Xinux Wiki - Benutzerbeiträge [de]

Aufgabenstellung 5102 12.24

2025-12-11T07:26:06Z

Robin.will: /* Aufgabe 3: Neuer Debian-Client */

== Vorbereitungen ==
*Erstellen Sie ein neues Netzwerk für Auszubildende.
*Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; IP der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
*Die Firewall soll in diesem Netz als Router fungieren.
*Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.

== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
*Fügen Sie der Firewall ein zusätzliches Interface hinzu.
*Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
*Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
*Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
*Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
*Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln. (Domain ändert sich zu it1xx.org)

== Aufgabe 3: Neuer Debian-Client ==
*Erstellen Sie eine neue Debian-VM aus der Vorlage. (Mit grafischer Oberfläche)
*Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
*Lassen Sie ihn eine IP per DHCP beziehen.
*Der Hostname soll sinnvoll gesetzt werden. Name des Clients "Azubi"

== Aufgabe 4: Neue DNS-Zone anlegen ==
*Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
*Fügen Sie den neuen Debian-Client als A-Record ein.
*Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
*Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
*Ein neuer Auszubildender kommt in die Firma.
*Legen Sie den LDAP-Benutzer max an.
*Legen Sie außerdem die LDAP-Gruppe azubi an.
*Der Benutzer max soll Mitglied der Gruppe azubi sein.
*Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
*Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
*Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
*Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
*Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
*Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
*Legen Sie ein eigenes Verzeichnis für max an.
*Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
*Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
*Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
*neues Netz 10.99.1XX.0/24
*funktionierende DHCP-Vergabe
*DNS-Forward- und Reverse-Zone
*neuer Debian-Client im Ausbildungsnetz
*LDAP-Benutzer und Gruppen
*Proxy-Regeln für die Azubi-Gruppe
*SFTP-Zugang für max

Aufgabenstellung 5102 12.24

2025-12-11T07:25:42Z

Robin.will: /* Aufgabe 3: Neuer Debian-Client */

== Vorbereitungen ==
*Erstellen Sie ein neues Netzwerk für Auszubildende.
*Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; IP der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
*Die Firewall soll in diesem Netz als Router fungieren.
*Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.

== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
*Fügen Sie der Firewall ein zusätzliches Interface hinzu.
*Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
*Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
*Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
*Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
*Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln. (Domain ändert sich zu it1xx.org)

== Aufgabe 3: Neuer Debian-Client ==
*Erstellen Sie eine neue Debian-VM aus der Vorlage.
*Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
*Lassen Sie ihn eine IP per DHCP beziehen.
*Der Hostname soll sinnvoll gesetzt werden. Name des Clients "Azubi"

== Aufgabe 4: Neue DNS-Zone anlegen ==
*Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
*Fügen Sie den neuen Debian-Client als A-Record ein.
*Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
*Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
*Ein neuer Auszubildender kommt in die Firma.
*Legen Sie den LDAP-Benutzer max an.
*Legen Sie außerdem die LDAP-Gruppe azubi an.
*Der Benutzer max soll Mitglied der Gruppe azubi sein.
*Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
*Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
*Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
*Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
*Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
*Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
*Legen Sie ein eigenes Verzeichnis für max an.
*Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
*Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
*Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
*neues Netz 10.99.1XX.0/24
*funktionierende DHCP-Vergabe
*DNS-Forward- und Reverse-Zone
*neuer Debian-Client im Ausbildungsnetz
*LDAP-Benutzer und Gruppen
*Proxy-Regeln für die Azubi-Gruppe
*SFTP-Zugang für max

Aufgabenstellung 5102 12.24

2025-12-11T07:24:35Z

Robin.will: /* Aufgabe 2: DHCP-Konfiguration anpassen */

== Vorbereitungen ==
*Erstellen Sie ein neues Netzwerk für Auszubildende.
*Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; IP der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
*Die Firewall soll in diesem Netz als Router fungieren.
*Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.

== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
*Fügen Sie der Firewall ein zusätzliches Interface hinzu.
*Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
*Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
*Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
*Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
*Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln. (Domain ändert sich zu it1xx.org)

== Aufgabe 3: Neuer Debian-Client ==
*Erstellen Sie eine neue Debian-VM aus der Vorlage.
*Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
*Lassen Sie ihn eine IP per DHCP beziehen.
*Der Hostname soll sinnvoll gesetzt werden.
== Aufgabe 4: Neue DNS-Zone anlegen ==
*Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
*Fügen Sie den neuen Debian-Client als A-Record ein.
*Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
*Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
*Ein neuer Auszubildender kommt in die Firma.
*Legen Sie den LDAP-Benutzer max an.
*Legen Sie außerdem die LDAP-Gruppe azubi an.
*Der Benutzer max soll Mitglied der Gruppe azubi sein.
*Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
*Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
*Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
*Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
*Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
*Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
*Legen Sie ein eigenes Verzeichnis für max an.
*Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
*Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
*Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
*neues Netz 10.99.1XX.0/24
*funktionierende DHCP-Vergabe
*DNS-Forward- und Reverse-Zone
*neuer Debian-Client im Ausbildungsnetz
*LDAP-Benutzer und Gruppen
*Proxy-Regeln für die Azubi-Gruppe
*SFTP-Zugang für max

Aufgabenstellung 5102 12.24

2025-12-11T07:24:25Z

Robin.will: /* Aufgabe 2: DHCP-Konfiguration anpassen */

== Vorbereitungen ==
*Erstellen Sie ein neues Netzwerk für Auszubildende.
*Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; IP der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
*Die Firewall soll in diesem Netz als Router fungieren.
*Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.

== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
*Fügen Sie der Firewall ein zusätzliches Interface hinzu.
*Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
*Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
*Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
*Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
*Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln. (Domain ändert sich zu itxx.org)

== Aufgabe 3: Neuer Debian-Client ==
*Erstellen Sie eine neue Debian-VM aus der Vorlage.
*Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
*Lassen Sie ihn eine IP per DHCP beziehen.
*Der Hostname soll sinnvoll gesetzt werden.
== Aufgabe 4: Neue DNS-Zone anlegen ==
*Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
*Fügen Sie den neuen Debian-Client als A-Record ein.
*Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
*Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
*Ein neuer Auszubildender kommt in die Firma.
*Legen Sie den LDAP-Benutzer max an.
*Legen Sie außerdem die LDAP-Gruppe azubi an.
*Der Benutzer max soll Mitglied der Gruppe azubi sein.
*Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
*Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
*Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
*Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
*Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
*Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
*Legen Sie ein eigenes Verzeichnis für max an.
*Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
*Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
*Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
*neues Netz 10.99.1XX.0/24
*funktionierende DHCP-Vergabe
*DNS-Forward- und Reverse-Zone
*neuer Debian-Client im Ausbildungsnetz
*LDAP-Benutzer und Gruppen
*Proxy-Regeln für die Azubi-Gruppe
*SFTP-Zugang für max

Aufgabenstellung 5102 12.24

2025-12-11T07:22:38Z

Robin.will: /* Vorbereitungen */

== Vorbereitungen ==
*Erstellen Sie ein neues Netzwerk für Auszubildende.
*Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; IP der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
*Die Firewall soll in diesem Netz als Router fungieren.
*Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.

== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
*Fügen Sie der Firewall ein zusätzliches Interface hinzu.
*Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
*Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
*Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
*Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
*Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln.
== Aufgabe 3: Neuer Debian-Client ==
*Erstellen Sie eine neue Debian-VM aus der Vorlage.
*Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
*Lassen Sie ihn eine IP per DHCP beziehen.
*Der Hostname soll sinnvoll gesetzt werden.
== Aufgabe 4: Neue DNS-Zone anlegen ==
*Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
*Fügen Sie den neuen Debian-Client als A-Record ein.
*Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
*Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
*Ein neuer Auszubildender kommt in die Firma.
*Legen Sie den LDAP-Benutzer max an.
*Legen Sie außerdem die LDAP-Gruppe azubi an.
*Der Benutzer max soll Mitglied der Gruppe azubi sein.
*Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
*Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
*Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
*Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
*Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
*Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
*Legen Sie ein eigenes Verzeichnis für max an.
*Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
*Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
*Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
*neues Netz 10.99.1XX.0/24
*funktionierende DHCP-Vergabe
*DNS-Forward- und Reverse-Zone
*neuer Debian-Client im Ausbildungsnetz
*LDAP-Benutzer und Gruppen
*Proxy-Regeln für die Azubi-Gruppe
*SFTP-Zugang für max

Aufgabenstellung 5102 12.24

2025-12-10T23:15:31Z

Robin.will:

== Vorbereitungen ==
*Erstellen Sie ein neues Netzwerk für Auszubildende.
*Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; Gateway der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
*Die Firewall soll in diesem Netz als Router fungieren.
*Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.
== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
*Fügen Sie der Firewall ein zusätzliches Interface hinzu.
*Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
*Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
*Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
*Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
*Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln.
== Aufgabe 3: Neuer Debian-Client ==
*Erstellen Sie eine neue Debian-VM aus der Vorlage.
*Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
*Lassen Sie ihn eine IP per DHCP beziehen.
*Der Hostname soll sinnvoll gesetzt werden.
== Aufgabe 4: Neue DNS-Zone anlegen ==
*Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
*Fügen Sie den neuen Debian-Client als A-Record ein.
*Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
*Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
*Ein neuer Auszubildender kommt in die Firma.
*Legen Sie den LDAP-Benutzer max an.
*Legen Sie außerdem die LDAP-Gruppe azubi an.
*Der Benutzer max soll Mitglied der Gruppe azubi sein.
*Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
*Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
*Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
*Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
*Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
*Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
*Legen Sie ein eigenes Verzeichnis für max an.
*Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
*Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
*Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
*neues Netz 10.99.1XX.0/24
*funktionierende DHCP-Vergabe
*DNS-Forward- und Reverse-Zone
*neuer Debian-Client im Ausbildungsnetz
*LDAP-Benutzer und Gruppen
*Proxy-Regeln für die Azubi-Gruppe
*SFTP-Zugang für max

Aufgabenstellung 5102 12.24

2025-12-10T23:14:01Z

Robin.will: Die Seite wurde neu angelegt: „🧩 Aufgabe: Neues Ausbildungsnetz, DNS, DHCP, LDAP, Proxy & SFTP == Vorbereitungen == Erstellen Sie ein neues Netzwerk für Auszubildende. Das Netzwerk soll…“

🧩 Aufgabe: Neues Ausbildungsnetz, DNS, DHCP, LDAP, Proxy & SFTP
== Vorbereitungen ==
Erstellen Sie ein neues Netzwerk für Auszubildende.
Das Netzwerk soll folgende Struktur haben:
; Neues Netz
: 10.99.1XX.0/24
; Gateway der Firewall
: 10.99.1XX.1
; DHCP-Bereich
: 10.99.1XX.30 – 10.99.1XX.40
Die Firewall soll in diesem Netz als Router fungieren.
Ein neuer Debian-Client soll dieses Netz per DHCP beziehen.
== Aufgabe 1: Netzwerk auf der Firewall einrichten ==
Fügen Sie der Firewall ein zusätzliches Interface hinzu.
Konfigurieren Sie das Interface mit der IP 10.99.1XX.1/24.
Die Firewall soll NAT/Masquerading für dieses Netz bereitstellen.
== Aufgabe 2: DHCP-Konfiguration anpassen ==
Pflegen Sie den Kea-DHCP-Server so, dass das neue Netz 10.99.1XX.0/24 verwaltet wird.
Der DHCP-Pool soll 10.99.1XX.30–40 umfassen.
Der DHCP-Server soll Gateway, DNS-Server und Domain korrekt übermitteln.
== Aufgabe 3: Neuer Debian-Client ==
Erstellen Sie eine neue Debian-VM aus der Vorlage.
Verbinden Sie ihn ausschließlich mit dem neuen Ausbildungsnetz.
Lassen Sie ihn eine IP per DHCP beziehen.
Der Hostname soll sinnvoll gesetzt werden.
== Aufgabe 4: Neue DNS-Zone anlegen ==
Auf dem internen Nameserver wird eine neue Forward-Lookup-Zone benötigt:
: it1xx.org
Fügen Sie den neuen Debian-Client als A-Record ein.
Legen Sie zusätzlich eine passende Reverse-Lookup-Zone an:
: 1XX.99.10.in-addr.arpa
Tragen Sie dort ebenfalls den Client ein.
== Aufgabe 5: LDAP – Neuer Benutzer ==
Ein neuer Auszubildender kommt in die Firma.
Legen Sie den LDAP-Benutzer max an.
Legen Sie außerdem die LDAP-Gruppe azubi an.
Der Benutzer max soll Mitglied der Gruppe azubi sein.
Der Benutzer soll sich auf dem neuen Debian-Client per LDAP anmelden können.
== Aufgabe 6: Proxy-Regeln für Auszubildende ==
Auszubildende sollen Internetzugang nur auf ausgewählte Webseiten haben.
Erstellen Sie im Squid-Proxy eine Regel, die für die LDAP-Gruppe azubi gilt.
Der Benutzer max soll nur folgende Webseiten aufrufen dürfen:
: xinux.net
: tagesschau.de
Alle anderen Webseiten sollen für diese Gruppe gesperrt sein.
== Aufgabe 7: SFTP-Zugang für max ==
Richten Sie auf dem SFTP-Server einen Zugang für den neuen Benutzer max ein.
Legen Sie ein eigenes Verzeichnis für max an.
Hinterlegen Sie den SSH-Public-Key des Benutzers max auf dem SFTP-Server.
Der Benutzer soll sich ausschließlich per SFTP anmelden können (kein Shell-Login).
== Abschluss ==
Am Ende dieser Aufgabe sollen folgende Komponenten erfolgreich eingerichtet und integriert sein:
neues Netz 10.99.1XX.0/24
funktionierende DHCP-Vergabe
DNS-Forward- und Reverse-Zone
neuer Debian-Client im Ausbildungsnetz
LDAP-Benutzer und Gruppen
Proxy-Regeln für die Azubi-Gruppe
SFTP-Zugang für max

Linux - Netzwerk und Serveradminstration

2025-12-10T23:13:55Z

Robin.will: /* Misc */

= Überblick =
*[[Thomas Will]]
*[[Zeiten]]
*[[Linux - Netzwerk und Serveradministration - Skript]]
*[[Linux - Netzwerk und Serveradminstration Themen]]
*[[Linux Cheatsheet]]

= einzelne Themen =
*[[Vernetzung mittels TCP/IP Reales Netz]]
*[[tcp/ip kompakt]]
*[[ISO/OSI-Modell-Tools]]
*[[Netzwerkadministration]]
*[[Netzwerk-Tools - Grundlagen]]
*[[Domain Name Service]]
*[[DHCP Server]]
*[[Grundlagen Firewall-Konzept]]
*[[Samba als Netzwerkfreigabe]]
*[[Proxy Server Squid]]
*[[Zeit und Drucker Server]]
*[[Remote Services]]
*[[Ldap und FTP Server]]
*[[Exkurse Linux Netzwerk und Serveradministration]]
=Misc=
*[[Zusatz Themen 5102 12.24]]
*[[aufgabenstellung 5102 12.24]]

Zusatz Themen 5102 12.24

2025-12-10T14:42:24Z

Robin.will: Die Seite wurde neu angelegt: „*Wiederholung der alten Dienste - Aufgaben Schreiben (DNS, DHCP, SMB) **DNS Records genauer unter die Lupe nehmen *Exkurs - Interne Dienste wie SSH und RDP ex…“

*Wiederholung der alten Dienste - Aufgaben Schreiben (DNS, DHCP, SMB)
**DNS Records genauer unter die Lupe nehmen
*Exkurs - Interne Dienste wie SSH und RDP extern zugänglich machen (Port Forwarding, DYNDNS)
*Exkurs - Webserver mit https zugang + Aufbau innerhalb von Docker-compose
*Exkurs - Squid aufbrechen von https verkehr
*Exkurs - Aufbau von Zertifikaten (erstellen und signieren),

Linux - Netzwerk und Serveradminstration

2025-12-10T14:28:44Z

Robin.will: /* einzelne Themen */

Linux - Netzwerk und Serveradministration - Skript

2025-12-10T08:13:43Z

Robin.will: /* Squid */

= Lehrgangsziele =
* Planung, Dokumentation und Aufbau einer IT-Infrastruktur mit Linux Servern
* Kennenlernen von Netzwerkdebugging-Verfahren und -Tools
* Remotemanagement mit SSH
* Automatische Netzwerkkonfiguration mit DHCP
* Konfiguration von Netzwerkdiensten: DNS, LDAP, SMB, NTP, SFTP
* Einrichten einer einfachen Firewall

= Netzwerkpläne =
* Das Schulungsnetzwerk wird also Pseudo-Internet verwendet, d.h. wir behandeln das Netzwerk 192.168.''HS''.0/24 wie ein öffentliches.
* Darin baut jeder sein eigenes LAN-, DMZ-, und Server-Netzwerk auf.
* Am Ende sollen die individuellen Netzwerke miteinander kommunizieren dürfen.

== physisch ==
{{#drawio:5102-physisch}}
== logisch ==
{{#drawio:5102-logisch}}

= Servervorlage =
* Für VMs als Server empfiehlt es sich eine Vorlage zu erstellen, die schon minimal konfiguriert ist
* Der Nutzer ''root'' soll das Passwort ''radler'' haben
* Ein Benutzer ''kit'' mit dem Passwort ''kit'' soll angelegt werden
* die Vorlage soll '''keine''' graphische Oberfläche haben (Bei der Installation abwählen)
* Ein [[:Kategorie:SSH|SSH]]-Server soll aber für die Remoteverwaltung installiert werden
==Umsetzung==
* [[Debian Template]]
* [[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Firewall =
{{#drawio:5102-firewall-01}}
* Die Firewall wird ist zugleich der Router in das Übungsnetzwerk
* Hardwareanpassungen:
** 4 GB RAM
** 4 CPUs
** 4 Netzwerkkarten
* Für den Anfang müssen wir das [[Debian Netzwerkkonfiguration|Netzwerk konfigurieren]]

= Fernzugriff per [[:Kategorie:SSH|SSH]] =
* Jeder Host soll über das [[SSH-Protokoll]] administrierbar sein
* hinterlegen Sie den öffentlichen Schlüssel für die Nutzer ''kit'' und ''root'' auf der Firewall
* Der SSH-Server sollte nach Sicherstellung des Zugriffs über autorisierte SSH-Schlüssel keine Passwort-Authentifizierung mehr zulassen: [[SSH-Server Hardening]]
* Am Ende sollte jeder Host über '''ssh ''user''@''ip.oder.host.name'' ''' erreichbar sein

= Client Konfiguration =
* [[Client Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Routing und Masquerading =
{{#drawio:5102-masquerade}}
* Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umgeschrieben werden
* Dazu müssen Firewall-Regeln unter [[iptables]] oder [[nftables Masquerade|nftables]] erstellt werden
==Firewall Umsetzung==
*[[Firewall-Nat-Linux - Netzwerk und Serveradministration]]
*[[Firewall-NAT-Linux-nftables - Netzwerk und Serveradminsitration]]
*[[Firewall-ssh-key Dozent - Netzwerk und Serveradministration]]
*[[Firewall skript autostart]]

= eigener DNS Server =
{{#drawio:5102-dns}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsol
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''ns''
* SSH-Server anpassen
* SSH-Schlüssel des Kit Hosts für User ''kit'' hinterlegen
===Daten===
*NET: DMZ
*IP 10.88.1XX.21/24
*GW 10.88.1XX.1
*NS 192.168.6.88 Vorläufig
*NA ns.it1XX.int
*Zu installieren apt install bind9 - Es könnte nun auch named
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration DNS]]

== interne Namensauflösung ==
* Durch das [[DNS|Domain Name System]] können wir Namen an IP-Adressen zuweisen und diese auflösen
* Diese sollten einfacher zu merken sein, als IPv4- oder IPv6-Adressen
* Jedes Labor soll eine eigene Domäne mit dem Schema '''netz''xx''.lab''' verwalten
* Erstellen Sie hierzu auch die jeweilige Reverse-Lookup-Zone '''0.''xx''.10.in-addr.arpa'''
* Der DHCP-Server muss auch angepasst werden, damit Clients den internen DNS-Server bekommen
* Für die Kommunikation zwischen den DNS-Servern müssen entweder die entsprechenden [[ip route|Routen]] gesetzt werden oder über [[DNAT|Firewall-Regeln]] Portforwarding aktiviert werden
==DNS Umsetzung==
*[[DNS Linux - Netzwerk und Serveradministration - Skript]]

==DNS Aufgabe Reverse Lookup Zone LAN & SERVERS==
*[[DNS Linux - Netzwerk und Serveradministration - Reverse Aufgabe]]

=Pseudo Top-Level-Domain=
{{#drawio:Pseudo Top-Level-Domain}}

= Pseudo-Top-Level Domäne =
* Um die Domänen der anderen Labore aufzulösen ist ein Forwarder nötig
* Dieser zeigt auf den entsprechenden DNS-Server der Domäne, sodass die Zonen nur einmal definiert werden müssen

= [[:Kategorie:DHCP|DHCP]] - Automatische Netzwerkkonfiguration =
{{#drawio:5102-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''LAN''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''dhcp''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: LAN
*IP 172.16.1XX.2/24
*GW 172.16.1XX.1
*NS 10.88.1XX.21
*NA dhcp.it1XX.int
*Zu installieren apt install isc-dhcp-server
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== automatische Netzwerkkonfiguration ==
* Damit wir nicht das Netzwerk bei jedem Rechner manuell konfigurieren müssen setzen wir einen [[DHCP Grundlagen|DHCP]] Server auf.
* Dieser beantwortet Anfragen von Clients in seiner Broadcast-Domäne.
* Der DHCP-Server soll IP-Adressen im Bereich 172.16.''xx''.50 bis .100 vergeben
* Als Nameserver nehmen wir unseren eigenen 10.88.1XX.2
* Und wir nehmen die eigene Search Domain it1XX.int
* Für die Konfigration kann [[ISC DHCP|diese Seite]] befolgt werden
* Beobachten Sie den Verkehr mit [[Wireshark]] oder [[tcpdump]] auf UDP Port 67 mit und fahren Sie ''kali'' hoch

==ISC DHCP Umsetzung==
*[[ISC DHCP]]
*[[KEA DHCP - Netzwerk und Servreadministration]]

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

==Client==
*Erstellt einen Client aus der Vorlage
*Hängt ins LAN Netz
*Gebt ihm den Namen client.it1XX.int
*hostnamectl set-hostname client.it1XX.int
*In der /etc/hosts den Namen von debian-template in client ändern
*Und rebootet ihn noch mal

