439 lines
12 KiB
Markdown
439 lines
12 KiB
Markdown
# Création d'une nouvelle machine physique
|
|
|
|
Le but est d'intégrer une nouvelle machine physique dans le SI.
|
|
|
|
[[TOC]]
|
|
|
|
## Installer un microprogramme libre
|
|
|
|
## Installation du système d'exploitation FSDG (Trisquel)
|
|
|
|
### Préparation du média d'installation
|
|
|
|
Récupérer l'image [Trisquel NetInstall](https://trisquel.info/fr/wiki/%EF%BB%BFinstallation-de-trisquel-netinstall-en-mode-texte), qui est la plus adaptée à [l'installation de serveurs](https://trisquel.info/en/wiki/install-trisquel-server).
|
|
|
|
A la date d'écriture de cette procédure, on utilise Trisquel version 11 (Aramo) via la console série, sans écran.
|
|
|
|
### Installation du système
|
|
|
|
#### Démarrer le média d'installation sur la console série
|
|
|
|
Utiliser `TAB` pour éditer la ligne de commande du menu de démarrage du média et remplacer
|
|
dans la ligne de commande du noyau `vga=788` par `console=ttyS0,115200n8`.
|
|
|
|
Supprimer également la directive `quiet`.
|
|
|
|
Appuyer sur entrée pour continuer le démarrage.
|
|
|
|
#### Configuration de la langue et position
|
|
|
|
Installer avec la langue anglaise et la locale `en_US.UTF8`.
|
|
|
|
Indiquer le lieu en France, utiliser le miroir allemand.
|
|
|
|
#### Création de l'utilisateur d'administration
|
|
|
|
Créer l'utilisateur `admin666` avec un mot de passe fort.
|
|
|
|
Enregistrer ce mot de passe dans le coffre (section infra générale).
|
|
|
|
#### Partitionnement des disques
|
|
|
|
Partitionner selon le schéma voulu pour la machine spécifique. Par exemple avec du RAID logiciel sur deux disques, une partition de démarrage (en `ext2`), une partition racine et une partition de stockage de machine virtuelle.
|
|
|
|
#### Sélection des paquets de base de l'installateur
|
|
|
|
Choisir d'installer `postfix`, `openssh` et `Trisquel console environment`.
|
|
|
|
##### Configurer `postfix`
|
|
|
|
Indiquer de configurer `postfix` en mode local.
|
|
|
|
##### Configurer `GRUB`
|
|
|
|
Installer GRUB sur le premier disque contenant une partition de démarrage.
|
|
|
|
### Configuration critique du système
|
|
|
|
#### Programme de démarrage (`grub`)
|
|
|
|
Au premier démarrage du système, afin de pouvoir accéder à la console série, modifier la ligne de commande du noyau dans l'interface de GRUB avec la touche `e`. Ajouter la directive `console=ttyS0,115200n8` à la ligne `linux`.
|
|
|
|
Une fois le système démarré, modifier le fichier `/etc/default/grub` :
|
|
```
|
|
GRUB_DEFAULT=0
|
|
GRUB_TIMEOUT=5
|
|
GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian`
|
|
GRUB_CMDLINE_LINUX_DEFAULT="libata.force=noncq nohz=on console=ttyS0,115200n8"
|
|
GRUB_CMDLINE_LINUX=""
|
|
|
|
GRUB_TERMINAL=serial
|
|
GRUB_SERIAL_COMMAND="serial --speed=115200 --unit=0 --word=8 --parity=no --stop=1"
|
|
```
|
|
|
|
Effectuer ensuite :
|
|
```
|
|
update-grub
|
|
update-initramfs -u
|
|
```
|
|
|
|
#### Programme de redémarrage (`kexec`)
|
|
|
|
Les démarrages gérés par le BIOS sont parfois longs et risqués, on préfère utiliser kexec.
|
|
|
|
Installer avec :
|
|
```
|
|
apt install kexec-tools.
|
|
```
|
|
|
|
#### Reconfiguration de la langue
|
|
|
|
Utiliser la commande `dpkg-reconfigure locales` et sélectionner uniquement `fr_FR.UTF8`.
|
|
|
|
Redémarrer à l'issue de cette commande.
|
|
|
|
|
|
### Installation des paquets de base
|
|
```
|
|
apt install etckeeper molly-guard tig lm-sensors fancontrol screen emacs-nox needrestart iotop htop atop usbtop curl ncdu iptraf tig unzip ufw ifupdown net-tools bridge-utils
|
|
```
|
|
|
|
### Paramétrage réseau
|
|
|
|
Il faut passer de netplan.io à networking :
|
|
```
|
|
apt purge netplan.io
|
|
```
|
|
|
|
Éditer le service de résolution DNS dans `/etc/systemd/resolved.conf`, et modifier la ligne `#DNS=` en `DNS=192.168.0.1` (correspondant à l'adresse du routeur).
|
|
|
|
Relancer le service :
|
|
```
|
|
systemctl restart systemd-resolved
|
|
```
|
|
|
|
Supprimer le fichier `/etc/resolv.conf` et le regénérer :
|
|
```
|
|
rm /etc/resolv.conf
|
|
ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf
|
|
```
|
|
|
|
Configurer dans `/etc/network/interfaces` :
|
|
```
|
|
auto lo br0
|
|
iface lo inet loopback
|
|
allow-hotplug ens10
|
|
allow-hotplug ens9
|
|
|
|
# bridge for vm
|
|
iface br0 inet static
|
|
bridge_ports ens10
|
|
address 192.168.1.2
|
|
gateway 192.168.0.1
|
|
broadcast 192.168.255.255
|
|
netmask 255.255.0.0
|
|
|
|
iface br0 inet6 static
|
|
bridge_ports ens10
|
|
address 2001:910:1028:0::2/128
|
|
gateway 2001:910:1028::1
|
|
```
|
|
|
|
Configurer ensuite le routage sur le routeur :
|
|
|
|
- aller sur https://routeur.libre-en-communs.org/cgi-bin/luci/admin/network/dhcp ;
|
|
- onglet Static Leases, bouton Add :
|
|
- Hostname : nom de PM en domaine,
|
|
- MAC : dispo sur la machine,
|
|
- IPv4 : choisir une 192.168.0.x (réservé infra générale, pour les machines physiques).
|
|
- valider les changements.
|
|
|
|
Redémarrer la machine à la fin de ces étapes.
|
|
|
|
### Configuration SSH (`OpenSSH`)
|
|
|
|
Créer l'utilisateur `cominfra` pour servir de proxy de connexion, sans mot de passe :
|
|
```
|
|
adduser cominfra
|
|
```
|
|
|
|
Placer toutes les clés publiques nécessaires dans `/home/cominfra/.ssh/authorized_keys` et
|
|
dans `/home/admin666/.ssh/authorized_keys`.
|
|
|
|
Configurer le serveur OpenSSH avec le fichier `/etc/ssh/sshd_config` :
|
|
```
|
|
Port 222
|
|
AddressFamily any
|
|
ListenAddress 0.0.0.0
|
|
ListenAddress ::
|
|
PubkeyAuthentication yes
|
|
PasswordAuthentication no
|
|
PermitEmptyPasswords no
|
|
ChallengeResponseAuthentication no
|
|
UsePAM yes
|
|
AllowAgentForwarding yes
|
|
AllowTcpForwarding yes
|
|
GatewayPorts yes
|
|
X11Forwarding no
|
|
PrintMotd no
|
|
TCPKeepAlive yes
|
|
PermitTunnel yes
|
|
AcceptEnv LANG LC\_* GIT\_*
|
|
Subsystem sftp /usr/lib/openssh/sftp-server
|
|
Match User admin666 Address *,!192.168.0.0/16,!::1,!127.0.0.1
|
|
DenyUsers admin666
|
|
```
|
|
|
|
### Configuration de `sudo`
|
|
|
|
Utiliser la commande :
|
|
```
|
|
sudo visudo
|
|
```
|
|
|
|
Modifier la ligne `%sudo ALL=(ALL:ALL) ALL` en `%sudo ALL=(ALL:ALL) NOPASSWD:ALL`.
|
|
|
|
### Configuration du pare-feu (`UFW`)
|
|
|
|
Autoriser les ports 222, 25, 5665, 68, 7789, 16514, 49152, 49153, 3493 :
|
|
```
|
|
ufw allow 25
|
|
ufw allow 68
|
|
ufw allow 222
|
|
ufw allow 3493
|
|
ufw allow 5665
|
|
ufw allow 7789
|
|
ufw allow 16514
|
|
ufw allow 49152
|
|
ufw allow 49153
|
|
```
|
|
|
|
Activer le pare-feu
|
|
```
|
|
ufw enable
|
|
```
|
|
|
|
### Configuration du MTA (`Postfix`)
|
|
|
|
Il faut configurer le MTA pour qu'il relaie les courriels vers mail.a-lec.org.
|
|
|
|
Éditer `/etc/postfix/transport` :
|
|
```
|
|
a-lec.org :
|
|
* discard:
|
|
```
|
|
|
|
Éditer `/etc/postfix/virtual` :
|
|
```
|
|
@localhost admin@a-lec.org
|
|
@anthea.libre-en-communs.org admin@a-lec.org
|
|
```
|
|
|
|
Valider les changements :
|
|
```
|
|
postmap /etc/postfix/transport
|
|
postmap /etc/postfix/virtual
|
|
postfix reload
|
|
```
|
|
|
|
### Configuration du moteur de virtualisation (`KVM + libvirt`)
|
|
|
|
Installer les paquets :
|
|
```
|
|
apt install qemu-kvm libvirt-daemon-system libvirt-clients
|
|
```
|
|
|
|
Créer un nouvel utilisateur dédié : virt-user
|
|
```
|
|
adduser virt-user
|
|
adduser virt-user libvirt
|
|
```
|
|
|
|
### Configuration de `htop`
|
|
|
|
Éditer le fichier `~/.config/htop/htoprc` pour les comptes `admin666` et `root` :
|
|
```
|
|
fields=0 48 17 18 38 39 40 2 46 47 49 1
|
|
sort_key=0
|
|
sort_direction=1
|
|
tree_sort_key=0
|
|
tree_sort_direction=1
|
|
hide_kernel_threads=1
|
|
hide_userland_threads=0
|
|
shadow_other_users=0
|
|
show_thread_names=0
|
|
show_program_path=1
|
|
highlight_base_name=0
|
|
highlight_megabytes=1
|
|
highlight_threads=1
|
|
highlight_changes=0
|
|
highlight_changes_delay_secs=5
|
|
find_comm_in_cmdline=1
|
|
strip_exe_from_cmdline=1
|
|
show_merged_command=0
|
|
tree_view=0
|
|
tree_view_always_by_pid=0
|
|
header_margin=1
|
|
detailed_cpu_time=0
|
|
cpu_count_from_one=0
|
|
show_cpu_usage=1
|
|
show_cpu_frequency=0
|
|
show_cpu_temperature=0
|
|
degree_fahrenheit=0
|
|
update_process_names=0
|
|
account_guest_in_cpu_meter=0
|
|
color_scheme=0
|
|
enable_mouse=1
|
|
delay=15
|
|
left_meters=LeftCPUs2 Blank Memory DiskIO NetworkIO Systemd
|
|
left_meter_modes=1 2 1 2 2 2
|
|
right_meters=RightCPUs2 Blank CPU LoadAverage Tasks Uptime
|
|
right_meter_modes=1 2 1 2 2 2
|
|
hide_function_bar=0
|
|
```
|
|
|
|
### Configuration de `bash`
|
|
|
|
Éditer `/etc/skel/.bashrc` et `/home/admin666/.bashrc` :
|
|
|
|
```
|
|
# ~/.bashrc: executed by bash(1) for non-login shells.
|
|
# see /usr/share/doc/bash/examples/startup-files (in the package bash-doc)
|
|
# for examples
|
|
|
|
# If not running interactively, don't do anything
|
|
case $- in
|
|
*i*) ;;
|
|
*) return;;
|
|
esac
|
|
|
|
# don't put duplicate lines or lines starting with space in the history.
|
|
# See bash(1) for more options
|
|
HISTCONTROL=ignoreboth
|
|
|
|
# append to the history file, don't overwrite it
|
|
shopt -s histappend
|
|
|
|
# for setting history length see HISTSIZE and HISTFILESIZE in bash(1)
|
|
HISTSIZE=1000
|
|
HISTFILESIZE=2000
|
|
|
|
# check the window size after each command and, if necessary,
|
|
# update the values of LINES and COLUMNS.
|
|
|
|
shopt -s checkwinsize
|
|
|
|
|
|
# make less more friendly for non-text input files, see lesspipe(1)
|
|
[ -x /usr/bin/lesspipe ] && eval "$(SHELL=/bin/sh lesspipe)"
|
|
|
|
# set variable identifying the chroot you work in (used in the prompt below)
|
|
if [ -z "\[\033[01;32m\]=(^-^)=${debian_chroot:-}" ] && [ -r /etc/debian_chroot ]; then
|
|
debian_chroot=$(cat /etc/debian_chroot)
|
|
fi
|
|
|
|
# set a fancy prompt (non-color, unless we know we "want" color)
|
|
case "$TERM" in
|
|
xterm-color|*-256color) color_prompt=yes;;
|
|
esac
|
|
|
|
if [ -n "$force_color_prompt" ]; then
|
|
if [ -x /usr/bin/tput ] && tput setaf 1 >&/dev/null; then
|
|
# We have color support; assume it's compliant with Ecma-48
|
|
# (ISO/IEC-6429). (Lack of such support is extremely rare, and such
|
|
# a case would tend to support setf rather than setaf.)
|
|
color_prompt=yes
|
|
else
|
|
color_prompt=
|
|
fi
|
|
fi
|
|
|
|
if [ "$color_prompt" = yes ]; then
|
|
PS1='\[\033[01;32m\]=(^-^)=${debian_chroot:+($debian_chroot)}\[\033[01;32m\]\u@\h\[\033[00m\]:\[\033[01;34m\]\w\[\033[00m\]\$ '
|
|
else
|
|
PS1='=(^-^)=${debian_chroot:+($debian_chroot)}\u@\h:\w\$ '
|
|
fi
|
|
|
|
unset color_prompt force_color_prompt
|
|
|
|
# If this is an xterm set the title to user@host:dir
|
|
case "$TERM" in
|
|
xterm*|rxvt*)
|
|
PS1="\[\e]0;=(^-^)=${debian_chroot:+($debian_chroot)}\u@\h: \w\a\]$PS1"
|
|
;;
|
|
*)
|
|
;;
|
|
esac
|
|
|
|
# enable color support of ls and also add handy aliases
|
|
if [ -x /usr/bin/dircolors ]; then
|
|
test -r ~/.dircolors && eval "$(dircolors -b ~/.dircolors)" || eval "$(dircolors -b)"
|
|
alias ls='ls --color=auto'
|
|
alias grep='grep --color=auto'
|
|
alias fgrep='fgrep --color=auto'
|
|
alias egrep='egrep --color=auto'
|
|
fi
|
|
|
|
# colored GCC warnings and errors
|
|
#export GCC_COLORS='error=01;31:warning=01;35:note=01;36:caret=01;32:locus=01:quote=01'
|
|
|
|
# some more ls aliases
|
|
alias ll='ls -alF'
|
|
alias la='ls -A'
|
|
alias l='ls -CF'
|
|
|
|
# Add an "alert" alias for long running commands. Use like so:
|
|
# sleep 10; alert
|
|
alias alert='notify-send --urgency=low -i "$([ $? = 0 ] && echo terminal || echo error)" "$(history|tail -n1|sed -e '\''s/^\s*[0-9]\+\s*//;s/[;&|]\s*alert$//'\'')"'
|
|
|
|
# Alias definitions.
|
|
# You may want to put all your additions into a separate file like
|
|
# ~/.bash_aliases, instead of adding them here directly.
|
|
# See /usr/share/doc/bash-doc/examples in the bash-doc package.
|
|
if [ -f ~/.bash_aliases ]; then
|
|
. ~/.bash_aliases
|
|
fi
|
|
|
|
# enable programmable completion features (you don't need to enable
|
|
# this, if it's already enabled in /etc/bash.bashrc and /etc/profile
|
|
# sources /etc/bash.bashrc).
|
|
if ! shopt -oq posix; then
|
|
if [ -f /usr/share/bash-completion/bash_completion ]; then
|
|
. /usr/share/bash-completion/bash_completion
|
|
elif [ -f /etc/bash_completion ]; then
|
|
. /etc/bash_completion
|
|
fi
|
|
fi
|
|
```
|
|
|
|
Éditer le fichier `/root/.bashrc` :
|
|
```
|
|
# ~/.bashrc: executed by bash(1) for non-login shells.
|
|
|
|
# Note: PS1 and umask are already set in /etc/profile. You should not
|
|
# need this unless you want different defaults for root.
|
|
# PS1='${debian_chroot:+($debian_chroot)}\h:\w\$ '
|
|
PS1='\[\033[01;32m\]=(^-^)=${debian_chroot:+($debian_chroot)}\[\033[01;31m\]\u@\h\[\033[00m\]:\[\033[01;34m\]\w\[\033[00m\]\$ '
|
|
|
|
# You may uncomment the following lines if you want `ls' to be colorized:
|
|
# export LS_OPTIONS='--color=auto'
|
|
# eval "`dircolors`"
|
|
alias ll='ls $LS_OPTIONS -l'
|
|
|
|
# enable programmable completion features (you don't need to enable
|
|
# this, if it's already enabled in /etc/bash.bashrc and /etc/profile
|
|
# sources /etc/bash.bashrc).
|
|
if ! shopt -oq posix; then
|
|
if [ -f /usr/share/bash-completion/bash_completion ]; then
|
|
. /usr/share/bash-completion/bash_completion
|
|
elif [ -f /etc/bash_completion ]; then
|
|
. /etc/bash_completion
|
|
fi
|
|
fi
|
|
|
|
# more aliases
|
|
if [ -f ~/.bash_aliases ]; then
|
|
. ~/.bash_aliases
|
|
fi
|
|
```
|