Метка: # CentOS # Безопасность # Серверы

Используемые термины: FreeIPA, CentOS.

Мы добавим второй сервер FreeIPA и настроим репликацию с первым. Предполагается, что у нас уже есть сам сервер — в противном случае, нужно сначала выполнить действия из инструкции Установка и использование FreeIPA на CentOS.

Процедура выполняется (далее…)

Используемые термины: Freeradius, CentOS.

Цель данной инструкции — показать пример развертывания и использования сервера аутентификации на базе протокола RADIUS с помощью Freeradius. Мы выполним его установку на CentOS 8 — в итоге мы получим:

• RADIUS-сервер на базе Freeradius 3. (далее…)

Используемые термины: FreeIPA, CentOS, Rocky.

В инструкции разберем пример установки сервера FreeIPA (аналог Microsoft Active Directory, Samba DC) на Rocky Linux / CentOS. В качестве клиентов будем использовать дистрибутивы на базе RPM (Rocky, CentOS) и deb (Debian, Ubuntu).

Подготовка сервера

Для подготовки сервера безопасности с доступом к данным по LDAP необходим сервер с правильно настроенным временем. Также необходимо правильно настроить межсетевой экран и систему безопасности SELinux.

Время

Установим часовой пояс:

* в данном примере используется московское время.

Затем устанавливаем и запускаем утилиту для синхронизации времени chrony.

Имя сервера

Для корректной работы сервера, необходимо, задать ему полное доменное имя (FQDN). Выполняем команду:

* где ipa-server.dmosk.local — имя сервера, которое будет использоваться.

Брандмауэр

Необходимо открыть несколько портов, которые используются службами FreeIPA:

SELinux

Отключаем SELinux командами:

Установка и запуск FreeIPA

Установка выполняется из репозитория. Команды немного отличаются в зависимости от версии CentOS.

б) для Rocky Linux 9 / CentOS 9:

б) для Rocky Linux 8 / CentOS 8:

* первая команда установит модуль DL1 Stream-репозитория. Вторая — сам freeipa.

в) для CentOS 7:

Если мы хотим использовать наш сервер еще и как DNS, то устанавливаем:

После выполняем конфигурирование сервиса:

* если система ругнется на IPv6, переходим к решению.

Отвечаем на первый вопрос, хотим ли мы использовать и сконфигурировать DNS-сервер BIND:

* в случае, если мы не хотим, чтобы сервер DNS был установлен вместе с сервером IPA, просто нажимаем Enter.

На остальные запросы можно ответить по умолчанию, нажав Enter и оставив подставленные значения. Если возникнут ошибки, решение посмотрите ниже в данной инструкции.

Когда система запросит пароль для Directory Manager, необходимо придумать и ввести его дважды:

… будет создана учетная запись для подключения к LDAP.

Затем также нужно придумать и задать пароль для IPA admin:

… будет создана учетная запись IPA Administrator для первого пользователя FreeIPA с правами администратора.

Для настройки DNS на первый запрос, хотим ли мы настроить перенаправления, отвечаем да:

Система предложит сначала использовать DNS-серверы из настроек сети (если они прописаны) — если нас это устроит, оставляем значение по умолчанию:

… также можно добавить дополнительные серверы:

Также оставляем значение по умолчанию для попытки найти обратные зоны:

После система выведет информацию о конфигурации и попросит ее подтвердить — вводим yes:

Начнется процесс конфигурации. После его завершения мы увидим подсказку со следующими шагами:

… и так как порты мы уже настраивали, переходим ко второму шагу — проверим, что система может выдать билет:

… после вводим пароль администратора, который указывали при конфигурировании FreeIPA.

Проверяем, что билет получен:

Ответ должен быть, примерно, следующим:

* где DMOSK.LOCAL — домен в моей системе. В данном примере мы получили билет для пользователя admin.

Удалим полученный билет:

Настройка и подключение клиента

DNS

Клиентские компьютеры должны быть настроены на использование DNS-сервера, который мы сконфигурировали на сервере FreeIPA во время его установки. В сетевых настройках указываем использовать наш сервер ipa для разрешения имен:

1. Пример настройки сети в CentOS / Rocky Linux
2. Настройка сети с помощью netplan (Debian, Ubuntu).
3. В устаревающих системах на основе deb настройка выполняется в файле /etc/network/interfaces (опция dns-nameservers) или /etc/resolv.conf (опция nameserver).