= DHCP-Relay-Server =
{{#drawio:5102-dhcp-relay-01}}
* Der DHCP-Server beantwortet nur Anfragen innerhalb seiner Broadcast-Domäne
* Damit die DHCP-Konfiguration zentral gehalten werden kann, können andere DHCP-Server als Relay für einen Master-DHCP-Server dienen
* In unserem Fall soll die Firewall die DHCP-Konfiguration an die DMZ- und Server-Netze weitergeben
* Von nun an können neue Server in diesen Netzwerken automatisch über die DHCP-IP erreicht werden
=DHCP-Relay-Server Umsetzung=
*[[DHCP-Relay-Server]]
*[[KEA DHCP-Relay-Server - Netzwerk und Serveradministration]]

= [[Samba|SMB]] Server =
{{#drawio:5102-smb-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''smb''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: Server
*IP 10.1XX.1.2/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA smb.it1XX.int
*Zu installieren apt install samba smbclient
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== Netzwerkfreigaben einrichten ==
* Legen Sie eine Sicherheitskopie der Originalkonfigurationsdatei an
* '''cp -v ''/etc/samba/smb.conf''{,.orig}'''
* Diese ist wohl kommentiert und kann als Hilfe/Dokumentation dienen
* Erstellen Sie folgende Arten von Shares:
** [[Samba Public Share|öffentlich]] unter ''/srv/samba/pub'' namens '''public'''
** Ein Share namens '''share''' zugreifbar für ''kit'' unter ''/srv/samba/kit'': [[smb.conf.minimal]]
** die Heimatverzeichnisse der regulären Nutzer des SMB-Servers sollen zugreifbar sein nach einer Authentifizierung: [[smb.conf.home]]
** Ein Share namens '''admins''' zugreifbar für die Benutzer in der Gruppe ''sudo'' unter: ''/srv/samba/admin''
* Testen Sie den Zugriff auf die Shares mit einem Client aus dem LAN:
* '''apt install nemo'''
* Das Programm kann über SSH Forwarding auf dem KIT Host geöffnet werden
* '''ssh -Y ''ip.oder.hostname.client'' "dbus-run-session nemo"'''
* Schneiden Sie den Austausch mit Wireshark auf TCP Port 445 mit

= SFTP Server =
{{#drawio:5102-sftp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.3/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA sftp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== sichere Datenübertragung ==
* SFTP benutzt das SSH-Protokoll, um die Daten zu verschlüsseln
* Daher muss nur die [[SFTP-Server|Konfiguration des SSH-Servers]] angepasst werden
* andere FTP-Arten sollten nicht mehr benutzt werden (FTP, TFTP, ...)
* Ein SFTP-Zugang für einen Gast-User soll unter ''/srv/sftp/gast'' angelegt werden
*[[ssh jump-host]]
==SFTP Umsetzung==
*[[SFTP-Server|Konfiguration des SSH-Servers]]

= [[:Kategorie:LDAP|LDAP]] Server =
{{#drawio:5102-ldap-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: Server
*IP 10.1XX.1.3/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA ldap.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== zentrale Benutzerverwaltung ==
* Benutzer sollen sich überall mit ihren eigenen Konto anmelden können ohne, dass dieses Konto jedes mal neu angelegt werden muss
* Linux kann für die Benutzerauthentifizierung verschiedene Quellen verwenden
* Neben der lokalen Datei ''/etc/passwd'' soll zusätzlich eine [[:Kategorie:LDAP|LDAP]]-Datenbank für zusätzliche Benutzerkonten befragt werden
*Konfiguration [[Openldap-linux-pam-nss]]
* Die Einträge zu bestimmten Systemkategorien können mit dem Befehl '''getent''' abgefragt werden
* '''getent passwd''' ''# sollte lokale und LDAP-Konten anzeigen''
*LDAP Server Verwaltung über [[ldapscripts]]
* Der LDAP-Server der Domäne soll automatisch über [[LDAP SRV Record|SRV-Einträge]] auf dem DNS Server gefunden werden können
* Alle Hosts aus dem VirtualBox-Labor sollen an den LDAP-Server gebunden werden
*[[LDAP Client SSSD - Netzwerk und Serveradministration]]

= [[Squid_from_the_scratch|Squid]] =
{{#drawio:5102-squid-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.5/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA squid.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

==Squid Konfiguration Hilfestellung==
*[[Squid_ACL_Basic]]

==Squid==
* Um Bandbreite zu sparen kann ein Caching Proxy wie Squid benutzt werden, um die Antworten von Webanfrangen zu speichern
* Zusätzlich können durch ACLs Webzugriffe kontrollieren
* Der Proxy soll auf der Firewall laufen, da dort die nötigen Hardwareressourcen sind
*[[Squid Aufgabe]]
*[[Squid Aufgabe2]]

==Proxy PAC über DHCP==
*[[KEA Proxy PAC - Netzkwerk und Serveradministration]]

= [[:Kategorie:NTP|NTP]] Server =
{{#drawio:5102-ntp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.4/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA ntp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

installieren ntp
*sudo apt install ntpsec

===NTP mit DHCP verteilen===
*[[KEA DHCP NTP-Konfiguration - Netzwerk und Serveradministration]]

=NGINX=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.10/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install nginx

==Webserver==
*[[Nginx]]
*[[Nginx https]]
*[[phpldapadmin nginx]]

=Exkrus HA Proxy=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten HAProxy===
*NET: DMZ
*IP 10.88.1XX.25/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install haproxy

===Daten Webserver===
*NET: DMZ
*IP 10.88.1XX.15/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA web2.it1XX.int

==Webserver==
*[[HAProxy]]
*[[HAProxy Umsetzung Linux - Netzwerk Serveradministration]]

=Exkrus checkmk=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Servers''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten checkmk===
*NET: Servers
*IP 10.1XX.1.25/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA checkmk.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]
=== Docker ===
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration Docker]]

= Grundlegendes Firewall-Konzept =
* Dienste sollen erreichbar bleiben
* ungenutzte Ports sollen blockiert werden
* etablierte Verbindungen sollen über [[Connection Tracking]] freigeschaltet werden

=Linux - Netzwerk und Serveradministration=
*[[Linux - Netzwerk und Serveradministration Probleme]]

Squid ACL Basic

2025-12-10T08:10:38Z

Robin.will: /* Authentifizierung mit LDAP-Gruppen */

*[[5103 - Squid Übung]]
=Prinzip der ACL=
{{#drawio:Prinzip der ACL}}

=Lan und DMZ freischalten=
==acl bilden==
acl lan src 172.16.150.0/24
acl dmz src 10.40.115.0/24

==acl anwenden(Reihenfolge ist entscheidend)==
http_access allow lan
http_access allow dmz

=Webseite einschränken=
==Acl bilden==
acl facebook url_regex -i facebook

==Acl anwenden==
http_access deny facebook

==HTTP Port des Proxys angeben==

http_port 3128

=Logs checken=
*tail -f /var/log/squid/access.log
1490008947.188 2 192.168.244.144 TCP_MISS/503 4447 GET http://detectportal.firefox.com/success.txt - HIER_NONE/- text/html
=Blacklist erstellen=
*Wird erstellt, um diverse Seiten zu deaktivieren
==http-liste erstellen==
<pre>
vi /etc/squid/bad-sites.list
</pre>
==http-seiten hinzufügen==
<pre>
facebook.com
pr0gramm.com
</pre>
==erstellen der acl==
<pre>
acl bad-sites url_regex -i "/etc/squid/bad-sites.list"
</pre>
==erstellen der http_access==
<pre>
http_access deny bad-sites
</pre>
=Squid acl Types=
*[[Squid acl types]]

=Squid.conf all in one with Black List=
<pre>
# Squid lauscht auf allen Schnittstellen (inkl. WAN)
http_port 0.0.0.0:3128
# ACLs für die Netzwerke definieren
acl admin-netz src 172.16.1xx.0/24
acl lan src 172.17.1xx.0/24
acl dmz src 10.0.1xx.0/24
# Blacklist-Datei einbinden
acl bad-sites url_regex -i "/etc/squid/bad-sites.list"
# Admin-Netz uneingeschränkt erlauben
http_access allow admin-netz
# LAN & DMZ haben Zugriff, aber mit Blacklist-Einschränkung
http_access deny bad-sites lan
http_access deny bad-sites dmz
# LAN & DMZ dürfen surfen
http_access allow lan
http_access allow dmz
# Standardmäßig alles verbieten
http_access deny all
</pre>

=Squid.conf all in one with White List=
<pre>
# Squid lauscht auf allen Schnittstellen (inkl. WAN)
http_port 0.0.0.0:3128
# ACLs für die Netzwerke definieren
acl admin-netz src 172.16.1xx.0/24
acl lan src 172.17.1xx.0/24
acl dmz src 10.0.1xx.0/24
# Whitelist-Datei einbinden
acl allowed-sites dstdomain "/etc/squid/allowed-sites.list"
# Admin-Netz uneingeschränkt erlauben
http_access allow admin-netz
# LAN & DMZ dürfen nur freigegebene Seiten besuchen
http_access allow lan allowed-sites
http_access allow dmz allowed-sites
# Standardmäßig alles verbieten
http_access deny all
</pre>

=Authentifizierung erzwingen=

Zur Vermeidung von ungewollten Zugriffen lässt sich in Squid auch eine Authetifizierung erzwingen

==Erstellen einer Passwort Datei==
*sudo apt install apache2-utils
*htpasswd -c /etc/squid/passwd username

Syntax:
*htpasswd: Programmname
*-c: Create new passwordfile, also neue Passwortdatei erstellen
*passwordfile: Passwortdatei mit beliebigem Namen. Auch der Ort kann beliebig gewählt werden
*username: Name eines Benutzers (beliebig)

Nach Bestätigen des Befehls wird htpasswd nach einem Passwort für den Benutzer verlangen. Dies kann ebenfalls beliebig gewählt werden.

Weiter Benutzer:
*htpasswd /etc/squid/passwd benutzer2

==Änderungen an der squid.conf==

Folgende Einträge werden am Anfang der squid.conf eingefügt:

<pre>
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 20 startup=0 idle=1
auth_param basic concurrency 0
auth_param basic credentialsttl 500 seconds
auth_param basic realm xinux proxy server
auth_param basic casesensitive off

acl ncsa_users proxy_auth REQUIRED

http_access allow ncsa_users

</pre>

Syntax:
*auth_param: Definiert die Parameter für die Authentifizierung
*basic: Teilt squid mit, dass es sich um grundsätzliche Einstellungen handelt, die zur Anwendung kommen wenn keine anderen verfügbar sind. Weitere Optionen siehe squid Manual
*program: Es wird ein externes Programm zur Authentifizierung eingesetzt
*/usr/lib/squid/basic_ncsa_auth: Hier befindet sich das Programm
*/etc/squid/passwd: Dies ist die Passwortdatei
*children: Wieviele Authentifikationsprozesse Squid maximal starten soll
*concurrency: Wieviele Anfragen gleichzeitig bearbeitet werden dürfen
*credentialsttl: Wie lange die Anmeldedaten gültig sein sollen
*realm: Name des Bereichs für den der Proxy zuständig ist. Kann beliebig gewählt werden.
*casesensitive: Legt fest ob der BENUTZERname case-sensitiv sein soll

==Authentifizierung mit ldap==

Zusätzliche Packete:
sudo apt install libldap-2.5-0 ldap-utils
Debian 13
sudo apt install libldap2 ldap-utils

<pre>
# LDAP-Authentifizierung einrichten

auth_param basic program /usr/lib/squid/basic_ldap_auth -v 3 -b ou=users,dc=it113,dc=int -D cn=admin,dc=it113,dc=int -w 123Start$ -f uid=%s -h ldap.it113.int
auth_param basic children 20 startup=0 idle=1
auth_param basic concurrency 0
auth_param basic credentialsttl 500 seconds
auth_param basic realm xinux proxy server
auth_param basic casesensitive off

# ACL für authentifizierte Benutzer
acl ldap-auth proxy_auth REQUIRED

# Zugriff erlauben
http_access allow ldap-auth
</pre>

===Authentifizierung mit LDAP-Gruppen===
*'''/etc/squid/squid.conf'''
**Zusätzlich zur oben genannten Authentifizierung mit LDAP, kann hier mit Filter von Gruppen gearbeitet werden. Fügen Sie dafür folgende Zeile hinzu:
<pre>
external_acl_type ldap_group %LOGIN /usr/lib/squid/ext_ldap_group_acl -v 3 -b ou=groups,dc=it113,dc=int -D cn=admin,dc=it113,dc=int -w 123Start$ -f "(&(objectClass=posixGroup)(cn=%g)(memberUid=%u))" -h ldap.it113.int

acl it external ldap_group it

http_access allow it
</pre>

=Links=
*https://wiki.squid-cache.org/SquidFaq/SquidAcl

Squid ACL Basic

2025-12-10T08:10:14Z

Robin.will: /* Authentifizierung mit ldap */

*[[5103 - Squid Übung]]
=Prinzip der ACL=
{{#drawio:Prinzip der ACL}}

=Lan und DMZ freischalten=
==acl bilden==
acl lan src 172.16.150.0/24
acl dmz src 10.40.115.0/24

==acl anwenden(Reihenfolge ist entscheidend)==
http_access allow lan
http_access allow dmz

=Webseite einschränken=
==Acl bilden==
acl facebook url_regex -i facebook

==Acl anwenden==
http_access deny facebook

==HTTP Port des Proxys angeben==

http_port 3128

=Logs checken=
*tail -f /var/log/squid/access.log
1490008947.188 2 192.168.244.144 TCP_MISS/503 4447 GET http://detectportal.firefox.com/success.txt - HIER_NONE/- text/html
=Blacklist erstellen=
*Wird erstellt, um diverse Seiten zu deaktivieren
==http-liste erstellen==
<pre>
vi /etc/squid/bad-sites.list
</pre>
==http-seiten hinzufügen==
<pre>
facebook.com
pr0gramm.com
</pre>
==erstellen der acl==
<pre>
acl bad-sites url_regex -i "/etc/squid/bad-sites.list"
</pre>
==erstellen der http_access==
<pre>
http_access deny bad-sites
</pre>
=Squid acl Types=
*[[Squid acl types]]

=Squid.conf all in one with Black List=
<pre>
# Squid lauscht auf allen Schnittstellen (inkl. WAN)
http_port 0.0.0.0:3128
# ACLs für die Netzwerke definieren
acl admin-netz src 172.16.1xx.0/24
acl lan src 172.17.1xx.0/24
acl dmz src 10.0.1xx.0/24
# Blacklist-Datei einbinden
acl bad-sites url_regex -i "/etc/squid/bad-sites.list"
# Admin-Netz uneingeschränkt erlauben
http_access allow admin-netz
# LAN & DMZ haben Zugriff, aber mit Blacklist-Einschränkung
http_access deny bad-sites lan
http_access deny bad-sites dmz
# LAN & DMZ dürfen surfen
http_access allow lan
http_access allow dmz
# Standardmäßig alles verbieten
http_access deny all
</pre>

=Squid.conf all in one with White List=
<pre>
# Squid lauscht auf allen Schnittstellen (inkl. WAN)
http_port 0.0.0.0:3128
# ACLs für die Netzwerke definieren
acl admin-netz src 172.16.1xx.0/24
acl lan src 172.17.1xx.0/24
acl dmz src 10.0.1xx.0/24
# Whitelist-Datei einbinden
acl allowed-sites dstdomain "/etc/squid/allowed-sites.list"
# Admin-Netz uneingeschränkt erlauben
http_access allow admin-netz
# LAN & DMZ dürfen nur freigegebene Seiten besuchen
http_access allow lan allowed-sites
http_access allow dmz allowed-sites
# Standardmäßig alles verbieten
http_access deny all
</pre>

=Authentifizierung erzwingen=

Zur Vermeidung von ungewollten Zugriffen lässt sich in Squid auch eine Authetifizierung erzwingen

==Erstellen einer Passwort Datei==
*sudo apt install apache2-utils
*htpasswd -c /etc/squid/passwd username

Syntax:
*htpasswd: Programmname
*-c: Create new passwordfile, also neue Passwortdatei erstellen
*passwordfile: Passwortdatei mit beliebigem Namen. Auch der Ort kann beliebig gewählt werden
*username: Name eines Benutzers (beliebig)

Nach Bestätigen des Befehls wird htpasswd nach einem Passwort für den Benutzer verlangen. Dies kann ebenfalls beliebig gewählt werden.

Weiter Benutzer:
*htpasswd /etc/squid/passwd benutzer2

==Änderungen an der squid.conf==

Folgende Einträge werden am Anfang der squid.conf eingefügt:

<pre>
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 20 startup=0 idle=1
auth_param basic concurrency 0
auth_param basic credentialsttl 500 seconds
auth_param basic realm xinux proxy server
auth_param basic casesensitive off

acl ncsa_users proxy_auth REQUIRED

http_access allow ncsa_users

</pre>

Syntax:
*auth_param: Definiert die Parameter für die Authentifizierung
*basic: Teilt squid mit, dass es sich um grundsätzliche Einstellungen handelt, die zur Anwendung kommen wenn keine anderen verfügbar sind. Weitere Optionen siehe squid Manual
*program: Es wird ein externes Programm zur Authentifizierung eingesetzt
*/usr/lib/squid/basic_ncsa_auth: Hier befindet sich das Programm
*/etc/squid/passwd: Dies ist die Passwortdatei
*children: Wieviele Authentifikationsprozesse Squid maximal starten soll
*concurrency: Wieviele Anfragen gleichzeitig bearbeitet werden dürfen
*credentialsttl: Wie lange die Anmeldedaten gültig sein sollen
*realm: Name des Bereichs für den der Proxy zuständig ist. Kann beliebig gewählt werden.
*casesensitive: Legt fest ob der BENUTZERname case-sensitiv sein soll

==Authentifizierung mit ldap==

Zusätzliche Packete:
sudo apt install libldap-2.5-0 ldap-utils
Debian 13
sudo apt install libldap2 ldap-utils

<pre>
# LDAP-Authentifizierung einrichten

auth_param basic program /usr/lib/squid/basic_ldap_auth -v 3 -b ou=users,dc=it113,dc=int -D cn=admin,dc=it113,dc=int -w 123Start$ -f uid=%s -h ldap.it113.int
auth_param basic children 20 startup=0 idle=1
auth_param basic concurrency 0
auth_param basic credentialsttl 500 seconds
auth_param basic realm xinux proxy server
auth_param basic casesensitive off

# ACL für authentifizierte Benutzer
acl ldap-auth proxy_auth REQUIRED

# Zugriff erlauben
http_access allow ldap-auth
</pre>

===Authentifizierung mit LDAP-Gruppen===
*'''/etc/squid/squid.conf'''
**Zusätzlich zur oben genannten Authentifizierung mit LDAP, kann hier mit Filter von Gruppen gearbeitet werden. Fügen Sie dafür folgende Zeile hinzu:
<pre>
external_acl_type ldap_group %LOGIN /usr/lib/squid/ext_ldap_group_acl -v 3 -b ou=groups,dc=it113,dc=int -D cn=admin,dc=it113,dc=int -w 123Start$ -f "(&(objectClass=posixGroup)(cn=%g)(memberUid=%u))" -h ldap.it113.int

acl it external ldap_group it

</pre>

=Links=
*https://wiki.squid-cache.org/SquidFaq/SquidAcl

Squid ACL Basic

2025-12-10T08:09:59Z

Robin.will: /* Authentifizierung mit ldap */

*[[5103 - Squid Übung]]
=Prinzip der ACL=
{{#drawio:Prinzip der ACL}}

=Lan und DMZ freischalten=
==acl bilden==
acl lan src 172.16.150.0/24
acl dmz src 10.40.115.0/24

==acl anwenden(Reihenfolge ist entscheidend)==
http_access allow lan
http_access allow dmz

=Webseite einschränken=
==Acl bilden==
acl facebook url_regex -i facebook

==Acl anwenden==
http_access deny facebook

==HTTP Port des Proxys angeben==

http_port 3128

=Logs checken=
*tail -f /var/log/squid/access.log
1490008947.188 2 192.168.244.144 TCP_MISS/503 4447 GET http://detectportal.firefox.com/success.txt - HIER_NONE/- text/html
=Blacklist erstellen=
*Wird erstellt, um diverse Seiten zu deaktivieren
==http-liste erstellen==
<pre>
vi /etc/squid/bad-sites.list
</pre>
==http-seiten hinzufügen==
<pre>
facebook.com
pr0gramm.com
</pre>
==erstellen der acl==
<pre>
acl bad-sites url_regex -i "/etc/squid/bad-sites.list"
</pre>
==erstellen der http_access==
<pre>
http_access deny bad-sites
</pre>
=Squid acl Types=
*[[Squid acl types]]

=Squid.conf all in one with Black List=
<pre>
# Squid lauscht auf allen Schnittstellen (inkl. WAN)
http_port 0.0.0.0:3128
# ACLs für die Netzwerke definieren
acl admin-netz src 172.16.1xx.0/24
acl lan src 172.17.1xx.0/24
acl dmz src 10.0.1xx.0/24
# Blacklist-Datei einbinden
acl bad-sites url_regex -i "/etc/squid/bad-sites.list"
# Admin-Netz uneingeschränkt erlauben
http_access allow admin-netz
# LAN & DMZ haben Zugriff, aber mit Blacklist-Einschränkung
http_access deny bad-sites lan
http_access deny bad-sites dmz
# LAN & DMZ dürfen surfen
http_access allow lan
http_access allow dmz
# Standardmäßig alles verbieten
http_access deny all
</pre>

=Squid.conf all in one with White List=
<pre>
# Squid lauscht auf allen Schnittstellen (inkl. WAN)
http_port 0.0.0.0:3128
# ACLs für die Netzwerke definieren
acl admin-netz src 172.16.1xx.0/24
acl lan src 172.17.1xx.0/24
acl dmz src 10.0.1xx.0/24
# Whitelist-Datei einbinden
acl allowed-sites dstdomain "/etc/squid/allowed-sites.list"
# Admin-Netz uneingeschränkt erlauben
http_access allow admin-netz
# LAN & DMZ dürfen nur freigegebene Seiten besuchen
http_access allow lan allowed-sites
http_access allow dmz allowed-sites
# Standardmäßig alles verbieten
http_access deny all
</pre>

=Authentifizierung erzwingen=

Zur Vermeidung von ungewollten Zugriffen lässt sich in Squid auch eine Authetifizierung erzwingen

==Erstellen einer Passwort Datei==
*sudo apt install apache2-utils
*htpasswd -c /etc/squid/passwd username

Syntax:
*htpasswd: Programmname
*-c: Create new passwordfile, also neue Passwortdatei erstellen
*passwordfile: Passwortdatei mit beliebigem Namen. Auch der Ort kann beliebig gewählt werden
*username: Name eines Benutzers (beliebig)

Nach Bestätigen des Befehls wird htpasswd nach einem Passwort für den Benutzer verlangen. Dies kann ebenfalls beliebig gewählt werden.

