Basiskonfiguration VMs
Es erfolgt die Basiskonfiguration der drei importierten Maschinen Firewall, Server und opsi-Server. Die Maschine AdminVM erfordert ein gesondertes Vorgehen, dies wird auf der Seite AdminVM beschrieben.
Einschaltreihenfolge
Die virtuellen Server Firewall, Server und opsi-Server müssen nun in der folgenden Reihenfolge eingeschaltet werden.
- Firewall
- Server
- opsi-Server
Markieren Sie dazu im Webinterface jeweils die entsprechende Maschine mit der Maus und klicken Sie auf den Button Einschalten.
Einschalten einer virtuellen Maschine über den Webinterface
Die Passwörter für alle zentralen Benutzerkonten wie root oder Administrator (Domänen-Administrator) sind initial auf den Wert paedmllinux gesetzt.
Basiskonfiguration der VM Firewall
Die externe Netzwerkkarte der Firewall (Netz INTERNET) ist im Auslieferungszustand auf den Bezug von dynamischen IP-Adressen konfiguriert. Falls die Firewall über das externe Interface keine IP-Adresse per DHCP, zugewiesen bekommt (z.B. bei einem DSL-Router), muss das externe Netzwerkinterface zwingend auf eine statische IP-Adresse umgestellt werden.
IP-Konfiguration der externen Netzwerkkarte (statische IP-Adresse)
Login auf der WebGUI der Firewall
Öffnen Sie im Browser die WebGUI der Firewall unter https://10.1.0.11 und melden Sie sich als Benutzer admin und initialem Passwort paedmllinux an. Um die WebGUI der Firewall aufrufen zu können, ist das Booten eines Clients im pädagogischen Netz mit einer Live-Linux Distribution (z.B. Xubuntu; https://xubuntu.org) mithilfe einer Live-CD oder eines Live-USB-Sticks oder eines anderen Betriebssystems denkbar.
Login-Maske der Firewall
Umstellen der externen Netzwerkkarte auf statische IP-Adresse
Navigieren Sie zu Schnittstellen | INTERNET um die Einstellungen der externen Netzwerkkarte zu ändern.
Einstellungen der externen Netzwerkkarte
Führen Sie im folgenden Fenster folgende Änderungen durch:
- Ändern Sie die Einstellung IPv4 Konfigurationstyp auf Statische IPv4.
- Tragen Sie im Feld IPv4 Adresse die statische IP-Adresse des externen Interfaces sowie den Netzbereich ein.
Die Adresse und die Subnetzmaske sind abhängig von der lokal gegebenen Netzwerkkonfiguration und muss an diese angepasst werden! - Wählen Sie im Feld IPv4 Upstream Gateway die IP-Adresse des Gateways für den Internetzugang (z.B. die interne IP-Adresse ihres Internet-Routers) aus, falls das Gateway der Firewall schon bekannt ist. Im Regelfall ist dieses Gateway der Firewall aber noch nicht bekannt und muss zunächst durch Klick auf Ein neues Gateway hinzufügen angelegt werden.
Einstellen der externen IP-Adresse
Nach Klick auf Ein neues Gateway hinzufügen kann das Gateway in der Firewall angelegt werden:
- Setzen Sie den Haken bei Standardgateway
- Vergeben Sie unter Gateway Name einen Namen für das Gateway oder übernehmen Sie die Voreinstellung INTERNETGW.
- Tragen Sie unter Gateway IPv4 die LAN-seitige IP-Adresse des Gateways ein.
- Vergeben Sie unter Beschreibung eine Beschreibung für das Gateway (Freitextfeld).
- Speichern Sie die Änderungen durch Klick auf Hinzufügen.
Anlegen eines neuen Gateways
Nun kann das eben angelegte Gateway ausgewählt werden. Speichern Sie mit Klick auf Speichern.
Eintragen des Gateways
Die neue Konfiguration muss anschließend übernommen werden. Dies geschieht über einen Klick auf Änderungen übernehmen rechts oben.
Einstellen der DNS-Server
Wird die IP-Adresse der externen Netzwerkkarte manuell eingetragen, dann müssen die zu verwendenden DNS-Server ebenfalls manuell eingestellt werden. Gehen Sie dazu auf System | Allgemeine Einstellungen.