Время

Для корректной работы и подключения необходимо проверить настройки времени. 

В первую очередь, укажем часовой пояс:

* командой timedatectl list-timezones можно посмотреть список всех часовых поясов.

Устанавливаем утилиту для синхронизации времени, разрешаем запуск демона и стартуем его.

а) если на системе Ubuntu / Debian:

б) если на системе Rocky Linux / CentOS / Red Hat:

Подключение к домену

Устанавливаем freeipa-client.

а) на компьютеры с Red Hat / CentOS:

б) на компьютеры с Debian / Ubuntu:

Для Debian 9 приходится использовать дополнительный репозиторий:

wget -qO — https://apt.numeezy.fr/numeezy.asc | apt-key add —

echo -e 'deb http://apt.hgb.fr jessie main' >> /etc/apt/sources.list

Обновляем список и устанавливаем:

apt  update

apt  install freeipa-client

Выполним конфигурирование клиента:

Система на основе данных из DNS попробует определить настройки и либо попросит ввести наш домен (если не сможет найти данные автоматически):

… либо отобразить настройки в консоли, например:

Если эти настройки верны, отвечаем положительно на запрос Continue to configure the system with these values?

Система спросит, от какого пользователя производить настройку — вводим admin:

… и пароль:

Начнется процесс конфигурации — после его завершения:

… сразу проверим, что клиент может получать билет от сервера:

…  и вводим пароль от пользователя admin.

Проверяем, что билет получен:

Ответ должен быть, примерно, следующим:

Клиент настроен.

Работа с учетными записями

Создадим пользователя. Для этого рассмотрим пример использования командной строки и веб-интерфейса.

Командная строка

Авторизуемся на FreeIPA:

Создаем нового пользователя командой:

* где dmosk — логин; first — имя пользователя; last — фамилия; password — ключ для запроса пароля.

… после ввода команды система запросит пароль для создаваемого пользователя — вводим его дважды.

Мы должны увидеть сводку по параметрам для созданного пользователя:

Примет более полной команды для создания пользователя:

* в данном примере мы использовали дополнительные поля:

• cn — полное имя.
• displayname — отображаемое имя.
• email — адрес электронной почты.

Веб-интерфейс

Открываем браузер и переходим по адресу имени сервера — в нашем примере, https://ipa-server.dmosk.local. Закрываем всплывающее окно с запросом пароля. В появившейся странице авторизации вводим логин admin и его пароль.

Откроется страница управления пользователями:

На панели справа (над списком пользователей) кликаем по Добавить:

В открывшемся окне заполняем поля для создания пользователя и нажимаем по Добавить:

Проверка

На компьютере с клиентом вводим команду для проверки:

… и вводим пароль от созданной учетной записи:

При вервом входе система попросит поменять пароль на новый:

Редактирование учетных записей

Редактирование выполняется командой:

Например, поменять пароль можно командой:

* в данном примере будет запрошен новый пароль для учетной записи username.

Для удаления вводим:

Например:

Подробная информация

Получить информацию мы можем о любой сущьности в LDAP с помощью командной строки.

Для пользователей:

* первая команда вернет информацию по всем пользователям, вторая — по конкретному (в данном примере user_name).

Для групп:

* первая команда вернет информацию по всем группам, вторая — только для admins.

Примеры команд

Рассмотрим отдельно примеры работы с FreeIPA посредством командной строки.

Работа с группами

1. Создание группы безопасности:

* создаем группу безопасности managers.

2. Добавить пользователя в группу:

* добавим в группу managers пользователей user1, user2 и user3.

3. Переименовать группу:

Например:

* в данном примере мы переименуем группу users в группу admins.

Работа с сертификатами

1. Выпустить сертификат для компьютера (выполняется на компьютере, который присоединен к freeipa):

* в данном примере будет сформирован запрос на получение сертификата и сохранен в каталог /etc/pki/tls/certs.