Weiter Benutzer:
*htpasswd /etc/squid/passwd benutzer2

==Änderungen an der squid.conf==

Folgende Einträge werden am Anfang der squid.conf eingefügt:

<pre>
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 20 startup=0 idle=1
auth_param basic concurrency 0
auth_param basic credentialsttl 500 seconds
auth_param basic realm xinux proxy server
auth_param basic casesensitive off

acl ncsa_users proxy_auth REQUIRED

http_access allow ncsa_users

</pre>

Syntax:
*auth_param: Definiert die Parameter für die Authentifizierung
*basic: Teilt squid mit, dass es sich um grundsätzliche Einstellungen handelt, die zur Anwendung kommen wenn keine anderen verfügbar sind. Weitere Optionen siehe squid Manual
*program: Es wird ein externes Programm zur Authentifizierung eingesetzt
*/usr/lib/squid/basic_ncsa_auth: Hier befindet sich das Programm
*/etc/squid/passwd: Dies ist die Passwortdatei
*children: Wieviele Authentifikationsprozesse Squid maximal starten soll
*concurrency: Wieviele Anfragen gleichzeitig bearbeitet werden dürfen
*credentialsttl: Wie lange die Anmeldedaten gültig sein sollen
*realm: Name des Bereichs für den der Proxy zuständig ist. Kann beliebig gewählt werden.
*casesensitive: Legt fest ob der BENUTZERname case-sensitiv sein soll

==Authentifizierung mit ldap==

Zusätzliche Packete:
sudo apt install libldap-2.5-0 ldap-utils
Debian 13
sudo apt install libldap2 ldap-utils

<pre>
# LDAP-Authentifizierung einrichten

auth_param basic program /usr/lib/squid/basic_ldap_auth -v 3 -b ou=users,dc=it113,dc=int -D cn=admin,dc=it113,dc=int -w 123Start$ -f uid=%s -h ldap.it113.int
auth_param basic children 20 startup=0 idle=1
auth_param basic concurrency 0
auth_param basic credentialsttl 500 seconds
auth_param basic realm xinux proxy server
auth_param basic casesensitive off

# ACL für authentifizierte Benutzer
acl ldap-auth proxy_auth REQUIRED

# Zugriff erlauben
http_access allow ldap-auth
</pre>

===Authentifizierung mit LDAP-Gruppen
*'''/etc/squid/squid.conf'''
**Zusätzlich zur oben genannten Authentifizierung mit LDAP, kann hier mit Filter von Gruppen gearbeitet werden. Fügen Sie dafür folgende Zeile hinzu:
<pre>
external_acl_type ldap_group %LOGIN /usr/lib/squid/ext_ldap_group_acl -v 3 -b ou=groups,dc=it113,dc=int -D cn=admin,dc=it113,dc=int -w 123Start$ -f "(&(objectClass=posixGroup)(cn=%g)(memberUid=%u))" -h ldap.it113.int

acl it external ldap_group it

</pre>

=Links=
*https://wiki.squid-cache.org/SquidFaq/SquidAcl

Zentrale Benutzerverwaltung mit OpenLDAP und SSS

2025-12-09T07:54:11Z

Robin.will: /* PAM anpassen */

=Installation=
;passwort nach wahl festlegen
*apt install slapd ldap-utils

;slapd: OpenLDAP Standalone Server
;ldap-utils: Utilities zum Zugriff auf den LDAP Server

=Grundkonfiguration=
[[Datei:Ldap-61.png]]

[[Datei:Ldap-62.png]]
=Weitere Konfiguration=
*dpkg-reconfigure -p low slapd

[[Datei:Ldap-63.png]]

[[Datei:Ldap-64.png]]

[[Datei:Ldap-65.png]]

[[Datei:Ldap-61.png]]

[[Datei:Ldap-62.png]]

[[Datei:Ldap-67.png]]

[[Datei:Ldap-66.png]]
=Konfiguration des Clients=
==ldap.conf==
*cat /etc/ldap/ldap.conf
base dc=it21, dc=int
uri ldap://server.it21.int
ldap_version 3
rootbinddn cn=admin, dc=it21, dc=int
pam_password md5
==Passwort für den Adminzugang eintragen==
*echo 123Start$ > /etc/ldap.secret
=Kontrolle=
==Stimmt der base dn?==
*ldapsearch -x -LLL
dn: dc=it21,dc=int
objectClass: top
objectClass: dcObject
objectClass: organization
o: int21
dc: it21
=Grundstruktur=
{{#drawio:it21-ldap}}
==Erstellen==
*cat /root/struktur.ldif
<pre>
dn: ou=users,dc=it21,dc=int
objectClass: organizationalUnit
ou: users

dn: ou=groups,dc=it21,dc=int
objectClass: organizationalUnit
ou: groups

dn: ou=hosts,dc=it21,dc=int
objectClass: organizationalUnit
ou: hosts
</pre>

==Anlegen==
ldapadd -xD cn=admin,dc=it21,dc=int -w 123Start$ -f struktur.ldif
adding new entry "ou=users,dc=it21,dc=int"

adding new entry "ou=groups,dc=it21,dc=int"

adding new entry "ou=hosts,dc=it21,dc=int"

=Ldapscripts=
==Installation==
*apt install ldapscripts

==Konfiguration==
===Hauptkonfiguration===
*cat /etc/ldapscripts/ldapscripts.conf
<pre>
SERVER="ldap://ldap.it21.int"
SUFFIX="dc=it21,dc=int"
GSUFFIX="ou=groups"
USUFFIX="ou=users"
MSUFFIX="ou=hosts"
BINDDN="cn=admin,dc=it21,dc=int"
USHELL="/bin/bash"
UHOMES="/home/%u"
CREATEHOMES="yes"
HOMESKEL="/etc/skel"
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
GIDSTART="10000" # Group ID
UIDSTART="10000" # User ID
MIDSTART="20000" # Machine ID
GCLASS="posixGroup" # Leave "posixGroup" here if not sure !
PASSWORDGEN="pwgen"
RECORDPASSWORDS="no"
PASSWORDFILE="/var/log/ldapscripts_passwd.log"
LOGTOFILE="yes"
LOGFILE="/var/log/ldapscripts.log"
LOGTOSYSLOG="no"
SYSLOGFACILITY="local4"
SYSLOGLEVEL="info"
LDAPSEARCHBIN="/usr/bin/ldapsearch"
LDAPADDBIN="/usr/bin/ldapadd"
LDAPDELETEBIN="/usr/bin/ldapdelete"
LDAPMODIFYBIN="/usr/bin/ldapmodify"
LDAPMODRDNBIN="/usr/bin/ldapmodrdn"
LDAPPASSWDBIN="/usr/bin/ldappasswd"
LDAPSEARCHOPTS="-o ldif-wrap=no"
GETENTPWCMD=""
GETENTGRCMD=""
GTEMPLATE=""
UTEMPLATE=""
MTEMPLATE=""
</pre>

===Password Datei===
*echo -n "123Start$" > /etc/ldapscripts/ldapscripts.passwd
==Managment==
===Struktur===
{{#drawio:it21-2}}

===Gruppen anlegen===
*ldapaddgroup it
===Benutzer anlegen===
*ldapadduser thomas it
*ldapadduser tina it
===Passwörter setzen===
*ldapsetpasswd thomas
*ldapsetpasswd tina

=nsswitch und pam anbinden=
*[[Zusammenspiel von PAM und NSS]]
==Installation==
*env DEBIAN_FRONTEND=noninteractive apt install -yqq libnss-ldap libpam-ldap nslcd
;Wir konfigurieren von Hand

==ldap.conf==
*cat /etc/ldap/ldap.conf
base dc=it21, dc=int
uri ldap://server.it21.int
ldap_version 3
rootbinddn cn=admin, dc=it21, dc=int
pam_password md5
==Passwort für den Adminzugang eintragen==
*echo 123Start$ > /etc/ldap.secret
==Wir benutzen nur eine Konfigurationdatei==
*ln -fs /etc/ldap/ldap.conf /etc/libnss-ldap.conf
*ln -fs /etc/ldap/ldap.conf /etc/pam_ldap.conf
==nslcd.conf==
<pre>
kit@dhcp:~$ sudo cat /etc/nslcd.conf
# /etc/nslcd.conf
# nslcd configuration file. See nslcd.conf(5)
# for details.

# The user and group nslcd should run as.
uid nslcd
gid nslcd

# The location at which the LDAP server(s) should be reachable.
uri ldap://ldap.it1XX.int

# The search base that will be used for all queries.
base dc=it1XX,dc=int
</pre>

==Nsswitch anpassen==
*cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap

==PAM anpassen==
*Muss man eigentlich nicht
*'''ABER''' falls ein Home Verzeichnis gewünscht ist für den User muss folgende Datei bearbeitet werden:
**'''nano /etc/pam.d/common-session'''
<pre>
#Diese Zeile in die Datei einfügen

session required pam_mkhomedir.so skel=/etc/skel umask=0022
</pre>

==Reboot==
!!!Reboot!!!

=Tests=
*getent group it
it:*:10000:
*getent passwd thomas
thomas:*:10000:10000:thomas:/home/thomas:/bin/bash
*getent passwd tina
tina:*:10001:10000:tina:/home/tina:/bin/bash
*su - tina
tina@server:~$

==Starten des slapd==
systemctl start slapd

==Stoppen des slapd==
systemctl stop slapd

==Neustarten des slapd==
systemctl restart slapd

==Auf welchem Port lauscht der slapd==
netstat -lntp | grep slapd
tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 499/slapd

==Sudo==

Sudo Gruppe auf dem ldap Server anlegen:
ldapaddgroup sudo

ldapaddusertogroup thomas sudo
ldapaddusertogroup tina sudo

Packete installieren:
* apt install sudo-ldap

Packete konfigurieren:
* visudo -f /etc/sudoers.d/ldap-sudoers
# LDAP sudo group
%sudo ALL=(ALL:ALL) ALL

* vim /etc/sudo-ldap.conf
sudoers_base ou=sudo,dc=it21,dc=int

Testen:
su - thomas
sudo -l
sudo whoami

Zentrale Benutzerverwaltung mit OpenLDAP und SSS

2025-12-09T07:54:01Z

Robin.will: /* PAM anpassen */

=Installation=
;passwort nach wahl festlegen
*apt install slapd ldap-utils

;slapd: OpenLDAP Standalone Server
;ldap-utils: Utilities zum Zugriff auf den LDAP Server

=Grundkonfiguration=
[[Datei:Ldap-61.png]]

[[Datei:Ldap-62.png]]
=Weitere Konfiguration=
*dpkg-reconfigure -p low slapd

[[Datei:Ldap-63.png]]

[[Datei:Ldap-64.png]]

[[Datei:Ldap-65.png]]

[[Datei:Ldap-61.png]]

[[Datei:Ldap-62.png]]

[[Datei:Ldap-67.png]]

[[Datei:Ldap-66.png]]
=Konfiguration des Clients=
==ldap.conf==
*cat /etc/ldap/ldap.conf
base dc=it21, dc=int
uri ldap://server.it21.int
ldap_version 3
rootbinddn cn=admin, dc=it21, dc=int
pam_password md5
==Passwort für den Adminzugang eintragen==
*echo 123Start$ > /etc/ldap.secret
=Kontrolle=
==Stimmt der base dn?==
*ldapsearch -x -LLL
dn: dc=it21,dc=int
objectClass: top
objectClass: dcObject
objectClass: organization
o: int21
dc: it21
=Grundstruktur=
{{#drawio:it21-ldap}}
==Erstellen==
*cat /root/struktur.ldif
<pre>
dn: ou=users,dc=it21,dc=int
objectClass: organizationalUnit
ou: users

dn: ou=groups,dc=it21,dc=int
objectClass: organizationalUnit
ou: groups

dn: ou=hosts,dc=it21,dc=int
objectClass: organizationalUnit
ou: hosts
</pre>

==Anlegen==
ldapadd -xD cn=admin,dc=it21,dc=int -w 123Start$ -f struktur.ldif
adding new entry "ou=users,dc=it21,dc=int"

adding new entry "ou=groups,dc=it21,dc=int"

adding new entry "ou=hosts,dc=it21,dc=int"

=Ldapscripts=
==Installation==
*apt install ldapscripts

==Konfiguration==
===Hauptkonfiguration===
*cat /etc/ldapscripts/ldapscripts.conf
<pre>
SERVER="ldap://ldap.it21.int"
SUFFIX="dc=it21,dc=int"
GSUFFIX="ou=groups"
USUFFIX="ou=users"
MSUFFIX="ou=hosts"
BINDDN="cn=admin,dc=it21,dc=int"
USHELL="/bin/bash"
UHOMES="/home/%u"
CREATEHOMES="yes"
HOMESKEL="/etc/skel"
BINDPWDFILE="/etc/ldapscripts/ldapscripts.passwd"
GIDSTART="10000" # Group ID
UIDSTART="10000" # User ID
MIDSTART="20000" # Machine ID
GCLASS="posixGroup" # Leave "posixGroup" here if not sure !
PASSWORDGEN="pwgen"
RECORDPASSWORDS="no"
PASSWORDFILE="/var/log/ldapscripts_passwd.log"
LOGTOFILE="yes"
LOGFILE="/var/log/ldapscripts.log"
LOGTOSYSLOG="no"
SYSLOGFACILITY="local4"
SYSLOGLEVEL="info"
LDAPSEARCHBIN="/usr/bin/ldapsearch"
LDAPADDBIN="/usr/bin/ldapadd"
LDAPDELETEBIN="/usr/bin/ldapdelete"
LDAPMODIFYBIN="/usr/bin/ldapmodify"
LDAPMODRDNBIN="/usr/bin/ldapmodrdn"
LDAPPASSWDBIN="/usr/bin/ldappasswd"
LDAPSEARCHOPTS="-o ldif-wrap=no"
GETENTPWCMD=""
GETENTGRCMD=""
GTEMPLATE=""
UTEMPLATE=""
MTEMPLATE=""
</pre>

===Password Datei===
*echo -n "123Start$" > /etc/ldapscripts/ldapscripts.passwd
==Managment==
===Struktur===
{{#drawio:it21-2}}

===Gruppen anlegen===
*ldapaddgroup it
===Benutzer anlegen===
*ldapadduser thomas it
*ldapadduser tina it
===Passwörter setzen===
*ldapsetpasswd thomas
*ldapsetpasswd tina

=nsswitch und pam anbinden=
*[[Zusammenspiel von PAM und NSS]]
==Installation==
*env DEBIAN_FRONTEND=noninteractive apt install -yqq libnss-ldap libpam-ldap nslcd
;Wir konfigurieren von Hand

==ldap.conf==
*cat /etc/ldap/ldap.conf
base dc=it21, dc=int
uri ldap://server.it21.int
ldap_version 3
rootbinddn cn=admin, dc=it21, dc=int
pam_password md5
==Passwort für den Adminzugang eintragen==
*echo 123Start$ > /etc/ldap.secret
==Wir benutzen nur eine Konfigurationdatei==
*ln -fs /etc/ldap/ldap.conf /etc/libnss-ldap.conf
*ln -fs /etc/ldap/ldap.conf /etc/pam_ldap.conf
==nslcd.conf==
<pre>
kit@dhcp:~$ sudo cat /etc/nslcd.conf
# /etc/nslcd.conf
# nslcd configuration file. See nslcd.conf(5)
# for details.

# The user and group nslcd should run as.
uid nslcd
gid nslcd

# The location at which the LDAP server(s) should be reachable.
uri ldap://ldap.it1XX.int

# The search base that will be used for all queries.
base dc=it1XX,dc=int
</pre>

==Nsswitch anpassen==
*cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap

==PAM anpassen==
*Muss man eigentlich nicht
*'''ABER''' falls ein Home Verzeichnis gewünscht ist für den User muss folgende Datei bearbeitet werden:
**'''nano /etc/pam.d/common-session'''
<pre>
#Diese Zeile in die Datei einfügen
session required pam_mkhomedir.so skel=/etc/skel umask=0022
</pre>

==Reboot==
!!!Reboot!!!

=Tests=
*getent group it
it:*:10000:
*getent passwd thomas
thomas:*:10000:10000:thomas:/home/thomas:/bin/bash
*getent passwd tina
tina:*:10001:10000:tina:/home/tina:/bin/bash
*su - tina
tina@server:~$

==Starten des slapd==
systemctl start slapd

==Stoppen des slapd==
systemctl stop slapd

==Neustarten des slapd==
systemctl restart slapd

==Auf welchem Port lauscht der slapd==
netstat -lntp | grep slapd
tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 499/slapd

==Sudo==

Sudo Gruppe auf dem ldap Server anlegen:
ldapaddgroup sudo

ldapaddusertogroup thomas sudo
ldapaddusertogroup tina sudo

Packete installieren:
* apt install sudo-ldap

Packete konfigurieren:
* visudo -f /etc/sudoers.d/ldap-sudoers
# LDAP sudo group
%sudo ALL=(ALL:ALL) ALL

* vim /etc/sudo-ldap.conf
sudoers_base ou=sudo,dc=it21,dc=int

Testen:
su - thomas
sudo -l
sudo whoami

Datei:5102-sftp-01.drawio.png

2025-12-08T13:12:17Z

Robin.will: Robin.will lud eine neue Version von Datei:5102-sftp-01.drawio.png hoch

Linux - Netzwerk und Serveradministration - Skript

2025-12-05T10:10:05Z

Robin.will: /* Daten */

= Lehrgangsziele =
* Planung, Dokumentation und Aufbau einer IT-Infrastruktur mit Linux Servern
* Kennenlernen von Netzwerkdebugging-Verfahren und -Tools
* Remotemanagement mit SSH
* Automatische Netzwerkkonfiguration mit DHCP
* Konfiguration von Netzwerkdiensten: DNS, LDAP, SMB, NTP, SFTP
* Einrichten einer einfachen Firewall

= Netzwerkpläne =
* Das Schulungsnetzwerk wird also Pseudo-Internet verwendet, d.h. wir behandeln das Netzwerk 192.168.''HS''.0/24 wie ein öffentliches.
* Darin baut jeder sein eigenes LAN-, DMZ-, und Server-Netzwerk auf.
* Am Ende sollen die individuellen Netzwerke miteinander kommunizieren dürfen.

== physisch ==
{{#drawio:5102-physisch}}
== logisch ==
{{#drawio:5102-logisch}}

= Servervorlage =
* Für VMs als Server empfiehlt es sich eine Vorlage zu erstellen, die schon minimal konfiguriert ist
* Der Nutzer ''root'' soll das Passwort ''radler'' haben
* Ein Benutzer ''kit'' mit dem Passwort ''kit'' soll angelegt werden
* die Vorlage soll '''keine''' graphische Oberfläche haben (Bei der Installation abwählen)
* Ein [[:Kategorie:SSH|SSH]]-Server soll aber für die Remoteverwaltung installiert werden
==Umsetzung==
* [[Debian Template]]
* [[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Firewall =
{{#drawio:5102-firewall-01}}
* Die Firewall wird ist zugleich der Router in das Übungsnetzwerk
* Hardwareanpassungen:
** 4 GB RAM
** 4 CPUs
** 4 Netzwerkkarten
* Für den Anfang müssen wir das [[Debian Netzwerkkonfiguration|Netzwerk konfigurieren]]

= Fernzugriff per [[:Kategorie:SSH|SSH]] =
* Jeder Host soll über das [[SSH-Protokoll]] administrierbar sein
* hinterlegen Sie den öffentlichen Schlüssel für die Nutzer ''kit'' und ''root'' auf der Firewall
* Der SSH-Server sollte nach Sicherstellung des Zugriffs über autorisierte SSH-Schlüssel keine Passwort-Authentifizierung mehr zulassen: [[SSH-Server Hardening]]
* Am Ende sollte jeder Host über '''ssh ''user''@''ip.oder.host.name'' ''' erreichbar sein

= Client Konfiguration =
* [[Client Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Routing und Masquerading =
{{#drawio:5102-masquerade}}
* Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umgeschrieben werden
* Dazu müssen Firewall-Regeln unter [[iptables]] oder [[nftables Masquerade|nftables]] erstellt werden
==Firewall Umsetzung==
*[[Firewall-Nat-Linux - Netzwerk und Serveradministration]]
*[[Firewall-NAT-Linux-nftables - Netzwerk und Serveradminsitration]]
*[[Firewall-ssh-key Dozent - Netzwerk und Serveradministration]]
*[[Firewall skript autostart]]

= eigener DNS Server =
{{#drawio:5102-dns}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsol
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''ns''
* SSH-Server anpassen
* SSH-Schlüssel des Kit Hosts für User ''kit'' hinterlegen
===Daten===
*NET: DMZ
*IP 10.88.1XX.21/24
*GW 10.88.1XX.1
*NS 192.168.6.88 Vorläufig
*NA ns.it1XX.int
*Zu installieren apt install bind9 - Es könnte nun auch named
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration DNS]]

== interne Namensauflösung ==
* Durch das [[DNS|Domain Name System]] können wir Namen an IP-Adressen zuweisen und diese auflösen
* Diese sollten einfacher zu merken sein, als IPv4- oder IPv6-Adressen
* Jedes Labor soll eine eigene Domäne mit dem Schema '''netz''xx''.lab''' verwalten
* Erstellen Sie hierzu auch die jeweilige Reverse-Lookup-Zone '''0.''xx''.10.in-addr.arpa'''
* Der DHCP-Server muss auch angepasst werden, damit Clients den internen DNS-Server bekommen
* Für die Kommunikation zwischen den DNS-Servern müssen entweder die entsprechenden [[ip route|Routen]] gesetzt werden oder über [[DNAT|Firewall-Regeln]] Portforwarding aktiviert werden
==DNS Umsetzung==
*[[DNS Linux - Netzwerk und Serveradministration - Skript]]

==DNS Aufgabe Reverse Lookup Zone LAN & SERVERS==
*[[DNS Linux - Netzwerk und Serveradministration - Reverse Aufgabe]]

=Pseudo Top-Level-Domain=
{{#drawio:Pseudo Top-Level-Domain}}

= Pseudo-Top-Level Domäne =
* Um die Domänen der anderen Labore aufzulösen ist ein Forwarder nötig
* Dieser zeigt auf den entsprechenden DNS-Server der Domäne, sodass die Zonen nur einmal definiert werden müssen

= [[:Kategorie:DHCP|DHCP]] - Automatische Netzwerkkonfiguration =
{{#drawio:5102-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''LAN''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''dhcp''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: LAN
*IP 172.16.1XX.2/24
*GW 172.16.1XX.1
*NS 10.88.1XX.21
*NA dhcp.it1XX.int
*Zu installieren apt install isc-dhcp-server
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== automatische Netzwerkkonfiguration ==
* Damit wir nicht das Netzwerk bei jedem Rechner manuell konfigurieren müssen setzen wir einen [[DHCP Grundlagen|DHCP]] Server auf.
* Dieser beantwortet Anfragen von Clients in seiner Broadcast-Domäne.
* Der DHCP-Server soll IP-Adressen im Bereich 172.16.''xx''.50 bis .100 vergeben
* Als Nameserver nehmen wir unseren eigenen 10.88.1XX.2
* Und wir nehmen die eigene Search Domain it1XX.int
* Für die Konfigration kann [[ISC DHCP|diese Seite]] befolgt werden
* Beobachten Sie den Verkehr mit [[Wireshark]] oder [[tcpdump]] auf UDP Port 67 mit und fahren Sie ''kali'' hoch

==ISC DHCP Umsetzung==
*[[ISC DHCP]]
*[[KEA DHCP - Netzwerk und Servreadministration]]

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

==Client==
*Erstellt einen Client aus der Vorlage
*Hängt ins LAN Netz
*Gebt ihm den Namen client.it1XX.int
*hostnamectl set-hostname client.it1XX.int
*In der /etc/hosts den Namen von debian-template in client ändern
*Und rebootet ihn noch mal

= DHCP-Relay-Server =
{{#drawio:5102-dhcp-relay-01}}
* Der DHCP-Server beantwortet nur Anfragen innerhalb seiner Broadcast-Domäne
* Damit die DHCP-Konfiguration zentral gehalten werden kann, können andere DHCP-Server als Relay für einen Master-DHCP-Server dienen
* In unserem Fall soll die Firewall die DHCP-Konfiguration an die DMZ- und Server-Netze weitergeben
* Von nun an können neue Server in diesen Netzwerken automatisch über die DHCP-IP erreicht werden
=DHCP-Relay-Server Umsetzung=
*[[DHCP-Relay-Server]]
*[[KEA DHCP-Relay-Server - Netzwerk und Serveradministration]]

= [[Samba|SMB]] Server =
{{#drawio:5102-smb-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''smb''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: Server
*IP 10.1XX.1.2/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA smb.it1XX.int
*Zu installieren apt install samba smbclient
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== Netzwerkfreigaben einrichten ==
* Legen Sie eine Sicherheitskopie der Originalkonfigurationsdatei an
* '''cp -v ''/etc/samba/smb.conf''{,.orig}'''
* Diese ist wohl kommentiert und kann als Hilfe/Dokumentation dienen
* Erstellen Sie folgende Arten von Shares:
** [[Samba Public Share|öffentlich]] unter ''/srv/samba/pub'' namens '''public'''
** Ein Share namens '''share''' zugreifbar für ''kit'' unter ''/srv/samba/kit'': [[smb.conf.minimal]]
** die Heimatverzeichnisse der regulären Nutzer des SMB-Servers sollen zugreifbar sein nach einer Authentifizierung: [[smb.conf.home]]
** Ein Share namens '''admins''' zugreifbar für die Benutzer in der Gruppe ''sudo'' unter: ''/srv/samba/admin''
* Testen Sie den Zugriff auf die Shares mit einem Client aus dem LAN:
* '''apt install nemo'''
* Das Programm kann über SSH Forwarding auf dem KIT Host geöffnet werden
* '''ssh -Y ''ip.oder.hostname.client'' "dbus-run-session nemo"'''
* Schneiden Sie den Austausch mit Wireshark auf TCP Port 445 mit

= SFTP Server =
{{#drawio:5102-sftp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.3/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA sftp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== sichere Datenübertragung ==
* SFTP benutzt das SSH-Protokoll, um die Daten zu verschlüsseln
* Daher muss nur die [[SFTP-Server|Konfiguration des SSH-Servers]] angepasst werden
* andere FTP-Arten sollten nicht mehr benutzt werden (FTP, TFTP, ...)
* Ein SFTP-Zugang für einen Gast-User soll unter ''/srv/sftp/gast'' angelegt werden
*[[ssh jump-host]]
==SFTP Umsetzung==
*[[SFTP-Server|Konfiguration des SSH-Servers]]

= [[:Kategorie:LDAP|LDAP]] Server =
{{#drawio:5102-ldap-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: Server
*IP 10.1XX.1.3/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA ldap.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== zentrale Benutzerverwaltung ==
* Benutzer sollen sich überall mit ihren eigenen Konto anmelden können ohne, dass dieses Konto jedes mal neu angelegt werden muss
* Linux kann für die Benutzerauthentifizierung verschiedene Quellen verwenden
* Neben der lokalen Datei ''/etc/passwd'' soll zusätzlich eine [[:Kategorie:LDAP|LDAP]]-Datenbank für zusätzliche Benutzerkonten befragt werden
*Konfiguration [[Openldap-linux-pam-nss]]
* Die Einträge zu bestimmten Systemkategorien können mit dem Befehl '''getent''' abgefragt werden
* '''getent passwd''' ''# sollte lokale und LDAP-Konten anzeigen''
*LDAP Server Verwaltung über [[ldapscripts]]
* Der LDAP-Server der Domäne soll automatisch über [[LDAP SRV Record|SRV-Einträge]] auf dem DNS Server gefunden werden können
* Alle Hosts aus dem VirtualBox-Labor sollen an den LDAP-Server gebunden werden
*[[LDAP Client SSSD - Netzwerk und Serveradministration]]

= [[Squid_from_the_scratch|Squid]] =
{{#drawio:5102-squid-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.5/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA squid.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

==Squid==
* Um Bandbreite zu sparen kann ein Caching Proxy wie Squid benutzt werden, um die Antworten von Webanfrangen zu speichern
* Zusätzlich können durch ACLs Webzugriffe kontrollieren
* Der Proxy soll auf der Firewall laufen, da dort die nötigen Hardwareressourcen sind
*[[Squid Aufgabe]]
*[[Squid Aufgabe2]]
==Proxy PAC über DHCP==
*[[KEA Proxy PAC - Netzkwerk und Serveradministration]]

= [[:Kategorie:NTP|NTP]] Server =
{{#drawio:5102-ntp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.4/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA ntp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

installieren ntp
*sudo apt install ntpsec

===NTP mit DHCP verteilen===
*[[KEA DHCP NTP-Konfiguration - Netzwerk und Serveradministration]]

=NGINX=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.10/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install nginx

==Webserver==
*[[Nginx]]
*[[Nginx https]]
*[[phpldapadmin nginx]]

=Exkrus HA Proxy=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten HAProxy===
*NET: DMZ
*IP 10.88.1XX.25/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install haproxy

===Daten Webserver===
*NET: DMZ
*IP 10.88.1XX.15/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA web2.it1XX.int

==Webserver==
*[[HAProxy]]
*[[HAProxy Umsetzung Linux - Netzwerk Serveradministration]]

=Exkrus checkmk=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Servers''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten checkmk===
*NET: Servers
*IP 10.1XX.1.25/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA checkmk.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]
=== Docker ===
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration Docker]]

= Grundlegendes Firewall-Konzept =
* Dienste sollen erreichbar bleiben
* ungenutzte Ports sollen blockiert werden
* etablierte Verbindungen sollen über [[Connection Tracking]] freigeschaltet werden

=Linux - Netzwerk und Serveradministration=
*[[Linux - Netzwerk und Serveradministration Probleme]]

KEA DHCP-Relay-Server - Netzwerk und Serveradministration

2025-12-05T08:44:12Z

Robin.will: /* Alternative: Minimale Konfiguration */

[[Kategorie:DHCP]]

= Was ist ein DHCP-Relay? =

* DHCP-Relay ist eine Funktion, um DHCP über Netzgrenzen (Broadcastdomäne) hinaus nutzen zu können.
* Damit wird die Notwendigkeit der Bereitstellung eines DHCP-Servers in jedem Subnetz, in dem sich DHCP-Clients befinden, vermieden.
* Die DHCP-Relay-Funktion wird meist durch den Router selbst erbracht.
* Dabei werden Client-seitig mittels Broadcast verschickte DHCP-Anfragen durch den DHCP-Relay empfangen und mittels Unicast einem oder mehreren DHCP-Servern zugestellt.
* Der DHCP-Relay-Agent wird funktional auf der Schnittstelle des Routers platziert.

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

= Vorarbeiten =

* Der Kea DHCP Server muss die Netze hinter dem Router bedienen

= Netze einfügen auf dem Kea DHCP Server =

* sudo vim /etc/kea/kea-dhcp4.conf

* Mehrere Subnetze werden im '''subnet4'''-Array definiert:

<syntaxhighlight lang="json">
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s3" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 600,
"max-valid-lifetime": 7200,

"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, example.com"
}
],

"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"pools": [
{
"pool": "172.16.1XX.50 - 172.16.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
}
],
"reservations": [
{
"hw-address": "aa:bb:cc:dd:ee:ff",
"ip-address": "172.16.1XX.100",
"hostname": "client"
}
]
},
{
"subnet": "10.88.1XX.0/24",
"pools": [
{
"pool": "10.88.1XX.50 - 10.88.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.88.1XX.1"
}
]
},
{
"subnet": "10.1XX.1.0/24",
"pools": [
{
"pool": "10.1XX.1.50 - 10.1XX.1.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.1XX.1.1"
}
]
}
],
"loggers": [
{
"name": "kea-dhcp4",
"output_options": [
{
"output": "/var/log/kea/kea-dhcp4.log"
}
],
"severity": "INFO"
}
]
}
}

</syntaxhighlight>

Konfiguration testen und Dienst neu starten:
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf
* sudo systemctl restart kea-dhcp4-server

= Installation auf dem Router (Firewall) =

* apt install dnsmasq

'''Hinweis:''' dnsmasq ist ein leichtgewichtiger DNS- und DHCP-Server, der auch DHCP-Relay-Funktionalität bietet und als moderne Alternative zum EOL ISC DHCP Relay dient.

= Konfiguration von dnsmasq als DHCP-Relay =

; DHCP-Relay konfigurieren

* sudo vim /etc/dnsmasq.conf

<pre>
# DHCP Server deaktivieren (nur Relay nutzen)
no-dhcp-interface=

# DHCP-Relay konfigurieren
# Syntax: dhcp-relay=<lokale Adresse>,<Server Adresse>[,<Interface>]

# Relay für enp0s8
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8

# Relay für enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

# Optional: weitere Interfaces
# dhcp-relay=<lokale IP>,172.16.1XX.2,enp0s10

# Logging aktivieren (optional)
log-dhcp
log-queries
</pre>

== Erklärung der Parameter ==

* '''Lokale Adresse''': IP-Adresse des Interfaces auf dem Router, auf dem DHCP-Anfragen empfangen werden
* '''Server Adresse''': IP-Adresse des Kea DHCP Servers (muss eine IP-Adresse sein, kein Hostname)
* '''Interface''': (Optional) Interface-Name zur zusätzlichen Sicherheit - akzeptiert nur Antworten auf diesem Interface

== Alternative: Minimale Konfiguration ==

Falls dnsmasq bereits läuft und nur Relay-Funktionalität hinzugefügt werden soll:

* sudo vim /etc/dnsmasq.d/dhcp-relay.conf

<pre>
# DNS-Funktionalität deaktivieren falls nicht benötigt
port=0

# DHCP-Relay
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s8

log-dhcp
</pre>

= Start =

Konfiguration testen
* sudo dnsmasq --test

Dienst starten
* sudo systemctl restart dnsmasq
* sudo systemctl enable dnsmasq

= Check =

* sudo systemctl status dnsmasq

<pre>
● dnsmasq.service - dnsmasq - A lightweight DHCP and caching DNS server
Loaded: loaded (/lib/systemd/system/dnsmasq.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2025-10-20 14:30:15 CET; 2min ago
Main PID: 1234 (dnsmasq)
Tasks: 1 (limit: 2337)
Memory: 2.5M
CPU: 15ms
CGroup: /system.slice/dnsmasq.service
└─1234 /usr/sbin/dnsmasq -x /run/dnsmasq/dnsmasq.pid -u dnsmasq -7 /etc/dnsmasq.d,.dpkg-dist,.dpkg-old,.dpkg-new --local-service

Oct 20 14:30:15 firewall systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server...
Oct 20 14:30:15 firewall dnsmasq[1234]: started, version 2.89 cachesize 150
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.88.1XX.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.1XX.1.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server.
</pre>

* Port-Check
* ss -lnup | grep 67

<pre>
UNCONN 0 0 0.0.0.0:67 0.0.0.0:* users:(("dnsmasq",pid=1234,fd=5))
</pre>

= Logs =

Live-Logs anzeigen
* journalctl -fn100 -u dnsmasq

Oder direkt im syslog
* tail -f /var/log/syslog | grep dnsmasq

= Wichtige Hinweise =

* '''dnsmasq kann nicht gleichzeitig als DHCP-Server und DHCP-Relay auf demselben Interface arbeiten''' - die Relay-Funktion hat Vorrang
* Für produktive Umgebungen sollte die Konfiguration in <code>/etc/dnsmasq.d/</code> erfolgen
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay
* Die Server-Adresse muss eine IP sein, keine Domain
* Mehrere Relay-Ziele können durch mehrfache <code>dhcp-relay</code>-Direktiven definiert werden

= Troubleshooting =

== DHCP-Relay funktioniert nicht ==

Routing prüfen:
* ip route

Firewall-Regeln prüfen:
* sudo iptables -L -v -n | grep 67
* sudo iptables -L -v -n | grep 68

DHCP-Traffic auf dem Router mitschneiden:
* sudo tcpdump -i enp0s8 -n port 67 or port 68

== dnsmasq startet nicht ==

Konfiguration auf Syntaxfehler prüfen:
* sudo dnsmasq --test

Prüfen ob Port 53 oder 67 bereits belegt:
* sudo ss -lnup | grep -E ':(53|67)'

= Empfehlung =

'''Für eine moderne, zukunftssichere Infrastruktur:'''

* '''Kea DHCP Server''' zentral auf einem dedizierten Server
* '''dnsmasq als DHCP-Relay''' auf den Routern/Firewalls
* Vorteil: dnsmasq wird aktiv gepflegt und ist in allen modernen Linux-Distributionen verfügbar
* ISC DHCP Relay sollte nicht mehr verwendet werden (EOL)

KEA DHCP-Relay-Server - Netzwerk und Serveradministration

2025-12-05T08:17:25Z

Robin.will: /* Netze einfügen auf dem Kea DHCP Server */

[[Kategorie:DHCP]]

= Was ist ein DHCP-Relay? =

* DHCP-Relay ist eine Funktion, um DHCP über Netzgrenzen (Broadcastdomäne) hinaus nutzen zu können.
* Damit wird die Notwendigkeit der Bereitstellung eines DHCP-Servers in jedem Subnetz, in dem sich DHCP-Clients befinden, vermieden.
* Die DHCP-Relay-Funktion wird meist durch den Router selbst erbracht.
* Dabei werden Client-seitig mittels Broadcast verschickte DHCP-Anfragen durch den DHCP-Relay empfangen und mittels Unicast einem oder mehreren DHCP-Servern zugestellt.
* Der DHCP-Relay-Agent wird funktional auf der Schnittstelle des Routers platziert.

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

= Vorarbeiten =

* Der Kea DHCP Server muss die Netze hinter dem Router bedienen

= Netze einfügen auf dem Kea DHCP Server =

* sudo vim /etc/kea/kea-dhcp4.conf

* Mehrere Subnetze werden im '''subnet4'''-Array definiert:

<syntaxhighlight lang="json">
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s3" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 600,
"max-valid-lifetime": 7200,

"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, example.com"
}
],

"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"pools": [
{
"pool": "172.16.1XX.50 - 172.16.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
}
],
"reservations": [
{
"hw-address": "aa:bb:cc:dd:ee:ff",
"ip-address": "172.16.1XX.100",
"hostname": "client"
}
]
},
{
"subnet": "10.88.1XX.0/24",
"pools": [
{
"pool": "10.88.1XX.50 - 10.88.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.88.1XX.1"
}
]
},
{
"subnet": "10.1XX.1.0/24",
"pools": [
{
"pool": "10.1XX.1.50 - 10.1XX.1.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.1XX.1.1"
}
]
}
],
"loggers": [
{
"name": "kea-dhcp4",
"output_options": [
{
"output": "/var/log/kea/kea-dhcp4.log"
}
],
"severity": "INFO"
}
]
}
}

</syntaxhighlight>

Konfiguration testen und Dienst neu starten:
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf
* sudo systemctl restart kea-dhcp4-server

= Installation auf dem Router (Firewall) =

* apt install dnsmasq

'''Hinweis:''' dnsmasq ist ein leichtgewichtiger DNS- und DHCP-Server, der auch DHCP-Relay-Funktionalität bietet und als moderne Alternative zum EOL ISC DHCP Relay dient.

= Konfiguration von dnsmasq als DHCP-Relay =

; DHCP-Relay konfigurieren

* sudo vim /etc/dnsmasq.conf

<pre>
# DHCP Server deaktivieren (nur Relay nutzen)
no-dhcp-interface=

# DHCP-Relay konfigurieren
# Syntax: dhcp-relay=<lokale Adresse>,<Server Adresse>[,<Interface>]

# Relay für enp0s8
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8

# Relay für enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

# Optional: weitere Interfaces
# dhcp-relay=<lokale IP>,172.16.1XX.2,enp0s10

# Logging aktivieren (optional)
log-dhcp
log-queries
</pre>

== Erklärung der Parameter ==

* '''Lokale Adresse''': IP-Adresse des Interfaces auf dem Router, auf dem DHCP-Anfragen empfangen werden
* '''Server Adresse''': IP-Adresse des Kea DHCP Servers (muss eine IP-Adresse sein, kein Hostname)
* '''Interface''': (Optional) Interface-Name zur zusätzlichen Sicherheit - akzeptiert nur Antworten auf diesem Interface

== Alternative: Minimale Konfiguration ==

Falls dnsmasq bereits läuft und nur Relay-Funktionalität hinzugefügt werden soll:

* sudo vim /etc/dnsmasq.d/dhcp-relay.conf

<pre>
# DNS-Funktionalität deaktivieren falls nicht benötigt
port=0

# DHCP-Relay
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s10

log-dhcp
</pre>

= Start =

Konfiguration testen
* sudo dnsmasq --test

Dienst starten
* sudo systemctl restart dnsmasq
* sudo systemctl enable dnsmasq

= Check =

* sudo systemctl status dnsmasq

<pre>
● dnsmasq.service - dnsmasq - A lightweight DHCP and caching DNS server
Loaded: loaded (/lib/systemd/system/dnsmasq.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2025-10-20 14:30:15 CET; 2min ago
Main PID: 1234 (dnsmasq)
Tasks: 1 (limit: 2337)
Memory: 2.5M
CPU: 15ms
CGroup: /system.slice/dnsmasq.service
└─1234 /usr/sbin/dnsmasq -x /run/dnsmasq/dnsmasq.pid -u dnsmasq -7 /etc/dnsmasq.d,.dpkg-dist,.dpkg-old,.dpkg-new --local-service

Oct 20 14:30:15 firewall systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server...
Oct 20 14:30:15 firewall dnsmasq[1234]: started, version 2.89 cachesize 150
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.88.1XX.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.1XX.1.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server.
</pre>

* Port-Check
* ss -lnup | grep 67

<pre>
UNCONN 0 0 0.0.0.0:67 0.0.0.0:* users:(("dnsmasq",pid=1234,fd=5))
</pre>

= Logs =

Live-Logs anzeigen
* journalctl -fn100 -u dnsmasq

Oder direkt im syslog
* tail -f /var/log/syslog | grep dnsmasq

= Wichtige Hinweise =

* '''dnsmasq kann nicht gleichzeitig als DHCP-Server und DHCP-Relay auf demselben Interface arbeiten''' - die Relay-Funktion hat Vorrang
* Für produktive Umgebungen sollte die Konfiguration in <code>/etc/dnsmasq.d/</code> erfolgen
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay
* Die Server-Adresse muss eine IP sein, keine Domain
* Mehrere Relay-Ziele können durch mehrfache <code>dhcp-relay</code>-Direktiven definiert werden

= Troubleshooting =

== DHCP-Relay funktioniert nicht ==

Routing prüfen:
* ip route

Firewall-Regeln prüfen:
* sudo iptables -L -v -n | grep 67
* sudo iptables -L -v -n | grep 68

DHCP-Traffic auf dem Router mitschneiden:
* sudo tcpdump -i enp0s8 -n port 67 or port 68

== dnsmasq startet nicht ==

Konfiguration auf Syntaxfehler prüfen:
* sudo dnsmasq --test

Prüfen ob Port 53 oder 67 bereits belegt:
* sudo ss -lnup | grep -E ':(53|67)'

= Empfehlung =

'''Für eine moderne, zukunftssichere Infrastruktur:'''

* '''Kea DHCP Server''' zentral auf einem dedizierten Server
* '''dnsmasq als DHCP-Relay''' auf den Routern/Firewalls
* Vorteil: dnsmasq wird aktiv gepflegt und ist in allen modernen Linux-Distributionen verfügbar
* ISC DHCP Relay sollte nicht mehr verwendet werden (EOL)

KEA DHCP-Relay-Server - Netzwerk und Serveradministration

2025-12-05T07:57:49Z

Robin.will: /* Alternative: Minimale Konfiguration */

[[Kategorie:DHCP]]

= Was ist ein DHCP-Relay? =

* DHCP-Relay ist eine Funktion, um DHCP über Netzgrenzen (Broadcastdomäne) hinaus nutzen zu können.
* Damit wird die Notwendigkeit der Bereitstellung eines DHCP-Servers in jedem Subnetz, in dem sich DHCP-Clients befinden, vermieden.
* Die DHCP-Relay-Funktion wird meist durch den Router selbst erbracht.
* Dabei werden Client-seitig mittels Broadcast verschickte DHCP-Anfragen durch den DHCP-Relay empfangen und mittels Unicast einem oder mehreren DHCP-Servern zugestellt.
* Der DHCP-Relay-Agent wird funktional auf der Schnittstelle des Routers platziert.

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

= Vorarbeiten =

* Der Kea DHCP Server muss die Netze hinter dem Router bedienen

= Netze einfügen auf dem Kea DHCP Server =

* sudo vim /etc/kea/kea-dhcp4.conf

* Mehrere Subnetze werden im '''subnet4'''-Array definiert:

<syntaxhighlight lang="json">
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s3" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 600,
"max-valid-lifetime": 7200,

"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, example.com"
}
],

"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"pools": [
{
"pool": "172.16.1XX.50 - 172.16.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
}
],
"reservations": [
{
"hw-address": "aa:bb:cc:dd:ee:ff",
"ip-address": "172.16.1XX.100",
"hostname": "client"
}
]
},
{
"subnet": "10.88.1XX.0/24",
"pools": [
{
"pool": "10.88.1XX.50 - 10.88.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.88.1XX.1"
}
]
},
{
"subnet": "10.1XX.1.0/24",
"pools": [
{
"pool": "10.1XX.1.50 - 10.1XX.1.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.1XX.1.1"
}
]
}
],
"loggers": [
{
"name": "kea-dhcp4",
"output_options": [
{
"output": "/var/log/kea/kea-dhcp4.log"
}
],
"severity": "INFO"

</syntaxhighlight>

Konfiguration testen und Dienst neu starten:
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf
* sudo systemctl restart kea-dhcp4-server

= Installation auf dem Router (Firewall) =

* apt install dnsmasq

'''Hinweis:''' dnsmasq ist ein leichtgewichtiger DNS- und DHCP-Server, der auch DHCP-Relay-Funktionalität bietet und als moderne Alternative zum EOL ISC DHCP Relay dient.

= Konfiguration von dnsmasq als DHCP-Relay =

; DHCP-Relay konfigurieren

* sudo vim /etc/dnsmasq.conf

<pre>
# DHCP Server deaktivieren (nur Relay nutzen)
no-dhcp-interface=

# DHCP-Relay konfigurieren
# Syntax: dhcp-relay=<lokale Adresse>,<Server Adresse>[,<Interface>]

# Relay für enp0s8
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8

# Relay für enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

# Optional: weitere Interfaces
# dhcp-relay=<lokale IP>,172.16.1XX.2,enp0s10

# Logging aktivieren (optional)
log-dhcp
log-queries
</pre>

== Erklärung der Parameter ==

* '''Lokale Adresse''': IP-Adresse des Interfaces auf dem Router, auf dem DHCP-Anfragen empfangen werden
* '''Server Adresse''': IP-Adresse des Kea DHCP Servers (muss eine IP-Adresse sein, kein Hostname)
* '''Interface''': (Optional) Interface-Name zur zusätzlichen Sicherheit - akzeptiert nur Antworten auf diesem Interface

== Alternative: Minimale Konfiguration ==

Falls dnsmasq bereits läuft und nur Relay-Funktionalität hinzugefügt werden soll:

* sudo vim /etc/dnsmasq.d/dhcp-relay.conf

<pre>
# DNS-Funktionalität deaktivieren falls nicht benötigt
port=0

# DHCP-Relay
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s10

log-dhcp
</pre>

= Start =

Konfiguration testen
* sudo dnsmasq --test

Dienst starten
* sudo systemctl restart dnsmasq
* sudo systemctl enable dnsmasq

= Check =

* sudo systemctl status dnsmasq

<pre>
● dnsmasq.service - dnsmasq - A lightweight DHCP and caching DNS server
Loaded: loaded (/lib/systemd/system/dnsmasq.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2025-10-20 14:30:15 CET; 2min ago
Main PID: 1234 (dnsmasq)
Tasks: 1 (limit: 2337)
Memory: 2.5M
CPU: 15ms
CGroup: /system.slice/dnsmasq.service
└─1234 /usr/sbin/dnsmasq -x /run/dnsmasq/dnsmasq.pid -u dnsmasq -7 /etc/dnsmasq.d,.dpkg-dist,.dpkg-old,.dpkg-new --local-service

Oct 20 14:30:15 firewall systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server...
Oct 20 14:30:15 firewall dnsmasq[1234]: started, version 2.89 cachesize 150
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.88.1XX.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.1XX.1.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server.
</pre>

* Port-Check
* ss -lnup | grep 67

<pre>
UNCONN 0 0 0.0.0.0:67 0.0.0.0:* users:(("dnsmasq",pid=1234,fd=5))
</pre>

= Logs =

Live-Logs anzeigen
* journalctl -fn100 -u dnsmasq

Oder direkt im syslog
* tail -f /var/log/syslog | grep dnsmasq

= Wichtige Hinweise =

* '''dnsmasq kann nicht gleichzeitig als DHCP-Server und DHCP-Relay auf demselben Interface arbeiten''' - die Relay-Funktion hat Vorrang
* Für produktive Umgebungen sollte die Konfiguration in <code>/etc/dnsmasq.d/</code> erfolgen
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay
* Die Server-Adresse muss eine IP sein, keine Domain
* Mehrere Relay-Ziele können durch mehrfache <code>dhcp-relay</code>-Direktiven definiert werden

= Troubleshooting =

== DHCP-Relay funktioniert nicht ==

Routing prüfen:
* ip route

Firewall-Regeln prüfen:
* sudo iptables -L -v -n | grep 67
* sudo iptables -L -v -n | grep 68

DHCP-Traffic auf dem Router mitschneiden:
* sudo tcpdump -i enp0s8 -n port 67 or port 68

== dnsmasq startet nicht ==

Konfiguration auf Syntaxfehler prüfen:
* sudo dnsmasq --test

Prüfen ob Port 53 oder 67 bereits belegt:
* sudo ss -lnup | grep -E ':(53|67)'

= Empfehlung =

'''Für eine moderne, zukunftssichere Infrastruktur:'''

* '''Kea DHCP Server''' zentral auf einem dedizierten Server
* '''dnsmasq als DHCP-Relay''' auf den Routern/Firewalls
* Vorteil: dnsmasq wird aktiv gepflegt und ist in allen modernen Linux-Distributionen verfügbar
* ISC DHCP Relay sollte nicht mehr verwendet werden (EOL)

KEA DHCP-Relay-Server - Netzwerk und Serveradministration

2025-12-05T07:50:22Z

Robin.will: /* Netze einfügen auf dem Kea DHCP Server */

[[Kategorie:DHCP]]

= Was ist ein DHCP-Relay? =

* DHCP-Relay ist eine Funktion, um DHCP über Netzgrenzen (Broadcastdomäne) hinaus nutzen zu können.
* Damit wird die Notwendigkeit der Bereitstellung eines DHCP-Servers in jedem Subnetz, in dem sich DHCP-Clients befinden, vermieden.
* Die DHCP-Relay-Funktion wird meist durch den Router selbst erbracht.
* Dabei werden Client-seitig mittels Broadcast verschickte DHCP-Anfragen durch den DHCP-Relay empfangen und mittels Unicast einem oder mehreren DHCP-Servern zugestellt.
* Der DHCP-Relay-Agent wird funktional auf der Schnittstelle des Routers platziert.

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

= Vorarbeiten =

* Der Kea DHCP Server muss die Netze hinter dem Router bedienen

= Netze einfügen auf dem Kea DHCP Server =

* sudo vim /etc/kea/kea-dhcp4.conf

* Mehrere Subnetze werden im '''subnet4'''-Array definiert:

<syntaxhighlight lang="json">
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s3" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 600,
"max-valid-lifetime": 7200,

"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, example.com"
}
],

"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"pools": [
{
"pool": "172.16.1XX.50 - 172.16.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
}
],
"reservations": [
{
"hw-address": "aa:bb:cc:dd:ee:ff",
"ip-address": "172.16.1XX.100",
"hostname": "client"
}
]
},
{
"subnet": "10.88.1XX.0/24",
"pools": [
{
"pool": "10.88.1XX.50 - 10.88.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.88.1XX.1"
}
]
},
{
"subnet": "10.1XX.1.0/24",
"pools": [
{
"pool": "10.1XX.1.50 - 10.1XX.1.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.1XX.1.1"
}
]
}
],
"loggers": [
{
"name": "kea-dhcp4",
"output_options": [
{
"output": "/var/log/kea/kea-dhcp4.log"
}
],
"severity": "INFO"

</syntaxhighlight>

Konfiguration testen und Dienst neu starten:
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf
* sudo systemctl restart kea-dhcp4-server

= Installation auf dem Router (Firewall) =

* apt install dnsmasq

'''Hinweis:''' dnsmasq ist ein leichtgewichtiger DNS- und DHCP-Server, der auch DHCP-Relay-Funktionalität bietet und als moderne Alternative zum EOL ISC DHCP Relay dient.

= Konfiguration von dnsmasq als DHCP-Relay =

; DHCP-Relay konfigurieren

* sudo vim /etc/dnsmasq.conf

<pre>
# DHCP Server deaktivieren (nur Relay nutzen)
no-dhcp-interface=

# DHCP-Relay konfigurieren
# Syntax: dhcp-relay=<lokale Adresse>,<Server Adresse>[,<Interface>]

# Relay für enp0s8
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8

# Relay für enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

# Optional: weitere Interfaces
# dhcp-relay=<lokale IP>,172.16.1XX.2,enp0s10

# Logging aktivieren (optional)
log-dhcp
log-queries
</pre>

== Erklärung der Parameter ==

* '''Lokale Adresse''': IP-Adresse des Interfaces auf dem Router, auf dem DHCP-Anfragen empfangen werden
* '''Server Adresse''': IP-Adresse des Kea DHCP Servers (muss eine IP-Adresse sein, kein Hostname)
* '''Interface''': (Optional) Interface-Name zur zusätzlichen Sicherheit - akzeptiert nur Antworten auf diesem Interface

== Alternative: Minimale Konfiguration ==

Falls dnsmasq bereits läuft und nur Relay-Funktionalität hinzugefügt werden soll:

* sudo vim /etc/dnsmasq.d/dhcp-relay.conf

<pre>
# DNS-Funktionalität deaktivieren falls nicht benötigt
port=0

# DHCP-Relay
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

log-dhcp
</pre>

= Start =

Konfiguration testen
* sudo dnsmasq --test

Dienst starten
* sudo systemctl restart dnsmasq
* sudo systemctl enable dnsmasq

= Check =

* sudo systemctl status dnsmasq

<pre>
● dnsmasq.service - dnsmasq - A lightweight DHCP and caching DNS server
Loaded: loaded (/lib/systemd/system/dnsmasq.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2025-10-20 14:30:15 CET; 2min ago
Main PID: 1234 (dnsmasq)
Tasks: 1 (limit: 2337)
Memory: 2.5M
CPU: 15ms
CGroup: /system.slice/dnsmasq.service
└─1234 /usr/sbin/dnsmasq -x /run/dnsmasq/dnsmasq.pid -u dnsmasq -7 /etc/dnsmasq.d,.dpkg-dist,.dpkg-old,.dpkg-new --local-service

Oct 20 14:30:15 firewall systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server...
Oct 20 14:30:15 firewall dnsmasq[1234]: started, version 2.89 cachesize 150
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.88.1XX.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.1XX.1.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server.
</pre>

* Port-Check
* ss -lnup | grep 67

<pre>
UNCONN 0 0 0.0.0.0:67 0.0.0.0:* users:(("dnsmasq",pid=1234,fd=5))
</pre>

= Logs =

Live-Logs anzeigen
* journalctl -fn100 -u dnsmasq

Oder direkt im syslog
* tail -f /var/log/syslog | grep dnsmasq

= Wichtige Hinweise =

* '''dnsmasq kann nicht gleichzeitig als DHCP-Server und DHCP-Relay auf demselben Interface arbeiten''' - die Relay-Funktion hat Vorrang
* Für produktive Umgebungen sollte die Konfiguration in <code>/etc/dnsmasq.d/</code> erfolgen
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay
* Die Server-Adresse muss eine IP sein, keine Domain
* Mehrere Relay-Ziele können durch mehrfache <code>dhcp-relay</code>-Direktiven definiert werden

= Troubleshooting =

== DHCP-Relay funktioniert nicht ==

Routing prüfen:
* ip route

Firewall-Regeln prüfen:
* sudo iptables -L -v -n | grep 67
* sudo iptables -L -v -n | grep 68

DHCP-Traffic auf dem Router mitschneiden:
* sudo tcpdump -i enp0s8 -n port 67 or port 68

== dnsmasq startet nicht ==

Konfiguration auf Syntaxfehler prüfen:
* sudo dnsmasq --test

Prüfen ob Port 53 oder 67 bereits belegt:
* sudo ss -lnup | grep -E ':(53|67)'

= Empfehlung =

'''Für eine moderne, zukunftssichere Infrastruktur:'''

* '''Kea DHCP Server''' zentral auf einem dedizierten Server
* '''dnsmasq als DHCP-Relay''' auf den Routern/Firewalls
* Vorteil: dnsmasq wird aktiv gepflegt und ist in allen modernen Linux-Distributionen verfügbar
* ISC DHCP Relay sollte nicht mehr verwendet werden (EOL)

Linux - Netzwerk und Serveradministration - Skript

2025-12-04T14:38:03Z

Robin.will: /* ISC DHCP Umsetzung */

= Lehrgangsziele =
* Planung, Dokumentation und Aufbau einer IT-Infrastruktur mit Linux Servern
* Kennenlernen von Netzwerkdebugging-Verfahren und -Tools
* Remotemanagement mit SSH
* Automatische Netzwerkkonfiguration mit DHCP
* Konfiguration von Netzwerkdiensten: DNS, LDAP, SMB, NTP, SFTP
* Einrichten einer einfachen Firewall

= Netzwerkpläne =
* Das Schulungsnetzwerk wird also Pseudo-Internet verwendet, d.h. wir behandeln das Netzwerk 192.168.''HS''.0/24 wie ein öffentliches.
* Darin baut jeder sein eigenes LAN-, DMZ-, und Server-Netzwerk auf.
* Am Ende sollen die individuellen Netzwerke miteinander kommunizieren dürfen.

== physisch ==
{{#drawio:5102-physisch}}
== logisch ==
{{#drawio:5102-logisch}}

= Servervorlage =
* Für VMs als Server empfiehlt es sich eine Vorlage zu erstellen, die schon minimal konfiguriert ist
* Der Nutzer ''root'' soll das Passwort ''radler'' haben
* Ein Benutzer ''kit'' mit dem Passwort ''kit'' soll angelegt werden
* die Vorlage soll '''keine''' graphische Oberfläche haben (Bei der Installation abwählen)
* Ein [[:Kategorie:SSH|SSH]]-Server soll aber für die Remoteverwaltung installiert werden
==Umsetzung==
* [[Debian Template]]
* [[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Firewall =
{{#drawio:5102-firewall-01}}
* Die Firewall wird ist zugleich der Router in das Übungsnetzwerk
* Hardwareanpassungen:
** 4 GB RAM
** 4 CPUs
** 4 Netzwerkkarten
* Für den Anfang müssen wir das [[Debian Netzwerkkonfiguration|Netzwerk konfigurieren]]

= Fernzugriff per [[:Kategorie:SSH|SSH]] =
* Jeder Host soll über das [[SSH-Protokoll]] administrierbar sein
* hinterlegen Sie den öffentlichen Schlüssel für die Nutzer ''kit'' und ''root'' auf der Firewall
* Der SSH-Server sollte nach Sicherstellung des Zugriffs über autorisierte SSH-Schlüssel keine Passwort-Authentifizierung mehr zulassen: [[SSH-Server Hardening]]
* Am Ende sollte jeder Host über '''ssh ''user''@''ip.oder.host.name'' ''' erreichbar sein

= Client Konfiguration =
* [[Client Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Routing und Masquerading =
{{#drawio:5102-masquerade}}
* Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umgeschrieben werden
* Dazu müssen Firewall-Regeln unter [[iptables]] oder [[nftables Masquerade|nftables]] erstellt werden
==Firewall Umsetzung==
*[[Firewall-Nat-Linux - Netzwerk und Serveradministration]]
*[[Firewall-NAT-Linux-nftables - Netzwerk und Serveradminsitration]]
*[[Firewall-ssh-key Dozent - Netzwerk und Serveradministration]]
*[[Firewall skript autostart]]

= eigener DNS Server =
{{#drawio:5102-dns}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsol
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''ns''
* SSH-Server anpassen
* SSH-Schlüssel des Kit Hosts für User ''kit'' hinterlegen
===Daten===
*NET: DMZ
*IP 10.88.1XX.21/24
*GW 10.88.1XX.1
*NS 192.168.6.88 Vorläufig
*NA ns.it1XX.int
*Zu installieren apt install bind9 - Es könnte nun auch named
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration DNS]]

== interne Namensauflösung ==
* Durch das [[DNS|Domain Name System]] können wir Namen an IP-Adressen zuweisen und diese auflösen
* Diese sollten einfacher zu merken sein, als IPv4- oder IPv6-Adressen
* Jedes Labor soll eine eigene Domäne mit dem Schema '''netz''xx''.lab''' verwalten
* Erstellen Sie hierzu auch die jeweilige Reverse-Lookup-Zone '''0.''xx''.10.in-addr.arpa'''
* Der DHCP-Server muss auch angepasst werden, damit Clients den internen DNS-Server bekommen
* Für die Kommunikation zwischen den DNS-Servern müssen entweder die entsprechenden [[ip route|Routen]] gesetzt werden oder über [[DNAT|Firewall-Regeln]] Portforwarding aktiviert werden
==DNS Umsetzung==
*[[DNS Linux - Netzwerk und Serveradministration - Skript]]

==DNS Aufgabe Reverse Lookup Zone LAN & SERVERS==
*[[DNS Linux - Netzwerk und Serveradministration - Reverse Aufgabe]]

=Pseudo Top-Level-Domain=
{{#drawio:Pseudo Top-Level-Domain}}

= Pseudo-Top-Level Domäne =
* Um die Domänen der anderen Labore aufzulösen ist ein Forwarder nötig
* Dieser zeigt auf den entsprechenden DNS-Server der Domäne, sodass die Zonen nur einmal definiert werden müssen

= [[:Kategorie:DHCP|DHCP]] - Automatische Netzwerkkonfiguration =
{{#drawio:5102-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''LAN''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''dhcp''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: LAN
*IP 172.16.1XX.2/24
*GW 172.16.1XX.1
*NS 10.88.1XX.21
*NA dhcp.it1XX.int
*Zu installieren apt install isc-dhcp-server
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== automatische Netzwerkkonfiguration ==
* Damit wir nicht das Netzwerk bei jedem Rechner manuell konfigurieren müssen setzen wir einen [[DHCP Grundlagen|DHCP]] Server auf.
* Dieser beantwortet Anfragen von Clients in seiner Broadcast-Domäne.
* Der DHCP-Server soll IP-Adressen im Bereich 172.16.''xx''.50 bis .100 vergeben
* Als Nameserver nehmen wir unseren eigenen 10.88.1XX.2
* Und wir nehmen die eigene Search Domain it1XX.int
* Für die Konfigration kann [[ISC DHCP|diese Seite]] befolgt werden
* Beobachten Sie den Verkehr mit [[Wireshark]] oder [[tcpdump]] auf UDP Port 67 mit und fahren Sie ''kali'' hoch

==ISC DHCP Umsetzung==
*[[ISC DHCP]]
*[[KEA DHCP - Netzwerk und Servreadministration]]

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

==Client==
*Erstellt einen Client aus der Vorlage
*Hängt ins LAN Netz
*Gebt ihm den Namen client.it1XX.int
*hostnamectl set-hostname client.it1XX.int
*In der /etc/hosts den Namen von debian-template in client ändern
*Und rebootet ihn noch mal

= DHCP-Relay-Server =
{{#drawio:5102-dhcp-relay-01}}
* Der DHCP-Server beantwortet nur Anfragen innerhalb seiner Broadcast-Domäne
* Damit die DHCP-Konfiguration zentral gehalten werden kann, können andere DHCP-Server als Relay für einen Master-DHCP-Server dienen
* In unserem Fall soll die Firewall die DHCP-Konfiguration an die DMZ- und Server-Netze weitergeben
* Von nun an können neue Server in diesen Netzwerken automatisch über die DHCP-IP erreicht werden
=DHCP-Relay-Server Umsetzung=
*[[DHCP-Relay-Server]]
*[[KEA DHCP-Relay-Server - Netzwerk und Serveradministration]]

= [[Samba|SMB]] Server =
{{#drawio:5102-smb-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''smb''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: Server
*IP 10.1XX.1.2/24
*GW 10.1XX.1.1
*NS 10.88.1XX.2
*NA smb.it1XX.int
*Zu installieren apt install samba smbclient
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== Netzwerkfreigaben einrichten ==
* Legen Sie eine Sicherheitskopie der Originalkonfigurationsdatei an
* '''cp -v ''/etc/samba/smb.conf''{,.orig}'''
* Diese ist wohl kommentiert und kann als Hilfe/Dokumentation dienen
* Erstellen Sie folgende Arten von Shares:
** [[Samba Public Share|öffentlich]] unter ''/srv/samba/pub'' namens '''public'''
** Ein Share namens '''share''' zugreifbar für ''kit'' unter ''/srv/samba/kit'': [[smb.conf.minimal]]
** die Heimatverzeichnisse der regulären Nutzer des SMB-Servers sollen zugreifbar sein nach einer Authentifizierung: [[smb.conf.home]]
** Ein Share namens '''admins''' zugreifbar für die Benutzer in der Gruppe ''sudo'' unter: ''/srv/samba/admin''
* Testen Sie den Zugriff auf die Shares mit einem Client aus dem LAN:
* '''apt install nemo'''
* Das Programm kann über SSH Forwarding auf dem KIT Host geöffnet werden
* '''ssh -Y ''ip.oder.hostname.client'' "dbus-run-session nemo"'''
* Schneiden Sie den Austausch mit Wireshark auf TCP Port 445 mit

= SFTP Server =
{{#drawio:5102-sftp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.3/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA sftp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== sichere Datenübertragung ==
* SFTP benutzt das SSH-Protokoll, um die Daten zu verschlüsseln
* Daher muss nur die [[SFTP-Server|Konfiguration des SSH-Servers]] angepasst werden
* andere FTP-Arten sollten nicht mehr benutzt werden (FTP, TFTP, ...)
* Ein SFTP-Zugang für einen Gast-User soll unter ''/srv/sftp/gast'' angelegt werden
*[[ssh jump-host]]
==SFTP Umsetzung==
*[[SFTP-Server|Konfiguration des SSH-Servers]]

= [[:Kategorie:LDAP|LDAP]] Server =
{{#drawio:5102-ldap-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: Server
*IP 10.1XX.1.3/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA ldap.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== zentrale Benutzerverwaltung ==
* Benutzer sollen sich überall mit ihren eigenen Konto anmelden können ohne, dass dieses Konto jedes mal neu angelegt werden muss
* Linux kann für die Benutzerauthentifizierung verschiedene Quellen verwenden
* Neben der lokalen Datei ''/etc/passwd'' soll zusätzlich eine [[:Kategorie:LDAP|LDAP]]-Datenbank für zusätzliche Benutzerkonten befragt werden
*Konfiguration [[Openldap-linux-pam-nss]]
* Die Einträge zu bestimmten Systemkategorien können mit dem Befehl '''getent''' abgefragt werden
* '''getent passwd''' ''# sollte lokale und LDAP-Konten anzeigen''
*LDAP Server Verwaltung über [[ldapscripts]]
* Der LDAP-Server der Domäne soll automatisch über [[LDAP SRV Record|SRV-Einträge]] auf dem DNS Server gefunden werden können
* Alle Hosts aus dem VirtualBox-Labor sollen an den LDAP-Server gebunden werden
*[[LDAP Client SSSD - Netzwerk und Serveradministration]]

= [[Squid_from_the_scratch|Squid]] =
{{#drawio:5102-squid-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.5/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA squid.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

==Squid==
* Um Bandbreite zu sparen kann ein Caching Proxy wie Squid benutzt werden, um die Antworten von Webanfrangen zu speichern
* Zusätzlich können durch ACLs Webzugriffe kontrollieren
* Der Proxy soll auf der Firewall laufen, da dort die nötigen Hardwareressourcen sind
*[[Squid Aufgabe]]
*[[Squid Aufgabe2]]
==Proxy PAC über DHCP==
*[[KEA Proxy PAC - Netzkwerk und Serveradministration]]

= [[:Kategorie:NTP|NTP]] Server =
{{#drawio:5102-ntp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.4/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA ntp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

installieren ntp
*sudo apt install ntpsec

===NTP mit DHCP verteilen===
*[[KEA DHCP NTP-Konfiguration - Netzwerk und Serveradministration]]

=NGINX=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.10/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install nginx

==Webserver==
*[[Nginx]]
*[[Nginx https]]
*[[phpldapadmin nginx]]

=Exkrus HA Proxy=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten HAProxy===
*NET: DMZ
*IP 10.88.1XX.25/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install haproxy

===Daten Webserver===
*NET: DMZ
*IP 10.88.1XX.15/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA web2.it1XX.int

==Webserver==
*[[HAProxy]]
*[[HAProxy Umsetzung Linux - Netzwerk Serveradministration]]

=Exkrus checkmk=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Servers''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten checkmk===
*NET: Servers
*IP 10.1XX.1.25/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA checkmk.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]
=== Docker ===
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration Docker]]

= Grundlegendes Firewall-Konzept =
* Dienste sollen erreichbar bleiben
* ungenutzte Ports sollen blockiert werden
* etablierte Verbindungen sollen über [[Connection Tracking]] freigeschaltet werden

=Linux - Netzwerk und Serveradministration=
*[[Linux - Netzwerk und Serveradministration Probleme]]

KEA DHCP-Relay-Server - Netzwerk und Serveradministration

2025-12-04T14:24:19Z

Robin.will: /* Netze einfügen auf dem Kea DHCP Server */

[[Kategorie:DHCP]]

= Was ist ein DHCP-Relay? =

* DHCP-Relay ist eine Funktion, um DHCP über Netzgrenzen (Broadcastdomäne) hinaus nutzen zu können.
* Damit wird die Notwendigkeit der Bereitstellung eines DHCP-Servers in jedem Subnetz, in dem sich DHCP-Clients befinden, vermieden.
* Die DHCP-Relay-Funktion wird meist durch den Router selbst erbracht.
* Dabei werden Client-seitig mittels Broadcast verschickte DHCP-Anfragen durch den DHCP-Relay empfangen und mittels Unicast einem oder mehreren DHCP-Servern zugestellt.
* Der DHCP-Relay-Agent wird funktional auf der Schnittstelle des Routers platziert.

= Wichtiger Hinweis zu ISC DHCP =

* '''ISC DHCP ist End-of-Life (EOL) seit Ende 2022'''
* Kea DHCP bietet selbst keinen Relay-Agent
* '''Empfohlene moderne Alternative: dnsmasq als DHCP-Relay'''
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay

= Vorarbeiten =

* Der Kea DHCP Server muss die Netze hinter dem Router bedienen

= Netze einfügen auf dem Kea DHCP Server =

* sudo vim /etc/kea/kea-dhcp4.conf

* Mehrere Subnetze werden im '''subnet4'''-Array definiert:

<syntaxhighlight lang="json">
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s3" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 600,
"max-valid-lifetime": 7200,

"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, example.com"
}
],

"subnet4": [
{
"subnet": "10.88.1XX.0/24",
"pools": [
{
"pool": "10.88.1XX.50 - 10.88.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.88.1XX.1"
}
]
},
{
"subnet": "10.1XX.1.0/24",
"pools": [
{
"pool": "10.1XX.1.50 - 10.1XX.1.100"
}
],
"option-data": [
{
"name": "routers",
"data": "10.1XX.1.1"
}
]
}
],
"loggers": [
{
"name": "kea-dhcp4",
"output_options": [
{
"output": "/var/log/kea/kea-dhcp4.log"
}
],
"severity": "INFO"
}
]
}
}
</syntaxhighlight>

Konfiguration testen und Dienst neu starten:
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf
* sudo systemctl restart kea-dhcp4-server

= Installation auf dem Router (Firewall) =

* apt install dnsmasq

'''Hinweis:''' dnsmasq ist ein leichtgewichtiger DNS- und DHCP-Server, der auch DHCP-Relay-Funktionalität bietet und als moderne Alternative zum EOL ISC DHCP Relay dient.

= Konfiguration von dnsmasq als DHCP-Relay =

; DHCP-Relay konfigurieren

* sudo vim /etc/dnsmasq.conf

<pre>
# DHCP Server deaktivieren (nur Relay nutzen)
no-dhcp-interface=

# DHCP-Relay konfigurieren
# Syntax: dhcp-relay=<lokale Adresse>,<Server Adresse>[,<Interface>]

# Relay für enp0s8
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8

# Relay für enp0s9
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

# Optional: weitere Interfaces
# dhcp-relay=<lokale IP>,172.16.1XX.2,enp0s10

# Logging aktivieren (optional)
log-dhcp
log-queries
</pre>

== Erklärung der Parameter ==

* '''Lokale Adresse''': IP-Adresse des Interfaces auf dem Router, auf dem DHCP-Anfragen empfangen werden
* '''Server Adresse''': IP-Adresse des Kea DHCP Servers (muss eine IP-Adresse sein, kein Hostname)
* '''Interface''': (Optional) Interface-Name zur zusätzlichen Sicherheit - akzeptiert nur Antworten auf diesem Interface

== Alternative: Minimale Konfiguration ==

Falls dnsmasq bereits läuft und nur Relay-Funktionalität hinzugefügt werden soll:

* sudo vim /etc/dnsmasq.d/dhcp-relay.conf

<pre>
# DNS-Funktionalität deaktivieren falls nicht benötigt
port=0

# DHCP-Relay
dhcp-relay=10.88.1XX.1,172.16.1XX.2,enp0s8
dhcp-relay=10.1XX.1.1,172.16.1XX.2,enp0s9

log-dhcp
</pre>

= Start =

Konfiguration testen
* sudo dnsmasq --test

Dienst starten
* sudo systemctl restart dnsmasq
* sudo systemctl enable dnsmasq

= Check =

* sudo systemctl status dnsmasq

<pre>
● dnsmasq.service - dnsmasq - A lightweight DHCP and caching DNS server
Loaded: loaded (/lib/systemd/system/dnsmasq.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2025-10-20 14:30:15 CET; 2min ago
Main PID: 1234 (dnsmasq)
Tasks: 1 (limit: 2337)
Memory: 2.5M
CPU: 15ms
CGroup: /system.slice/dnsmasq.service
└─1234 /usr/sbin/dnsmasq -x /run/dnsmasq/dnsmasq.pid -u dnsmasq -7 /etc/dnsmasq.d,.dpkg-dist,.dpkg-old,.dpkg-new --local-service

Oct 20 14:30:15 firewall systemd[1]: Starting dnsmasq - A lightweight DHCP and caching DNS server...
Oct 20 14:30:15 firewall dnsmasq[1234]: started, version 2.89 cachesize 150
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.88.1XX.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall dnsmasq[1234]: DHCP relay from 10.1XX.1.1 to 172.16.1XX.2
Oct 20 14:30:15 firewall systemd[1]: Started dnsmasq - A lightweight DHCP and caching DNS server.
</pre>

* Port-Check
* ss -lnup | grep 67

<pre>
UNCONN 0 0 0.0.0.0:67 0.0.0.0:* users:(("dnsmasq",pid=1234,fd=5))
</pre>

= Logs =

Live-Logs anzeigen
* journalctl -fn100 -u dnsmasq

Oder direkt im syslog
* tail -f /var/log/syslog | grep dnsmasq

= Wichtige Hinweise =

* '''dnsmasq kann nicht gleichzeitig als DHCP-Server und DHCP-Relay auf demselben Interface arbeiten''' - die Relay-Funktion hat Vorrang
* Für produktive Umgebungen sollte die Konfiguration in <code>/etc/dnsmasq.d/</code> erfolgen
* dnsmasq unterstützt sowohl DHCPv4 als auch DHCPv6 Relay
* Die Server-Adresse muss eine IP sein, keine Domain
* Mehrere Relay-Ziele können durch mehrfache <code>dhcp-relay</code>-Direktiven definiert werden

= Troubleshooting =

== DHCP-Relay funktioniert nicht ==

Routing prüfen:
* ip route

Firewall-Regeln prüfen:
* sudo iptables -L -v -n | grep 67
* sudo iptables -L -v -n | grep 68

DHCP-Traffic auf dem Router mitschneiden:
* sudo tcpdump -i enp0s8 -n port 67 or port 68

== dnsmasq startet nicht ==

Konfiguration auf Syntaxfehler prüfen:
* sudo dnsmasq --test

Prüfen ob Port 53 oder 67 bereits belegt:
* sudo ss -lnup | grep -E ':(53|67)'

= Empfehlung =

'''Für eine moderne, zukunftssichere Infrastruktur:'''

* '''Kea DHCP Server''' zentral auf einem dedizierten Server
* '''dnsmasq als DHCP-Relay''' auf den Routern/Firewalls
* Vorteil: dnsmasq wird aktiv gepflegt und ist in allen modernen Linux-Distributionen verfügbar
* ISC DHCP Relay sollte nicht mehr verwendet werden (EOL)

KEA DHCP - Netzwerk und Serveradministration

2025-12-04T13:26:31Z

Robin.will: /* Konfiguration der zu vergebenden Netzwerkparameter */

== Einrichten eines DHCP-Servers auf Debian mit Kea ==

=== Installation ===

* sudo apt install kea-dhcp4-server

=== Konfiguration der zu vergebenden Netzwerkparameter ===

Die Hauptkonfigurationsdatei von Kea ist im JSON-Format
* sudo vim /etc/kea/kea-dhcp4.conf

<syntaxhighlight lang="json">
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s3" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 600,
"max-valid-lifetime": 7200,

"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, example.com"
}
],

"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"pools": [
{
"pool": "172.16.1XX.50 - 172.16.1XX.100"
}
],
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
}
],
"reservations": [
{
"hw-address": "aa:bb:cc:dd:ee:ff",
"ip-address": "172.16.1XX.10",
"hostname": "server1"
},
{
"hw-address": "11:22:33:44:55:66",
"ip-address": "172.16.1XX.11",
"hostname": "server2"
}
]
}
],
"loggers": [
{
"name": "kea-dhcp4",
"output_options": [
{
"output": "/var/log/kea/kea-dhcp4.log"
}
],
"severity": "INFO"
}
]
}
}
</syntaxhighlight>

=== Dienst starten und überprüfen ===

Konfiguration testen
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

Dienst mit der neuen Konfiguration starten und überprüfen
* sudo systemctl restart kea-dhcp4-server
* sudo systemctl status kea-dhcp4-server

Dienst beim Systemstart automatisch aktivieren
* sudo systemctl enable kea-dhcp4-server

=== Kontrolle ob der Port geöffnet ist ===

* ss -lnup

<pre>
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
UNCONN 0 0 0.0.0.0:67 0.0.0.0:* users:(("kea-dhcp4",pid=XXXX,fd=X))
</pre>

=== Logs ===

==== Ab Debian 12 ====

Die letzten 100 Zeilen und neue Nachrichten anschauen
* journalctl -fn100 -u kea-dhcp4-server

Alternativ die Kea-spezifische Logdatei verwenden
* tail -f /var/log/kea/kea-dhcp4.log

=== Lease-Verwaltung ===

Aktive Leases anzeigen
* sudo cat /var/lib/kea/dhcp4.leases

Oder mit dem Kea Shell Tool (falls installiert)
* sudo apt install kea-ctrl-agent

=== Statische IP-Adressen (Reservierungen) ===

Statische IP-Adressen werden in Kea als "reservations" innerhalb des Subnets definiert. Diese befinden sich bereits in der Hauptkonfiguration (siehe oben).

==== Beispiel für Reservierungen ====

<syntaxhighlight lang="json">
"reservations": [
{
"hw-address": "aa:bb:cc:dd:ee:ff",
"ip-address": "172.16.1XX.10",
"hostname": "server1"
},
{
"hw-address": "11:22:33:44:55:66",
"ip-address": "172.16.1XX.11",
"hostname": "server2"
}
]
</syntaxhighlight>

==== MAC-Adresse eines Geräts herausfinden ====

* ip link show
* oder für eine spezifische Schnittstelle:
* ip link show enp0s3

==== Hinweise zu Reservierungen ====

Die reservierten IP-Adressen sollten '''außerhalb''' des dynamischen Pools liegen
Nach Änderungen an den Reservierungen muss der Dienst neu gestartet werden
* sudo systemctl restart kea-dhcp4-server
Alternativ können Reservierungen auch in einer separaten Datei gespeichert werden (siehe erweiterte Konfiguration)

=== DHCP Anfragen über die Kommandozeile ===

* apt install isc-dhcp-client
Bei den folgenden Befehlen kann man auch eine spezifische Netzwerkkarte angeben

==== Neue IP-Adresse anfragen ====

* sudo dhclient enp0s3

==== Lease der IP-Adresse freigeben ====

* sudo dhclient -r enp0s3

=== Wichtige Unterschiede zu ISC DHCP ===

Kea verwendet JSON-Konfiguration statt ISC-Format
Die Lease-Datenbank kann in verschiedenen Backends gespeichert werden (memfile, MySQL, PostgreSQL)
Kea bietet eine REST-API zur Verwaltung (über kea-ctrl-agent)
Modernere Architektur mit besserer Performance bei vielen Clients

=== Konfigurationsprüfung ===

Vor jedem Neustart empfiehlt es sich, die Syntax zu prüfen
* sudo kea-dhcp4 -t /etc/kea/kea-dhcp4.conf

=== Globale vs. Subnet-spezifische Optionen ===

==== Hierarchie der Optionen ====

Kea unterstützt verschiedene Ebenen für DHCP-Optionen:

'''Globale Ebene''' - gelten für alle Subnetze (im Hauptbereich "Dhcp4")

'''Subnet-Ebene''' - gelten nur für ein bestimmtes Subnet

'''Pool-Ebene''' - gelten nur für einen bestimmten Pool

'''Host-Reservierung-Ebene''' - gelten nur für einen bestimmten Host

Spezifischere Optionen überschreiben allgemeinere Optionen.

==== Beispiel: Globale Optionen ====

<syntaxhighlight lang="json">
{
"Dhcp4": {
"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21, 8.8.8.8"
},
{
"name": "domain-name",
"data": "it1XX.int"
},
{
"name": "domain-search",
"data": "it1XX.int, beispiel.de, firma.local"
}
],
"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
}
]
}
]
}
}
</syntaxhighlight>

==== Beispiel: Subnet überschreibt globale Option ====

<syntaxhighlight lang="json">
{
"Dhcp4": {
"option-data": [
{
"name": "domain-name-servers",
"data": "10.88.1XX.21"
}
],
"subnet4": [
{
"subnet": "172.16.1XX.0/24",
"option-data": [
{
"name": "routers",
"data": "172.16.1XX.1"
},
{
"name": "domain-name-servers",
"data": "172.16.1XX.53"
}
]
}
]
}
}
</syntaxhighlight>

In diesem Beispiel verwendet das Subnet 172.16.1XX.0/24 den DNS-Server 172.16.1XX.53 statt des globalen 10.88.1XX.21.

Firewall skript autostart

2025-12-03T12:32:03Z

Robin.will: /* Schritt 2 */

=Schritt 1=
*Service Datei erstellen
sudo nano /etc/systemd/system/iptables-skript.service
=Schritt 2=
*Folgenden Inhalt einfügen
<pre>
[Unit]
Description=Custom iptables firewall script
After=network.target

[Service]
Type=oneshot
ExecStart=/usr/local/sbin/nat.sh
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
Service aktivieren & starten
</pre>

=Schritt 3 =
*Dienst aktivieren und neustarten
sudo systemctl daemon-reload
sudo systemctl enable iptables-skript.service
sudo systemctl start iptables-skript.service

Firewall skript autostart

2025-12-03T12:29:57Z

Robin.will: /* Schritt 2 */

=Schritt 1=
*Service Datei erstellen
sudo nano /etc/systemd/system/iptables-skript.service
=Schritt 2=
*Folgenden Inhalt einfügen
<pre>
[Unit]
Description=Custom iptables firewall script
After=network.target

[Service]
Type=oneshot
ExecStart=/path/nat.sh
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
Service aktivieren & starten
</pre>

=Schritt 3 =
*Dienst aktivieren und neustarten
sudo systemctl daemon-reload
sudo systemctl enable iptables-skript.service
sudo systemctl start iptables-skript.service

Firewall skript autostart

2025-12-03T12:27:36Z

Robin.will: Die Seite wurde neu angelegt: „=Schritt 1= *Service Datei erstellen sudo nano /etc/systemd/system/iptables-skript.service =Schritt 2= *Folgenden Inhalt einfügen <pre> [Unit] Description=Cu…“

=Schritt 1=
*Service Datei erstellen
sudo nano /etc/systemd/system/iptables-skript.service
=Schritt 2=
*Folgenden Inhalt einfügen
<pre>
[Unit]
Description=Custom iptables firewall script
After=network.target

[Service]
Type=oneshot
ExecStart=/path/dein_iptables.sh
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target
Service aktivieren & starten
</pre>
=Schritt 3 =
*Dienst aktivieren und neustarten
sudo systemctl daemon-reload
sudo systemctl enable iptables-skript.service
sudo systemctl start iptables-skript.service

Linux - Netzwerk und Serveradministration - Skript

2025-12-03T12:25:34Z

Robin.will: /* Firewall Umsetzung */

= Lehrgangsziele =
* Planung, Dokumentation und Aufbau einer IT-Infrastruktur mit Linux Servern
* Kennenlernen von Netzwerkdebugging-Verfahren und -Tools
* Remotemanagement mit SSH
* Automatische Netzwerkkonfiguration mit DHCP
* Konfiguration von Netzwerkdiensten: DNS, LDAP, SMB, NTP, SFTP
* Einrichten einer einfachen Firewall

= Netzwerkpläne =
* Das Schulungsnetzwerk wird also Pseudo-Internet verwendet, d.h. wir behandeln das Netzwerk 192.168.''HS''.0/24 wie ein öffentliches.
* Darin baut jeder sein eigenes LAN-, DMZ-, und Server-Netzwerk auf.
* Am Ende sollen die individuellen Netzwerke miteinander kommunizieren dürfen.

== physisch ==
{{#drawio:5102-physisch}}
== logisch ==
{{#drawio:5102-logisch}}

= Servervorlage =
* Für VMs als Server empfiehlt es sich eine Vorlage zu erstellen, die schon minimal konfiguriert ist
* Der Nutzer ''root'' soll das Passwort ''radler'' haben
* Ein Benutzer ''kit'' mit dem Passwort ''kit'' soll angelegt werden
* die Vorlage soll '''keine''' graphische Oberfläche haben (Bei der Installation abwählen)
* Ein [[:Kategorie:SSH|SSH]]-Server soll aber für die Remoteverwaltung installiert werden
==Umsetzung==
* [[Debian Template]]
* [[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Firewall =
{{#drawio:5102-firewall-01}}
* Die Firewall wird ist zugleich der Router in das Übungsnetzwerk
* Hardwareanpassungen:
** 4 GB RAM
** 4 CPUs
** 4 Netzwerkkarten
* Für den Anfang müssen wir das [[Debian Netzwerkkonfiguration|Netzwerk konfigurieren]]

= Fernzugriff per [[:Kategorie:SSH|SSH]] =
* Jeder Host soll über das [[SSH-Protokoll]] administrierbar sein
* hinterlegen Sie den öffentlichen Schlüssel für die Nutzer ''kit'' und ''root'' auf der Firewall
* Der SSH-Server sollte nach Sicherstellung des Zugriffs über autorisierte SSH-Schlüssel keine Passwort-Authentifizierung mehr zulassen: [[SSH-Server Hardening]]
* Am Ende sollte jeder Host über '''ssh ''user''@''ip.oder.host.name'' ''' erreichbar sein

= Client Konfiguration =
* [[Client Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

= Routing und Masquerading =
{{#drawio:5102-masquerade}}
* Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umgeschrieben werden
* Dazu müssen Firewall-Regeln unter [[iptables]] oder [[nftables Masquerade|nftables]] erstellt werden
==Firewall Umsetzung==
*[[Firewall-Nat-Linux - Netzwerk und Serveradministration]]
*[[Firewall-NAT-Linux-nftables - Netzwerk und Serveradminsitration]]
*[[Firewall-ssh-key Dozent - Netzwerk und Serveradministration]]
*[[Firewall skript autostart]]

= eigener DNS Server =
{{#drawio:5102-dns}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsol
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''ns''
* SSH-Server anpassen
* SSH-Schlüssel des Kit Hosts für User ''kit'' hinterlegen
===Daten===
*NET: DMZ
*IP 10.88.1XX.21/24
*GW 10.88.1XX.1
*NS 192.168.6.88 Vorläufig
*NA ns.it1XX.int
*Zu installieren apt install bind9 - Es könnte nun auch named
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration DNS]]

== interne Namensauflösung ==
* Durch das [[DNS|Domain Name System]] können wir Namen an IP-Adressen zuweisen und diese auflösen
* Diese sollten einfacher zu merken sein, als IPv4- oder IPv6-Adressen
* Jedes Labor soll eine eigene Domäne mit dem Schema '''netz''xx''.lab''' verwalten
* Erstellen Sie hierzu auch die jeweilige Reverse-Lookup-Zone '''0.''xx''.10.in-addr.arpa'''
* Der DHCP-Server muss auch angepasst werden, damit Clients den internen DNS-Server bekommen
* Für die Kommunikation zwischen den DNS-Servern müssen entweder die entsprechenden [[ip route|Routen]] gesetzt werden oder über [[DNAT|Firewall-Regeln]] Portforwarding aktiviert werden
==DNS Umsetzung==
*[[DNS Linux - Netzwerk und Serveradministration - Skript]]

==DNS Aufgabe Reverse Lookup Zone LAN & SERVERS==
*[[DNS Linux - Netzwerk und Serveradministration - Reverse Aufgabe]]

=Pseudo Top-Level-Domain=
{{#drawio:Pseudo Top-Level-Domain}}

= Pseudo-Top-Level Domäne =
* Um die Domänen der anderen Labore aufzulösen ist ein Forwarder nötig
* Dieser zeigt auf den entsprechenden DNS-Server der Domäne, sodass die Zonen nur einmal definiert werden müssen

= [[:Kategorie:DHCP|DHCP]] - Automatische Netzwerkkonfiguration =
{{#drawio:5102-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''LAN''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''dhcp''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: LAN
*IP 172.16.1XX.2/24
*GW 172.16.1XX.1
*NS 10.88.1XX.21
*NA dhcp.it1XX.int
*Zu installieren apt install isc-dhcp-server
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== automatische Netzwerkkonfiguration ==
* Damit wir nicht das Netzwerk bei jedem Rechner manuell konfigurieren müssen setzen wir einen [[DHCP Grundlagen|DHCP]] Server auf.
* Dieser beantwortet Anfragen von Clients in seiner Broadcast-Domäne.
* Der DHCP-Server soll IP-Adressen im Bereich 172.16.''xx''.50 bis .100 vergeben
* Als Nameserver nehmen wir unseren eigenen 10.88.1XX.2
* Und wir nehmen die eigene Search Domain it1XX.int
* Für die Konfigration kann [[ISC DHCP|diese Seite]] befolgt werden
* Beobachten Sie den Verkehr mit [[Wireshark]] oder [[tcpdump]] auf UDP Port 67 mit und fahren Sie ''kali'' hoch

==ISC DHCP Umsetzung==
*[[ISC DHCP]]
*[[KEA DHCP - Netzwerk und Servreadministration]]

==Client==
*Erstellt einen Client aus der Vorlage
*Hängt ins LAN Netz
*Gebt ihm den Namen client.it1XX.int
*hostnamectl set-hostname client.it1XX.int
*In der /etc/hosts den Namen von debian-template in client ändern
*Und rebootet ihn noch mal

= DHCP-Relay-Server =
{{#drawio:5102-dhcp-relay-01}}
* Der DHCP-Server beantwortet nur Anfragen innerhalb seiner Broadcast-Domäne
* Damit die DHCP-Konfiguration zentral gehalten werden kann, können andere DHCP-Server als Relay für einen Master-DHCP-Server dienen
* In unserem Fall soll die Firewall die DHCP-Konfiguration an die DMZ- und Server-Netze weitergeben
* Von nun an können neue Server in diesen Netzwerken automatisch über die DHCP-IP erreicht werden
=DHCP-Relay-Server Umsetzung=
*[[DHCP-Relay-Server]]
*[[KEA DHCP-Relay-Server - Netzwerk und Serveradministration]]

= [[Samba|SMB]] Server =
{{#drawio:5102-smb-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* statische IP-Adresse nach dem Netzwerkplan setzen (''/etc/network/interfaces'')
* Hostname ändern zu ''smb''
* SSH-Zugriff kann durch Benutzung der Firewall als Jump-Host ermöglicht werden
===Daten===
*NET: Server
*IP 10.1XX.1.2/24
*GW 10.1XX.1.1
*NS 10.88.1XX.2
*NA smb.it1XX.int
*Zu installieren apt install samba smbclient
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== Netzwerkfreigaben einrichten ==
* Legen Sie eine Sicherheitskopie der Originalkonfigurationsdatei an
* '''cp -v ''/etc/samba/smb.conf''{,.orig}'''
* Diese ist wohl kommentiert und kann als Hilfe/Dokumentation dienen
* Erstellen Sie folgende Arten von Shares:
** [[Samba Public Share|öffentlich]] unter ''/srv/samba/pub'' namens '''public'''
** Ein Share namens '''share''' zugreifbar für ''kit'' unter ''/srv/samba/kit'': [[smb.conf.minimal]]
** die Heimatverzeichnisse der regulären Nutzer des SMB-Servers sollen zugreifbar sein nach einer Authentifizierung: [[smb.conf.home]]
** Ein Share namens '''admins''' zugreifbar für die Benutzer in der Gruppe ''sudo'' unter: ''/srv/samba/admin''
* Testen Sie den Zugriff auf die Shares mit einem Client aus dem LAN:
* '''apt install nemo'''
* Das Programm kann über SSH Forwarding auf dem KIT Host geöffnet werden
* '''ssh -Y ''ip.oder.hostname.client'' "dbus-run-session nemo"'''
* Schneiden Sie den Austausch mit Wireshark auf TCP Port 445 mit

= SFTP Server =
{{#drawio:5102-sftp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.3/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA sftp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== sichere Datenübertragung ==
* SFTP benutzt das SSH-Protokoll, um die Daten zu verschlüsseln
* Daher muss nur die [[SFTP-Server|Konfiguration des SSH-Servers]] angepasst werden
* andere FTP-Arten sollten nicht mehr benutzt werden (FTP, TFTP, ...)
* Ein SFTP-Zugang für einen Gast-User soll unter ''/srv/sftp/gast'' angelegt werden
*[[ssh jump-host]]
==SFTP Umsetzung==
*[[SFTP-Server|Konfiguration des SSH-Servers]]

= [[:Kategorie:LDAP|LDAP]] Server =
{{#drawio:5102-ldap-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Server''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: Server
*IP 10.1XX.1.3/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA ldap.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

== zentrale Benutzerverwaltung ==
* Benutzer sollen sich überall mit ihren eigenen Konto anmelden können ohne, dass dieses Konto jedes mal neu angelegt werden muss
* Linux kann für die Benutzerauthentifizierung verschiedene Quellen verwenden
* Neben der lokalen Datei ''/etc/passwd'' soll zusätzlich eine [[:Kategorie:LDAP|LDAP]]-Datenbank für zusätzliche Benutzerkonten befragt werden
*Konfiguration [[Openldap-linux-pam-nss]]
* Die Einträge zu bestimmten Systemkategorien können mit dem Befehl '''getent''' abgefragt werden
* '''getent passwd''' ''# sollte lokale und LDAP-Konten anzeigen''
*LDAP Server Verwaltung über [[ldapscripts]]
* Der LDAP-Server der Domäne soll automatisch über [[LDAP SRV Record|SRV-Einträge]] auf dem DNS Server gefunden werden können
* Alle Hosts aus dem VirtualBox-Labor sollen an den LDAP-Server gebunden werden
*[[LDAP Client SSSD - Netzwerk und Serveradministration]]

= [[Squid_from_the_scratch|Squid]] =
{{#drawio:5102-squid-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.5/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA squid.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

==Squid==
* Um Bandbreite zu sparen kann ein Caching Proxy wie Squid benutzt werden, um die Antworten von Webanfrangen zu speichern
* Zusätzlich können durch ACLs Webzugriffe kontrollieren
* Der Proxy soll auf der Firewall laufen, da dort die nötigen Hardwareressourcen sind
*[[Squid Aufgabe]]
*[[Squid Aufgabe2]]
==Proxy PAC über DHCP==
*[[KEA Proxy PAC - Netzkwerk und Serveradministration]]

= [[:Kategorie:NTP|NTP]] Server =
{{#drawio:5102-ntp-01}}

== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen

===Daten===
*NET: DMZ
*IP 10.88.1XX.4/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA ntp.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

installieren ntp
*sudo apt install ntpsec

===NTP mit DHCP verteilen===
*[[KEA DHCP NTP-Konfiguration - Netzwerk und Serveradministration]]

=NGINX=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten===
*NET: DMZ
*IP 10.88.1XX.10/24
*GW 10.88.1XX.1
*NS 10.88.1XX.21
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install nginx

==Webserver==
*[[Nginx]]
*[[Nginx https]]
*[[phpldapadmin nginx]]

=Exkrus HA Proxy=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''DMZ''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten HAProxy===
*NET: DMZ
*IP 10.88.1XX.25/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA www.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]

* sudo apt install haproxy

===Daten Webserver===
*NET: DMZ
*IP 10.88.1XX.15/24
*GW 10.88.1XX.1
*NS 10.88.1XX.2
*NA web2.it1XX.int

==Webserver==
*[[HAProxy]]
*[[HAProxy Umsetzung Linux - Netzwerk Serveradministration]]

=Exkrus checkmk=
== Vorbereitungen ==
* VirtualBox Server-Vorlage mit neuen MAC-Adressen klonen
* Der Host soll im ''Servers''-Netzwerk liegen
* IP-Adresse herausfinden über das DHCP-Log oder die Konsole
* statische IP-Adresse nach dem Netzwerkplan setzen
* Hostname ändern
* DNS-Eintrag vornehmen
* SSH-Server anpassen
===Daten checkmk===
*NET: Servers
*IP 10.1XX.1.25/24
*GW 10.1XX.1.1
*NS 10.88.1XX.21
*NA checkmk.it1XX.int

*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration]]
=== Docker ===
*[[Anpassen der Virtuellen Maschinen Netzwerk und Serveradministration Docker]]

= Grundlegendes Firewall-Konzept =
* Dienste sollen erreichbar bleiben
* ungenutzte Ports sollen blockiert werden
* etablierte Verbindungen sollen über [[Connection Tracking]] freigeschaltet werden

=Linux - Netzwerk und Serveradministration=
*[[Linux - Netzwerk und Serveradministration Probleme]]

Cyber-Risiken (Phishing, Ransomeware)

2025-11-25T08:22:55Z

Robin.will: /* Social Eneneering */

=Cyberbedrohungen=
*[[Cyberbedrohungen]]

=Physikalische Angriffe=
*[[Keylogger]]
*[[Bad USB Cable]]
*[[USB Sticks]]
*[[Das unbekannte Gerät in der Netzwerbuchse]]
*[[Evil twin attacks]]
=Weiteres=
*[[Exploits]]
*[[Backdoor allgemein]]
*[[Spoofing]]

=Hacks=
==Endanwender==
*[[Phishing Livehack]]
*[[Hardware Livehack]]
*[[Trojaner Livehack]]
*[[Passwort Livehack]]
*[[Der falschen Microsoft-Mitarbeiter Livehack]]
*[[Physikalischer Zutritt verschaffen]]
*[[Dumpster Diving]]
*[[Shoulder Surfing]]
==Techniker==
*[[Command-Injection]]
*[[Wlan Livehack]]
*[[Smartphone Livehack]]

=Social Engeneering=

=Phishing=
*[[Phishing]]
*[[Homographischer Angriff]]
=Weiteres=
*[[Ransomeware]]

Keylogger

2025-11-25T07:37:31Z

Robin.will: /* Fuktion */

=Grundsätzliches=
*Es gibt 2 Arten von Keyloggern
*Physikalische
*Software basierend
=Hardware Keylogger=
*Auf dem Bild sieht man einen KEY CROC von HAK5
[[Datei:Hw-keylogger.png|400px]]
=Funktion=
*Dieser Keyloger ist eigentlich ein kleiner Rechner.
*Er hat sogar ein WLAN Modul eingebaut.
*Ein Angreifer bringt sie dazu diesen zwischen Tastatur und USB Port zu stecken.
*Oder er macht dies selbst in einem in unbeobachten Moment.
*Er liest die Eingaben die sie Tätigen und schreibt sie in eine Datei.

=Gefährdung=
*Der Angreifer kann diesen Keylogger ein paar Tage am Rechner lassen.
*Er zieht ihn irgendwann ab und liest die Datei mit den Eingaben aus.
*Er kann dieses Gerät aber auch ins WLAN anbinden.
*Dies kann über das Firmenlan oder über ein Smartphone geschehen.
*Er ist dann in der Lage die Eingaben "live" mit zulesen.

MQTT Projekt III.

2025-11-24T10:27:08Z

Robin.will: /* Anpassen von node.js */

=Grundaufbau=
{{#drawio:mqtt-plan1}}
=Verschlüsselt mit Passwort=
Wir haben eine ca.crt der Auth und ein Certificate mqtt.dkbi.int.crt sowie ein PrivKey mqtt.dkbi.int.key
==mqtt==
;Benutzer anlegen
*user: xinux
*pass: 123Start$

*mosquitto_passwd -c /etc/mosquitto/passwd xinux

;Konfiguration kopieren
*cp /etc/mosquitto/conf.d/defaults.conf.verschlüsselt /etc/mosquitto/conf.d/defaults.conf
;Konfigurationsdatei
<pre>
# Öffnet den MQTT-Broker auf Port 8883 und bindet ihn an alle verfügbaren Netzwerkinterfaces.
listener 8883 0.0.0.0

# Erlaubt anonyme Verbindungen, d. h. ohne Benutzername und Passwort.
allow_anonymous false

# Aktiviert alle Log-Typen für eine detaillierte Protokollierung.
log_type all

# Zeigt Verbindungs- und Trennungsmeldungen von Clients im Log an.
connection_messages true

#Hier gegen wird authentifiziert.
password_file /etc/mosquitto/passwd

# Zertifikat
certfile /etc/mosquitto/conf.d/mqtt.lab.intern.crt

#PrivKey
keyfile /etc/mosquitto/conf.d/mqtt.lab.intern.key

#Zertifikat der CA
cafile /etc/mosquitto/conf.d/ca.crt
</pre>
;Restarten
*systemctl restart mosquitto.service
;Checken
*systemctl status mosquitto.service

==Aktor==
Der Aktor '''abonniert (subscribed)''' die Nachrichten und reagiert darauf.
*mosquitto_sub -h mqtt.lab.intern -p 8883 --cafile /usr/local/control/ca.crt -u xinux -P 123Start$ -t test

==Sensor==
Der Sensor '''sendet (published)''' die Nachrichten an das Topic.
*mosquitto_pub -h mqtt.lab.intern -p 8883 --cafile /usr/local/control-switch/ca.crt -u xinux -P 123Start$ -t test -m "Hello World"
*mosquitto_pub -h mqtt.lab.intern -p 8883 --cafile /usr/local/control-switch/ca.crt -u xinux -P 123Start$ -t test -m "2 Nachricht"

==kali==
Hier kann man auf Wireshark mitschneiden. Der Text ist Hexadezimal codiert.
;Schaut mal was man sieht.

=Anpassen von node.js=
;sensor
*cat /usr/local/control-switch/.env
MQTT_HOST=mqtt.lab.intern
MQTT_PORT=8883
MQTT_USER=xinux
MQTT_PASS=123Start$
MQTT_TLS=true
MQTT_CA=/usr/local/control-switch/ca.crt
*systemctl restart control-switch.service
*http://sensor:3000/
;aktor
*cat /usr/local/control/.env
MQTT_HOST=mqtt.lab.intern
MQTT_PORT=8883
MQTT_USER=xinux
MQTT_PASS=123Start$
MQTT_TLS=true
MQTT_CA=/usr/local/control/ca.crt
*systemctl restart control.service
*http://aktor:3000/

MQTT Projekt III.

2025-11-24T09:52:22Z

Robin.will: /* Connectivity */

=Grundaufbau=
{{#drawio:mqtt-plan1}}
=Verschlüsselt mit Passwort=
Wir haben eine ca.crt der Auth und ein Certificate mqtt.dkbi.int.crt sowie ein PrivKey mqtt.dkbi.int.key
==mqtt==
;Benutzer anlegen
*user: xinux
*pass: 123Start$

*mosquitto_passwd -c /etc/mosquitto/passwd xinux

;Konfiguration kopieren
*cp /etc/mosquitto/conf.d/defaults.conf.verschlüsselt /etc/mosquitto/conf.d/defaults.conf
;Konfigurationsdatei
<pre>
# Öffnet den MQTT-Broker auf Port 8883 und bindet ihn an alle verfügbaren Netzwerkinterfaces.
listener 8883 0.0.0.0

# Erlaubt anonyme Verbindungen, d. h. ohne Benutzername und Passwort.
allow_anonymous false

# Aktiviert alle Log-Typen für eine detaillierte Protokollierung.
log_type all

# Zeigt Verbindungs- und Trennungsmeldungen von Clients im Log an.
connection_messages true

#Hier gegen wird authentifiziert.
password_file /etc/mosquitto/passwd

# Zertifikat
certfile /etc/mosquitto/conf.d/mqtt.lab.intern.crt

#PrivKey
keyfile /etc/mosquitto/conf.d/mqtt.lab.intern.key

#Zertifikat der CA
cafile /etc/mosquitto/conf.d/ca.crt
</pre>
;Restarten
*systemctl restart mosquitto.service
;Checken
*systemctl status mosquitto.service

==Aktor==
Der Aktor '''abonniert (subscribed)''' die Nachrichten und reagiert darauf.
*mosquitto_sub -h mqtt.lab.intern -p 8883 --cafile /usr/local/control/ca.crt -u xinux -P 123Start$ -t test

==Sensor==
Der Sensor '''sendet (published)''' die Nachrichten an das Topic.
*mosquitto_pub -h mqtt.lab.intern -p 8883 --cafile /usr/local/control-switch/ca.crt -u xinux -P 123Start$ -t test -m "Hello World"
*mosquitto_pub -h mqtt.lab.intern -p 8883 --cafile /usr/local/control-switch/ca.crt -u xinux -P 123Start$ -t test -m "2 Nachricht"

==kali==
Hier kann man auf Wireshark mitschneiden. Der Text ist Hexadezimal codiert.
;Schaut mal was man sieht.

=Anpassen von node.js=
;sensor
*cat /usr/local/control-switch/.env
MQTT_HOST=mqtt.lab.intern
MQTT_PORT=8883
MQTT_USER=xinux
MQTT_PASS=123Start$
MQTT_TLS=true
MQTT_CA=/usr/local/control-switch/ca.crt
*systemctl restart control-switch.service
*http://sensor:3000/
;aktor
*cat /usr/local/control/.env
MQTT_HOST=mqtt.lab.intern
MQTT_PORT=8883
MQTT_USER=xinux
MQTT_PASS=123Start$
MQTT_TLS=true
MQTT_CA=/usr/local/control-switch/ca.crt
*systemctl restart control-switch.service
*http://aktor:3000/

TS RW Vmware

2025-09-09T05:51:38Z

Robin.will: Die Seite wurde neu angelegt: „*Der Client01 ist nicht mehr funktionabel. analysieren sie das problem und lösen Sie es. *Binden Sie den Speicher des FS01-iscsi im hv03 ein *Der Client04 sta…“

*Der Client01 ist nicht mehr funktionabel. analysieren sie das problem und lösen Sie es.
*Binden Sie den Speicher des FS01-iscsi im hv03 ein
*Der Client04 startet nicht mehr. Lösen Sie es.
*remoteadmin@spielwiese.intern kann sich nicht mehr auf dem vcenter einloggen lösen sie das Problem.
*Sorgen Sie dafür das der hv03 die richtige uhrzeit und datum des dc01 bezieht und achten sie darauf das der Dienst mit dem Host gestartet und beendet wird.
*ssh auf den vc01.spielwiese.intern fubnktioniert nicht mehr. Lösen Sie das Problem.

