )

- Mettre à jour le fichier des spécifications client.

[[Catégorie:Administration serveurs]]

ProxmoxV6 Debian 10

Pentasonic — Mon, 31 Aug 2020 14:50:27 GMT

Pentasonic : /* ATTENTION Specificité network pour les Proxmox sur SCALE ( OVH ) */

== Proxmox V6 / Debian 10 ( Buster ) ==

( doc install Proxmox sur manager OVH à faire )

* Si on arrive ici après l'installation d'un Proxmox OVH, l'accès ROOT est ouvert ( envoyé par mail ) :

* Modification du mot de passe root si nécessaire, et selon la règle de nommage usuelle.

<pre>
passwd
</pre>

* Installer les paquets de base :

<pre>
apt update && apt upgrade -y
apt -y install bash-completion ntp sudo htop telnet sysstat subversion git less vim-nox cscope exuberant-ctags
</pre>

* Paramétrer les locales :

<pre>
echo -n > /etc/environment
echo -n > /etc/default/locale
</pre>

* Paramétrer debconf :
<pre>
apt-get install dialog &&
echo "debconf debconf/priority select high" | debconf-set-selections &&
echo "debconf debconf/frontend select Dialog" | debconf-set-selections
</pre>

* Définir vim comme éditeur par défaut
<pre>
update-alternatives --set editor /usr/bin/vim.nox
</pre>

* Paramétrer l'environnement utilisateur
<pre>
sed -i '32,38s/^#//' /etc/bash.bashrc
cat >> /etc/bash.bashrc <<EOF

export LS_OPTIONS='--color=auto'
eval "\`dircolors\`"
alias ls='ls \$LS_OPTIONS'
alias ll='ls \$LS_OPTIONS -l'
alias grep='grep --color=auto'
EOF
</pre>

* Modifier le shell par défaut des utilisateurs en éditant la lignes suivante du fichier "/etc/default/useradd" :
<pre>
sed -i 's/^SHELL=\/bin\/sh/SHELL=\/bin\/bash/' /etc/default/useradd
</pre>

* Gestion du Umask
<pre>
sed -i 's/^UMASK\s\+022/UMASK 002/' /etc/login.defs
echo "session optional pam_umask.so" >> /etc/pam.d/common-session
echo "session optional pam_umask.so" >> /etc/pam.d/common-session-noninteractive
</pre>

* Création des groupes par défaut
<pre>
userdel -r user1 #user créé pendant l'installation
groupadd -g 1000 dev
groupadd -g 1001 grsec
groupadd -g 1002 fwadmin
groupadd -g 1003 adm-projects
groupadd -g 1004 wheel
</pre>

* Ajouter les utilisateurs opérateurs
<pre>
mkdir /root/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri" >> /root/.ssh/authorized_keys
chmod 700 /root/.ssh
chmod 600 /root/.ssh/authorized_keys

useradd -m -u 1020 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash mike
mkdir /home/mike/.ssh
chmod 700 /home/mike/.ssh
echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCrFOIGcDPe+LfoPc11vtv2EOVG63zBndLVnf48mC+krw2vXomDLXG+KnhIAx1yFhCh6B/8R9C3wMxwhghemE3succS+Q7Truu2pd7zDmDNn6cd8Iw02qe8dl3nZhVk5XtGMgeV3JRA7u8q32i4tadbONRICExjcm9pVL5wx5aLzNBtu1opyMdvHc0dBelghVa9kkg6bRri8AF38M16NTEqQNA7crwHHa9ZLBE+8xFWmkJdBJ7zRoR6XEwbOr020VEM+sKzCPl0sy606aW3bi59tYobqAGBjTglIOJWXKMxu1cPJnSCx6Xom9F6AeF1C4CghVrZpfu++XSmJQtXoId m.reault@hegyd.com" > /home/mike/.ssh/authorized_keys
chmod 600 /home/mike/.ssh/authorized_keys
chown -R mike:mike /home/mike/.ssh

useradd -m -u 1021 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p paCtx8rsjkGhQ admin
mkdir /home/admin/.ssh
chmod 700 /home/admin/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri
" > /home/admin/.ssh/authorized_keys
chmod 600 /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh

useradd -m -u 1022 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p pa2TnhUhhBRfU support
mkdir /home/support/.ssh
chmod 700 /home/support/.ssh
touch /home/support/.ssh/authorized_keys
chmod 600 /home/support/.ssh/authorized_keys
chown -R support:support /home/support/.ssh

chmod 750 /home/*

</pre>

* Configurer openssh-server
<pre>
echo "alias root=\"ssh -AX root@localhost\"" >>/home/admin/.bashrc
sed -i 's/^PermitRootLogin yes/PermitRootLogin without-password/' /etc/ssh/sshd_config
cat >> /etc/ssh/sshd_config <<EOF