Если в нашей системе работает SELinux, попытка создать сертификат в другом каталоге закончится ошибкой The parent of location "/foo/bar/" could not be accessed due to insufficient permissions. Для решения проблемы, мы должны задать контекст безопасности cert_t:

semanage fcontext -a -t cert_t "/foo/bar(/.*)?"

* где /foo/bar — полный путь до каталога, в котором мы хотим разместить сертификаты.

И применяем политику:

restorecon -R -v /foo/bar

Добавляем политику SELinux разрешающую модуль:

semanage permissive -a certmonger_t

После этого наша команда ipa-getcert request должна отработать корректно.

2. Посмотреть список запросов на сертификат с узла можно командой:

3. Удалить запрос можно командой:

Например:

4. Обновить сертификат:

* где 20210923072007 — идентификатор запроса, который можно посмотреть командой ipa-getcert list.

Можно обновить сертификат с обновлением параметров получения:

* в данном примере мы переопределим путь до ключа.

5. Получение сертификата для сервиса.

По умолчанию, сертификат создается для имени в соответствии с названием компьютера. Мы можем получить сертификат для сервиса с другим principal name и DNS name:

* в данном примере мы получим сертификат для узла mail.dmosk.ru.

Чтобы команда сработала, необходимо, чтобы у нас был создан сервис с принципалом HTTP/mail.dmosk.ru, а также хост, с которого мы запрашиваем сертификат был добавлен в перечень узлов созданного сервиса. Все это можно сделать в веб-интерфейсе управления FreeIPA.

Дополнительные настройки

Рассмотрим отдельно некоторые настройки и возможности работы с FreeIPA.

SSH аутентификация через FreeIPA

По умолчанию, клиент конфигурируется на возможность входа по SSH с использованием пользователей из FreeIPA. Внесем некоторые изменения для удобства.

Открываем конфигурационный файл для pam:

Добавим в конец одну строку:

* данная настройка укажет на необходимость автоматического создания домашней директории для пользователя.

Готово.

Вывод клиента из домена

Если необходимо вывести клиентский компьютер из домена, вводим команду:

Система выполнит необходимые настройки самостоятельно:

И отправляем компьютер в перезагрузку:

Возможные ошибки

Разберем некоторые ошибки, которые могут возникнут в процессе установки FreeIPA.

1. ipapython.admintool: ERROR    IPv6 stack is enabled in the kernel but there is no interface that has ::1 address assigned. Add ::1 address resolution to 'lo' interface. You might need to enable IPv6 on the interface 'lo' in sysctl.conf.

Ошибка появляется при попытке запустить команду ipa-server-install.

Причина: если в системе отключен IPv6 с помощью параметра в ядре net.ipv6.conf.all.disable_ipv6 или net.ipv6.conf.default.disable_ipv6, то команда выдаст ошибку, так как для локальной петли нам нужен IPv6. Если же IPv6 отключен через GRUB, то необходимо его включить.

Решение:

1. sysctl

Открываем конфигурационный файл sysctl:

Добавляем строку:

Применяем настройки:

2. GRUB

Открываем конфигурационный файл grub:

Находим строку опцию GRUB_CMDLINE_LINUX — в ее значении мы должны найти ipv6.disable=1:

Удаляем данную опцию из значения — в моем случае получилось:

Переконфигурируем grub:

Для применения, перезагрузим систему:

2. Invalid hostname 'XXX', must be fully-qualified

Появляется при запуске команды ipa-server-install.

Причина: имя нашего сервера не является FQDN (полным доменным).

Решение: задаем полное имя с доменом командой:

* в данном примере у сервера будет имя ipa-server в домене dmosk.local.

3. DNS zone XXX. already exists in DNS

При попытке выполнить конфигурирование с помощью ipa-server-install, мы можем получить ошибку:

* где dmosk.local — домен, для которого мы пытаемся поднять контроллер.

Причина: мастер установки и конфигурирования FreeIPA смог разрешить NS серверы для нашего домена. Это означает, что данный домен уже где-то настроен и кем-то используется. Как правило, данная проблема характерна для внешних доменов, которые имеют свои внешние DNS-серверы.

Решение: проверяем, что правильно написали домен. Если это наш домен, который имеет внешний сервер DNS, то мы можем проигнорировать ошибку. Для этого запускаем установку FreeIPA с опцией allow-zone-overlap: