central-management-of-multiple-servers/h2.md

Palvelinten hallinta - Harjoitus 2

Disclaimer:

Tämä harjoitus on tehty osana Haaga-Helian Tietojenkäsittelyn koulutusohjelman kurssia Palvelinten hallinta (ICT4TN022, kevät 2018). Kurssin pitäjänä toimii Tero Karvinen, joka on määritellyt tämän harjoituksen tehtävänkuvaukset. Tehtävien vastaukset ovat Pekka Heleniuksen (allekirjoittanut) tuottamia.

b) Laita käyttäjien kotisivut toimimaan Apachella - Salt

Vastaus:

Olemme tässä vaiheessa luoneet perusedellytykset Masterille ja Minione(ille). Ks. harjoitus 1

Luodaan Master-koneen kansioon /srv/salt state-tiedosto 0_create_indexhtml.sls komennolla sudo nano /srv/salt/0_create_indexhtml.sls ja täydennetään se sisällöllä:

# This is a Salt script for installing Apache HTTP daemon with
# default userdir configuration to minion computers
# Author: Pekka Helenius (~Fincer), 2018
#########################################
# Install Apache HTTP daemon to minions
install_httpd_daemon:
pkg.installed:
- pkgs:
- apache2
#########################################
# Enable Apache userdir module
httpd_userdir:
cmd.run:
- name: /usr/sbin/a2enmod userdir
- require:
- pkg: install_httpd_daemon
#########################################
# Replace default index.html content
httpd_foo-index:
cmd.run:
- name: /bin/echo "foo" > /var/www/html/index.html
- require:
- cmd: httpd_userdir
- pkg: install_httpd_daemon
#########################################
# Execute public_html script
execute_public_html:
cmd.script:
- name: salt://0_create_indexhtml.sh
- runas: root
#########################################
# Restart Apache HTTP daemon
httpd_service_restart_userdir:
service.running:
- name: apache2.service
- watch:
- cmd: httpd_userdir

Tiedoston oikeudet tulisi olla: u=rw, g=r, o=r (0644)

Harjoituksessa käytetään Debian-pohjaisia Xubuntu-käyttöjärjestelmiä (18.04 LTS).

Varmistetaan, että "orja" -alkuisiin orjakoneisiin (minions) saadaan yhteys suorittamalla master-koneella esim. komento:

[09/04/2018 22:01:26 - fincer: ~ ]$ sudo salt 'orja*' grains.item osrelease
orjakone:
----------
osrelease:
18.04

Luodaan master-koneelle seuraava shell-skripti /srv/salt/0_create_indexhtml.sh, joka tuottaa kaikille orjakoneen käyttäjille kansion public_html testisivuineen:

#!/bin/sh
# Find home folders of system users (who are using bash as their default shell)
for userhome in $(grep -E "\/bin\/bash" /etc/passwd | grep -v root | awk -F ':' '{print $(NF - 1)}'); do
# Create public_html for found user
if [ ! -d "${userhome}"/public_html ]; then
mkdir -p "${userhome}"/public_html
# Promote this user to be the owner of the created directory
chown $(stat --format "%u:%g" ${userhome}) "${userhome}"/public_html
# Touch default index file for testing purposes
echo "This is my test site. I am user $(stat --format \"%U\" ${userhome}). Happy coding!" > "${userhome}"/public_html/index.html
fi
done

Suoritetaan tehtävänannossa edellytetty Apache HTTP-daemonin asennus minion-koneille:

sudo salt 'orja*' state.apply 0_create_indexhtml

Esimerkki-output (masterilla):