Grundeinstellungen der Firewall
Tragen Sie nun die IP-Adressen der DNS-Server in die entsprechenden Felder ein.
Bitte verwenden Sie unbedingt einen DNS-basierten Jugendschutzfilter Ihrer Wahl.
Achten Sie darauf, dass der Haken Allow DNS server list to be overridden by DHCP/PPP on WAN or remote OpenVPN server im Bereich DNS-Server-Überschreibung nicht gesetzt ist.
Eintragen der DNS-Server
Speichern Sie die Einstellungen mit einem Klick auf Speichern ganz unten auf der Seite.
Speichern
Die Einrichtung der Firewall ist hiermit abgeschlossen. Sie können die Internetverbindung testen, in dem Sie über das pfSense-Menü Diagnose | Ping eine Internetseite pingen.
Erfolgreicher Ping-Versuch auf www.heise.de
Updaten der Firewall
Die in der paed.ML Linux verwendete Firewall-Lösung pfSense Community Edition besitzt einen einfachen Updatemechanismus, mit dem die Software der Firewall stets aktuell gehalten werden kann.
Zu Beginn der paed.ML Linux-Installation sollte die Software der pfSense manuell auf den aktuellen Stand gebracht werden.
Öffnen Sie für das Update der Firewall die Startseite über ein Browserfenster. Sie erreichen die Seite über die URL https://firewall.paedml-linux.lokal.
Melden Sie sich als Benutzer admin mit dem zugehörigen Kennwort an.
Wenn ein Update zur Verfügung steht, klicken Sie auf das Wolken-Symbol.
Falls nicht Version 2.9.0-RELEASE installiert ist und kein Update angezeigt wird, klicken Sie erneut auf das Aktualisieren-Symbol.
pfSense-Update 2.9.0 ist vorhanden
Stellen Sie den Branch um auf "Current Stable Version (v2.9.0). Klicken Sie dann auf Bestätigen, um das neue Update einzuspielen.
pfSense Update 2.9.0 bestätigen
Im Anschluss wird das Update heruntergeladen und installiert. Nach der Installation wird die Firewall neu gestartet.
Basiskonfiguration der VM Server Version 8.0
Auf der VM Server muss nach dem Import die Systemindividualisierung durchgeführt werden.
Im Auslieferungszustand sind alle paed.ML Linux-Installationen zunächst vollständig identisch, so sind alle Passwörter auf paedmllinux gesetzt.
Für einen sicheren Betrieb muss die paed.ML Linux-Installation individualisiert werden, hierbei werden unter anderem alle Passwörter geändert, die SSH-Schlüssel und SSL-Zertifikate neu generiert sowie weitere sicherheitsrelevante Konfigurationen ausgetauscht.
Bei der Individualisierung werden außerdem Lizenzinformationen, die für den Betrieb der paed.ML Linux notwendig sind, in das System übernommen.
Durchführen der Systemindividualisierung
Parameter
Die Systemindividualisierung erfolgt durch den Befehl lmz-initial-setup. Folgende Parameter stehen zur Verfügung:
Start der Systemindividualisierung auf der Konsole des Servers
Durchführung
Melden Sie sich an der Server-Konsole als Benutzer root an.
Vergewissern Sie sich, dass die virtuellen Maschinen „opsi-Server“ und „Firewall“ ebenfalls eingeschaltet und per Netzwerk vom Server aus erreichbar sind:
Pingen der VM opsi-Server:
Pingen der VM Firewall:
Vergewissern Sie sich, dass der Server eine Verbindung zum Internet hat:
Rufen Sie das Skript für den Individualisierungs-Prozess mit diesem Befehl auf
Das System fragt Sie zunächst nach Ihrer paed.ML Linux-Installationsnummer (MLI-Nummer), die Sie vom LMZ erhalten, und dem dazugehörigen Passwort. Geben Sie diese beiden Werte ein:
Abfrage der Installationsnummer
Anschließend werden Sie nach den gewünschten neuen Passwörtern für zentrale Benutzerkonten gefragt. Tragen Sie dort ein selbst gewähltes Passwort ein. Dieses Passwort wird für die folgenden Benutzer gesetzt:
- root (Server, opsi-Server)
- Administrator (Domänen-Administrator, pfSense-admin, opsi-Administrator)
- domadmin (Konto für die Clientaufnahme)
- netzwerkberater (administratives Benutzerkonto mit eingeschränkten Rechten)
Vergabe eines neuen Passwortes für zentrale Benutzerkonten
Nun beginnt der Individualisierungsprozess. Dieser kann einige Minuten dauern, die Ausgabe kann auf der Konsole beobachtet werden.
Erfolgreicher Durchlauf
Läuft das Skript erfolgreich durch, sehen Sie die Meldung „Abschluss der Individualisierung der paedML Linux“.
Drücken Sie Enter, daraufhin werden alle paed.ML Linux Server neu gestartet.
Erfolgreicher Abschluss des Individualisierungsprozesses
Mögliche Fehlerquellen
Falls keine Internetverbindung besteht oder die Zugangsdaten falsch sind, so bricht das Skript ab:
Meldung des Individualisierungsprozesses bei fehlender Internetverbindung
Meldung des Individualisierungsprozesses bei falschen Zugangsdaten
Brechen Sie das noch laufende Skript mit Strg+C ab. Stellen Sie daraufhin sicher, dass…
- …alle virtuellen Maschinen eingeschaltet sind,
- …die Konfiguration der virtuellen Netzwerke korrekt durchgeführt wurde,
- …alle Maschinen sich untereinander mit dem DNS-Namen pingen können,
- …vom Server aus eine Internetverbindung besteht.
Starten Sie den Individualisierungsvorgang nach der Behebung möglicher Fehler erneut.
Optional: Ändern des Passwortes von domadmin“
Da bei der Systemindividualisierung mit lmz-initial-setup alle Kennwörter auf den gleichen Wert gesetzt werden, ist es gegebenenfalls notwendig, das Kennwort des Benutzers domadmin zu ändern.
Zum Ändern des domadmin-Passworts gehen Sie wie folgt vor:
Melden Sie sich als Benutzer root auf der Konsole des Servers an.
Rufen Sie diesen Befehl auf:
Geben Sie auf Nachfrage das neue Passwort für den Benutzer domadmin ein.
Geben Sie auf Nachfrage das neue Passwort ein zweites Mal ein.
Daraufhin wird das Passwort für den Benutzer domadmin geändert. Nach Ablauf des Skripts drücken Sie auf ENTER.
In der Regel ist danach – im Gegensatz zur vollständigen Systemindividualisierung – kein Neustart der Server mehr nötig.
Melden Sie sich von der Konsole mit diesem Befehl ab
Basiskonfiguration der VM Server Version 8.2
Auf der VM Server muss nach dem Import die Systemindividualisierung durchgeführt werden.
Im Auslieferungszustand sind alle paed.ML Linux-Installationen zunächst vollständig identisch, so sind alle Passwörter auf paedmllinux gesetzt.
Für einen sicheren Betrieb muss die paed.ML Linux-Installation individualisiert werden, hierbei werden unter anderem alle Passwörter geändert, die SSH-Schlüssel und SSL-Zertifikate neu generiert sowie weitere sicherheitsrelevante Konfigurationen ausgetauscht.
Bei der Individualisierung werden außerdem Lizenzinformationen, die für den Betrieb der paed.ML Linux notwendig sind, in das System übernommen.
Durchführen der Systemindividualisierung
Parameter
Die Systemindividualisierung erfolgt durch den Befehl
Bei jedem Aufruf des Skripts muss die MLI-Nummer und das Passwort eingegeben werden. Daraufhin wird geprüft, ob eine neue Version des Skripts vorliegt. Es wird dann ggf. aktualisiert.