VMWare VSPhere

2025-09-09T05:51:27Z

Robin.will: /* Misc */

*[[Thomas Will]]
=Schaubild=
*[[vsphere-schaubild]]
*[[vsphere-kurzfassung der Funktionen Schaubild]]

=Grundlagen=
*[[Was ist VMware vSphere?]]
*[[VMware Begriffe]]
*[[ESXI VM Ordner]]

=Allgemein=
*[[Vsphere Installations Vorgang]]

=ESXI=
*[[esxi-installation]]
*[[esxi-erste-schritte]]
*[[esxi-datenspeicher]]
*[[esxi-netzwerk]]
*[[esxi-vm-erstellen]]
*[[esxi-autostart]]
*[[esxi-virtuelle-Netzwerke]]
*[[esxtop]]
*[[ESXI Konsole]]

=VSPHERE=
*[[vshpere-installation]]
*[[vSphere Client Zertifikat]]
*[[vshere-menu]]
*[[vsphere-nfs]]
*[[vsphere-netzwerk]]
*[[VMWare Netzwerk]]
*[[vsphere-rechte]]
*[[vsphere-ad-integration]]
*[[vsphere-ad-host]]
*[[vsphere-rollen]]
*[[vsphere-virtuelle-Netzwerke]]
*[[vsphere-iscsi]]
*[[vsphere-vm-erstellen]]
*[[vsphere-vm-import]]
*[[vsphere-hash-verfahren]]
*[[vsphere-vMotion]]
*[[vsphere-High-Availibity]]
*[[vsphere-StorMagic]]
=Hyper-V=
*[[LBFO an Hyper-V 2019]]

=Aufgaben=
*[[Aufgaben VSPhere]]
*[[Aufgaben VSphere Specials]]
*[[Aufgaben VSPhere Handling]]
*[[VMware Multiple-Choice Fragen: Netzwerk und Fehlersuche]]
*[[VSPhere Routineanweisung]]
*[[Aufgaben VSPhere Trouble Shooting]]
*[[Aufgaben Hyper-V]]
*[[Aufgaben VSPhere Theorie]]
*[[Zusatzaufgaben Vsphere]]
*[[Aufgaben Vsphere Netzwerk]]
*[[Aufgaben VSphere 2]]
*[[Aufgabe am Pult]]
*[[Aufgaben weitere troubleshooting ]]

=Videos=
*[https://www.youtube.com/watch?v=yL7dJ768VEY VMware ESXi Installation and Setup]
*[https://www.youtube.com/watch?v=GGSFZRtsNhE VMware ESXi Erste Schritte]
*[https://www.youtube.com/watch?v=KAERy6cCsIA VMware ESXi Verzeichnis erstellen Datei hochladen]
*[https://www.youtube.com/watch?v=xqVyxApfzs4 VMware ESXi VM erstellen]
*[https://www.youtube.com/watch?v=FQQvakbwz-E VMWare vSwitches Portgruppe Kerneladapter ]
*[https://www.youtube.com/watch?v=WNM03NpiPW8 VMWare Netzwerk Begriffe]
*[https://www.youtube.com/watch?v=YRjd4F9uP2g VMware vCenter Deploy und Erstellen eines Datacenter]
*[https://www.youtube.com/watch?v=KslmJc_jOLI VMWare Der Kampf der VM ins Netzwerk]
*[https://www.youtube.com/watch?v=e-WCOi_Evqs Hyper-V SET über LBFO um LACP nutzen zu können]

=Misc=
*[[Vmware]]
*[[Vmware Speichermanagment]]
*[[Vmware Vswitch CLI]]
*[[Vmware Portgruppe CLI]]
*[[Vmware ISCSI CLI]]
*[[Vmware Kerneladapater]]
*[[Vmware Netzwerk Komplett]]
*[[Vmware Prüfungsvorbereitung]]
*[[Vmware Der Kampf der VM ins Netzwerk]]
*[[Troubleshooting Vmware]]
*[[Download Ordner ändern]]
*[[Troubleshooting Vmware CLI]]
*[[Vmware Prüfungsvorbereitung Max]]
*[[TS RW Vmware]]

=Tipps=
*[[vsphere-tipps]]

=Links=
*https://www.windowspro.de/tipp/esxi-zwangsweise-aus-vcenter-bestandsliste-entfernen
==Sperrmodus==
*https://docs.vmware.com/de/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-93D52647-9310-4C9C-99C0-DCC875D75C8A.html

=Original Dokumentation=
*https://docs.vmware.com/de/VMware-vSphere/index.html

Datei:5102-dns.drawio.png

2025-08-20T06:29:37Z

Robin.will: Robin.will lud eine neue Version von Datei:5102-dns.drawio.png hoch

Aufgaben weitere troubleshooting

2025-08-12T09:15:39Z

Robin.will:

*Stellen Sie eine RDP Verbindung zu ihrem Client01 her
*Von HV03 besteht kein Zugriff mehr auf iscsi
*Client04 fährt nicht mehr hoch beheben sie die Probleme.
*Client04 hat keine Netzwerkverbindung
*Server01 lässt sich nicht anpingen
*Sie können sich nicht mehr als remoteadmin auf dem vsphere center anmelden
*Sie können sich nicht mehr per ssh auf dem vsphere center anmelden.

Aufgaben weitere troubleshooting

2025-08-12T08:44:07Z

Robin.will:

*Stellen Sie eine RDP Verbindung zu ihrem Client01 her
*Von HV03 besteht kein Zugriff mehr auf iscsi
*Client04 fährt nicht mehr hoch beheben sie die Probleme.
*Client04 hat keine Netzwerkverbindung
*Server01 lässt sich nicht anpingen
*Man kann sich nicht per https und ssh auf hv02 einloggen.
*Sie können sich nicht mehr als remoteadmin auf dem vsphere center anmelden
*Sie können sich nicht mehr per ssh auf dem vsphere center anmelden.

Aufgaben weitere troubleshooting

2025-08-12T08:17:11Z

Robin.will: Die Seite wurde neu angelegt: „*Stellen Sie eine RDP Verbindung zu ihrem Client01 her *Von HV03 besteht kein Zugriff mehr auf iscsi *Client04 fährt nicht mehr hoch beheben sie die Probleme.…“

*Stellen Sie eine RDP Verbindung zu ihrem Client01 her
*Von HV03 besteht kein Zugriff mehr auf iscsi
*Client04 fährt nicht mehr hoch beheben sie die Probleme.
*Client04 lässt sich nicht auf hv03 migrieren.
*Client04 hat keine Netzwerkverbindung
*Server01 lässt sich nicht anpingen
*Man kann sich nicht per https und ssh auf hv02 einloggen.
*Sie können sich nicht mehr als remoteadmin auf dem vsphere center anmelden
*Sie können sich nicht mehr per ssh auf dem vsphere center anmelden.

VMWare VSPhere

2025-08-12T08:16:08Z

Robin.will: /* Aufgaben */

*[[Thomas Will]]
=Schaubild=
*[[vsphere-schaubild]]
*[[vsphere-kurzfassung der Funktionen Schaubild]]

=Grundlagen=
*[[Was ist VMware vSphere?]]
*[[VMware Begriffe]]
*[[ESXI VM Ordner]]

=Allgemein=
*[[Vsphere Installations Vorgang]]

=ESXI=
*[[esxi-installation]]
*[[esxi-erste-schritte]]
*[[esxi-datenspeicher]]
*[[esxi-netzwerk]]
*[[esxi-vm-erstellen]]
*[[esxi-autostart]]
*[[esxi-virtuelle-Netzwerke]]
*[[esxtop]]
*[[ESXI Konsole]]

=VSPHERE=
*[[vshpere-installation]]
*[[vSphere Client Zertifikat]]
*[[vshere-menu]]
*[[vsphere-nfs]]
*[[vsphere-netzwerk]]
*[[VMWare Netzwerk]]
*[[vsphere-rechte]]
*[[vsphere-ad-integration]]
*[[vsphere-ad-host]]
*[[vsphere-rollen]]
*[[vsphere-virtuelle-Netzwerke]]
*[[vsphere-iscsi]]
*[[vsphere-vm-erstellen]]
*[[vsphere-vm-import]]
*[[vsphere-hash-verfahren]]
*[[vsphere-vMotion]]
*[[vsphere-High-Availibity]]
*[[vsphere-StorMagic]]
=Hyper-V=
*[[LBFO an Hyper-V 2019]]

=Aufgaben=
*[[Aufgaben VSPhere]]
*[[Aufgaben VSphere Specials]]
*[[Aufgaben VSPhere Handling]]
*[[VMware Multiple-Choice Fragen: Netzwerk und Fehlersuche]]
*[[VSPhere Routineanweisung]]
*[[Aufgaben VSPhere Trouble Shooting]]
*[[Aufgaben Hyper-V]]
*[[Aufgaben VSPhere Theorie]]
*[[Zusatzaufgaben Vsphere]]
*[[Aufgaben Vsphere Netzwerk]]
*[[Aufgaben VSphere 2]]
*[[Aufgabe am Pult]]
*[[Aufgaben weitere troubleshooting ]]

=Videos=
*[https://www.youtube.com/watch?v=yL7dJ768VEY VMware ESXi Installation and Setup]
*[https://www.youtube.com/watch?v=GGSFZRtsNhE VMware ESXi Erste Schritte]
*[https://www.youtube.com/watch?v=KAERy6cCsIA VMware ESXi Verzeichnis erstellen Datei hochladen]
*[https://www.youtube.com/watch?v=xqVyxApfzs4 VMware ESXi VM erstellen]
*[https://www.youtube.com/watch?v=FQQvakbwz-E VMWare vSwitches Portgruppe Kerneladapter ]
*[https://www.youtube.com/watch?v=WNM03NpiPW8 VMWare Netzwerk Begriffe]
*[https://www.youtube.com/watch?v=YRjd4F9uP2g VMware vCenter Deploy und Erstellen eines Datacenter]
*[https://www.youtube.com/watch?v=KslmJc_jOLI VMWare Der Kampf der VM ins Netzwerk]
*[https://www.youtube.com/watch?v=e-WCOi_Evqs Hyper-V SET über LBFO um LACP nutzen zu können]

=Misc=
*[[Vmware]]
*[[Vmware Speichermanagment]]
*[[Vmware Vswitch CLI]]
*[[Vmware Portgruppe CLI]]
*[[Vmware ISCSI CLI]]
*[[Vmware Kerneladapater]]
*[[Vmware Netzwerk Komplett]]
*[[Vmware Prüfungsvorbereitung]]
*[[Vmware Der Kampf der VM ins Netzwerk]]
*[[Troubleshooting Vmware]]
*[[Download Ordner ändern]]
*[[Troubleshooting Vmware CLI]]
*[[Vmware Prüfungsvorbereitung Max]]

=Tipps=
*[[vsphere-tipps]]

=Links=
*https://www.windowspro.de/tipp/esxi-zwangsweise-aus-vcenter-bestandsliste-entfernen
==Sperrmodus==
*https://docs.vmware.com/de/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-93D52647-9310-4C9C-99C0-DCC875D75C8A.html

=Original Dokumentation=
*https://docs.vmware.com/de/VMware-vSphere/index.html

Vmware Prüfungsvorbereitung

2025-08-12T05:55:14Z

Robin.will: /* Übungsaufgaben */

=Übungsaufgaben=
===Aufgabe - Fehlende Connectivität des CLients ===
*Verbinden Sie sich per Remote Desktop Protocol (RDP) mit dem Client01.

===Aufgabe NTP Dienst===
*Konfigurieren Sie den NTP-Dienst auf HV02, starten Sie ihn und setzen Sie DC01 als Ziel. Zusätzlich soll dieser Dienst mit dem Host gestartet und beendet werden.

===Aufgabe - Windows VM Erstellen===
*Erstellen Sie eine Windows 10 Maschine in der vSphere-Oberfläche und nennen Sie diese Client07. Was ist nach der installation von Windows noch zu beachten?

===Aufgabe - ISCSI Speicher===
*Binden Sie den iSCSI-Speicher vom fs01 auf HV03 in das Betriebssystem ein. Überprüfen Sie ob der Datenspeicher fs01-iscsi nun an dem HV03 angebunden ist

===Aufgabe - vMotion===
*Migrieren Sie den Speicher von Server01 auf den Speicher fs01-iscsi und den Host HV02.
*Zusätzlich ist die VM "Debian10" nun ein Debian11
**Passen Sie den Namen an und verschieben den Host ebenfalls auf den Speicher fs01-iscsi und den Host Hv02.
**Achten Sie darauf das alle dazugehörigen Dateien mit dem neuen Namen ausgestattet sind

===Aufgabe - Snapshot Verwaltung===
*Stellen Sie den Snapshot auf dem Client04 wieder her, der die Abrechnungen.txt enthält.

===Aufgabe - Domänen Integration===
*Binden Sie die Domäne „spielwiese.intern“ in Ihr vCenter ein. Für den Domain Aufbau haben Sie folgende Vorlage:
{{#drawio:prüfungsvorbereitung-vmware.png}}

===Aufgabe - Verwalten der Berechtigungen===
*Weisen Sie dem Benutzer „peasant“ die Berechtigungen zu: Er soll Snapshots nur für Client04 erstellen können und für alle anderen Objekte nur Lesezugriff haben. Der Benutzer „vdiesel“ soll Administrator Rechte für das gesamte Vcenter bekommen.

===Aufgabe - Erstellen eines HA-Clusters===
*Erstellen Sie ein HA-Cluster mit folgenden Konfigurationen:
<pre>
Hostüberwachung: einschalten
Verfahren bei Hostfehler: VMs neustarten
Verhalten bei Hostisolation: VMs herunterfahren und neustarten
Datenspeicher mit PDL: deaktivieren
Datenspeicher mit APD: VMs ausschalten und neustarten
VM-Überwachung: deaktivieren
Failover Kapazität: Prozentsatz | 35% CPU | 35% RAM
Heartbeat Datenspeicher: fs01-iscsi, fs01-nfs
</pre>

===Aufgabe - VM Nicht Erreichbar===
*Der Client04 hat die IP 160.10.120.14. Beschreiben Sie die Schritte zur Fehlerbehebung und Lösung des Erreichbarkeitsproblems.

===Aufgabe - OVF Template===
*Verbinden Sie sich auf den CLIENT02 (IP 160.10.120.13) mit folgenden Anmeldedaten: User= "remoteadmin@spielwiese.intern" Password = "Passw0rd". Erstellen Sie eine OVF Vorlage des CLIENT01 und speichern Sie diesen auf dem FS01 share ab.

===Aufgabe - Hyper-V NIC Team===
*Konfigurieren Sie ein NIC-Team namens 'Metall' unter Verwendung der beiden verbleibenden Netzwerkkarten im switchunabhängigen Modus. Richten Sie eine Teamschnittstelle namens 'Kupfer' im VLAN 777 ein und benennen Sie den virtuellen Switch ebenfalls 'Kupfer'.

===Aufgabe - SNMP Ausgabe===
*Lassen Sie die SNMP Konfigurations Optionen bzw. die Engine ID per snmp von dem hv03 anzeigen.

Vmware Prüfungsvorbereitung

2025-08-12T05:36:05Z

Robin.will: /* Aufgabe - vMotion */

=Übungsaufgaben=
===Aufgabe NTP Dienst===
*Konfigurieren Sie den NTP-Dienst auf HV02, starten Sie ihn und setzen Sie DC01 als Ziel. Zusätzlich soll dieser Dienst mit dem Host gestartet und beendet werden.

===Aufgabe - Fehlende Connectivität des CLients ===
*Verbinden Sie sich per Remote Desktop Protocol (RDP) mit dem Client01.

===Aufgabe - Windows VM Erstellen===
*Erstellen Sie eine Windows 10 Maschine in der vSphere-Oberfläche und nennen Sie diese Client07. Was ist nach der installation von Windows noch zu beachten?

===Aufgabe - ISCSI Speicher===
*Binden Sie den iSCSI-Speicher vom fs01 auf HV03 in das Betriebssystem ein. Überprüfen Sie ob der Datenspeicher fs01-iscsi nun an dem HV03 angebunden ist

===Aufgabe - vMotion===
*Migrieren Sie den Speicher von Server01 auf den Speicher fs01-iscsi und den Host HV02.
*Zusätzlich ist die VM "Debian10" nun ein Debian11
**Passen Sie den Namen an und verschieben den Host ebenfalls auf den Speicher fs01-iscsi und den Host Hv02.
**Achten Sie darauf das alle dazugehörigen Dateien mit dem neuen Namen ausgestattet sind

===Aufgabe - Snapshot Verwaltung===
*Stellen Sie den Snapshot auf dem Client04 wieder her, der die Abrechnungen.txt enthält.

===Aufgabe - Domänen Integration===
*Binden Sie die Domäne „spielwiese.intern“ in Ihr vCenter ein. Für den Domain Aufbau haben Sie folgende Vorlage:
{{#drawio:prüfungsvorbereitung-vmware.png}}

===Aufgabe - Verwalten der Berechtigungen===
*Weisen Sie dem Benutzer „peasant“ die Berechtigungen zu: Er soll Snapshots nur für Client04 erstellen können und für alle anderen Objekte nur Lesezugriff haben. Der Benutzer „vdiesel“ soll Administrator Rechte für das gesamte Vcenter bekommen.

===Aufgabe - Erstellen eines HA-Clusters===
*Erstellen Sie ein HA-Cluster mit folgenden Konfigurationen:
<pre>
Hostüberwachung: einschalten
Verfahren bei Hostfehler: VMs neustarten
Verhalten bei Hostisolation: VMs herunterfahren und neustarten
Datenspeicher mit PDL: deaktivieren
Datenspeicher mit APD: VMs ausschalten und neustarten
VM-Überwachung: deaktivieren
Failover Kapazität: Prozentsatz | 35% CPU | 35% RAM
Heartbeat Datenspeicher: fs01-iscsi, fs01-nfs
</pre>

===Aufgabe - VM Nicht Erreichbar===
*Der Client04 hat die IP 160.10.120.14. Beschreiben Sie die Schritte zur Fehlerbehebung und Lösung des Erreichbarkeitsproblems.

===Aufgabe - OVF Template===
*Verbinden Sie sich auf den CLIENT02 (IP 160.10.120.13) mit folgenden Anmeldedaten: User= "remoteadmin@spielwiese.intern" Password = "Passw0rd". Erstellen Sie eine OVF Vorlage des CLIENT01 und speichern Sie diesen auf dem FS01 share ab.

===Aufgabe - Hyper-V NIC Team===
*Konfigurieren Sie ein NIC-Team namens 'Metall' unter Verwendung der beiden verbleibenden Netzwerkkarten im switchunabhängigen Modus. Richten Sie eine Teamschnittstelle namens 'Kupfer' im VLAN 777 ein und benennen Sie den virtuellen Switch ebenfalls 'Kupfer'.

===Aufgabe - SNMP Ausgabe===
*Lassen Sie die SNMP Konfigurations Optionen bzw. die Engine ID per snmp von dem hv03 anzeigen.

Sophos XGS Install STAS

2025-07-15T12:47:10Z

Robin.will: Die Seite wurde neu angelegt: „{{#drawio:sophos-xgs-stas1}}“

Sophos XGS

2025-07-15T12:46:48Z

Robin.will:

{{#drawio:sophos-xgs-1}}

*[[Sophos XGS Zeitserver]]
*[[Sophos XGS Zonen erstellen]]
*[[Sophos XGS LDAP hinzufügen]]
*[[Sophos XGS 2FA erstellen]]
*[[Sophos XGS SSL VPN]]
*[[Sophos XGS Site-to-Site IPSEC]]
*[[Sophos XGS HA]]
*[[Sophos XGS Nat]]
*[[Sophos XGS Install STAS]]

Sophos XGS DNAT

2025-07-15T10:23:24Z

Robin.will: /* Schritt 2 */

=Idee/Prinzip=
{{#drawio:sophos-xgs-nat004}}

*An der Sophos-Firewall ist ein DMZ Netz angebunden das zum SAP Bereich führt im Netz '''10.88.88.0/24'''
*Zwischen den 2 Firewalls im DMZ Bereich ist eine Route gesetzt und zwar die für das Netz '''10.92.92.0/24'''
*Wir möchten nun das die Gegenstelle von ihrem Lan Netz aus unseren Drucker '''172.16.16.200'' erreichen können.
*Dafür kennt die Gegenseite aber nur unser Netz als '''10.92.92.0/24'''.
*Deshalb soll wenn die Gegenseite die IP '''10.92.92.113''' anspricht diese auf die IP '''172.16.16.200'' genatted werden.

=Vorgang=
==Schritt 1==
*Es wird nun eine DNAT-Regel erstellt und für die Destination-Nat-IP wird ein '''IP-Host''' angegeben --> '''172.16.16.200'''
[[Datei:sophos-xgs-nat-6.png]]

==Schritt 2==
*Nun müssen noch passende Firewall Regeln erstellt werden. Dafür wird das original Remote Netz genommen und das DNAT-Netz genommen.
[[Datei:sophos-xgs-nat-7.png]]

Datei:Sophos-xgs-nat-7.png

2025-07-15T10:22:44Z

Robin.will:

Datei:Sophos-xgs-nat-6.png

2025-07-15T10:21:37Z

Robin.will:

Sophos XGS DNAT

2025-07-15T10:21:32Z

Robin.will: /* Schritt 1 */

=Idee/Prinzip=
{{#drawio:sophos-xgs-nat004}}

*An der Sophos-Firewall ist ein DMZ Netz angebunden das zum SAP Bereich führt im Netz '''10.88.88.0/24'''
*Zwischen den 2 Firewalls im DMZ Bereich ist eine Route gesetzt und zwar die für das Netz '''10.92.92.0/24'''
*Wir möchten nun das die Gegenstelle von ihrem Lan Netz aus unseren Drucker '''172.16.16.200'' erreichen können.
*Dafür kennt die Gegenseite aber nur unser Netz als '''10.92.92.0/24'''.
*Deshalb soll wenn die Gegenseite die IP '''10.92.92.113''' anspricht diese auf die IP '''172.16.16.200'' genatted werden.

=Vorgang=
==Schritt 1==
*Es wird nun eine DNAT-Regel erstellt und für die Destination-Nat-IP wird ein '''IP-Host''' angegeben --> '''172.16.16.200'''
[[Datei:sophos-xgs-nat-6.png]]

==Schritt 2==
*Nun müssen noch passende Firewall Regeln erstellt werden. Dafür wird das original Lan Netz genommen und das Remote Netz genommen.
[[Datei:sophos-xgs-nat-7.png]]

Sophos XGS DNAT

2025-07-15T10:20:55Z

Robin.will: /* Idee/Prinzip */

=Idee/Prinzip=
{{#drawio:sophos-xgs-nat004}}

*An der Sophos-Firewall ist ein DMZ Netz angebunden das zum SAP Bereich führt im Netz '''10.88.88.0/24'''
*Zwischen den 2 Firewalls im DMZ Bereich ist eine Route gesetzt und zwar die für das Netz '''10.92.92.0/24'''
*Wir möchten nun das die Gegenstelle von ihrem Lan Netz aus unseren Drucker '''172.16.16.200'' erreichen können.
*Dafür kennt die Gegenseite aber nur unser Netz als '''10.92.92.0/24'''.
*Deshalb soll wenn die Gegenseite die IP '''10.92.92.113''' anspricht diese auf die IP '''172.16.16.200'' genatted werden.

=Vorgang=
==Schritt 1==
*Es wird nun eine SNAT-Regel erstellt und für die Source-Nat-IP wird eine '''IP-Range''' angegeben --> '''10.92.92.10 - 10.92.92.20'''
[[Datei:sophos-xgs-nat-6.png]]

==Schritt 2==
*Nun müssen noch passende Firewall Regeln erstellt werden. Dafür wird das original Lan Netz genommen und das Remote Netz genommen.
[[Datei:sophos-xgs-nat-7.png]]

Datei:Sophos-xgs-nat004.drawio.png

2025-07-15T10:18:29Z

Robin.will: Robin.will lud eine neue Version von Datei:Sophos-xgs-nat004.drawio.png hoch