[09/04/2018 21:45:41 - fincer: salt ]$ sudo salt 'orja*' state.apply 0_create_indexhtml
orjakone:
----------
ID: install_httpd_daemon
Function: pkg.installed
Result: True
Comment: All specified packages are already installed
Started: 03:06:06.583325
Duration: 377.198 ms
Changes:   
----------
ID: httpd_userdir
Function: cmd.run
Name: /usr/sbin/a2enmod userdir
Result: True
Comment: Command "/usr/sbin/a2enmod userdir" run
Started: 03:06:06.962361
Duration: 19.784 ms
Changes:   
----------
pid:
20406
retcode:
0
stderr:
stdout:
Module userdir already enabled
----------
ID: httpd_foo-index
Function: cmd.run
Name: /bin/echo "foo" > /var/www/html/index.html
Result: True
Comment: Command "/bin/echo "foo" > /var/www/html/index.html" run
Started: 03:06:06.982499
Duration: 3.978 ms
Changes:   
----------
pid:
20411
retcode:
0
stderr:
stdout:
----------
ID: execute_public_html
Function: cmd.script
Name: salt://0_create_indexhtml.sh
Result: True
Comment: Command 'salt://0_create_indexhtml.sh' run
Started: 03:06:06.986594
Duration: 415.176 ms
Changes:   
----------
pid:
20432
retcode:
0
stderr:
stdout:
----------
ID: httpd_service_restart_userdir
Function: service.running
Name: apache2.service
Result: True
Comment: Service restarted
Started: 03:06:07.435663
Duration: 124.998 ms
Changes:   
----------
apache2.service:
True
Summary for orjakone
------------
Succeeded: 5 (changed=4)
Failed:    0
------------
Total states run:     5
Total run time: 941.134 ms

Minion-koneelta voimme tarkastaa, onko kansio public_html ja tiedosto index.html luotu (esim. orjakone:en käyttäjälle fincer):

[09/04/2018 21:46:59 - fincer: salt ]$ sudo salt 'orjakone' cmd.run 'cat /home/fincer/public_html/index.html'
orjakone:
This is my test site. I am user "fincer". Happy coding!

c) Laita PHP toimimaan käyttäjien kotisivuilla - Salt (Huomaa, että PHP toimii oletuksena kaikkialla muualla kuin käyttäjien public_html-kotisivuilla.)

Vastaus:

Tehtävässä pitää orjakoneilta (minions) kytkeä PHP päälle userdir-moduulin kanssa editoimalla konfiguraatiotiedostoa /etc/apache2/mods-available/php*.conf (missä * on php-versio). Tämä vaihe voidaan tehdä kahdella tavalla:

• 1. Luodaan master-koneelle uusi konfiguraatiotiedosto (php*.conf) samalla sisällöllä, mutta kommentoidaan userdir-moduulin edellyttämät rivit tiedostosta (tiedostossa on selkeät ohjeet tähän)
• 2. Luodaan skripti, jonka tehtävänä on lisätä kommenttimerkit orjakoneiden php*.conf -tiedoston relevanttiin osioon

Molemmat vaihtoehdot määritetään suoritettavaksi master:lla Saltin state-tiedostossa. Toteutetaan vaihtoehto 2.

Luodaan master-koneella shell-skripti /srv/salt/1_enable_php-for-userdir.sh sisällöllä:

#!/bin/sh
# Enable PHP for userdir module in Apache
# Author: Pekka Helenius, 2018
PHP_CONF_FILE="$(ls /etc/apache2/mods-available/php*.conf)"
IFS="
"
for line in $(cat "${PHP_CONF_FILE}" | sed -n '/\<IfModule mod_userdir\.c>/,/\<\/IfModule>/p;/\<\/IfModule>/q'); do
sed_line=$(echo "${line}" | sed 's!\*!\\*!g;')
sed -ir "s!${sed_line}!#${sed_line}!" "${PHP_CONF_FILE}"
done
unset IFS

Luodaan master-koneella toinenkin shell-skripti /srv/salt/1_create_indexphp.sh seuraavalla sisällöllä:

#!/bin/sh
# Find home folders of system users (who are using bash as their default shell)
for userhome in $(grep -E "\/bin\/bash" /etc/passwd | grep -v root | awk -F ':' '{print $(NF - 1)}'); do
# Create public_html for found user
if [ ! -d "${userhome}"/public_html ]; then
mkdir -p "${userhome}"/public_html
# Promote this user to be the owner of the created directory
chown $(stat --format "%u:%g" ${userhome}) "${userhome}"/public_html
# Rename existing index.html if exists
if [ -f "${userhome}"/public_html/index.html ]; then
mv "${userhome}"/public_html/index.html "${userhome}"/public_html/index.html.old
fi
# Touch default index PHP file for testing purposes
echo "<?php print('This is PHP code. I am user $(stat --format \"%U\" ${userhome}). Happy coding!'); ?>" > "${userhome}"/public_html/index.php
fi
done

Luodaan master-koneelle state-määritystiedosto /srv/salt/1_create_indexphp.sls sisällöllä:

# Author: Pekka Helenius (~Fincer), 2018
#########################################
# Variables
# PHP module for Apache in Debian
{% set ENABLE_PHP_MODULE = "/usr/sbin/a2enmod $(a2query -m | awk '{print $1}' | grep php)" %}
{% set USERDIR_ENABLE_STATUS = "a2query -m | grep userdir | grep 'enabled by' &>/dev/null || /usr/sbin/a2enmod userdir" %}
#########################################
# Install PHP addons for Apache HTTP daemon (with dependencies)
install_httpd_php:
pkg.installed:
- pkgs:
- apache2
- libapache2-mod-php
#########################################
# Find if userdir module is enabled
check_userdir_status:
cmd.run:
- name: {{ USERDIR_ENABLE_STATUS }}
- require:
- pkg: install_httpd_php
#########################################
# Enable PHP for users
execute_userdir_php_script:
cmd.script:
- name: salt://apache/1_enable_php-for-userdir.sh
- runas: root
- require:
- cmd: check_userdir_status
add_indexphp_files:
cmd.script:
- name: salt://apache/1_create_indexphp.sh
- runas: root
- require:
- cmd: execute_userdir_php_script
#########################################
# Enable PHP module (should be done already, though)
enable_httpd_php:
cmd.run:
- name: {{ ENABLE_PHP_MODULE }}
#########################################
# Restart Apache HTTP daemon
httpd_service_restart_php:
service.running:
- name: apache2.service
- watch:
- cmd: check_userdir_status
- cmd: execute_userdir_php_script

Esimerkki-output master-koneella:

[09/04/2018 23:13:27 - fincer: ~ ]$ sudo salt 'orjakone' state.apply 1_create_indexphp
orjakone:
----------
ID: install_httpd_php
Function: pkg.installed
Result: True
Comment: All specified packages are already installed
Started: 03:12:05.777863
Duration: 387.502 ms
Changes:   
----------
ID: check_userdir_status
Function: cmd.run
Name: a2query -m | grep userdir | grep 'enabled by' &>/dev/null || /usr/sbin/a2enmod userdir
Result: True
Comment: Command "a2query -m | grep userdir | grep 'enabled by' &>/dev/null || /usr/sbin/a2enmod userdir" run
Started: 03:12:06.167690
Duration: 37.4 ms
Changes:   
----------
pid:
20663
retcode:
0
stderr:
stdout:
userdir (enabled by site administrator)
----------
ID: execute_userdir_php_script
Function: cmd.script
Name: salt://1_enable_php-for-userdir.sh
Result: True
Comment: Command 'salt://1_enable_php-for-userdir.sh' run
Started: 03:12:06.206077
Duration: 192.94 ms
Changes:   
----------
pid:
20690
retcode:
0
stderr:
stdout:
----------
ID: add_indexphp_files
Function: cmd.script
Name: salt://1_create_indexphp.sh
Result: True
Comment: Command 'salt://1_create_indexphp.sh' run
Started: 03:12:06.399689
Duration: 142.251 ms
Changes:   
----------
pid:
20734
retcode:
0
stderr:
stdout:
----------
ID: enable_httpd_php
Function: cmd.run
Name: /usr/sbin/a2enmod $(a2query -m | awk '{print $1}' | grep php)
Result: True
Comment: Command "/usr/sbin/a2enmod $(a2query -m | awk '{print $1}' | grep php)" run
Started: 03:12:06.542066
Duration: 68.876 ms
Changes:   
----------
pid:
20741
retcode:
0
stderr:
stdout:
Considering dependency mpm_prefork for php7.2:
Considering conflict mpm_event for mpm_prefork:
Considering conflict mpm_worker for mpm_prefork:
Module mpm_prefork already enabled
Considering conflict php5 for php7.2:
Module php7.2 already enabled
----------
ID: httpd_service_restart_php
Function: service.running
Name: apache2.service
Result: True
Comment: Service restarted
Started: 03:12:06.635009
Duration: 87.188 ms
Changes:   
----------
apache2.service:
True
Summary for orjakone
------------
Succeeded: 6 (changed=5)
Failed:    0
------------
Total states run:     6
Total run time: 916.157 ms

