meta data for this page
Differences
This shows you the differences between two versions of the page.
| Next revision | Previous revision | ||
|
aufsetzen_synology_server_dsm [2016/01/26 08:46] 192.168.1.201 created |
— (current) | ||
|---|---|---|---|
| Line 1: | Line 1: | ||
| - | ==== Einrichten der Synology DS1513+ ==== | ||
| - | |||
| - | - Ins Netzwerk hängen | ||
| - | - Reset-Knopf hinten drücken, 10 sec gedrückt halten währenddem vorne das Gerät eingeschaltet wird | ||
| - | | ||
| - | - über [[http:// | ||
| - | - Anmelden im Webbrowser, der durch den Synology Assistant oder manuell geöffnet wurde - nach dem Reset ist das Passwort leer | ||
| - | - Über Systemsteuerung - Aktualisierung& | ||
| - | * System startet neu, Webbrowser offen lassen | ||
| - | * Im Webbrowser (evtl. aktualisieren) erscheint jetzt ein Dialog, um alles zurückzusetzen | ||
| - | * alle Defaults übernehmen, | ||
| - | * QuickConnect-Einrichtung überspringen | ||
| - | * Keine statistischen Daten an Synology übermitteln | ||
| - | - Es erscheint nun eine Frage, ob der Status überprüft werden soll | ||
| - | * Ja und dahinter erscheint das Paketzentrum. Hier wird das Paket **MariaDB** installiert. | ||
| - | - Systemsteuerung - Dateidienste starten | ||
| - | * Arbeitsgruppen-Name ist VALAIR | ||
| - | * Mac-Dienste deaktivieren | ||
| - | * Übernehmen klicken | ||
| - | * Netzwerk, oben " | ||
| - | * Webbrowser wird automatisch auf neue Adresse umgeleitet | ||
| - | * Terminal & SNMP: | ||
| - | * ssh-Dienst aktivieren | ||
| - | * Übernehmen klicken | ||
| - | * Benachrichtigung einrichten und testen | ||
| - | - Unter Systemsteuerung - Gemeinsamer Ordner folgende Freigaben einrichten: | ||
| - | * transfer | ||
| - | * sekretariat | ||
| - | * verkauf | ||
| - | * werkstatt | ||
| - | * produkte | ||
| - | * pbdh | ||
| - | * gl | ||
| - | * system | ||
| - | * dbmedia | ||
| - | - Benutzergruppen eröffnen | ||
| - | * haas | ||
| - | * gl | ||
| - | * egl | ||
| - | * verkauf | ||
| - | * werkstatt | ||
| - | * zugriff_0 | ||
| - | * zugriff_1 | ||
| - | * zugriff_5 | ||
| - | * zugriff_9 | ||
| - | - Benutzer eröffnen gemäss Passwortliste | ||
| - | - Kopieren der Daten ab Harddisk | ||
| - | * USB-Backup-Harddisk anhängen | ||
| - | * putty starten und Verbindung mit Server herstellen, anmelden als admin | ||
| - | * das USB-Laufwerk ist vermutlich unter / | ||
| - | * mit folgendem Befehl kann der gesamte Ordner-Inhalt in einen Ordner übertragen werden: | ||
| - | < | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | rsync -ah --progress / | ||
| - | </ | ||
| - | == Einrichten des MariaDB-Servers == | ||
| - | * Der DB-Server muss umkonfiguriert werden. Dazu muss ssh (putty) gestartet werden und wir müssen uns mit root anmelden. | ||
| - | * Anschliessend setzen wir die minimale Paketgrösse auf 64M, sonst können wir nicht mal die Bilder von | ||
| - | den Personen der Adress-Datenbank einlesen: | ||
| - | < | ||
| - | cat / | ||
| - | cat / | ||
| - | cp / | ||
| - | cp / | ||
| - | rm / | ||
| - | rm / | ||
| - | / | ||
| - | </ | ||
| - | |||
| - | Zudem: | ||
| - | < | ||
| - | skip-name-resolve | ||
| - | skip-host-cache und | ||
| - | lower_case_table_names=1 | ||
| - | | ||
| - | log-bin | ||
| - | binlog-format=MIXED | ||
| - | </ | ||
| - | eintragen! | ||
| - | Das ist die absolute minimale Konfiguration. Es könnten bessere Resultate erreicht werden, wenn ein Fachmann noch etwas optimieren würde... | ||
| - | Nun ist noch der Zugriff auf die dbmedia-Verzeichnisse zu ermöglichen. Dazu wird der User mysql mittels vi in die Datei /etc/groups unter der Gruppe zugriff_0 eingetragen. | ||
| - | |||
| - | == Rückspielen des MariaDB Backups == | ||
| - | * Jeden Tag wird ein Fulltext-Backup der gesamten Datenbank inklusive aller Benutzer erstellt und im Freigabeordner system abgelegt. Diesen kann man mit einem einzigen Befehl zurückholen: | ||
| - | * Ist noch kein root-Passwort in MariaDB festgelegt, dann so: < | ||
| - | * sonst < | ||
| - | * Das root-Passwort ist nun sofort gesetzt, da alle Passwörter aus dem Backup übernommen wurden. | ||
| - | * Anschliessend muss die Datenbank auf den neusten MariaDB-Stand gebracht werden, falls bisher eine ältere Version eingesetzt wurde, mit < | ||
| - | == Backup einrichten == | ||
| - | * Um den freien Zugang zum Hauptserver zu erlangen, muss ein privater SSL-Key erstellt werden und dieser muss auf den anderen Server übertragen werden:< | ||
| - | cd ~ | ||
| - | haasdb-keygen -t rsa | ||
| - | </ | ||
| - | * (alle Default-Werte übernehmen --> in ~/haasdb/ entstehen ein id_rsa.pub als öffentlicher Schlüssel und ein id_rsa als privater Schlüssel. | ||
| - | * Der öffentliche Schlüssel muss nun zum anderen Server übertragen werden und dort in die Datei / | ||
| - | scp haasdb/ | ||
| - | haasdb root@portal.haas-ag.ch | ||
| - | cat id_rsa.pub >> haasdb/ | ||
| - | rm id_rsa.pub | ||
| - | exit | ||
| - | </ | ||
| - | * Nun muss der eigene private Schlüssel noch geschützt werden:< | ||
| - | chmod o-r-w-x haasdb/ | ||
| - | chmod g-r-w-x haasdb/ | ||
| - | </ | ||
| - | * Wenn jetzt noch einmalhaasdb root@portal.haas-ag.ch aufgerufen wird, sollte das Login sofort und ohne Passwort möglich sein | ||
| - | * Nun muss das Backup-Script in / | ||
| - | * Wenn alles ok ist, kann das Script zeitgesteuert ausgeführt werden: | ||
| - | * Systemsteuerung - Aufgabenplaner - Erstellen - Benutzerdefiniertes Script | ||
| - | * Vorgang: Backup von Server XXX | ||
| - | * Benutzer: | ||
| - | * Script: / | ||
| - | == Absicherung == | ||
| - | * Systemsteuerung | ||
| - | * Webdienste | ||
| - | * Web Station aktivieren | ||
| - | * HTTPS-Verbindung für Webdienste aktivieren | ||
| - | * Zertifikate | ||
| - | * Zertifikat erstellen (mehr oder weniger sinnvolle Angaben eingeben) | ||
| - | * Systemsteuerung | ||
| - | * Netzwerk | ||
| - | * DSM-Einstellungen: | ||
| - | * Port 7245 und 7246 setzen | ||
| - | * Umleitung auf HTTPS-Port erzwingen | ||
| - | * Benutzer | ||
| - | * Einstellungen | ||
| - | * Kennwort-Regeln festlegen | ||
| - | * Systemsteuerung | ||
| - | * Terminal und SNMP | ||
| - | * haasdb-Port auf 2233 festlegen | ||
| - | == MariaDB mit Zertifikat ausstatten und Benutzerkonten umstellen == | ||
| - | Siehe auch [[vorgehen_nach_update_mariadb-package|Vorgehen nach Update MariaDB-Package]] | ||
| - | * Issuer-Zertifikat und Server-Zertifikat erstellen | ||
| - | < | ||
| - | cd /etc/mysql | ||
| - | [ -e certs ] && rm -Rf certs | ||
| - | mkdir certs | ||
| - | cd certs | ||
| - | openssl genrsa 2048 > ca-key.pem | ||
| - | openssl req -new -x509 -nodes -days 3600 \ | ||
| - | -key ca-key.pem -out ca-cert.pem -subj '/ | ||
| - | openssl req -newkey rsa:2048 -days 3600 \ | ||
| - | | ||
| - | openssl rsa -in server-key.pem -out server-key.pem | ||
| - | openssl x509 -req -in server-req.pem -days 3600 \ | ||
| - | -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem | ||
| - | |||
| - | Die ca-cert.pem ist für die Clients bestimmt und wird nach / | ||
| - | cp ca-cert.pem / | ||
| - | |||
| - | Ebenso wichtig ist es nun, die Zertifikate in die / | ||
| - | ssl | ||
| - | ssl-ca = / | ||
| - | ssl-cert = / | ||
| - | ssl-key = / | ||
| - | </ | ||
| - | * Anschliessend unbedingt mysql neu starten: | ||
| - | < | ||
| - | / | ||
| - | </ | ||
| - | * Nun werden die Zertifikate für alle Datenbank-User erstellt. Dazu verwenden wir die Tabelle personal als Referenz: | ||
| - | < | ||
| - | echo "# | ||
| - | mysql -Nsr -uroot -p -Dhaas >>/ | ||
| - | SELECT CONCAT( | ||
| - | '# ****** ', login_user, ' | ||
| - | '[ -e / | ||
| - | 'mkdir / | ||
| - | ' | ||
| - | login_user, | ||
| - | '/ | ||
| - | login_user, | ||
| - | '/ | ||
| - | REPLACE(IFNULL(text_1, | ||
| - | '/ | ||
| - | ' | ||
| - | login_user, | ||
| - | '/ | ||
| - | login_user, | ||
| - | '/ | ||
| - | ' | ||
| - | login_user, | ||
| - | '/ | ||
| - | login_user, | ||
| - | '/ | ||
| - | 'chown -R ', login_user, ': | ||
| - | FROM personal p join mysql.user u on u.user = p.login_user and u.host = ' | ||
| - | EOF | ||
| - | |||
| - | chmod u+x / | ||
| - | / | ||
| - | rm / | ||
| - | </ | ||
| - | * Nun werden die Benutzer umgestellt. Bisher meldete sich xyz mit einem Password pw_xyz an. Neu darf er sich, sofern er aus dem internen Netz kommt und SSL-zertifiziert ist, ohne Passwort anmelden. Kommt er jedoch von aussen, dann soll er sich mit dem bisherigen Passwort anmelden. Ohne SSL-Zertifikat darf er sich hingegen gar nie mehr anmelden. | ||
| - | * Dazu müssen zuerst die Benutzer von % auf 192.168.1.% umgestellt werden mit | ||
| - | < | ||
| - | mysql -uroot -p -e" | ||
| - | mysql -Nsr -uroot -p -Dhaas >/ | ||
| - | SELECT CONCAT( | ||
| - | ' | ||
| - | login_user, | ||
| - | ' | ||
| - | IFNULL(text_1, | ||
| - | '/ | ||
| - | 'set password for \'', | ||
| - | ' | ||
| - | login_user, | ||
| - | ' | ||
| - | REPLACE(IFNULL(text_1, | ||
| - | '/ | ||
| - | 'set password for \'', | ||
| - | FROM personal p join mysql.user u on u.user = p.login_user and u.host = ' | ||
| - | EOF | ||
| - | |||
| - | mysql -uroot -p </ | ||
| - | |||
| - | rm / | ||
| - | </ | ||
| - | |||
| - | == IPKG installieren == | ||
| - | Mit IPKG können verschiedene von Synology nicht selber unterstützte Packages installiert werden. Für die Duplikate-Suche haben wir das Paket fdupes installiert. Dazu haben wir folgende Anleitung im Netz befolgt: [[https:// | ||
| - | |||
| - | |||
| - | == Mailserver installieren == | ||
| - | Damit die Datenbank nächtlich ihre E-Mails rumschicken kann (Check-e-Mails etc.) muss der Mailserver installiert sein. Dazu das Package Mail-Server installieren und anschliessend einen Hostnamen (server04.haas-ag.ch) eintragen. | ||
| - | |||
| - | |||
| - | |||
| - | |||
| - | |||