HQ SRV

HQ-SRV¶

Интерфейсы¶

HQ-RTR:

options:

BOOTPROTO=static
TYPE=eth
CONFIG_WIRELESS=no
CONFIG_IPV4=yes
DISABLED=no
NM_CONTROLLED=no
SYSTEMD_BOOTPROTO=static
SYSTEMD_CONTROLLED=no

ipv4address:

192.168.1.2/27

ipv4route:

default via 192.168.1.1

Users¶

adduser sshuser -u 2026

Смена пароля:

passwd sshuser
P@ssw0rd
P@ssw0rd

Утилита потребует ввести новый пароль и подтвердить (повторить) его.

Sudo¶

Переопределить настройки /etc/sudoers:

##
## User privilege access
##

sshuser ALL=(ALL) NOPASSWD: ALL

Добавить пользователя sshuser в группу wheel:

gpasswd -a sshuser wheel

Альтернативный способ. Отредактировать /etc/group подобным образом:

wheel:x:10:root,user,sshuser

SSH¶

Переопределить настройки /etc/openssh/sshd_config:

# Порт
Port 2026

# Отключаем вход с root
PermitRootLogin no

# Максимальное количество попыток
MaxAuthTries 2

# Вход только с sshuser
AllowUsers sshuser

# Путь файла с баннером
Banner /etc/openssh/banner

echo "Authorized access only" | tee /etc/openssh/banner

Перезапускаем службу:

systemctl restart sshd

Сервер DNS - BIND¶

Переопределить настройки /etc/bind/options.conf:

/*
 * Отключает проверки DNSSEC.
 * Может требоваться не всегда.
 * Включите этот параметр, если вдруг наблюдаете странное поведение Bind,
 * например в логах есть ошибки DNSSEC или вторичный сервер DNS не хочет
 * резолвить адреса, как в примере ниже.
 */
dnssec-validation no;

/*
 * Перенаправление запросов на DNS сервер Google, если
 * наш их не резолвит.
 */
forwarders { 8.8.8.8; };

/*
 * Разрешаем DNS запросы с любой сети.
 */
allow-query { any; };

Добавляем новые записи в /etc/bind/local.conf:

// Прямая зона
zone "au-team.irpo" {
    type master;
    file "au-team.irpo";
}

// Обратная зона
zone "168.192.in-addr.apra" {
    type master;
    file "168.192.in-addr.apra";
}

// Обратная зона
zone "16.172.in-addr.apra" {
    type master;
    file "16.172.in-addr.apra";
}

Создаём файлы наших зон:

cp /etc/bind/zone/localhost /etc/bind/zone/au-team.irpo
cp /etc/bind/zone/127.in-addr.arpa /etc/bind/zone/168.192.in-addr.apra
cp /etc/bind/zone/127.in-addr.arpa /etc/bind/zone/16.172.in-addr.apra

Меняем группу файлов на named для доступа BIND к нашим конфигурациям.

chown root:named /etc/bind/zone/au-team.irpo
chown root:named /etc/bind/zone/168.192.in-addr.apra
chown root:named /etc/bind/zone/16.172.in-addr.apra

Настройка прямой зоны /etc/bind/zone/au-team.irpo:

$TTL    1D
@       IN      SOA     au-team.irpo. root.au-team.irpo. (
                                1               ; serial
                                12H             ; refresh
                                1H              ; retry
                                1W              ; expire
                                1H              ; ncache
                        )
        IN      NS      hq-srv.au-team.irpo.
hq-rtr  IN      A       192.168.1.1
hq-rtr  IN      A       192.168.2.1
br-rtr  IN      A       192.168.3.1
hq-srv  IN      A       192.168.1.2
hq-cli  IN      A       192.168.2.2
br-srv  IN      A       192.168.3.2
docker  IN      A       172.16.1.1
web     IN      A       172.16.2.1

Настройка обратной зоны /etc/bind/zone/168.192.in-addr.apra:

$TTL    1D
@       IN      SOA     au-team.irpo. root.au-team.irpo. (
                                1               ; serial
                                12H             ; refresh
                                1H              ; retry
                                1W              ; expire
                                1H              ; ncache
                        )
        IN      NS      hq-srv.au-team.irpo.
1.1     IN      PTR     hq-rtr.au-team.irpo.
1.2     IN      PTR     hq-rtr.au-team.irpo.
2.2     IN      PTR     hq-cli.au-team.irpo.
2.1     IN      PTR     hq-srv.au-team.irpo.

Настройка обратной зоны /etc/bind/zone/16.172.in-addr.apra:

$TTL    1D
@       IN      SOA     au-team.irpo. root.au-team.irpo. (
                                1               ; serial
                                12H             ; refresh
                                1H              ; retry
                                1W              ; expire
                                1H              ; ncache
                        )
        IN      NS      hq-srv.au-team.irpo.
1.1     IN      PTR     docker.au-team.irpo.
2.1     IN      PTR     web.au-team.irpo.

Включаем службу:

systemctl enable --now bind

Перезапускаем rndc:

rndc reload

Проверяем:

nslookup hq-cli
ping hq-cli

Hostname¶

hostnamectl hostname hq-srv.au-team.irpo

На Linux команда применяется сразу, но визуально увидеть можно только после повторного логина в ssh/пользователя.

Timezone¶

timedatectl set-timezone Europe/Moscow