d) Rakenna tila (state), joka tekee Apachelle uuden nimipohjaisen virtuaalipalvelimen (name based virtual hosting). Voit simuloida nimipalvelun toimintaa hosts-tiedoston avulla.

Vastaus:

HUOM! Tämän olisi voinut tehdä myös luomalla esim. index.html- ja sivustokonfiguraatiotiedostot masterilla, josta ne siirrettäisiin minioneille (file). Nämä määritykset tehdään state-tiedostossa, luonnollisesti. Paljon parempi tapa, jos on esimerkiksi tarkoitus laittaa juuri samansisältöinen /etc/apache2/sites-available/*.conf -tiedosto/template ja samansisältöinen, masterilta päivitettävissä oleva index.html -tiedosto minioneille. Tein nyt huvikseni seuraavalla tavalla, vaikka tiedän, ettei se nyt ihan nappiin menekkään.

Luodaan master-koneen /srv/salt/ -kansioon state/konfiguraatiotiedosto apache_virtualhost_example.sls sisällöllä:

# Author: Pekka Helenius (~Fincer), 2018
#########################################
# Install Apache HTTP daemon to minions
install_httpd_daemon:
pkg.installed:
- pkgs:
- apache2
#########################################
copy_httpd_defaultsite:
cmd.run:
- name: '[ ! -f /etc/apache2/sites-available/$(hostname)-example.conf ] && cd /etc/apache2/sites-available && cp 000-default.conf $(hostname)-example.conf || false'
- require:
- pkg: install_httpd_daemon
create_site_rootdir:
cmd.run:
- name: /bin/mkdir -p /var/www/html/$(hostname)
- require:
- pkg: install_httpd_daemon
enable_httpd_servername:
cmd.run:
- name: /bin/sed -i "s/#ServerName www\.example\.com/ServerName $(hostname).example.com/" /etc/apache2/sites-available/$(hostname)-example.conf
- require:
- cmd: copy_httpd_defaultsite
change_defaultsite_root:
cmd.run:
- name: /bin/sed -i "s/DocumentRoot \/var\/www\/html/DocumentRoot \/var\/www\/html\/$(hostname)/" /etc/apache2/sites-available/$(hostname)-example.conf
- require:
- cmd: enable_httpd_servername
enable_httpd_defaultsite:
cmd.run:
- name: /usr/sbin/a2ensite $(hostname)-example.conf
- require:
- cmd: change_defaultsite_root
- cmd: copy_httpd_defaultsite
- pkg: install_httpd_daemon 
add_virtualhost_string:
cmd.run:
- name: /bin/echo "127.0.0.1 $(hostname).example.com" > /etc/hosts
- require:
- cmd: enable_httpd_defaultsite
add_defaultsite_indexfile:
cmd.run:
- name: '[ ! -f /var/www/html/$(hostname)/index.html ] && /bin/echo "This is default HTML template for $(hostname) ($(hostname).example.com), created on $(date \"+%d-%m-%Y at %X\")" > /var/www/html/$(hostname)/index.html'
- require:
- cmd: create_site_rootdir
- cmd: add_virtualhost_string
- cmd: enable_httpd_defaultsite
restart_httpd_service:
service.running:
- name: apache2.service
- watch:
- cmd: enable_httpd_defaultsite
- cmd: add_defaultsite_indexfile

Ajetaan em. state masterilta minion-koneelle nimeltä "orjakone" (vain tälle yhdelle koneelle, ei muita orjia nyt!):

[10/04/2018 00:13:12 - fincer: ~ ]$ sudo salt 'orjakone' state.apply apache_virtualhost_example
orjakone:
----------
ID: install_httpd_daemon
Function: pkg.installed
Result: True
Comment: All specified packages are already installed
Started: 05:20:27.160570
Duration: 360.254 ms
Changes:   
----------
ID: copy_httpd_defaultsite
Function: cmd.run
Name: [ ! -f /etc/apache2/sites-available/$(hostname)-example.conf ] && cd /etc/apache2/sites-available && cp 000-default.conf $(hostname)-example.conf || false
Result: False
Comment: Command "[ ! -f /etc/apache2/sites-available/$(hostname)-example.conf ] && cd /etc/apache2/sites-available && cp 000-default.conf $(hostname)-example.conf || false" run
Started: 05:20:27.522609
Duration: 4.361 ms
Changes:   
----------
pid:
22444
retcode:
1
stderr:
stdout:
----------
ID: create_site_rootdir
Function: cmd.run
Name: /bin/mkdir -p /var/www/html/$(hostname)
Result: True
Comment: Command "/bin/mkdir -p /var/www/html/$(hostname)" run
Started: 05:20:27.527146
Duration: 3.26 ms
Changes:   
----------
pid:
22446
retcode:
0
stderr:
stdout:
----------
ID: enable_httpd_servername
Function: cmd.run
Name: /bin/sed -i "s/#ServerName www\.example\.com/ServerName $(hostname).example.com/" /etc/apache2/sites-available/$(hostname)-example.conf
Result: False
Comment: One or more requisite failed: apache_virtualhost_example.copy_httpd_defaultsite
Changes:   
----------
ID: change_defaultsite_root
Function: cmd.run
Name: /bin/sed -i "s/DocumentRoot \/var\/www\/html/DocumentRoot \/var\/www\/html\/$(hostname)/" /etc/apache2/sites-available/$(hostname)-example.conf
Result: False
Comment: One or more requisite failed: apache_virtualhost_example.enable_httpd_servername
Changes:   
----------
ID: enable_httpd_defaultsite
Function: cmd.run
Name: /usr/sbin/a2ensite $(hostname)-example.conf
Result: False
Comment: One or more requisite failed: apache_virtualhost_example.copy_httpd_defaultsite, apache_virtualhost_example.change_defaultsite_root
Changes:   
----------
ID: add_virtualhost_string
Function: cmd.run
Name: /bin/echo "127.0.0.1 $(hostname).example.com" > /etc/hosts
Result: False
Comment: One or more requisite failed: apache_virtualhost_example.enable_httpd_defaultsite
Changes:   
----------
ID: add_defaultsite_indexfile
Function: cmd.run
Name: [ ! -f /var/www/html/$(hostname)/index.html ] && /bin/echo "This is default HTML template for $(hostname) ($(hostname).example.com), created on $(date \"+%d-%m-%Y at %X\")" > /var/www/html/$(hostname)/index.html
Result: False
Comment: One or more requisite failed: apache_virtualhost_example.add_virtualhost_string, apache_virtualhost_example.enable_httpd_defaultsite
Changes:   
----------
ID: restart_httpd_service
Function: service.running
Name: apache2.service
Result: False
Comment: One or more requisite failed: apache_virtualhost_example.add_defaultsite_indexfile, apache_virtualhost_example.enable_httpd_defaultsite
Changes:   
Summary for orjakone
------------
Succeeded: 2 (changed=2)
Failed:    7
------------
Total states run:     9
Total run time: 367.875 ms

Hups! Epäonnistumisia, emämunaus. Ihan odotettua, sillä...

...epäonnistumiset johtuvat siitä, että olen määritellyt tietyt ID:t, kuten tässä tapauksessa ehkä kriittisimpänä copy_httpd_defaultsite:n, palauttamaan komennon suorittamisesta arvon false, mikäli mm. tiedosto $(hostname)-example.conf on jo olemassa. Koska kyseinen ID on riippuvuutena alemmille ID:ille, ja nämä ID:t edelleen riippuvuutena eteenpäin muille ID:lle, syntyy ketjureaktio, jossa epäonnistuneita tiloja tulee suuri määrä. Tässä tapauksessa 7 kpl. Tulos oli odotettu tässä konfiguraatiossa.

Orjakoneen selainnäkymässä (xdg-open http://$(hostname).example.com) ajettuna lopputulos näyttää tältä:

e) Tee tila, joka laittaa esimerkkikotisivun uusille käyttäjille. Voit laittaa esimerkkikotisivu /etc/skel/:iin, niin se tulee automaattisesti ‘adduser tero’ komennolla käyttäjiä luodessa.

Vastaus:

HUOM! Tämä on osittain tehtynä jo vastauksissa b) ja c) (Mitä on tehty: On luotu jokaiselle käyttäjälle index.html (b) ja PHP:n kytkemisen yhteydessä index.php (c))

HUOM! Tässä olisi voinut hyödyntää esim. kansiorakennetta /srv/salt/apache, jonne laitettu state-tiedostot. Nyt toimitaan vielä yksinkertaisemmalla pohjalla, minkä takia state-tiedostoissa esiintyy päällekkäisyyttä. Monimutkaisemmissa konfiguraatioissa puu-rakennetta olisi hyvä harkita (mandatory?).

Lisätään state 2_apache_skelsite.sls, joka lisää esimerkkikotisivun määriteltyjen minion-koneiden hakemistoon /etc/skel (teemme alihakemiston public_html tänne state-tiedostossa...):

# Author: Pekka Helenius (~Fincer), 2018
#########################################
# Install Apache HTTP daemon to minions
install_httpd_daemon:
pkg.installed:
- pkgs:
- apache2
#########################################
# Enable Apache userdir module
httpd_userdir:
cmd.run:
- name: /usr/sbin/a2enmod userdir
- require:
- pkg: install_httpd_daemon
#########################################
# Replace default index.html content
httpd_foo-index:
cmd.run:
- name: /bin/echo "foo" > /var/www/html/index.html
- require:
- cmd: httpd_userdir
- pkg: install_httpd_daemon
#########################################
# Restart Apache HTTP daemon
httpd_service_restart_skelsite:
service.running:
- name: apache2.service
- watch:
- cmd: httpd_userdir
#########################################
# Create /etc/skel/public_html
apache_add_skel_html_dir:
cmd.run:
- name: /bin/mkdir -p /etc/skel/public_html
- require:
- service: httpd_service_restart_skelsite
#########################################
# Add index.html
apache_default_userindex_file:
cmd.run:
- name: /bin/echo "Empty HTML template" > /etc/skel/public_html/index.html
- require:
- cmd: apache_add_skel_html_dir

Master-koneen output:

[10/04/2018 01:15:01 - fincer: ~ ]$ sudo salt 'orjakone' state.apply 2_apache_skelsite
orjakone:
----------
ID: install_httpd_daemon
Function: pkg.installed
Result: True
Comment: All specified packages are already installed
Started: 03:46:46.743389
Duration: 368.537 ms
Changes:   
----------
ID: httpd_userdir
Function: cmd.run
Name: /usr/sbin/a2enmod userdir
Result: True
Comment: Command "/usr/sbin/a2enmod userdir" run
Started: 03:46:47.113788
Duration: 21.611 ms
Changes:   
----------
pid:
21155
retcode:
0
stderr:
stdout:
Module userdir already enabled
----------
ID: httpd_foo-index
Function: cmd.run
Name: /bin/echo "foo" > /var/www/html/index.html
Result: True
Comment: Command "/bin/echo "foo" > /var/www/html/index.html" run
Started: 03:46:47.135793
Duration: 4.274 ms
Changes:   
----------
pid:
21160
retcode:
0
stderr:
stdout:
----------
ID: httpd_service_restart_skelsite
Function: service.running
Name: apache2.service
Result: True
Comment: Service restarted
Started: 03:46:47.161935
Duration: 103.555 ms
Changes:   
----------
apache2.service:
True
----------
ID: apache_add_skel_html_dir
Function: cmd.run
Name: /bin/mkdir -p /etc/skel/public_html
Result: True
Comment: Command "/bin/mkdir -p /etc/skel/public_html" run
Started: 03:46:47.265901
Duration: 73.066 ms
Changes:   
----------
pid:
21178
retcode:
0
stderr:
stdout:
----------
ID: apache_default_userindex_file
Function: cmd.run
Name: /bin/echo "Empty HTML template" > /etc/skel/public_html/index.html
Result: True
Comment: Command "/bin/echo "Empty HTML template" > /etc/skel/public_html/index.html" run
Started: 03:46:47.341257
Duration: 13.803 ms
Changes:   
----------
pid:
21185
retcode:
0
stderr:
stdout:
Summary for orjakone
------------
Succeeded: 6 (changed=5)
Failed:    0
------------
Total states run:     6
Total run time: 584.846 ms