UseDns no
AllowUsers root mike admin support
EOF
service ssh reload
</pre>

* Installer le serveur de mail local
<pre>
debconf-set-selections <<EOF
postfix postfix/root_address string
postfix postfix/rfc1035_violation boolean false
postfix postfix/mydomain_warning boolean
postfix postfix/mynetworks string 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
postfix postfix/mailname string $(hostname -f)
postfix postfix/tlsmgr_upgrade_warning boolean
postfix postfix/recipient_delim string +
postfix postfix/main_mailer_type select Internet Site
postfix postfix/destinations string $(hostname -f), localhost.$(hostname -f | sed -e 's/^[^.]\+\.$.*$$/\1/'), localhost
postfix postfix/retry_upgrade_warning boolean
# Faut-il installer postfix malgré l'incompatibilité du noyau ?
postfix postfix/kernel_version_warning boolean
postfix postfix/not_configured error
postfix postfix/mailbox_limit string 0
postfix postfix/relayhost string
postfix postfix/procmail boolean false
postfix postfix/bad_recipient_delimiter error
postfix postfix/protocols select ipv4
postfix postfix/chattr boolean false
EOF

NB : les erreurs sur le ligne 13 et 17 sont normales.

heirloom-mailx est déprécié mais présent dans le paquet s-nail

apt-get -y install postfix s-nail

sed -i -e '/^\/var\/log\/mail.log$/d' -e '/\/var\/log\/mail.info/i \
/var/log/mail.log\
{\
rotate 4\
weekly\
missingok\
notifempty\
compress\
delaycompress\
create 640 root dev\
sharedscripts\
postrotate\
invoke-rc.d rsyslog rotate > /dev/null\
endscript\
}' /etc/logrotate.d/rsyslog

chgrp dev /var/log/mail.log
</pre>
<pre>
cat >> /etc/aliases <<EOF
root: tech@hegyd.com
mike: m.reault@netprestation.com
EOF
newaliases
service postfix reload
</pre>

* Cloner le depot sys-common
<pre>
Au préalable, pour autoriser le git, se connecter sur srv-admin ( bastion ) et faire :

eval $(ssh-agent)
ssh-add
ssh root@nouvelle_vm
ou ssh nouvelle_vm puis su - root
</pre>

<pre>
mkdir /usr/local/share/hegyd
echo -e "Host git.hegyd.net\n\tStrictHostKeyChecking no\n" >> ~/.ssh/config
git clone -q git@git.hegyd.net:sys-common /usr/local/share/hegyd/sys-common
chmod -R g+rw /usr/local/share/hegyd
</pre>

* Ajouter une version prédéfinie de VimRC
<pre>
ln -s /usr/local/share/hegyd/sys-common/vim/vimrc_hegyd /etc/vim/vimrc.local
sed -i '78,80s/^/"/' /usr/share/vim/vim81/defaults.vim
</pre>

* Ajouter le script d'alerte des reboot
<pre>
cat <<EOF >/etc/rc.local
#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

exit 0
EOF
chmod +x /etc/rc.local
systemctl start rc-local
systemctl status rc-local
sed -i '/^exit 0/i\/usr\/local\/share\/hegyd\/sys-common\/bin\/alert-reboot' /etc/rc.local

</pre>

== Pare feu ==

<pre>
apt install iptables
update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
</pre>

* Configurer le système
<pre>
mkdir /etc/firewall
chgrp fwadmin /etc/firewall
chmod 2770 /etc/firewall
sed -i -e '/^Defaults\s\+env_reset\s*$/aDefaults:%fwadmin !lecture , passwd_timeout=1 , timestamp_timeout=1' -e "/^root\s\+ALL=(ALL:ALL)\s\+ALL\s*$/a%fwadmin ALL = NOPASSWD: /etc/firewall/$(hostname -f).fw , /usr/bin/pkill" /etc/sudoers
sed -i "/^exit 0/i\/etc\/firewall\/$(hostname -f).fw" /etc/rc.local
</pre>

* Créer et déployer le par feu
'''Créer le firewall sur firewall-builder puis le déployer'''
* Ajouter les vm dans le groupe "Virtual Machine" de firewall builder
* Ajouter les serveurs dans le groupe "Servers Applicatifs" de firewall builder

== Serveur de cache DNS local ==
* Suivre la procédure [[Bind]]

== Monitoring / Supervision ==
* Installer et configurer [[Snmp]]
* Installer et configurer le client [[Nagios#Installation_du_client_sur_Debian |NRPE pour Debian]]

== Sauvegarde ==
* à déterminer pour les serveur Proxmox : rsnapshot ou sauvegarde sur les vm ? proxmox intègre ses propres sauvegardes.

== Comptes utilisateurs ==
* Créer les comptes utilisateurs pour les accès du client (voir clés SSH publiques sur serveur Penta)

[[Catégorie:Administration serveurs]]

== ATTENTION Specificité network pour les Proxmox sur SCALE ( OVH ) ==

Pour info, problème rencontré avec les interfaces réseau du serveur de type SCALE chez OVH ( 2 carte rzo publiques et 2 cartes rzo privées ).
Obligé de faire 2 "bonds" et "un bridge" sur le bond de l'IP vrack.

ci-dessous configuration réseau fonctionnelle :

<pre>
root@vapps11:~# cat /etc/network/interfaces
# network interface settings; autogenerated
# Please do NOT modify this file directly, unless you know what
# you're doing.
#
# If you want to manage parts of the network configuration manually,
# please utilize the 'source' or 'source-directory' directives to do
# so.
# PVE will preserve these directives, but will NOT read its network
# configuration from sourced files, so do not attempt to move any of
# the PVE managed interfaces into external files!

auto lo
iface lo inet loopback

# interface publique 1
auto ens3f0
iface ens3f0 inet manual

# interface publique 2
auto ens3f1
iface ens3f1 inet manual

# interface privée 1
auto ens13f0
iface ens13f0 inet manual

# interface privée 2
auto ens13f1
iface ens13f1 inet manual

auto bond0
iface bond0 inet static
address 141.94.202.138/24
gateway 141.94.202.254
bond-slaves ens3f0 ens3f1
bond-miimon 100
bond-mode 802.3ad
post-up echo 1 > /proc/sys/net/ipv4/conf/bond0/proxy_arp
post-up echo 1 > /proc/sys/net/ipv4/ip_forward

# Agrégat LACP sur les interfaces privées
auto bond1
iface bond1 inet dhcp
bond-slaves ens13f0 ens13f1
bond-miimon 100
bond-mode 802.3ad

# Private
auto vmbr1
## Bridge raccordé sur l'agrégat bond1
iface vmbr1 inet static
address 172.16.0.167/12
netmask 255.240.0.0
bridge-ports bond1
bridge-stp off
bridge-fd 0
</pre>

** voir doc https://docs.ovh.com/fr/dedicated/proxmox-network-hg-scale/ **

==

LetsEncrypt

Pentasonic — Fri, 29 May 2020 13:01:53 GMT

Pentasonic : /* Installation */

== Installation d’un certificat LetsEncrypt avec renouvellement automatique pour un NDD : ==

* Ticket : https://v2.produhost.net/panel/15744/support/ticket/205183

''''Sur le serveur intrastore.hegyd.net''
''Générer un certificat SSL pour candidats.raisonhome.com par Let's Encrypt avec renouvellement automatique.''
''Redirection auto port 80 vers 443''
''...''''

'''L'utilisation de certbot-auto est recommandé car les versions du "acme-challenge" du certbot de la distribution ( dépôts backports ) ne sont plus supportées.'''

== Installation ==

* Récupération de l’os et de sa version sur intrastore.hegyd.net

<pre>
#cat /etc/debian_version
8.11
</pre>

ici Debian / Jessie

* Se connecter sur https://certbot.eff.org/ et choisir sa config OS / Serveur :

https://certbot.eff.org/lets-encrypt/debianjessie-apache

* Se connecter en root, sur intrastore.hegyd.net:

* Vérifier si l’ancien certbot n’est pas installé :

<pre>
apt remove certbot
</pre>

puis :

<pre>
wget https://dl.eff.org/certbot-auto
mv certbot-auto /usr/local/bin/certbot-auto
chown root /usr/local/bin/certbot-auto
chmod 0755 /usr/local/bin/certbot-auto
</pre>

* Installer les dépendances, python et générer les certificats :

<pre>
/usr/local/bin/certbot-auto –apache
</pre>

* En cas d’erreur, faire les modifications nécessaire et relancer la commande.

<pre>
/usr/local/bin/certbot-auto –apache
</pre>

* Ensuite on teste le certificat :

<pre>
certbot-auto certonly --webroot -w /var/projects/cloud/prod/raison-home -d candidats.raisonhome.com -m tech@hegyd.net –dry-run
</pre>

* si c’est ok on enleve le « --dry-run »

<pre>
certbot-auto certonly --webroot -w /var/projects/cloud/prod/raison-home -d candidats.raisonhome.com -m tech@hegyd.net
</pre>

* Le certificat va être généré dans /etc/letsencrypt/live/candidats.raisonhome.com qui contient les fichiers pour le certificat à configurer dans le vhost Apache :

cert.pem chain.pem fullchain.pem privkey.pem

* modifier la conf du vhost dans /etc/apache2/sites-enabled/intrastore.conf:

<pre>
# PROD candidats.raisonhome.com
<Virtualhost *:80>
ServerName candidats.raisonhome.com
ServerAlias *.candidats.raisonhome.com
VirtualDocumentRoot /var/projects/cloud/prod/raison-home
<Directory "/var/projects/cloud/prod/raison-home">
Options Indexes FollowSymlinks MultiViews
AllowOverride All
Require all granted
</Directory>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
</Virtualhost>
<Virtualhost *:443>
ServerName candidats.raisonhome.com
ServerAlias *.candidats.raisonhome.com
VirtualDocumentRoot /var/projects/cloud/prod/raison-home
<Directory "/var/projects/cloud/prod/raison-home">
Options Indexes FollowSymlinks MultiViews
AllowOverride All
Require all granted
</Directory>
SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/candidats.raisonhome.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/candidats.raisonhome.com/privkey.pem
SSLCertificateChainFile /etc/letsencrypt/live/candidats.raisonhome.com/chain.pem
</Virtualhost>
</pre>

* Vérifier la configuration et recharger apache :

<pre>
apachectl -t
service apache2 reload
</pre>

* Vérifier le site, la redirection et le certificat :
<pre>
https://candidats.raisonhome.com
</pre>

== installation du cron de renouvellement ( renew ) ==

* Ensuite mettre le cron de renouvellement dans la crontab :

<pre>
echo "0 0,12 * * * root python -c 'import random; import time; time.sleep(random.random() * 3600)' && /usr/local/bin/certbot-auto renew -q" | sudo tee -a /etc/crontab > /dev/null
</pre>

* ce qui donne pour etc/crontab

<pre>
0 0,12 * * * root python -c 'import random; import time; time.sleep(random.random() * 3600)' && /usr/local/bin/certbot-auto renew -q
</pre>

* Recharger le service cron

<pre>
service cron reload
</pre>

Et voila, reste à surveiller le cron pour valider le bon renouvellement automatique.

[[Catégorie:Administration serveurs]]

Deprovisionner VM

Pentasonic — Mon, 04 May 2020 13:05:55 GMT

Pentasonic : /* Couper les sauvegardes ( Bacula ) */

= Dé-provisionner une VM =

== Contexte ==

* ticket : https://v2.produhost.net/panel/15746/support/ticket/200296

'' Nous avons mis fin à la liaison entre nos applications et le service Piwik donc vous pouvez maintenant éteindre la machine apply.viaduc.fr''

* Identification

VM : apply.viaduc.fr / 178.33.76.36

DPS : vapps1.viaduc.fr / 37.187.69.161

== Couper la supervision ( Nagios ) ==

* Se connecter au serveur Nagios Hegyd 195.114.26.250 :

<pre>
cd /opt/ns_core/nagios-core/etc/objects/HEGYD
</pre>

* Faire une copie des fichiers de configuration à la date du jour :
<pre>
cp hegyd_hosts.cfg hegyd_hosts.cfg.SAV20200504
cp hegyd_services.cfg hegyd_services.cfg.SAV20200504
</pre>

* Supprimer dans les 2 fichiers '''hegyd_hosts.cfg''' et '''hegyd_services.cfg''' tout ce qui à rapport à apply.viaduc.fr
* Vérifier la conf Nagios et si OK rédémarrer :
<pre>
/root/check_nagios.sh
</pre>
ou
<pre>
/opt/ns_core/nagios-core/bin/nagios -v /opt/ns_core/nagios-core/etc/nagios.cfg
</pre>
puis
<pre>
service nagios reload
</pre>

== Couper les sauvegardes ( Bacula ) ==

* se connecter sur le serveur de backup backup2.viaduc.fr
<pre>
cd /etc/bacula/clientdefs.d
</pre>

* Editer le fichier fd de la vm : ici apply.viaduc.fr-fd.conf et commenter les jobs System et Logs

<pre>
vi apply.viaduc.fr-fd.conf
</pre>

<pre>
#Job {
# Name = "Apply System Backup"
# JobDefs = "Default Server Backup"
# Client = apply.viaduc.fr-fd
# Storage = apply.viaduc.fr-sd
#}
#
#Job {
# Name = "Apply Logs Backup"
# JobDefs = "Default Logs Server Backup"
# Client = apply.viaduc.fr-fd
# Storage = apply.viaduc.fr-sd
#}
</pre>

Systeme d'exploitation Debian 10

Pentasonic — Sat, 07 Mar 2020 18:22:36 GMT

Pentasonic : /* Installation paquets clients */

== Debian 10 ( Buster ) ==

* Si on arrive ici après l'installation d'une VM KVM, il faut d'abord se connecter depuis la console virt-manager en root, puis :
<pre>
sed -i 's/^#PermitRootLogin prohibit-password/PermitRootLogin yes/' /etc/ssh/sshd_config
service ssh reload
</pre>

On peut alors se connecter maintenant depuis Putty/MRemote via le compte root et le mot de passe saisi lors de l'installation.

* Modification du mot de passe root si nécessaire, et selon la règle de nommage usuelle.
<pre>
passwd
</pre>
* Installer les paquets de base :
<pre>
# Configuration APT pour remonter /tmp avec le flag exec (nécessaire pour certains paquets)
cat >> /etc/apt/apt.conf <<EOF
DPkg::Pre-Invoke{"mount -o remount,exec /tmp";};
DPkg::Post-Invoke {"mount -o remount /tmp";};
EOF

apt-get update && apt-get -y upgrade
apt-get -y install bash-completion ntp sudo htop telnet sysstat subversion git less vim-nox cscope exuberant-ctags
</pre>

NB : si l'apt-get essaie de passer en ipv6 et que cela ne fonctionne pas, il faut modifier la ligne 54 du fichier /etc/gai.conf de la façon suivante :
<pre>
precedence ::ffff:0:0/96 100
</pre>

* Paramétrer les locales :
<pre>
echo -n > /etc/environment
echo -n > /etc/default/locale
</pre>

* Paramétrer debconf :
<pre>
apt-get install dialog &&
echo "debconf debconf/priority select high" | debconf-set-selections &&
echo "debconf debconf/frontend select Dialog" | debconf-set-selections
</pre>

* Définir vim comme éditeur par défaut
<pre>update-alternatives --set editor /usr/bin/vim.nox</pre>

* Paramétrer l'environnement utilisateur
<pre>
sed -i '32,38s/^#//' /etc/bash.bashrc
cat >> /etc/bash.bashrc <<EOF

export LS_OPTIONS='--color=auto'
eval "\`dircolors\`"
alias ls='ls \$LS_OPTIONS'
alias ll='ls \$LS_OPTIONS -l'
alias grep='grep --color=auto'
EOF
</pre>

* Modifier le shell par défaut des utilisateurs en éditant la lignes suivante du fichier "/etc/default/useradd" :
<pre>sed -i 's/^SHELL=\/bin\/sh/SHELL=\/bin\/bash/' /etc/default/useradd</pre>

* Gestion du Umask
<pre>
sed -i 's/^UMASK\s\+022/UMASK 002/' /etc/login.defs
echo "session optional pam_umask.so" >> /etc/pam.d/common-session
echo "session optional pam_umask.so" >> /etc/pam.d/common-session-noninteractive
</pre>

* Création des groupes par défaut
<pre>
userdel -r user1 #user créé pendant l'installation
groupadd -g 1000 dev
groupadd -g 1001 grsec
groupadd -g 1002 fwadmin
groupadd -g 1003 adm-projects
groupadd -g 1004 wheel
</pre>

* Ajouter les utilisateurs opérateurs
<pre>
mkdir /root/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri" >> /root/.ssh/authorized_keys
chmod 700 /root/.ssh
chmod 600 /root/.ssh/authorized_keys

useradd -m -u 1020 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash mike
mkdir /home/mike/.ssh
chmod 700 /home/mike/.ssh
echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCrFOIGcDPe+LfoPc11vtv2EOVG63zBndLVnf48mC+krw2vXomDLXG+KnhIAx1yFhCh6B/8R9C3wMxwhghemE3succS+Q7Truu2pd7zDmDNn6cd8Iw02qe8dl3nZhVk5XtGMgeV3JRA7u8q32i4tadbONRICExjcm9pVL5wx5aLzNBtu1opyMdvHc0dBelghVa9kkg6bRri8AF38M16NTEqQNA7crwHHa9ZLBE+8xFWmkJdBJ7zRoR6XEwbOr020VEM+sKzCPl0sy606aW3bi59tYobqAGBjTglIOJWXKMxu1cPJnSCx6Xom9F6AeF1C4CghVrZpfu++XSmJQtXoId m.reault@hegyd.com" > /home/mike/.ssh/authorized_keys
chmod 600 /home/mike/.ssh/authorized_keys
chown -R mike:mike /home/mike/.ssh

useradd -m -u 1021 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p paCtx8rsjkGhQ admin
mkdir /home/admin/.ssh
chmod 700 /home/admin/.ssh
echo "ssh-dss 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 admin@backup.hegyd.com
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfcJ8J5YR6F7qrYLuVJ3YIqOXqNvj1OnYd0zybZ45X+IeFKePo2hL1NHALHWxys6Qo4Ta3pPcRkliQBy51IIXOtNVp90C4XqTNkwaAl6X4RnPPoGNVgq1V53BW/mkUYsvLoYTJHokb+a3exGHCYaPbuj09FV5VVdF2uGUIiRyMZzmZurLCzySagP+8e34ZrLDlwwmDtd24CVc0OyxikqFOzzOkvCWTaAttGv7qyAlwjyAAMTqlJhqPNaCQcOJVEGiwXNlXqjroRJz7j4a3vEd3xujfY3zeSu9U22iCgAJWiLRI+M7m7af4/yxTV8IYNvpOMTjqMnxOEAKsiCLmrwUJ MGA@HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDSpLz0aUxPDyO5cXPm8HQkaNAUjNNULrhH8G3Nvw7SdhAvRVL9/RKzXu5Aa4nSQd0u61bWVlGvDVSSZgZGRnoxsmzK1aOJWcgJmhVI1r6o9fVKSxz/x+1uE8PFJxUVaGULoLvDRzZLDazg/c/Djb5AgTprmw8KvMKdcDk/kCixFmjEObuOwFbnA/ZbnHS8PPUgHSCwLNAQOUSZSLRZzEFRKO4+HCl5T7iZfCGd7dCInysG2tVzBJCqsN7hw5fhz49Kb1txa93dYhY7kh7SYqCYthGToqGVcDNQX7cXCP2Sqpw+2N/SAcke6E/MgalYAr40dIRRFuUJKX8LxLoko47r admin@rescue
ssh-dss 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 admin@SRV-ADMIN-HEGYD
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDDSTvhJwZSkwprrGoTTCDXK4p4VtyGo9EBNckRimYpwUAIq5MV3coWwrfJR/5qH7gYgZdCtBkZR/Mq59Xoeug7Gs5saoVkM0AjjIWPIpx52tl6/mnMvb7XrHwgonxiP2UR5o6tzVJgIK5jO7K6ezaJMobbmorxTDr7zcRm3obON1s21+Wv2FXZBUsFxXL3QjoECgh9mCV7bIjVis6Wl/bPq/ufLwcIhSnnpAzes7kWrfpIU825wUizdyp3JL8clDt1ovdBll7HdnCxmpux/NQQAixNYZhS0G65xXa8Db6hb3XS9v0AZcx07xsP+bGrUMo++L+HPqLYVADTskiRST+Z admin@SRV-ADMIN-HEGYD
ssh-rsa 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 enzo@dri
" > /home/admin/.ssh/authorized_keys
chmod 600 /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh

useradd -m -u 1022 -G fwadmin,dev,adm,staff,adm-projects,wheel -s /bin/bash -p pa2TnhUhhBRfU support
mkdir /home/support/.ssh
chmod 700 /home/support/.ssh
touch /home/support/.ssh/authorized_keys
chmod 600 /home/support/.ssh/authorized_keys
chown -R support:support /home/support/.ssh

chmod 750 /home/*

</pre>

* Configurer openssh-server
<pre>
echo "alias root=\"ssh -AX root@localhost\"" >>/home/admin/.bashrc
sed -i 's/^PermitRootLogin yes/PermitRootLogin without-password/' /etc/ssh/sshd_config
cat >> /etc/ssh/sshd_config <<EOF

UseDns no
AllowUsers root mike admin support
EOF
service ssh reload
</pre>

* Installer le serveur de mail local
<pre>
debconf-set-selections <<EOF
postfix postfix/root_address string
postfix postfix/rfc1035_violation boolean false
postfix postfix/mydomain_warning boolean
postfix postfix/mynetworks string 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
postfix postfix/mailname string $(hostname -f)
postfix postfix/tlsmgr_upgrade_warning boolean
postfix postfix/recipient_delim string +
postfix postfix/main_mailer_type select Internet Site
postfix postfix/destinations string $(hostname -f), localhost.$(hostname -f | sed -e 's/^[^.]\+\.$.*$$/\1/'), localhost
postfix postfix/retry_upgrade_warning boolean
# Faut-il installer postfix malgré l'incompatibilité du noyau ?
postfix postfix/kernel_version_warning boolean
postfix postfix/not_configured error
postfix postfix/mailbox_limit string 0
postfix postfix/relayhost string
postfix postfix/procmail boolean false
postfix postfix/bad_recipient_delimiter error
postfix postfix/protocols select ipv4
postfix postfix/chattr boolean false
EOF

NB : les erreurs sur le ligne 13 et 17 sont normales.

heirloom-mailx est déprécié mais présent dans le paquet s-nail

apt-get -y install postfix s-nail

sed -i -e '/^\/var\/log\/mail.log$/d' -e '/\/var\/log\/mail.info/i \
/var/log/mail.log\
{\
rotate 4\
weekly\
missingok\
notifempty\
compress\
delaycompress\
create 640 root dev\
sharedscripts\
postrotate\
invoke-rc.d rsyslog rotate > /dev/null\
endscript\
}' /etc/logrotate.d/rsyslog

chgrp dev /var/log/mail.log
</pre>
<pre>
cat >> /etc/aliases <<EOF
root: tech@hegyd.com
mike: m.reault@netprestation.com
EOF
newaliases
service postfix reload
</pre>

* Modifier les points de montage par défault en éditant le fichier "/etc/fstab" pour ajouter les options "noatime,barrier=0" à tout les montages ext4.
Exemple :
<pre>
/dev/mapper/vg_vm-root / ext4 errors=remount-ro,relatime 0 1
UUID=6f7256e5-a5e3-4019-9f08-c582c20ffceb /boot ext2 defaults 0 2
/dev/mapper/vg_vm-home /home ext4 defaults,noatime,barrier=0 0 2
/dev/mapper/vg_algorel-tmp /tmp ext4 defaults,noatime,noexec,barrier=0 0 2
/dev/mapper/vg_algorel-var /var ext4 defaults,noatime 0 2
</pre>

* Cloner le depot sys-common
<pre>
Au préalable, pour autoriser le git, se connecter sur srv-admin ( bastion ) et faire :

eval $(ssh-agent)
ssh-add
ssh root@nouvelle_vm
ou ssh nouvelle_vm puis su - root
</pre>

<pre>
mkdir /usr/local/share/hegyd
echo -e "Host git.hegyd.net\n\tStrictHostKeyChecking no\n" >> ~/.ssh/config
git clone -q git@git.hegyd.net:sys-common /usr/local/share/hegyd/sys-common
chmod -R g+rw /usr/local/share/hegyd
</pre>

* Ajouter une version prédéfinie de VimRC
<pre>
ln -s /usr/local/share/hegyd/sys-common/vim/vimrc_hegyd /etc/vim/vimrc.local
sed -i '78,80s/^/"/' /usr/share/vim/vim81/defaults.vim
</pre>

* Ajouter le script d'alerte des reboot
<pre>
cat <<EOF >/etc/rc.local
#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

exit 0
EOF
chmod +x /etc/rc.local
systemctl start rc-local
systemctl status rc-local
sed -i '/^exit 0/i\/usr\/local\/share\/hegyd\/sys-common\/bin\/alert-reboot' /etc/rc.local

</pre>

== IP Vrack (pour les VMs) ==
* Si la VM doit avoir une IP VRACK, il faut la configurer après avoir chois une IP dans le fichier des IPs
<pre>
Ajouter dans /etc/network/interfaces, pour l'ip eth0

post-up /sbin/ifconfig eth0:1 172.16.0.145 netmask 255.240.0.0
post-down /sbin/ifconfig eth0:1 down
</pre>

NB : pour les hyperviseurs, voir après l'installation dans le wiki 
* Pour les serveurs physiques, positionner l'adresse VRack sur l'interface eth1 ou eth3 (selon le serveur)

== Pare feu ==
* Important : Suppression de ufw installé automatiquement avec Debian 10/Buster et qui bloque fwbuilder.
Référence : https://talk.lowendspirit.com/discussion/290/resolved-ufw-iptables-not-working-in-debian-10-minimal
<pre>
apt install iptables
update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
</pre>

* Configurer le système
<pre>
mkdir /etc/firewall
chgrp fwadmin /etc/firewall
chmod 2770 /etc/firewall
sed -i -e '/^Defaults\s\+env_reset\s*$/aDefaults:%fwadmin !lecture , passwd_timeout=1 , timestamp_timeout=1' -e "/^root\s\+ALL=(ALL:ALL)\s\+ALL\s*$/a%fwadmin ALL = NOPASSWD: /etc/firewall/$(hostname -f).fw , /usr/bin/pkill" /etc/sudoers
sed -i "/^exit 0/i\/etc\/firewall\/$(hostname -f).fw" /etc/rc.local
</pre>

* Créer et déployer le par feu
'''Créer le firewall sur firewall-builder puis le déployer'''
* Ajouter les vm dans le groupe "Virtual Machine" de firewall builder
* Ajouter les serveurs dans le groupe "Servers Applicatifs" de firewall builder

== Installation paquets clients ==

<pre>
apt-get install mysql-client
</pre>
ou ( dernier Buster )
<pre>
apt-get install default-mysql-client
</pre>
Si le serveur MySQL doit être installé sur la machine :

<pre>
apt-get install mysql-server
</pre>
ou
<pre>
apt-get install default-mysql-server
</pre>
=== UTF-8 client / serveur ===
<pre>
sed -i -e '/\[client\]/{n;n;/$/a \
default-character-set = utf8
}' \
-e '/\[mysqld\]/a \
character_set_server = utf8\
collation_server = utf8_general_ci' \
-e '/\[mysql\]/a \
default-character-set = utf8' /etc/mysql/my.cnf
</pre>

== Tuning ==

* Sur un serveur physique, si le RAID est hard, il n'y a pas besoin du service mdadm
<pre>
sed -i -e 's/START_DAEMON=true/START_DAEMON=false/' -e 's/AUTOCHECK=true/AUTOCHECK=false/' /etc/default/mdadm
service mdadm restart
</pre>

* PLUS NECESSAIRE : Suppression des tty inutiles (2 suffisent)
<pre>
sed -i '56,59s/^/#/' /etc/inittab
kill -HUP 1
</pre>

== Serveur de cache DNS local ==
* Suivre la procédure [[Bind]]

== Monitoring / Supervision ==
* Installer et configurer [[Snmp]]
* Installer et configurer le client [[Nagios#Installation_du_client_sur_Debian |NRPE pour Debian]]

== Sauvegarde ==
* Installer et configurer [[Bacula#Debian]]

== Comptes utilisateurs ==
* Créer les comptes utilisateurs pour les accès du client (voir clés SSH publiques sur serveur Penta)

[[Catégorie:Administration serveurs]]