Debian Template: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(13 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 4: Zeile 4:
  
 
= Mindestvorraussetzungen für Hardware =
 
= Mindestvorraussetzungen für Hardware =
 +
;Daten
 +
* 1 CPU
 +
* 2 GB RAM
 +
* 20 GB Festplattenspeicher
 +
;Layout
 +
* /dev/sda1 / 20G
  
−
* 1 CPU
+
=Benutzer=
−
* 1 GB RAM
+
*user: kit
−
* 10 GB Festplattenspeicher
+
*pass: kit
 +
*admin: root
 +
*pass: radler
  
 
= Installationsoptionen =
 
= Installationsoptionen =
Zeile 14: Zeile 22:
  
 
= Einrichtung =
 
= Einrichtung =
−
* Für eine angenehme Schriftgröße kann der Befehl '''dpkg-reconfigure console-setup''' benutzt werden, um diese auf den Bildschirm anzupassen
+
Für eine angenehme Schriftgröße kann der Befehl '''dpkg-reconfigure console-setup''' benutzt werden, um diese auf den Bildschirm anzupassen
−
* Diese Pakete sollte man nachzuinstallieren, um auf der Kommandozeile arbeiten zu können
+
 
−
* '''apt install vim sudo git curl tcpdump nmap'''
+
Diese Pakete sollte man nachzuinstallieren, um auf der Kommandozeile arbeiten zu können
−
* Der Standardeditor sollte auf ''vim.basic'' gestellt werden
+
*'''apt install vim sudo git curl tcpdump nmap'''
−
* '''update-alternatives --config editor'''
+
 
−
* Falls ein Benutzer passwortlos zum root-Nutzer werden darf, muss dieser in der ''sudo''-Gruppe sein und die ''/etc/sudoers''-Datei angepasst werden
+
Falls ein Benutzer passwortlos zum root-Nutzer werden darf, muss dieser in der ''sudo''-Gruppe sein und die ''/etc/sudoers''-Datei angepasst werden
−
* '''gpasswd -a ''user'' sudo'''
+
*'''usermod -aG sudo kit'''
 
* sicheres Bearbeiten der ''/etc/sudoers''-Datei
 
* sicheres Bearbeiten der ''/etc/sudoers''-Datei
−
* '''visudo'''
+
*'''visudo'''
  
 
  # Kein Check des Hostnamens nötig
 
  # Kein Check des Hostnamens nötig
Zeile 32: Zeile 40:
 
  # Neuer Eintrag
 
  # Neuer Eintrag
 
  %sudo  ALL=(ALL:ALL) NOPASSWD:ALL
 
  %sudo  ALL=(ALL:ALL) NOPASSWD:ALL
 +
=Wer will darf vim benutzen=
 +
*sudo update-alternatives --config editor
 +
 +
= Automatische SSH-Hostschlüssel nur auf dem Template erzeugen =
 +
 +
Damit nicht alle Klone des Templates dieselben SSH-Hostschlüssel verwenden, sollen die Schlüssel nur dann neu erzeugt werden, wenn der Hostname ''debian-template'' ist. Dies wird beim Start automatisch über einen ExecStartPre-Hook im ssh.service erledigt.
 +
 +
== Skript zur Erzeugung der Schlüssel ==
  
−
= Automatische Generation neuer Schlüssel des SSH-Hosts =
+
Datei: /usr/local/sbin/new-ssh-host-keys
−
* Damit nicht alle Klone der Vorlage über diesselbe Identifikation verfügen, löschen wir die Schlüssel der Vorlage und generieren diese bei Bedarf neu
 
−
* '''cd ''/etc/ssh'' '''
 
−
* '''rm -vi ''ssh_host_*'' '''
 
−
* Anschließend erstellen wir ein einfaces Skript für die Generation der Schlüssel falls sie fehlen
 
−
* '''vim ''/usr/local/sbin/new-ssh-host-keys'' '''
 
  
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
 
#!/bin/bash
 
#!/bin/bash
−
ssh_dir="/etc/ssh"
 
−
ls $ssh_dir/ssh_host_* > /dev/null 2>&1 || exit 0
 
  
−
cd $ssh_dir && ssh-keygen -A
+
template_name="debian-template"
 +
current_host=$(hostname -s)
 +
 
 +
if [ "$current_host" = "$template_name" ]; then
 +
    echo "Template erkannt – SSH-Hostschlüssel werden neu erzeugt."
 +
    rm -f /etc/ssh/ssh_host_*
 +
    ssh-keygen -A
 +
else
 +
    echo "Nicht das Template – keine Änderung."
 +
fi
 
</syntaxhighlight>
 
</syntaxhighlight>
  
−
* '''chmod +x ''/usr/local/sbin/new-ssh-host-keys'' '''
+
* '''chmod +x /usr/local/sbin/new-ssh-host-keys'''
−
* Jetzt muss [[:Kategorie:systemd|systemd]] so angepasst werden, dass der '''ssh.service''' vor dem Start dieses Skript ausführt
 
−
* Dazu erstellen wir einen weiteren Dienst
 
−
* '''systemctl edit --full --force new-ssh-host-keys.service'''
 
  
−
[Unit]
+
== systemd-Dienst anpassen ==
−
Description=Neue Schlüssel des SSH-Hosts nach dem Klonen
 
−
Wants=basic.target
 
−
 
−
[Service]
 
−
ExecStart=/usr/local/sbin/new-ssh-host-keys
 
−
Type=oneshot
 
−
 
−
[Install]
 
−
WantedBy=ssh.service
 
  
−
* Die Option ''Type=oneshot'' sorgt dafür, dass der Befehl komplett ausgeführt wurde, bevor '''ssh.service''' startet
 
−
* '''systemctl enable new-ssh-host-keys.service'''
 
−
* Der Dienst '''ssh.service''' sollte nun warten bis der Dienst '''new-ssh-host-keys.service''' fertig ist
 
 
* '''systemctl edit ssh.service'''
 
* '''systemctl edit ssh.service'''
  
−
...
+
Folgendes ergänzen:
−
[Unit]
+
 
−
After=network.target auditd.service new-ssh-host-keys.service
+
<pre>
−
...
+
[Service]
 +
ExecStartPre=/usr/local/sbin/new-ssh-host-keys
 +
</pre>
 +
 
 +
* '''systemctl daemon-reexec'''
  
−
* Nun sollte jeder Boot zu neuen Schlüssel des SSH-Hosts führen
+
=CA ziehen=
 +
*wget https://web.samogo.de/certs/ca.crt
 +
*sudo cp ca.crt /usr/local/share/ca-certificates/
 +
*sudo update-ca-certificates
 +
Updating certificates in /etc/ssl/certs...
 +
rehash: warning: skipping ca-certificates.crt,it does not contain exactly one certificate or CRL
 +
1 added, 0 removed; done.
 +
Running hooks in /etc/ca-certificates/update.d...
 +
done.
 +
=Setup Script=
 +
*cd /usr/local/sbin/
 +
*wget https://xinux.de/downloads/script/debian-setup.sh
 +
*chmod +x debian-setup.sh

Aktuelle Version vom 23. Juli 2025, 13:16 Uhr

Anleitung für das Erstellen einer Vorlage für einfache Debian-Server zum Testen.

Mindestvorraussetzungen für Hardware

Daten
  • 1 CPU
  • 2 GB RAM
  • 20 GB Festplattenspeicher
Layout
  • /dev/sda1 / 20G

Benutzer

  • user: kit
  • pass: kit
  • admin: root
  • pass: radler

Installationsoptionen

  • Falls bei einem Menü nach dem Installieren einer graphischen Oberfläche gefragt wird, sollten die Haken dafür entnommen werden
  • Die Installation eines SSH-Servers sollte aber angekreuzt werden

Einrichtung

Für eine angenehme Schriftgröße kann der Befehl dpkg-reconfigure console-setup benutzt werden, um diese auf den Bildschirm anzupassen

Diese Pakete sollte man nachzuinstallieren, um auf der Kommandozeile arbeiten zu können

  • apt install vim sudo git curl tcpdump nmap

Falls ein Benutzer passwortlos zum root-Nutzer werden darf, muss dieser in der sudo-Gruppe sein und die /etc/sudoers-Datei angepasst werden

  • usermod -aG sudo kit
  • sicheres Bearbeiten der /etc/sudoers-Datei
  • visudo
# Kein Check des Hostnamens nötig
# Das macht nur Probleme beim Ändern des Hostnamens
Defaults !fqdn
...
# Alter Eintrag
# %sudo   ALL=(ALL:ALL) ALL
# Neuer Eintrag
%sudo   ALL=(ALL:ALL) NOPASSWD:ALL

Wer will darf vim benutzen

  • sudo update-alternatives --config editor

Automatische SSH-Hostschlüssel nur auf dem Template erzeugen

Damit nicht alle Klone des Templates dieselben SSH-Hostschlüssel verwenden, sollen die Schlüssel nur dann neu erzeugt werden, wenn der Hostname debian-template ist. Dies wird beim Start automatisch über einen ExecStartPre-Hook im ssh.service erledigt.

Skript zur Erzeugung der Schlüssel

Datei: /usr/local/sbin/new-ssh-host-keys 

#!/bin/bash

template_name="debian-template"
current_host=$(hostname -s)

if [ "$current_host" = "$template_name" ]; then
    echo "Template erkannt – SSH-Hostschlüssel werden neu erzeugt."
    rm -f /etc/ssh/ssh_host_*
    ssh-keygen -A
else
    echo "Nicht das Template – keine Änderung."
fi
  • chmod +x /usr/local/sbin/new-ssh-host-keys

systemd-Dienst anpassen

  • systemctl edit ssh.service

Folgendes ergänzen: 

[Service]
ExecStartPre=/usr/local/sbin/new-ssh-host-keys
  • systemctl daemon-reexec

CA ziehen

Updating certificates in /etc/ssl/certs...
rehash: warning: skipping ca-certificates.crt,it does not contain exactly one certificate or CRL
1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d...
done.

Setup Script

Abgerufen von „http://wiki.ixheim.de/index.php?title=Debian_Template&oldid=63949“