Folgende Parameter stehen zur Verfügung (Aufruf über lmz-initial-setup --help):
| Parameter | Beschreibung |
|---|---|
| -a, --all | Führt die vollständige Ersteinrichtung einschließlich SSL durch (identisch zum Aufruf ohne Parameter). |
| -b, --backup | Initialisiert den Backup-/OPSI-Server neu. |
| -d, --domadmin | Ändert das Passwort des Domänenadministrators im LDAP und in OPSI. |
| -f, --firewall | Aktualisiert die pfSense-Firewall-Konfiguration und setzt die Root-/Admin-Passwörter zurück. |
| -k, --keycloak | Migriert die Authentifizierung zu Keycloak. |
| -l, --license | Übernimmt die UCS- und OPSI-Lizenzen, richtet das LMZ-Repository ein und aktualisiert die Firewall. |
| -n, --no-ssl | Führt eine vollständige Ersteinrichtung durch, überspringt jedoch die SSL-/Zertifikatsschritte. |
| -o, --opsi | Initialisiert OPSI neu inkl. OPSI Repositories und OPSI Lizenz. |
| -r, --root | Ändert ausschließlich das Root-Passwort. |
| -s, --ssl | Erstellt die SSL-Zertifikate neu. |
| -e, --no-reboot | Startet die Server bzw. die Firewall nach Abschluss nicht neu. |
| -h, --help | Zeigt die Hilfe an und beendet das Programm. |
Start der Systemindividualisierung auf der Konsole des Servers
Durchführung
Melden Sie sich an der Server-Konsole als Benutzer root an.
Vergewissern Sie sich, dass die virtuellen Maschinen opsi-Server und Firewall ebenfalls eingeschaltet und per Netzwerk vom Server aus erreichbar sind:
Pingen der VM opsi-Server:
Pingen der VM Firewall:
Vergewissern Sie sich, dass der Server eine Verbindung zum Internet hat:
Rufen Sie das Skript für den Individualisierungs-Prozess mit diesem Befehl auf
Das System fragt Sie zunächst nach Ihrer paed.ML Linux-Installationsnummer (MLI-Nummer), die Sie vom LMZ erhalten, und dem dazugehörigen Passwort. Geben Sie diese beiden Werte ein:
Abfrage der Installationsnummer
Nach einer Prüfung, ob das Skript aktuell ist, werden Sie nach den gewünschten neuen Passwörtern für zentrale Benutzerkonten gefragt. Tragen Sie dort ein selbst gewähltes Passwort ein. Dieses Passwort wird für die folgenden Benutzer gesetzt:
- root (Server, opsi-Server)
- Administrator (Domänen-Administrator, pfSense-admin, opsi-Administrator)
- domadmin (Konto für die Clientaufnahme)
- netzwerkberater (administratives Benutzerkonto mit eingeschränkten Rechten)
Vergabe eines neuen Passwortes für zentrale Benutzerkonten
Nun beginnt der Individualisierungsprozess. Dieser kann einige Minuten dauern, die Ausgabe kann auf der Konsole beobachtet werden.
Erfolgreicher Durchlauf
Läuft das Skript erfolgreich durch, sehen Sie die Meldung Abschluss der Individualisierung der paedML Linux.
Drücken Sie Enter, daraufhin werden alle paed.ML Linux Server neu gestartet.
Erfolgreicher Abschluss des Individualisierungsprozesses
Mögliche Fehlerquellen
Falls keine Internetverbindung besteht oder die Zugangsdaten falsch sind, so bricht das Skript ab.
Brechen Sie das noch laufende Skript mit Strg+C ab. Stellen Sie daraufhin sicher, dass…
- …alle virtuellen Maschinen eingeschaltet sind,
- …die Konfiguration der virtuellen Netzwerke korrekt durchgeführt wurde,
- …alle Maschinen sich untereinander mit dem DNS-Namen pingen können,
- …vom Server aus eine Internetverbindung besteht.
Starten Sie den Individualisierungsvorgang nach der Behebung möglicher Fehler erneut.
Optional: Ändern des Passwortes von domadmin
Da bei der Systemindividualisierung mit lmz-initial-setup alle Kennwörter auf den gleichen Wert gesetzt werden, ist es gegebenenfalls notwendig, das Kennwort des Benutzers domadmin zu ändern.
Zum Ändern des domadmin-Passworts gehen Sie wie folgt vor:
Melden Sie sich als Benutzer root auf der Konsole des Servers an.
Rufen Sie diesen Befehl auf:
Geben Sie auf Nachfrage das neue Passwort für den Benutzer domadmin ein.
Geben Sie auf Nachfrage das neue Passwort ein zweites Mal ein.
Daraufhin wird das Passwort für den Benutzer domadmin geändert. Nach Ablauf des Skripts drücken Sie auf ENTER.
In der Regel ist danach – im Gegensatz zur vollständigen Systemindividualisierung – kein Neustart der Server mehr nötig.
Melden Sie sich von der Konsole mit diesem Befehl ab