Minion-koneelta tarkistusta (master-koneella katsottuna):

[10/04/2018 02:54:51 - fincer: ~ ]$ sudo salt 'orjakone' cmd.run '/bin/ls /etc/skel && [ -d /etc/skel/public_html ] && /bin/cat /etc/skel/public_html/*'
orjakone:
index.html
public_html
Empty HTML template

f) Eri asetukset. Tee Package-File-Service tilalla eri asetuksia kuin ne, mitä tehtiin tunnilla; ja eri kuin mitä teit/teet h2 muissa kohdissa. Voit muuttaa jotain toista asetusta samoista demoneista tai valita kokonaan eri demonit.

Vastaus:

Toteutetaan Knock daemonin (knockd - small port-knock daemon) -asennus.

Luodaan master-koneelle tiedosto /srv/salt/knockd.conf, joka annetaan valituille minioneille (asennetaan polkuun /etc/knockd.conf)

Haluttu knockd.conf:n sisältö (/srv/salt/knockd.conf):

[options]
UseSyslog
[openSSH]
sequence    = tcp:7065,udp:2431,tcp:421,tcp:4113
seq_timeout = 5
command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags    = syn
[closeSSH]
sequence    = tcp:4113,tcp:421,udp:2431,tcp:7065
seq_timeout = 5
command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags    = syn

Luodaan master-koneelle state-tiedosto /srv/salt/install_knockd.sls:

# Author: Pekka Helenius (~Fincer), 2018
#########################################
# Install Knock daemon to minions
check_ssh:
pkg.installed:
- pkgs:
- ssh
install_knockd:
pkg.installed:
- pkgs:
- knockd
# Deliver Knock daemon configuration file to minions
deliver_knockd-conf:
file.managed:
- name: /etc/knockd.conf
- user: root
- group: root
- mode: 644
- source: salt://knockd.conf
- require:
- pkg: install_knockd
# Do not proceed if any SSH sessions are open in minion's side. This is just to avoid any harmful effects
prevent_if_ssh_sessions_open:
cmd.run:
- name: 'if [ $(/bin/netstat -tnpa | grep "ESTABLISHED.*sshd" | wc -l) -gt 0 ]; then false; fi'
- require:
- pkg: check_ssh
# PROCEED ONLY IF NO SSH SESSIONS ARE OPEN
#
# Drop SSH port connections. Use port which is defined in minion's /etc/ssh/sshd_config file
drop_ssh_port:
cmd.run:
- name: /sbin/iptables -A INPUT -p tcp --dport $(grep -E ^[#P]+ort /etc/ssh/sshd_config | awk '{print $2}') -j DROP
- require:
- cmd: prevent_if_ssh_sessions_open
- pkg: check_ssh
- file: deliver_knockd-conf
# Change default SSH port 22 in minion's /etc/knockd.conf file:
post-configure_knockd-conf:
cmd.run:
- name: /bin/sed -i "s/dport 22/dport $(grep -E ^[#P]+ort /etc/ssh/sshd_config | awk '{print $2}')/" /etc/knockd.conf
- require:
- pkg: check_ssh
- file: deliver_knockd-conf
# Enable knockd daemon
enable_knockd_service:
cmd.run:
- name: /bin/systemctl enable knockd.service
- require:
- pkg: install_knockd
# Restart knockd daemon
restart_knockd_service:
service.running:
- name: knockd.service
- watch:
- cmd: post-configure_knockd-conf

Esimerkki-output master-koneella ajettuna:

[10/04/2018 06:17:11 - fincer: ~ ]$ sudo salt 'orjakone' state.apply install_knockd
orjakone:
----------
ID: check_ssh
Function: pkg.installed
Result: True
Comment: All specified packages are already installed
Started: 06:25:12.849731
Duration: 366.695 ms
Changes:   
----------
ID: install_knockd
Function: pkg.installed
Result: True
Comment: The following packages were installed/updated: knockd
Started: 06:25:13.216541
Duration: 53498.645 ms
Changes:   
----------
knockd:
----------
new:
0.7-1ubuntu1
old:
----------
ID: deliver_knockd-conf
Function: file.managed
Name: /etc/knockd.conf
Result: True
Comment: File /etc/knockd.conf updated
Started: 06:26:06.717147
Duration: 17.544 ms
Changes:   
----------
diff:
--- 
+++ 
@@ -1,15 +1,14 @@
[options]
-	UseSyslog
+    UseSyslog
[openSSH]
-	sequence    = 7000,8000,9000
-	seq_timeout = 5
-	command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
-	tcpflags    = syn
+    sequence    = tcp:7065,udp:2431,tcp:421,tcp:4113
+    seq_timeout = 5
+    command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
+    tcpflags    = syn
[closeSSH]
-	sequence    = 9000,8000,7000
-	seq_timeout = 5
-	command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
-	tcpflags    = syn
-
+    sequence    = tcp:4113,tcp:421,udp:2431,tcp:7065
+    seq_timeout = 5
+    command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
+    tcpflags    = syn
----------
ID: prevent_if_ssh_sessions_open
Function: cmd.run
Name: if [ $(/bin/netstat -tnpa | grep "ESTABLISHED.*sshd" | wc -l) -gt 0 ]; then false; fi
Result: True
Comment: Command "if [ $(/bin/netstat -tnpa | grep "ESTABLISHED.*sshd" | wc -l) -gt 0 ]; then false; fi" run
Started: 06:26:06.735404
Duration: 59.527 ms
Changes:   
----------
pid:
23916
retcode:
0
stderr:
stdout:
----------
ID: drop_ssh_port
Function: cmd.run
Name: /sbin/iptables -A INPUT -p tcp --dport $(grep -E ^[#P]+ort /etc/ssh/sshd_config | awk '{print $2}') -j DROP
Result: True
Comment: Command "/sbin/iptables -A INPUT -p tcp --dport $(grep -E ^[#P]+ort /etc/ssh/sshd_config | awk '{print $2}') -j DROP" run
Started: 06:26:06.795619
Duration: 457.367 ms
Changes:   
----------
pid:
23927
retcode:
0
stderr:
stdout:
----------
ID: post-configure_knockd-conf
Function: cmd.run
Name: /bin/sed -i "s/dport 22/dport $(grep -E ^[#P]+ort /etc/ssh/sshd_config | awk '{print $2}')/" /etc/knockd.conf
Result: True
Comment: Command "/bin/sed -i "s/dport 22/dport $(grep -E ^[#P]+ort /etc/ssh/sshd_config | awk '{print $2}')/" /etc/knockd.conf" run
Started: 06:26:07.253529
Duration: 16.545 ms
Changes:   
----------
pid:
23963
retcode:
0
stderr:
stdout:
----------
ID: enable_knockd_service
Function: cmd.run
Name: /bin/systemctl enable knockd.service
Result: True
Comment: Command "/bin/systemctl enable knockd.service" run
Started: 06:26:07.270551
Duration: 539.568 ms
Changes:   
----------
pid:
23968
retcode:
0
stderr:
stdout:
----------
ID: restart_knockd_service
Function: service.running
Name: knockd.service
Result: True
Comment: Started Service knockd.service
Started: 06:26:08.461999
Duration: 168.812 ms
Changes:   
----------
knockd.service:
True
Summary for orjakone
------------
Succeeded: 8 (changed=7)
Failed:    0
------------
Total states run:     8
Total run time:  55.125 s

Esimerkkikuva minion-koneen Knock daemonin konfiguraatiotiedostosta, jossa on vaihdettu porttinumero sen mukaan kuin se on määritelty minion-koneen SSH-asetuksissa: