1085 lines
86 KiB
Bash
1085 lines
86 KiB
Bash
#!/usr/bin/env bash
|
||
# =============================================================================
|
||
# demo-setup.sh v5 — помощник настройки учебного стенда ДЭ 09.02.06
|
||
# «Сетевое и системное администрирование». Целевая ОС: RED OS 8.
|
||
# Написан заново: NetworkManager (nmcli), firewalld, SELinux остаются включены.
|
||
#
|
||
# bash demo-setup.sh справка, ничего не меняет
|
||
# bash demo-setup.sh --dry-run меню; команды только показываются
|
||
# sudo bash demo-setup.sh --apply меню; команды выполняются
|
||
#
|
||
# Скрипт копируется на каждую ВМ вместе с demo-setup.conf. На ВМ выбираете
|
||
# её машину, затем отдельный пункт или весь модуль (М1/М2/М3).
|
||
# Перед применением сделайте снимок ВМ и работайте из консоли гипервизора.
|
||
# =============================================================================
|
||
set -o pipefail
|
||
VERSION=4.0
|
||
SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
|
||
CONF="${DEMO_CONF:-$SCRIPT_DIR/demo-setup.conf}"
|
||
LOG=/var/log/demo-setup.log
|
||
MODE=help
|
||
case ${1:-} in
|
||
--apply) MODE=apply ;; --dry-run|-n) MODE=dry ;; -h|--help|"") MODE=help ;;
|
||
*) echo "Неизвестный параметр: $1 (см. --help)" >&2; exit 2 ;;
|
||
esac
|
||
DRY=0; [[ $MODE == dry ]] && DRY=1
|
||
|
||
# ------------------------- параметры по умолчанию ----------------------------
|
||
DOMAIN=au-team.irpo
|
||
TZ_NAME=Asia/Yekaterinburg
|
||
SSH_USER=sshuser; SSH_UID=2027; SSH_PORT=2027
|
||
ADM_USER=net_admin
|
||
BANNER_TEXT='Authorized access only'
|
||
DNS_FWD=77.88.8.7; DNS_FWD2=77.88.8.3
|
||
NTP_UPSTREAM=pool.ntp.org
|
||
ISO_SRC=/dev/sr0; ISO_DIR=/mnt/additional
|
||
AD_WORKGROUP=AU-TEAM; AD_ADMIN=Administrator
|
||
CLI_SSH_USER=sshuser; CLI_SSH_PORT=22
|
||
RAID_LEVEL=0; RAID_MOUNT=/raid
|
||
APP_INNER_PORT=8000
|
||
CERT_ALG=rsa
|
||
# WAN
|
||
ISP_HQ_IP=172.16.1.1; HQ_RTR_WAN_IP=172.16.1.2; HQ_WAN_PFX=28
|
||
ISP_BR_IP=172.16.2.1; BR_RTR_WAN_IP=172.16.2.2; BR_WAN_PFX=28
|
||
# HQ
|
||
VLAN_SRV=100; VLAN_CLI=200; VLAN_MGMT=999
|
||
SRV_NET=192.168.100.0; SRV_PFX=27; HQ_RTR_SRV_IP=192.168.100.1; HQ_SRV_IP=192.168.100.2
|
||
CLI_NET=192.168.200.0; CLI_PFX=28; HQ_RTR_CLI_IP=192.168.200.1
|
||
DHCP_START=192.168.200.2; DHCP_END=192.168.200.14; HQ_CLI_IP=192.168.200.2; HQ_CLI_MAC=
|
||
MGMT_NET=192.168.99.0; MGMT_PFX=29; HQ_RTR_MGMT_IP=192.168.99.1; HQ_SW_MGMT_IP=192.168.99.2
|
||
# BR
|
||
FW_NET=192.168.10.0; FW_PFX=30; BR_RTR_FW_IP=192.168.10.1; BR_FW_IP=192.168.10.2
|
||
BR_NET=192.168.20.0; BR_PFX=28; BR_FW_LAN_IP=192.168.20.1; BR_SRV_IP=192.168.20.2
|
||
# GRE / OSPF
|
||
GRE_IF=gre1; GRE_NET=10.10.10.0; GRE_PFX=30; HQ_GRE_IP=10.10.10.1; BR_GRE_IP=10.10.10.2
|
||
OSPF_FW_AUTH=no
|
||
# DNS: имя=IP или имя=IP:ptr через пробел (пусто = по умолчанию)
|
||
DNS_RECORDS=
|
||
WEB_DNS_IP=; DOCKER_DNS_IP=
|
||
# Интерфейсы (запрашиваются при первой настройке)
|
||
ISP_WAN_IF=; ISP_HQ_IF=; ISP_BR_IF=
|
||
HQ_RTR_WAN_IF=; HQ_RTR_LAN_IF=; BR_RTR_WAN_IF=; BR_RTR_LAN_IF=
|
||
BR_FW_WAN_IF=; BR_FW_LAN_IF=; HQ_SW_UP_IF=; HQ_SW_SRV_IF=; HQ_SW_CLI_IF=
|
||
HQ_SRV_IF=; BR_SRV_IF=; HQ_CLI_IF=
|
||
|
||
# Описание параметров: ПЕРЕМЕННАЯ|тип|подпись. Типы: ip ipo pfx port int name text yn alg list if
|
||
PARAMS=(
|
||
"DOMAIN|name|Домен" "TZ_NAME|text|Часовой пояс" "SSH_USER|name|Пользователь серверов"
|
||
"SSH_UID|int|UID пользователя серверов" "SSH_PORT|port|Порт SSH серверов" "ADM_USER|name|Пользователь маршрутизаторов"
|
||
"BANNER_TEXT|text|Баннер SSH" "DNS_FWD|ip|DNS-форвардер 1" "DNS_FWD2|ipo|DNS-форвардер 2 (можно пусто)"
|
||
"NTP_UPSTREAM|text|Внешний NTP для ISP (пусто = нет)" "ISO_SRC|text|Additional.iso: устройство или файл" "ISO_DIR|text|Точка монтирования ISO"
|
||
"AD_WORKGROUP|name|NetBIOS-имя домена" "AD_ADMIN|name|Администратор домена"
|
||
"CLI_SSH_USER|name|Пользователь HQ-CLI для Ansible" "CLI_SSH_PORT|port|Порт SSH HQ-CLI"
|
||
"RAID_LEVEL|int|Уровень RAID" "RAID_MOUNT|text|Точка монтирования RAID" "APP_INNER_PORT|port|Внутренний порт testapp" "CERT_ALG|alg|Сертификаты (rsa/gost)"
|
||
"ISP_HQ_IP|ip|ISP: IP в сторону HQ" "HQ_RTR_WAN_IP|ip|HQ-RTR: WAN IP" "HQ_WAN_PFX|pfx|Префикс ISP–HQ"
|
||
"ISP_BR_IP|ip|ISP: IP в сторону BR" "BR_RTR_WAN_IP|ip|BR-RTR: WAN IP" "BR_WAN_PFX|pfx|Префикс ISP–BR"
|
||
"VLAN_SRV|int|VLAN серверов" "VLAN_CLI|int|VLAN клиентов" "VLAN_MGMT|int|VLAN управления"
|
||
"SRV_NET|ip|Сеть серверов" "SRV_PFX|pfx|Префикс сети серверов" "HQ_RTR_SRV_IP|ip|HQ-RTR в VLAN серверов" "HQ_SRV_IP|ip|HQ-SRV"
|
||
"CLI_NET|ip|Сеть клиентов" "CLI_PFX|pfx|Префикс сети клиентов" "HQ_RTR_CLI_IP|ip|HQ-RTR в VLAN клиентов"
|
||
"DHCP_START|ip|Начало DHCP" "DHCP_END|ip|Конец DHCP" "HQ_CLI_IP|ip|HQ-CLI (DNS/Ansible)" "HQ_CLI_MAC|text|MAC HQ-CLI для резерва (пусто = нет)"
|
||
"MGMT_NET|ip|Сеть управления" "MGMT_PFX|pfx|Префикс управления" "HQ_RTR_MGMT_IP|ip|HQ-RTR в VLAN управления" "HQ_SW_MGMT_IP|ip|HQ-SW управление"
|
||
"FW_NET|ip|Сеть BR-RTR–BR-FW" "FW_PFX|pfx|Префикс BR-RTR–BR-FW" "BR_RTR_FW_IP|ip|BR-RTR к BR-FW" "BR_FW_IP|ip|BR-FW к BR-RTR"
|
||
"BR_NET|ip|Сеть BR-SRV" "BR_PFX|pfx|Префикс сети BR-SRV" "BR_FW_LAN_IP|ip|BR-FW в сети BR-SRV" "BR_SRV_IP|ip|BR-SRV"
|
||
"GRE_IF|name|Имя GRE-интерфейса" "GRE_NET|ip|Сеть GRE" "GRE_PFX|pfx|Префикс GRE" "HQ_GRE_IP|ip|HQ-RTR в туннеле" "BR_GRE_IP|ip|BR-RTR в туннеле"
|
||
"OSPF_FW_AUTH|yn|MD5 OSPF и на линке BR-FW (yes/no)" "DNS_RECORDS|list|DNS: имя=IP[:ptr] через пробел (пусто = по умолчанию)"
|
||
"WEB_DNS_IP|ipo|IP для web (пусто = ISP_BR_IP)" "DOCKER_DNS_IP|ipo|IP для docker (пусто = ISP_HQ_IP)"
|
||
)
|
||
IFACE_VARS=(ISP_WAN_IF ISP_HQ_IF ISP_BR_IF HQ_RTR_WAN_IF HQ_RTR_LAN_IF BR_RTR_WAN_IF BR_RTR_LAN_IF BR_FW_WAN_IF BR_FW_LAN_IF HQ_SW_UP_IF HQ_SW_SRV_IF HQ_SW_CLI_IF HQ_SRV_IF BR_SRV_IF HQ_CLI_IF)
|
||
|
||
# ------------------------------- вывод ---------------------------------------
|
||
if [[ -t 1 ]]; then C_R=$'\e[31m'; C_G=$'\e[32m'; C_Y=$'\e[33m'; C_C=$'\e[36m'; C_B=$'\e[1m'; C_0=$'\e[0m'; else C_R=; C_G=; C_Y=; C_C=; C_B=; C_0=; fi
|
||
msg(){ echo "${C_C}==>${C_0} $*"; }
|
||
ok(){ echo "${C_G}[OK]${C_0} $*"; }
|
||
warn(){ echo "${C_Y}[!]${C_0} $*"; }
|
||
err(){ echo "${C_R}[ОШИБКА]${C_0} $*" >&2; }
|
||
hdr(){ echo; echo "${C_B}===== $* =====${C_0}"; }
|
||
have(){ command -v "$1" >/dev/null 2>&1; }
|
||
exec 5<&0 # исходный ввод (клавиатура) — для окон внутри конвейеров
|
||
pause(){ read -r -p "Enter — продолжить..." _ <&5 || true; }
|
||
yesno(){ ui_yesno "$@"; }
|
||
|
||
usage(){ cat <<EOF
|
||
demo-setup.sh v$VERSION — помощник настройки стенда ДЭ 09.02.06 (RED OS 8)
|
||
|
||
bash demo-setup.sh --dry-run посмотреть меню и команды без изменений
|
||
sudo bash demo-setup.sh --apply применить выбранные пункты
|
||
|
||
Порядок работы:
|
||
1. Сделайте снимок каждой ВМ. Работайте из консоли гипервизора, не по SSH.
|
||
2. На первой ВМ откройте «Параметры», сверьте адреса и имена с заданием.
|
||
Параметры сохраняются в demo-setup.conf (права 600). Пароль не сохраняется.
|
||
3. Скопируйте скрипт и demo-setup.conf на остальные ВМ.
|
||
4. В окнах выберите машину → модуль → пункт. В окне пункта видны его данные:
|
||
выберите строку, чтобы вписать своё значение, затем «▶ Выполнить пункт».
|
||
Префикс можно вводить как 28, /28 или 255.255.255.240.
|
||
5. Пункты М1 выполняйте раньше М2 и М3. После пункта используйте «Проверка».
|
||
6. Калькулятор масок: в главном меню (9), в меню машины (k) и в окне пункта (K).
|
||
|
||
Окна рисуются через whiptail (пакет newt). Без него — текстовое меню.
|
||
Текстовое меню всегда: DEMO_UI=text bash demo-setup.sh --apply
|
||
|
||
Ограничения: скрипт не проверен на настоящем стенде RED OS 8. Команды
|
||
пакетов, служб и параметры приложений из Additional.iso нужно сверить.
|
||
Перед экзаменом уточните, разрешено ли использовать скрипты.
|
||
EOF
|
||
}
|
||
[[ $MODE == help ]] && { usage; exit 0; }
|
||
if [[ $MODE == apply ]]; then
|
||
[[ $EUID -eq 0 ]] || { echo "Для --apply нужен root: sudo bash $0 --apply" >&2; exit 1; }
|
||
[[ -t 0 ]] || { echo "--apply запускается только из интерактивной консоли." >&2; exit 1; }
|
||
grep -qi 'red' /etc/os-release 2>/dev/null || warn "Похоже, это не RED OS — скрипт рассчитан на RED OS 8."
|
||
touch "$LOG" && chmod 600 "$LOG" && exec > >(tee -a "$LOG") 2>&1
|
||
else
|
||
warn "РЕЖИМ ПРОСМОТРА: изменяющие команды только выводятся (строки с '+')."
|
||
fi
|
||
|
||
# --------------------------- выполнение команд -------------------------------
|
||
# run КОМАНДА... — в режиме просмотра печатает команду, иначе выполняет.
|
||
exec 3>&1
|
||
run(){ if ((DRY)); then { printf '%s+' "$C_C"; printf ' %q' "$@"; printf '%s\n' "$C_0"; } >&3; return 0; fi; "$@"; }
|
||
# put ФАЙЛ [ПРАВА] <<EOF — записывает файл (с резервной копией оригинала).
|
||
put(){ local f=$1 m=${2:-644} body; body=$(cat)
|
||
if ((DRY)); then echo "${C_C}+ запись $f (права $m):${C_0}"; printf '%s\n' "$body" | sed 's/^/ | /'; return 0; fi
|
||
backup "$f"; mkdir -p "$(dirname "$f")" || return 1
|
||
(umask 077; printf '%s\n' "$body" > "$f.demo-tmp") && chmod "$m" "$f.demo-tmp" && mv -f "$f.demo-tmp" "$f"; }
|
||
# backup ФАЙЛ — один раз сохраняет исходный файл как ФАЙЛ.demo-orig.
|
||
backup(){ [[ -f $1 && ! -e $1.demo-orig ]] && { ((DRY)) || cp -a "$1" "$1.demo-orig"; }; return 0; }
|
||
# set_kv ФАЙЛ КЛЮЧ ЗНАЧЕНИЕ — заменяет или добавляет строку «КЛЮЧ=ЗНАЧЕНИЕ».
|
||
set_kv(){ local f=$1 k=$2 v=$3
|
||
if ((DRY)); then echo "${C_C}+ $f: $k=$v${C_0}"; return 0; fi
|
||
backup "$f"; touch "$f" || return 1
|
||
if grep -qE "^[#[:space:]]*$k=" "$f"; then sed -i -E "s|^[#[:space:]]*$k=.*|$k=$v|" "$f"; else echo "$k=$v" >> "$f"; fi; }
|
||
pkg(){ local p missing=(); for p in "$@"; do rpm -q "$p" >/dev/null 2>&1 || missing+=("$p"); done
|
||
((${#missing[@]})) || return 0; msg "Установка пакетов: ${missing[*]}"
|
||
run dnf install -y "${missing[@]}" || { err "Не удалось установить: ${missing[*]}"; return 1; }; }
|
||
# pkg_any "пакеты варианта 1" "пакеты варианта 2" ... — первый установившийся вариант.
|
||
pkg_any(){ local v; for v in "$@"; do read -ra P <<< "$v"; pkg "${P[@]}" 2>/dev/null && return 0; done; err "Ни один вариант пакетов не установился"; return 1; }
|
||
svc(){ local s; for s in "$@"; do if ((DRY)) || systemctl cat "$s" >/dev/null 2>&1; then
|
||
run systemctl enable "$s" && run systemctl restart "$s" && { ok "Служба $s запущена"; return 0; }; fi; done
|
||
err "Не удалось запустить службу: $*"; return 1; }
|
||
|
||
# ------------------------------- проверки ------------------------------------
|
||
is_ip(){ local IFS=. o; [[ $1 =~ ^([0-9]{1,3}\.){3}[0-9]{1,3}$ ]] || return 1; for o in $1; do ((10#$o <= 255)) || return 1; done; }
|
||
is_pfx(){ [[ $1 =~ ^([0-9]|[12][0-9]|3[0-2])$ ]]; }
|
||
is_port(){ [[ $1 =~ ^[0-9]{1,5}$ ]] && (($1 >= 1 && $1 <= 65535)); }
|
||
is_name(){ [[ $1 =~ ^[A-Za-z0-9][A-Za-z0-9._-]*$ ]]; }
|
||
is_iface(){ [[ $1 =~ ^[A-Za-z0-9._@-]{1,15}$ && -e /sys/class/net/$1 ]]; }
|
||
valid(){ local t=$1 v=$2
|
||
case $t in
|
||
ip) is_ip "$v" ;; ipo) [[ -z $v ]] || is_ip "$v" ;; pfx) is_pfx "$v" ;; port) is_port "$v" ;;
|
||
int) [[ $v =~ ^[0-9]{1,6}$ ]] ;; name) is_name "$v" ;; yn) [[ $v == yes || $v == no ]] ;; alg) [[ $v == rsa || $v == gost ]] ;;
|
||
if) is_iface "$v" ;; text|list) [[ $v =~ ^[A-Za-z0-9_./:@,+\ =-]*$ ]] ;; *) return 1 ;;
|
||
esac; }
|
||
pfx2mask(){ local p=$1 m="" i b; is_pfx "$p" || return 1
|
||
for i in 1 2 3 4; do b=$(( p >= 8 ? 8 : (p > 0 ? p : 0) )); m+=$(( 256 - (1 << (8 - b)) )); ((i < 4)) && m+=.; p=$(( p - 8 )); done; echo "$m"; }
|
||
rev_zone(){ local IFS=.; set -- $1; echo "$3.$2.$1"; }
|
||
fqdn(){ echo "$1.$DOMAIN"; }
|
||
REALM(){ echo "${DOMAIN^^}"; }
|
||
param_type(){ local e; for e in "${PARAMS[@]}"; do [[ ${e%%|*} == "$1" ]] && { e=${e#*|}; echo "${e%%|*}"; return; }; done
|
||
local i; for i in "${IFACE_VARS[@]}"; do [[ $i == "$1" ]] && { echo if; return; }; done; }
|
||
|
||
# ------------------------------- параметры -----------------------------------
|
||
conf_load(){ [[ -f $CONF ]] || return 0
|
||
if [[ $MODE == apply ]]; then
|
||
[[ $(stat -c '%u %a' "$CONF") == "0 600" ]] || { err "$CONF должен принадлежать root и иметь права 600 (chown root: и chmod 600)"; exit 1; }
|
||
fi
|
||
local line k v t n=0
|
||
while IFS= read -r line || [[ -n $line ]]; do n=$((n+1))
|
||
[[ -z $line || $line == \#* ]] && continue
|
||
k=${line%%=*}; v=${line#*=}
|
||
t=$(param_type "$k"); [[ -n $t ]] || { err "$CONF:$n: неизвестный параметр $k"; exit 1; }
|
||
[[ $t == if ]] && { [[ -z $v || $v =~ ^[A-Za-z0-9._@-]{1,15}$ ]] || { err "$CONF:$n: плохое имя интерфейса"; exit 1; }; printf -v "$k" '%s' "$v"; continue; }
|
||
valid "$t" "$v" || { err "$CONF:$n: недопустимое значение $k"; exit 1; }
|
||
printf -v "$k" '%s' "$v"
|
||
done < "$CONF"; }
|
||
conf_save(){ local e k tmp
|
||
if ((DRY)); then return 0; fi
|
||
tmp=$(mktemp "$CONF.XXXX") || return 1
|
||
{ echo "# demo-setup v$VERSION — параметры стенда (без паролей)"
|
||
for e in "${PARAMS[@]}"; do k=${e%%|*}; echo "$k=${!k}"; done
|
||
for k in "${IFACE_VARS[@]}"; do echo "$k=${!k}"; done; } > "$tmp"
|
||
chmod 600 "$tmp" && mv -f "$tmp" "$CONF"; }
|
||
PASS=
|
||
over_ssh_warn(){ [[ -n ${SSH_CONNECTION:-} ]] && warn "Вы подключены по SSH: изменение сети/SSH может оборвать сеанс. Лучше работать из консоли."; return 0; }
|
||
conf_load
|
||
|
||
# ============================== сеть (nmcli) =================================
|
||
nm_ready(){ ((DRY)) && return 0; systemctl is-active --quiet NetworkManager || { err "NetworkManager не запущен"; return 1; }; }
|
||
nm_has(){ nmcli -t -f NAME con show 2>/dev/null | grep -Fxq "$1"; }
|
||
# Отключает автоподключение чужих профилей интерфейса (не удаляет их).
|
||
nm_quiet_others(){ local ifc=$1 keep=$2 line name dev
|
||
while IFS=: read -r name dev; do
|
||
[[ $name == "$keep" || -z $name ]] && continue
|
||
[[ $dev == "$ifc" || $(nmcli -g connection.interface-name con show "$name" 2>/dev/null) == "$ifc" ]] || continue
|
||
warn "Профиль «$name» на $ifc: автоподключение будет выключено (профиль не удаляется)"
|
||
run nmcli con mod "$name" connection.autoconnect no || return 1
|
||
done < <(nmcli -t -f NAME,DEVICE con show 2>/dev/null); }
|
||
# nm_set ПРОФИЛЬ "аргументы add" ИНТЕРФЕЙС_ДЛЯ_ЧУЖИХ режим адрес шлюз dns
|
||
# режим: static | dhcp | none (без IP — порт моста/родитель VLAN)
|
||
nm_set(){ local c=$1 addargs=$2 ifc=$3 mode=$4 addr=${5-} gw=${6-} dns=${7-} rc
|
||
nm_ready || return 1
|
||
[[ -n $ifc ]] && { nm_quiet_others "$ifc" "$c" || return 1; }
|
||
if ! nm_has "$c"; then read -ra A <<< "$addargs"; run nmcli con add con-name "$c" "${A[@]}" || { err "nmcli: не создан профиль $c"; return 1; }; fi
|
||
case $mode in
|
||
static) run nmcli con mod "$c" ipv4.method manual ipv4.addresses "$addr" ipv4.gateway "$gw" ipv4.dns "$dns" ipv4.ignore-auto-dns yes ;;
|
||
dhcp) run nmcli con mod "$c" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns "" ipv4.ignore-auto-dns no ;;
|
||
none) run nmcli con mod "$c" ipv4.method disabled ipv4.addresses "" ipv4.gateway "" ;;
|
||
esac; rc=$?
|
||
((rc == 0)) && run nmcli con mod "$c" ipv6.method disabled connection.autoconnect yes; rc=$((rc + $?))
|
||
((rc == 0)) || { err "nmcli: не удалось изменить профиль $c"; return 1; }
|
||
run nmcli con up "$c" || { err "nmcli: профиль $c не поднялся"; return 1; }
|
||
ok "Профиль $c: $mode ${addr:-}"; }
|
||
net_eth(){ nm_set "demo-$1" "type ethernet ifname $1" "$1" "${@:2}"; }
|
||
net_vlan(){ local p=$1 vid=$2; shift 2; nm_set "demo-$p.$vid" "type vlan ifname $p.$vid dev $p id $vid" "" "$@"; }
|
||
net_gre(){ local l=$1 r=$2 addr=$3
|
||
nm_set "demo-$GRE_IF" "type ip-tunnel ifname $GRE_IF mode gre local $l remote $r" "" static "$addr" || return 1
|
||
run nmcli con mod "demo-$GRE_IF" ip-tunnel.ttl 64 && run nmcli con up "demo-$GRE_IF"; }
|
||
set_zone(){ local c=$1 z=$2 ifc=$3
|
||
((DRY)) || systemctl is-active --quiet firewalld || return 0
|
||
run nmcli con mod "$c" connection.zone "$z" && run firewall-cmd --zone="$z" --change-interface="$ifc" >/dev/null && ok "$ifc → зона $z"; }
|
||
enable_forward(){ put /etc/sysctl.d/90-demo-forward.conf <<< 'net.ipv4.ip_forward = 1' && run sysctl -p /etc/sysctl.d/90-demo-forward.conf >/dev/null && ok "Маршрутизация IPv4 включена"; }
|
||
|
||
# ============================== firewalld ====================================
|
||
fw_on(){ ((DRY)) && return 0; systemctl is-active --quiet firewalld && return 0
|
||
warn "firewalld не запущен."; yesno "Включить firewalld (нужен для NAT/DNAT)?" y || return 1
|
||
pkg firewalld && run systemctl enable --now firewalld; }
|
||
fw(){ run firewall-cmd --permanent "$@" >/dev/null || { err "firewall-cmd $*"; return 1; }; }
|
||
fw_reload(){ run firewall-cmd --reload >/dev/null && ok "firewalld перезагружен"; }
|
||
# fw_open сервис|порт/proto ... — открывает на серверах в зоне по умолчанию (если firewalld активен).
|
||
fw_open(){ ((DRY)) || systemctl is-active --quiet firewalld || return 0; local x
|
||
for x in "$@"; do if [[ $x == */* ]]; then fw --add-port="$x"; else fw --add-service="$x" 2>/dev/null || warn "В firewalld нет сервиса $x"; fi; done
|
||
fw_reload; }
|
||
|
||
# ============================== общие пункты =================================
|
||
MACHINE=
|
||
c_hostname(){ local h; h=$(fqdn "$MACHINE"); run hostnamectl set-hostname "$h" || return 1; ok "Имя хоста: $h"; }
|
||
c_tz(){ run timedatectl set-timezone "$TZ_NAME" || return 1; ok "Часовой пояс: $TZ_NAME"; date; }
|
||
sudo_nopass(){ local u=$1 f="/etc/sudoers.d/demo-$1"
|
||
pkg sudo || return 1
|
||
put "$f" 440 <<< "$u ALL=(ALL:ALL) NOPASSWD: ALL" || return 1
|
||
((DRY)) || visudo -cf "$f" >/dev/null || { err "Ошибка sudoers — файл удалён"; rm -f "$f"; return 1; }
|
||
ok "sudo без пароля: $u"; }
|
||
# mkuser ИМЯ [UID] — создаёт пользователя; существующего не трогает без согласия.
|
||
mkuser(){ local u=$1 uid=${2-}; need_pass || return 1
|
||
if id "$u" >/dev/null 2>&1; then
|
||
warn "Пользователь $u уже существует ($(id "$u"))."
|
||
yesno "Задать ему общий пароль и sudo?" n || return 0
|
||
else run useradd -m -s /bin/bash ${uid:+-u "$uid"} "$u" || return 1; fi
|
||
if ((DRY)); then echo "${C_C}+ chpasswd ($u:***)${C_0}"; else printf '%s:%s\n' "$u" "$PASS" | chpasswd || return 1; fi
|
||
sudo_nopass "$u"; ok "Пользователь $u готов"; }
|
||
u_srv(){ mkuser "$SSH_USER" "$SSH_UID"; }
|
||
u_rtr(){ mkuser "$ADM_USER"; }
|
||
selinux_on(){ have getenforce && [[ $(getenforce) == Enforcing ]]; }
|
||
se_port(){ selinux_on || return 0; pkg policycoreutils-python-utils || return 1
|
||
run semanage port -a -t "$1" -p tcp "$2" 2>/dev/null || run semanage port -m -t "$1" -p tcp "$2" || return 1; ok "SELinux: tcp/$2 → $1"; }
|
||
sshd_include(){ local c=/etc/ssh/sshd_config
|
||
grep -qE '^[[:space:]]*Include[[:space:]]+/etc/ssh/sshd_config.d/\*\.conf' "$c" 2>/dev/null && return 0
|
||
((DRY)) && { echo "${C_C}+ добавить Include sshd_config.d в начало $c${C_0}"; return 0; }
|
||
backup "$c"; sed -i '1i Include /etc/ssh/sshd_config.d/*.conf' "$c"; }
|
||
sshd_apply(){ local port=$1
|
||
# Нет ключей хоста (свежий клон шаблона после очистки) — создаём, иначе sshd -t падает
|
||
ls /etc/ssh/ssh_host_*_key >/dev/null 2>&1 || run ssh-keygen -A || return 1
|
||
((DRY)) || sshd -t || { err "sshd -t: ошибка конфигурации, служба не перезапущена"; return 1; }
|
||
[[ $port != 22 ]] && { se_port ssh_port_t "$port" || return 1; }
|
||
fw_open "$port/tcp"
|
||
over_ssh_warn; run systemctl enable sshd && run systemctl restart sshd || return 1
|
||
((DRY)) || ss -tln | grep -q ":$port " || { err "sshd не слушает порт $port"; return 1; }
|
||
ok "SSH слушает порт $port"; }
|
||
# Защищённый SSH серверов: порт, только SSH_USER, 2 попытки, баннер.
|
||
c_sshd(){ pkg openssh-server || return 1; sshd_include || return 1
|
||
put /etc/ssh/demo-banner <<< "$BANNER_TEXT" || return 1
|
||
put /etc/ssh/sshd_config.d/10-demo.conf 600 <<EOF || return 1
|
||
# demo-setup: защищённый SSH
|
||
Port $SSH_PORT
|
||
AllowUsers $SSH_USER
|
||
MaxAuthTries 2
|
||
Banner /etc/ssh/demo-banner
|
||
PasswordAuthentication yes
|
||
EOF
|
||
sshd_apply "$SSH_PORT"; }
|
||
# Простой SSH с паролем (доступ Ansible). c_sshd_basic [ПОРТ]
|
||
c_sshd_basic(){ local port=${1:-22}; pkg openssh-server || return 1; sshd_include || return 1
|
||
put /etc/ssh/sshd_config.d/10-demo.conf 600 <<EOF || return 1
|
||
# demo-setup: SSH для Ansible
|
||
Port $port
|
||
PasswordAuthentication yes
|
||
EOF
|
||
sshd_apply "$port"; }
|
||
chrony_client(){ local srv=$1 f=/etc/chrony.conf; pkg chrony || return 1
|
||
if ((DRY)); then echo "${C_C}+ $f: закомментировать pool/server, добавить «server $srv iburst»${C_0}"
|
||
else backup "$f"; sed -i -E '/# demo-setup$/d; s/^[[:space:]]*(pool|server|peer)[[:space:]]/#&/' "$f"; echo "server $srv iburst # demo-setup" >> "$f"; fi
|
||
svc chronyd || return 1; ((DRY)) || { sleep 3; chronyc sources; }; ok "NTP-клиент → $srv"; }
|
||
mount_iso(){ ((DRY)) && return 0; mountpoint -q "$ISO_DIR" && return 0; mkdir -p "$ISO_DIR"
|
||
if [[ -f $ISO_SRC ]]; then mount -o loop,ro "$ISO_SRC" "$ISO_DIR"; else mount -o ro "$ISO_SRC" "$ISO_DIR"; fi 2>/dev/null \
|
||
&& ok "ISO смонтирован в $ISO_DIR" || { err "Не смонтирован $ISO_SRC — подключите Additional.iso или измените ISO_SRC"; return 1; }; }
|
||
iso_find(){ mount_iso || return 1; ((DRY)) && { echo "$ISO_DIR/$1"; return 0; }; find "$ISO_DIR" -iname "$1" 2>/dev/null | head -1; }
|
||
os_prep(){ pkg_any "bind-utils tcpdump traceroute curl wget tar nano policycoreutils-python-utils" "bind-utils curl tar nano" || return 1
|
||
echo "SELinux: $(getenforce 2>/dev/null || echo нет) firewalld: $(systemctl is-active firewalld 2>/dev/null)"
|
||
ok "Утилиты установлены (firewalld и SELinux не отключаются)"; }
|
||
|
||
# frr_ospf ROUTER_ID "интерфейсы с MD5" "интерфейсы без MD5" СЕТЬ...
|
||
frr_ospf(){ local rid=$1 auth=$2 plain=$3 i n; shift 3; pkg frr || return 1; need_pass || return 1
|
||
set_kv /etc/frr/daemons ospfd yes || return 1
|
||
local key=${PASS:0:16}
|
||
{ echo "frr defaults traditional"; echo "hostname ${MACHINE:-$(hostname -s 2>/dev/null)}"; echo "log syslog informational"; echo "!"
|
||
for i in $auth; do echo "interface $i"; echo " ip ospf network point-to-point"; echo " ip ospf mtu-ignore"
|
||
echo " ip ospf authentication message-digest"; echo " ip ospf message-digest-key 1 md5 $key"; echo "!"; done
|
||
for i in $plain; do echo "interface $i"; echo " ip ospf network point-to-point"; echo "!"; done
|
||
echo "router ospf"; echo " ospf router-id $rid"; echo " passive-interface default"
|
||
for i in $auth $plain; do echo " no passive-interface $i"; done
|
||
for n in "$@"; do echo " network $n area 0"; done; echo "!"; } | put /etc/frr/frr.conf 640 || return 1
|
||
((DRY)) || chown frr:frr /etc/frr/frr.conf 2>/dev/null
|
||
svc frr || return 1
|
||
ok "OSPF: router-id $rid; ключ MD5 = первые 16 символов общего пароля"
|
||
((DRY)) || { sleep 5; vtysh -c 'show ip ospf neighbor'; }
|
||
warn "Соседство появится, когда OSPF настроен на обоих концах."; }
|
||
|
||
# =================================== ISP =====================================
|
||
isp_net(){ over_ssh_warn
|
||
need_iface ISP_WAN_IF "Интерфейс в Интернет (DHCP)"; need_iface ISP_HQ_IF "Интерфейс к HQ-RTR"; need_iface ISP_BR_IF "Интерфейс к BR-RTR"
|
||
net_eth "$ISP_WAN_IF" dhcp || return 1
|
||
net_eth "$ISP_HQ_IF" static "$ISP_HQ_IP/$HQ_WAN_PFX" || return 1
|
||
net_eth "$ISP_BR_IF" static "$ISP_BR_IP/$BR_WAN_PFX" || return 1
|
||
enable_forward; }
|
||
isp_nat(){ fw_on || return 1
|
||
set_zone "demo-$ISP_WAN_IF" external "$ISP_WAN_IF" && set_zone "demo-$ISP_HQ_IF" trusted "$ISP_HQ_IF" && set_zone "demo-$ISP_BR_IF" trusted "$ISP_BR_IF" || return 1
|
||
fw --zone=external --add-masquerade && fw_reload && enable_forward && ok "NAT: $ISP_WAN_IF (зона external, masquerade)"; }
|
||
isp_chrony(){ pkg chrony || return 1
|
||
{ echo "# demo-setup: NTP-сервер ISP"; [[ -n $NTP_UPSTREAM ]] && echo "server $NTP_UPSTREAM iburst"
|
||
echo "local stratum 5"; echo "allow $ISP_HQ_IP/$HQ_WAN_PFX"; echo "allow $ISP_BR_IP/$BR_WAN_PFX"
|
||
echo "driftfile /var/lib/chrony/drift"; echo "makestep 1.0 3"; echo "rtcsync"; } | put /etc/chrony.conf || return 1
|
||
svc chronyd && ok "chrony: сервер stratum 5 для HQ и BR"; }
|
||
ngx_server(){ # ngx_server ИМЯ БЭКЕНД https(yes/no) auth(yes/no)
|
||
local n=$1 b=$2 s=$3 a=$4
|
||
echo "server {"
|
||
if [[ $s == yes ]]; then echo " listen 443 ssl;"; echo " ssl_certificate /etc/nginx/ssl/$n.crt;"; echo " ssl_certificate_key /etc/nginx/ssl/$n.key;"
|
||
else echo " listen 80;"; fi
|
||
echo " server_name $(fqdn "$n");"; echo " location / {"; echo " proxy_pass http://$b;"
|
||
echo " proxy_set_header Host \$host;"; echo " proxy_set_header X-Real-IP \$remote_addr;"
|
||
echo " proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;"
|
||
[[ $a == yes ]] && { echo " auth_basic \"Restricted\";"; echo " auth_basic_user_file /etc/nginx/.htpasswd;"; }
|
||
echo " }"; echo "}"
|
||
[[ $s == yes ]] && echo "server { listen 80; server_name $(fqdn "$n"); return 301 https://\$host\$request_uri; }"; return 0; }
|
||
ngx_write(){ local s=no a=no; [[ -f /etc/nginx/ssl/web.crt ]] && s=yes; [[ -f /etc/nginx/.htpasswd ]] && a=yes
|
||
pkg nginx || return 1
|
||
{ echo "# demo-setup: обратный прокси web/docker"; ngx_server web "$HQ_RTR_WAN_IP:8080" "$s" "$a"; ngx_server docker "$BR_RTR_WAN_IP:8080" "$s" no; } \
|
||
| put /etc/nginx/conf.d/demo-proxy.conf || return 1
|
||
selinux_on && { run setsebool -P httpd_can_network_connect 1 || return 1; }
|
||
((DRY)) || nginx -t || { err "nginx -t: ошибка конфигурации"; return 1; }
|
||
svc nginx && ok "nginx: web → $HQ_RTR_WAN_IP:8080, docker → $BR_RTR_WAN_IP:8080 (HTTPS: $s, auth: $a)"; }
|
||
isp_proxy(){ ngx_write; }
|
||
isp_auth(){ need_pass || return 1; pkg nginx openssl || return 1
|
||
local h; h=$(openssl passwd -apr1 -stdin <<< "$PASS") || return 1
|
||
put /etc/nginx/.htpasswd 640 <<< "WEB:$h" || return 1; ((DRY)) || chgrp nginx /etc/nginx/.htpasswd
|
||
ok "Basic-аутентификация: пользователь WEB"; ngx_write; }
|
||
isp_https(){ run mkdir -p /etc/nginx/ssl || return 1
|
||
msg "Копирую сертификаты с HQ-SRV через DNAT $HQ_RTR_WAN_IP:$SSH_PORT ($SSH_USER, нужен пароль)"
|
||
run scp -P "$SSH_PORT" -o StrictHostKeyChecking=accept-new "$SSH_USER@$HQ_RTR_WAN_IP:certs/{web,docker}.{crt,key}" /etc/nginx/ssl/ \
|
||
|| { err "Не скопировано. Положите web.crt web.key docker.crt docker.key в /etc/nginx/ssl вручную"; return 1; }
|
||
run chmod 600 /etc/nginx/ssl/web.key /etc/nginx/ssl/docker.key && ngx_write; }
|
||
chk_isp(){ ip -br a; ip r; firewall-cmd --get-active-zones 2>/dev/null; chronyc tracking 2>/dev/null | head -3
|
||
systemctl is-active nginx chronyd 2>/dev/null; ping -c2 -W1 "$HQ_RTR_WAN_IP"; ping -c2 -W1 "$BR_RTR_WAN_IP"; }
|
||
M_isp=(
|
||
"М1|Сеть: Интернет по DHCP, адреса к HQ и BR|isp_net" "М1|NAT в Интернет (firewalld)|isp_nat" "М1|Часовой пояс|c_tz"
|
||
"М2|NTP-сервер chrony (stratum 5)|isp_chrony" "М3|nginx: обратный прокси web и docker|isp_proxy"
|
||
"М3|Basic-аутентификация WEB для web|isp_auth" "М3|HTTPS (сертификаты с HQ-SRV)|isp_https")
|
||
|
||
# ================================= HQ-RTR ====================================
|
||
hqr_net(){ over_ssh_warn
|
||
need_iface HQ_RTR_WAN_IF "WAN-интерфейс (к ISP)"; need_iface HQ_RTR_LAN_IF "LAN-интерфейс (транк к HQ-SW)"
|
||
net_eth "$HQ_RTR_WAN_IF" static "$HQ_RTR_WAN_IP/$HQ_WAN_PFX" "$ISP_HQ_IP" "$DNS_FWD" || return 1
|
||
net_eth "$HQ_RTR_LAN_IF" none || return 1
|
||
net_vlan "$HQ_RTR_LAN_IF" "$VLAN_SRV" static "$HQ_RTR_SRV_IP/$SRV_PFX" || return 1
|
||
net_vlan "$HQ_RTR_LAN_IF" "$VLAN_CLI" static "$HQ_RTR_CLI_IP/$CLI_PFX" || return 1
|
||
net_vlan "$HQ_RTR_LAN_IF" "$VLAN_MGMT" static "$HQ_RTR_MGMT_IP/$MGMT_PFX" || return 1
|
||
enable_forward; }
|
||
rtr_zones(){ local wan=$1 lan=$2 v; fw_on || return 1
|
||
set_zone "demo-$wan" external "$wan" || return 1
|
||
[[ -n $lan ]] && { set_zone "demo-$lan" trusted "$lan" || return 1; }
|
||
for v in "${@:3}"; do set_zone "demo-$v" trusted "$v" || return 1; done; }
|
||
hqr_vlans(){ echo "$HQ_RTR_LAN_IF.$VLAN_SRV $HQ_RTR_LAN_IF.$VLAN_CLI $HQ_RTR_LAN_IF.$VLAN_MGMT"; }
|
||
hqr_nat(){ need_iface HQ_RTR_WAN_IF "WAN-интерфейс"; need_iface HQ_RTR_LAN_IF "LAN-интерфейс"
|
||
rtr_zones "$HQ_RTR_WAN_IF" "$HQ_RTR_LAN_IF" $(hqr_vlans) || return 1
|
||
fw --zone=external --add-masquerade && fw_reload && enable_forward && ok "NAT через $HQ_RTR_WAN_IF"; }
|
||
gre_up(){ local l=$1 r=$2 a=$3; fw_on || return 1
|
||
net_gre "$l" "$r" "$a" || return 1
|
||
set_zone "demo-$GRE_IF" trusted "$GRE_IF"; fw --zone=external --add-protocol=gre && fw_reload && ok "GRE $GRE_IF: $l → $r"; }
|
||
hqr_gre(){ gre_up "$HQ_RTR_WAN_IP" "$BR_RTR_WAN_IP" "$HQ_GRE_IP/$GRE_PFX"; }
|
||
hqr_ospf(){ frr_ospf "$HQ_GRE_IP" "$GRE_IF" "" "$GRE_NET/$GRE_PFX" "$SRV_NET/$SRV_PFX" "$CLI_NET/$CLI_PFX" "$MGMT_NET/$MGMT_PFX"; }
|
||
hqr_dhcp(){ need_iface HQ_RTR_LAN_IF "LAN-интерфейс (транк)"; pkg dnsmasq || return 1
|
||
{ echo "# demo-setup: DHCP для VLAN $VLAN_CLI"; echo "port=0"; echo "interface=$HQ_RTR_LAN_IF.$VLAN_CLI"; echo "bind-interfaces"
|
||
echo "dhcp-authoritative"; echo "dhcp-range=$DHCP_START,$DHCP_END,$(pfx2mask "$CLI_PFX"),12h"
|
||
echo "dhcp-option=option:router,$HQ_RTR_CLI_IP"; echo "dhcp-option=option:dns-server,$HQ_SRV_IP"
|
||
echo "dhcp-option=option:domain-name,$DOMAIN"; echo "domain=$DOMAIN"
|
||
[[ -n $HQ_CLI_MAC ]] && echo "dhcp-host=$HQ_CLI_MAC,$HQ_CLI_IP"; true; } | put /etc/dnsmasq.conf || return 1
|
||
((DRY)) || dnsmasq --test || return 1
|
||
svc dnsmasq && ok "DHCP: $DHCP_START–$DHCP_END, шлюз $HQ_RTR_CLI_IP, DNS $HQ_SRV_IP"; }
|
||
dnat(){ local p=$1 to=$2 tp=$3; fw --zone=external --add-forward-port="port=$p:proto=tcp:toport=$tp:toaddr=$to" && ok "DNAT tcp/$p → $to:$tp"; }
|
||
hqr_dnat(){ fw_on || return 1; dnat 8080 "$HQ_SRV_IP" 80 && dnat "$SSH_PORT" "$HQ_SRV_IP" "$SSH_PORT" && fw_reload; }
|
||
hqr_ntp(){ chrony_client "$ISP_HQ_IP"; }
|
||
chk_rtr(){ ip -br a; ip r; firewall-cmd --get-active-zones 2>/dev/null; firewall-cmd --zone=external --list-all 2>/dev/null
|
||
vtysh -c 'show ip ospf neighbor' 2>/dev/null; ping -c2 -W1 "$DNS_FWD"; }
|
||
chk_hqr(){ chk_rtr; ping -c2 -W1 "$BR_GRE_IP"; ping -c2 -W1 "$HQ_SRV_IP"; }
|
||
M_hqr=(
|
||
"М1|Сеть: WAN и VLAN $VLAN_SRV/$VLAN_CLI/$VLAN_MGMT (router-on-a-stick)|hqr_net" "М1|Пользователь $ADM_USER (sudo без пароля)|u_rtr"
|
||
"М1|NAT в сторону ISP|hqr_nat" "М1|GRE-туннель до BR-RTR|hqr_gre" "М1|OSPF по туннелю (MD5)|hqr_ospf"
|
||
"М1|DHCP для HQ-CLI|hqr_dhcp" "М1|Часовой пояс|c_tz"
|
||
"М2|SSH с паролем (Ansible)|c_sshd_basic" "М2|NTP-клиент → ISP|hqr_ntp" "М2|DNAT 8080 → web, $SSH_PORT → HQ-SRV|hqr_dnat")
|
||
|
||
# ================================= BR-RTR ====================================
|
||
brr_net(){ over_ssh_warn
|
||
need_iface BR_RTR_WAN_IF "WAN-интерфейс (к ISP)"; need_iface BR_RTR_LAN_IF "Интерфейс к BR-FW"
|
||
net_eth "$BR_RTR_WAN_IF" static "$BR_RTR_WAN_IP/$BR_WAN_PFX" "$ISP_BR_IP" "$DNS_FWD" || return 1
|
||
net_eth "$BR_RTR_LAN_IF" static "$BR_RTR_FW_IP/$FW_PFX" || return 1
|
||
enable_forward; }
|
||
brr_nat(){ need_iface BR_RTR_WAN_IF "WAN-интерфейс"; need_iface BR_RTR_LAN_IF "Интерфейс к BR-FW"
|
||
rtr_zones "$BR_RTR_WAN_IF" "$BR_RTR_LAN_IF" || return 1
|
||
fw --zone=external --add-masquerade && fw_reload && enable_forward && ok "NAT через $BR_RTR_WAN_IF"; }
|
||
brr_gre(){ gre_up "$BR_RTR_WAN_IP" "$HQ_RTR_WAN_IP" "$BR_GRE_IP/$GRE_PFX"; }
|
||
brr_ospf(){ need_iface BR_RTR_LAN_IF "Интерфейс к BR-FW"; local a=$GRE_IF p=$BR_RTR_LAN_IF
|
||
[[ $OSPF_FW_AUTH == yes ]] && { a="$GRE_IF $BR_RTR_LAN_IF"; p=""; }
|
||
frr_ospf "$BR_GRE_IP" "$a" "$p" "$GRE_NET/$GRE_PFX" "$FW_NET/$FW_PFX"; }
|
||
brr_dnat(){ fw_on || return 1; dnat 8080 "$BR_SRV_IP" 8080 && dnat "$SSH_PORT" "$BR_SRV_IP" "$SSH_PORT" && fw_reload; }
|
||
brr_ntp(){ chrony_client "$ISP_BR_IP"; }
|
||
chk_brr(){ chk_rtr; ping -c2 -W1 "$HQ_GRE_IP"; ping -c2 -W1 "$BR_FW_IP"; }
|
||
M_brr=(
|
||
"М1|Сеть: WAN и линк к BR-FW|brr_net" "М1|Пользователь $ADM_USER (sudo без пароля)|u_rtr" "М1|NAT в сторону ISP|brr_nat"
|
||
"М1|GRE-туннель до HQ-RTR|brr_gre" "М1|OSPF: туннель (MD5) и линк к BR-FW|brr_ospf" "М1|Часовой пояс|c_tz"
|
||
"М2|SSH с паролем (Ansible)|c_sshd_basic" "М2|NTP-клиент → ISP|brr_ntp" "М2|DNAT 8080 → testapp, $SSH_PORT → BR-SRV|brr_dnat")
|
||
|
||
# ================================= BR-FW =====================================
|
||
brfw_net(){ over_ssh_warn; warn "Вариант для Linux. Если BR-FW — Ideco NGFW, настройте его в веб-интерфейсе."
|
||
need_iface BR_FW_WAN_IF "Интерфейс к BR-RTR"; need_iface BR_FW_LAN_IF "Интерфейс к BR-SRV"
|
||
net_eth "$BR_FW_WAN_IF" static "$BR_FW_IP/$FW_PFX" "$BR_RTR_FW_IP" "$HQ_SRV_IP" || return 1
|
||
net_eth "$BR_FW_LAN_IF" static "$BR_FW_LAN_IP/$BR_PFX" || return 1
|
||
enable_forward || return 1
|
||
if ((DRY)) || systemctl is-active --quiet firewalld; then
|
||
set_zone "demo-$BR_FW_WAN_IF" trusted "$BR_FW_WAN_IF"; set_zone "demo-$BR_FW_LAN_IF" trusted "$BR_FW_LAN_IF"
|
||
warn "Оба интерфейса в зоне trusted. Ограничения межсетевого экрана задайте по заданию."; fi; }
|
||
brfw_ospf(){ need_iface BR_FW_WAN_IF "Интерфейс к BR-RTR"; local a="" p=$BR_FW_WAN_IF
|
||
[[ $OSPF_FW_AUTH == yes ]] && { a=$BR_FW_WAN_IF; p=""; }
|
||
frr_ospf "$BR_FW_IP" "$a" "$p" "$FW_NET/$FW_PFX" "$BR_NET/$BR_PFX"; }
|
||
chk_brfw(){ ip -br a; ip r; vtysh -c 'show ip ospf neighbor' 2>/dev/null; ping -c2 -W1 "$BR_RTR_FW_IP"; ping -c2 -W1 "$BR_SRV_IP"; }
|
||
M_brfw=("М1|Сеть и маршрутизация|brfw_net" "М1|OSPF на интерфейсе к BR-RTR|brfw_ospf" "М1|Часовой пояс|c_tz")
|
||
|
||
# ================================= HQ-SW =====================================
|
||
hqsw_ovs(){ over_ssh_warn
|
||
pkg_any "openvswitch" "openvswitch3" || return 1; svc openvswitch openvswitch-switch || return 1
|
||
need_iface HQ_SW_UP_IF "Аплинк к HQ-RTR (транк)"; need_iface HQ_SW_SRV_IF "Порт к HQ-SRV"; need_iface HQ_SW_CLI_IF "Порт к HQ-CLI"
|
||
local i um="interface-name:hq-sw;interface-name:mgmt;interface-name:ovs-system"
|
||
for i in "$HQ_SW_UP_IF" "$HQ_SW_SRV_IF" "$HQ_SW_CLI_IF"; do um+=";interface-name:$i"; done
|
||
put /etc/NetworkManager/conf.d/90-demo-ovs.conf <<< $'[keyfile]\n'"unmanaged-devices=$um" || return 1
|
||
run systemctl reload NetworkManager || return 1
|
||
run ovs-vsctl --may-exist add-br hq-sw || return 1
|
||
run ovs-vsctl --may-exist add-port hq-sw "$HQ_SW_UP_IF" -- set port "$HQ_SW_UP_IF" trunks="$VLAN_SRV,$VLAN_CLI,$VLAN_MGMT" || return 1
|
||
run ovs-vsctl --may-exist add-port hq-sw "$HQ_SW_SRV_IF" -- set port "$HQ_SW_SRV_IF" tag="$VLAN_SRV" || return 1
|
||
run ovs-vsctl --may-exist add-port hq-sw "$HQ_SW_CLI_IF" -- set port "$HQ_SW_CLI_IF" tag="$VLAN_CLI" || return 1
|
||
run ovs-vsctl --may-exist add-port hq-sw mgmt -- set port mgmt tag="$VLAN_MGMT" -- set interface mgmt type=internal || return 1
|
||
put /etc/systemd/system/demo-hqsw-mgmt.service <<EOF || return 1
|
||
[Unit]
|
||
Description=HQ-SW: IP управления (demo-setup)
|
||
After=openvswitch.service network-online.target
|
||
Wants=network-online.target
|
||
[Service]
|
||
Type=oneshot
|
||
RemainAfterExit=yes
|
||
ExecStart=/usr/sbin/ip link set $HQ_SW_UP_IF up
|
||
ExecStart=/usr/sbin/ip link set $HQ_SW_SRV_IF up
|
||
ExecStart=/usr/sbin/ip link set $HQ_SW_CLI_IF up
|
||
ExecStart=/usr/sbin/ip link set hq-sw up
|
||
ExecStart=/usr/sbin/ip link set mgmt up
|
||
ExecStart=/usr/sbin/ip addr replace $HQ_SW_MGMT_IP/$MGMT_PFX dev mgmt
|
||
ExecStart=/usr/sbin/ip route replace default via $HQ_RTR_MGMT_IP
|
||
[Install]
|
||
WantedBy=multi-user.target
|
||
EOF
|
||
run systemctl daemon-reload && run systemctl enable --now demo-hqsw-mgmt || return 1
|
||
((DRY)) || ovs-vsctl show; ok "HQ-SW: транк $HQ_SW_UP_IF, access $VLAN_SRV/$VLAN_CLI, mgmt $HQ_SW_MGMT_IP"; }
|
||
chk_hqsw(){ ovs-vsctl show; ip -br a; ping -c2 -W1 "$HQ_RTR_MGMT_IP"; }
|
||
M_hqsw=("М1|Коммутатор Open vSwitch: транк, access VLAN, управление|hqsw_ovs" "М1|Часовой пояс|c_tz")
|
||
|
||
# ================================= HQ-SRV ====================================
|
||
hqs_net(){ over_ssh_warn; need_iface HQ_SRV_IF "Интерфейс HQ-SRV"
|
||
net_eth "$HQ_SRV_IF" static "$HQ_SRV_IP/$SRV_PFX" "$HQ_RTR_SRV_IP" "$DNS_FWD"; }
|
||
dns_records(){ if [[ -n $DNS_RECORDS ]]; then echo "$DNS_RECORDS"; return; fi
|
||
echo "hq-rtr=$HQ_RTR_SRV_IP:ptr br-rtr=$BR_RTR_FW_IP hq-srv=$HQ_SRV_IP:ptr hq-cli=$HQ_CLI_IP:ptr br-srv=$BR_SRV_IP:ptr docker=${DOCKER_DNS_IP:-$ISP_HQ_IP} web=${WEB_DNS_IP:-$ISP_BR_IP}"; }
|
||
hqs_dns(){ pkg dnsmasq || return 1; local r n ip
|
||
yesno "Записи DNS (изменить можно в данных пункта → DNS_RECORDS):"$'\n'"$(dns_records | tr ' ' '\n')"$'\n\n'"Продолжить с этими записями?" y || return 1
|
||
for r in $(dns_records); do ip=${r#*=}; ip=${ip%:ptr}; is_name "${r%%=*}" && is_ip "$ip" || { err "Плохая запись: $r"; return 1; }; done
|
||
{ echo "# demo-setup: DNS-сервер HQ-SRV"; echo "no-resolv"; echo "no-hosts"; echo "domain-needed"; echo "bogus-priv"
|
||
echo "bind-interfaces"; echo "listen-address=127.0.0.1,$HQ_SRV_IP"; echo "domain=$DOMAIN"; echo "local=/$DOMAIN/"
|
||
echo "cache-size=1000"; echo "server=$DNS_FWD"; [[ -n $DNS_FWD2 ]] && echo "server=$DNS_FWD2"
|
||
for r in $(dns_records); do n=$(fqdn "${r%%=*}"); ip=${r#*=}
|
||
if [[ $ip == *:ptr ]]; then echo "host-record=$n,${ip%:ptr}"; else echo "address=/$n/$ip"; fi; done
|
||
echo "conf-dir=/etc/dnsmasq.d,.rpmnew,.rpmsave,.rpmorig"; } | put /etc/dnsmasq.conf || return 1
|
||
run mkdir -p /etc/dnsmasq.d; ((DRY)) || dnsmasq --test || return 1
|
||
svc dnsmasq || return 1; fw_open dns
|
||
run nmcli con mod "demo-$HQ_SRV_IF" ipv4.dns 127.0.0.1 ipv4.dns-search "$DOMAIN" && run nmcli con up "demo-$HQ_SRV_IF" \
|
||
|| warn "Не удалось переключить DNS HQ-SRV на 127.0.0.1 (профиль demo-$HQ_SRV_IF)"
|
||
((DRY)) || { for n in hq-srv web docker; do getent hosts "$(fqdn $n)"; done; }; ok "DNS настроен"; }
|
||
hqs_adfwd(){ local z
|
||
for z in _msdcs _tcp _udp _sites; do echo "server=/$z.$DOMAIN/$BR_SRV_IP"; done | put /etc/dnsmasq.d/demo-ad.conf || return 1
|
||
svc dnsmasq && ok "Служебные зоны AD пересылаются на BR-SRV ($BR_SRV_IP)"; }
|
||
hqs_raid(){ pkg mdadm || return 1; local d cand=() pick=() root
|
||
[[ -e /dev/md0 ]] && { err "/dev/md0 уже существует — RAID не создаётся повторно"; return 1; }
|
||
root=$(lsblk -no PKNAME "$(findmnt -no SOURCE /)" 2>/dev/null | head -1)
|
||
while read -r d; do [[ $d == "$root" ]] && continue
|
||
[[ $(lsblk -no NAME "/dev/$d" | wc -l) -eq 1 && -z $(lsblk -no MOUNTPOINT "/dev/$d" | tr -d ' ') && -z $(blkid -p "/dev/$d" 2>/dev/null) ]] && cand+=("$d")
|
||
done < <(lsblk -dno NAME,TYPE | awk '$2=="disk"{print $1}')
|
||
((${#cand[@]} >= 2)) || ((DRY)) || { err "Нужно минимум 2 пустых диска без разделов и файловых систем"; lsblk; return 1; }
|
||
((DRY)) && cand=(sdb sdc)
|
||
lsblk -o NAME,SIZE,TYPE,MOUNTPOINT; echo "Пустые диски: ${cand[*]}"
|
||
d=$(ui_input "RAID$RAID_LEVEL" "Пустые диски: ${cand[*]}"$'\n'"Введите диски для RAID через пробел:" "${cand[*]}") || return 1; read -ra pick <<< "$d"
|
||
((${#pick[@]} >= 2)) || { err "Нужно минимум 2 диска"; return 1; }
|
||
for d in "${pick[@]}"; do [[ " ${cand[*]} " == *" $d "* ]] || { err "$d не в списке пустых дисков"; return 1; }; done
|
||
warn "ВСЕ ДАННЫЕ на ${pick[*]} будут уничтожены."
|
||
d=$(ui_input "Подтверждение" "ВСЕ ДАННЫЕ на ${pick[*]} будут уничтожены. Введите УДАЛИТЬ:" "") || return 1; [[ $d == УДАЛИТЬ ]] || { warn "Отменено"; return 1; }
|
||
run mdadm --create /dev/md0 --run --level="$RAID_LEVEL" --raid-devices="${#pick[@]}" "${pick[@]/#//dev/}" || return 1
|
||
run mkfs.ext4 -F /dev/md0 || return 1
|
||
((DRY)) || mdadm --detail --scan | grep md0 | put /etc/mdadm.conf
|
||
run mkdir -p "$RAID_MOUNT" || return 1
|
||
if ((DRY)); then echo "${C_C}+ /etc/fstab: UUID=... $RAID_MOUNT ext4 defaults 0 0${C_0}"
|
||
else backup /etc/fstab; echo "UUID=$(blkid -s UUID -o value /dev/md0) $RAID_MOUNT ext4 defaults 0 0" >> /etc/fstab; fi
|
||
run systemctl daemon-reload; run mount "$RAID_MOUNT" && ok "RAID$RAID_LEVEL /dev/md0 смонтирован в $RAID_MOUNT"; ((DRY)) || df -h "$RAID_MOUNT"; }
|
||
hqs_nfs(){ pkg nfs-utils || return 1
|
||
((DRY)) || mountpoint -q "$RAID_MOUNT" || { err "$RAID_MOUNT не смонтирован — сначала RAID"; return 1; }
|
||
run mkdir -p "$RAID_MOUNT/nfs" && run chmod 1777 "$RAID_MOUNT/nfs" || return 1
|
||
put /etc/exports.d/demo.exports <<< "$RAID_MOUNT/nfs $CLI_NET/$CLI_PFX(rw,sync,no_subtree_check,root_squash)" || return 1
|
||
svc nfs-server || return 1; run exportfs -ra || return 1; fw_open nfs mountd rpc-bind
|
||
((DRY)) || exportfs -v; ok "NFS: $RAID_MOUNT/nfs для $CLI_NET/$CLI_PFX"; }
|
||
hqs_ntp(){ chrony_client "$ISP_HQ_IP"; }
|
||
hqs_web(){ need_pass || return 1; local src sql root=/var/www/html
|
||
src=$(iso_find 'index.php'); [[ -n $src ]] || { err "index.php не найден в ISO ($ISO_DIR)"; return 1; }; src=${src%/*}
|
||
msg "Файлы веб-приложения: $src"; ((DRY)) || ls -l "$src"
|
||
pkg_any "httpd php php-mysqlnd mariadb-server mariadb" "httpd php php-mysqlnd mariadb-server" || return 1
|
||
svc mariadb || return 1
|
||
if ((DRY)); then echo "${C_C}+ mysql: CREATE DATABASE webdb; пользователь web@localhost${C_0}"
|
||
else mysql -u root <<EOF || { err "Ошибка MariaDB (если задан пароль root — выполните SQL вручную)"; return 1; }
|
||
CREATE DATABASE IF NOT EXISTS webdb;
|
||
CREATE USER IF NOT EXISTS 'web'@'localhost' IDENTIFIED BY '$PASS';
|
||
GRANT ALL PRIVILEGES ON webdb.* TO 'web'@'localhost';
|
||
FLUSH PRIVILEGES;
|
||
EOF
|
||
sql=$(find "$src" -maxdepth 2 -iname '*.sql' | head -1)
|
||
if [[ -n $sql ]]; then mysql -u root webdb < "$sql" && ok "Импортирован $sql"; else warn "SQL-дамп не найден — импортируйте вручную"; fi
|
||
backup "$root/index.php"; cp -f "$src"/* "$root"/ 2>/dev/null; rm -f "$root/index.html"
|
||
sed -i -E "s/(\\\$servername[[:space:]]*=[[:space:]]*)[\"'][^\"']*[\"']/\1\"localhost\"/; s/(\\\$username[[:space:]]*=[[:space:]]*)[\"'][^\"']*[\"']/\1\"web\"/; s/(\\\$password[[:space:]]*=[[:space:]]*)[\"'][^\"']*[\"']/\1\"$PASS\"/; s/(\\\$dbname[[:space:]]*=[[:space:]]*)[\"'][^\"']*[\"']/\1\"webdb\"/" "$root/index.php"
|
||
chown -R apache:apache "$root"; selinux_on && restorecon -R "$root"; fi
|
||
svc httpd || return 1; fw_open http
|
||
((DRY)) || curl -s -o /dev/null -w "web: HTTP %{http_code}\n" http://localhost/
|
||
warn "Сверьте параметры подключения в $root/index.php с заданием."; }
|
||
hqs_ca(){ local D=/etc/pki/demo-ca n H K CK MD=-sha256; pkg openssl || return 1
|
||
K="-newkey rsa:2048"; CK="-newkey rsa:4096"
|
||
if [[ $CERT_ALG == gost ]]; then pkg openssl-gost-engine || { err "ГОСТ-движок не установлен — выберите rsa"; return 1; }
|
||
K="-newkey gost2012_256 -pkeyopt paramset:A"; CK=$K; MD=-md_gost12_256; warn "ГОСТ-TLS должны поддерживать nginx и браузер."; fi
|
||
id "$SSH_USER" >/dev/null 2>&1 || ((DRY)) || { err "Нет пользователя $SSH_USER — выполните пункт «Пользователь»"; return 1; }
|
||
run mkdir -p "$D" && run chmod 700 "$D" || return 1
|
||
run openssl req -x509 $CK -nodes $MD -days 3650 -keyout "$D/ca.key" -out "$D/ca.crt" -subj "/CN=AU-TEAM Root CA/O=AU-TEAM" \
|
||
-addext "basicConstraints=critical,CA:TRUE" -addext "keyUsage=critical,keyCertSign,cRLSign" || return 1
|
||
for n in web docker; do
|
||
run openssl req $K -nodes $MD -keyout "$D/$n.key" -out "$D/$n.csr" -subj "/CN=$(fqdn $n)" || return 1
|
||
printf 'subjectAltName=DNS:%s\nbasicConstraints=CA:FALSE\nkeyUsage=digitalSignature,keyEncipherment\nextendedKeyUsage=serverAuth\n' "$(fqdn $n)" | put "$D/$n.ext" || return 1
|
||
run openssl x509 -req -in "$D/$n.csr" -CA "$D/ca.crt" -CAkey "$D/ca.key" -CAcreateserial -days 30 $MD -extfile "$D/$n.ext" -out "$D/$n.crt" || return 1
|
||
done
|
||
H=$(getent passwd "$SSH_USER" | cut -d: -f6); H=${H:-/home/$SSH_USER}
|
||
run install -d -m 700 -o "$SSH_USER" "$H/certs" || return 1
|
||
run install -m 600 -o "$SSH_USER" "$D/ca.crt" "$D/web.crt" "$D/web.key" "$D/docker.crt" "$D/docker.key" "$H/certs/" || return 1
|
||
ok "CA: $D; сертификаты web/docker (30 дней) — в $H/certs"
|
||
if [[ -d $RAID_MOUNT/nfs ]]; then run install -m 644 "$D/ca.crt" "$RAID_MOUNT/nfs/ca.crt" && ok "ca.crt скопирован в $RAID_MOUNT/nfs"
|
||
else warn "$RAID_MOUNT/nfs нет — сначала выполните RAID+NFS, затем повторите CA (или скопируйте ca.crt вручную)"; fi; }
|
||
hqs_atop(){ pkg atop || return 1; set_kv /etc/sysconfig/atop LOGINTERVAL 420 || return 1; svc atop && ok "atop: интервал 420 с (7 минут)"
|
||
warn "Проверьте, что atop.service использует LOGINTERVAL: systemctl cat atop"; }
|
||
hqs_cups(){ pkg_any "cups cups-pdf" || return 1; svc cups || return 1
|
||
run cupsctl --share-printers --remote-any || return 1
|
||
run lpadmin -p PDF -E -v cups-pdf:/ -m "$(lpinfo -m 2>/dev/null | grep -i pdf | head -1 | cut -d' ' -f1)" || run lpadmin -p PDF -E -v cups-pdf:/ -m raw || return 1
|
||
run lpadmin -p PDF -o printer-is-shared=true && run lpadmin -d PDF && run cupsenable PDF && run cupsaccept PDF || return 1
|
||
run systemctl restart cups; fw_open ipp; ok "Принтер PDF: ipp://$(fqdn hq-srv):631/printers/PDF"; }
|
||
hqs_f2b(){ pkg_any "fail2ban fail2ban-firewalld" "fail2ban" || return 1
|
||
put /etc/fail2ban/jail.d/demo-sshd.local <<EOF || return 1
|
||
[sshd]
|
||
enabled = true
|
||
port = $SSH_PORT
|
||
backend = systemd
|
||
maxretry = 3
|
||
findtime = 10m
|
||
bantime = 1m
|
||
EOF
|
||
svc fail2ban || return 1; ((DRY)) || { sleep 2; fail2ban-client status sshd; }; }
|
||
hqs_backup(){ local f; f=$(iso_find '*yber*')
|
||
cat <<EOF
|
||
Кибер Бэкап устанавливается в основном вручную по документации:
|
||
1. На сервере управления создайте подразделение и администратора по заданию.
|
||
2. На HQ-CLI: агент и узел хранения, хранилище /backup (пункт меню HQ-CLI).
|
||
3. На HQ-SRV установите агент и зарегистрируйте его на сервере управления.
|
||
4. Создайте план резервного копирования /etc HQ-SRV в хранилище /backup и запустите.
|
||
EOF
|
||
[[ -n $f ]] && msg "Найдено в ISO: $f"; return 0; }
|
||
chk_hqs(){ ip -br a; ip r; systemctl is-active dnsmasq sshd chronyd nfs-server httpd mariadb cups 2>/dev/null
|
||
for n in hq-rtr hq-srv br-srv web docker; do getent hosts "$(fqdn $n)"; done; cat /proc/mdstat 2>/dev/null; exportfs -v 2>/dev/null; }
|
||
M_hqs=(
|
||
"М1|Сеть|hqs_net" "М1|Пользователь $SSH_USER (uid $SSH_UID, sudo без пароля)|u_srv" "М1|SSH: порт $SSH_PORT, только $SSH_USER, 2 попытки, баннер|c_sshd"
|
||
"М1|DNS-сервер (dnsmasq: A/PTR, форвардер)|hqs_dns" "М1|Часовой пояс|c_tz"
|
||
"М2|DNS: пересылка зон AD на BR-SRV|hqs_adfwd" "М2|RAID$RAID_LEVEL → $RAID_MOUNT (уничтожает данные дисков)|hqs_raid" "М2|NFS $RAID_MOUNT/nfs|hqs_nfs"
|
||
"М2|NTP-клиент → ISP|hqs_ntp" "М2|Веб-приложение Apache + MariaDB|hqs_web"
|
||
"М3|Центр сертификации и сертификаты web/docker|hqs_ca" "М3|atop (7 минут)|hqs_atop" "М3|CUPS и виртуальный PDF-принтер|hqs_cups"
|
||
"М3|fail2ban для SSH|hqs_f2b" "М3|Кибер Бэкап (подсказки)|hqs_backup")
|
||
|
||
# ================================= BR-SRV ====================================
|
||
brs_net(){ over_ssh_warn; need_iface BR_SRV_IF "Интерфейс BR-SRV"
|
||
net_eth "$BR_SRV_IF" static "$BR_SRV_IP/$BR_PFX" "$BR_FW_LAN_IP" "$HQ_SRV_IP"; }
|
||
brs_dc(){ need_pass || return 1
|
||
[[ -f /var/lib/samba/private/sam.ldb ]] && { err "Домен уже развёрнут (sam.ldb существует) — повторное развёртывание отключено"; return 1; }
|
||
pkg_any "samba-dc samba-client krb5-workstation" "samba samba-dc krb5-workstation" || return 1
|
||
warn "Будет создан домен $(REALM) (NetBIOS $AD_WORKGROUP); smb.conf и krb5.conf будут заменены (копии .demo-orig)."
|
||
yesno "Развернуть контроллер домена?" n || return 1
|
||
local s; for s in smb nmb winbind; do run systemctl disable --now "$s" 2>/dev/null; done
|
||
[[ -f /etc/samba/smb.conf ]] && { backup /etc/samba/smb.conf; run rm -f /etc/samba/smb.conf; }
|
||
run samba-tool domain provision --use-rfc2307 --realm="$(REALM)" --domain="$AD_WORKGROUP" --server-role=dc \
|
||
--dns-backend=SAMBA_INTERNAL --adminpass="$PASS" --option="dns forwarder = $HQ_SRV_IP" || { err "Развёртывание не удалось"; return 1; }
|
||
backup /etc/krb5.conf; run cp -f /var/lib/samba/private/krb5.conf /etc/krb5.conf || return 1
|
||
svc samba || return 1
|
||
if ((DRY)) || firewall-cmd --get-services 2>/dev/null | grep -qw samba-dc; then fw_open samba-dc
|
||
else fw_open dns kerberos ldap ldaps 135/tcp 445/tcp 464/tcp 464/udp 3268/tcp 3269/tcp; fi
|
||
selinux_on && warn "SELinux в режиме enforcing: при ошибках Samba смотрите журнал (ausearch -m avc)."
|
||
((DRY)) || { sleep 3; samba-tool domain level show; }; ok "Контроллер домена $(REALM) развёрнут"; }
|
||
brs_users(){ need_pass || return 1; local i
|
||
run samba-tool domain passwordsettings set --min-pwd-length=8 --account-lockout-threshold=5 --account-lockout-duration=1 --reset-account-lockout-after=1 || return 1
|
||
run samba-tool group add hq 2>/dev/null
|
||
for i in 1 2 3 4 5; do run samba-tool user add "hquser$i" "$PASS" 2>/dev/null || warn "hquser$i не создан (возможно, уже есть)"; done
|
||
run samba-tool group addmembers hq hquser1,hquser2,hquser3,hquser4,hquser5
|
||
((DRY)) || samba-tool group listmembers hq; ok "Пользователи hquser1–5 в группе hq"; }
|
||
brs_import(){ need_pass || return 1; local c lc fc pc gc sep=';' line u p
|
||
c=$(iso_find 'users*.csv'); [[ -n $c ]] || { err "users.csv не найден в ISO"; return 1; }; msg "CSV: $c"; ((DRY)) && return 0
|
||
head -3 "$c" | ui_text "Начало $c"
|
||
lc=$(ui_input "Импорт" "Номер колонки логина:" "1") || return 1; fc=$(ui_input "Импорт" "Колонка имени (пусто = нет):" "") || return 1
|
||
pc=$(ui_input "Импорт" "Колонка пароля (пусто = общий пароль):" "") || return 1; gc=$(ui_input "Импорт" "Колонка группы (пусто = нет):" "") || return 1
|
||
for x in "$lc" "$fc" "$pc" "$gc"; do [[ -z $x || $x =~ ^[1-9][0-9]?$ ]] || { err "Номер колонки: $x"; return 1; }; done
|
||
[[ -n $lc ]] || return 1; head -1 "$c" | grep -q ';' || sep=','
|
||
tail -n +2 "$c" | tr -d '\r' | while IFS= read -r line; do [[ -z $line ]] && continue
|
||
IFS="$sep" read -ra F <<< "$line"; u=${F[lc-1]}; p=${pc:+${F[pc-1]}}; p=${p:-$PASS}
|
||
is_name "$u" || { warn "Пропуск строки: логин «$u»"; continue; }
|
||
if samba-tool user add "$u" "$p" ${fc:+--given-name="${F[fc-1]}"} >/dev/null 2>&1; then echo "+ $u"; else echo "= $u (уже есть или ошибка)"; fi
|
||
[[ -n $gc && -n ${F[gc-1]} ]] && { samba-tool group add "${F[gc-1]}" >/dev/null 2>&1; samba-tool group addmembers "${F[gc-1]}" "$u" >/dev/null 2>&1; }
|
||
done; ok "Импорт завершён"; }
|
||
brs_ntp(){ chrony_client "$ISP_BR_IP"; }
|
||
brs_ansible(){ need_pass || return 1; pkg_any "ansible sshpass" "ansible-core sshpass" || return 1
|
||
put /etc/ansible/hosts 600 <<EOF || return 1
|
||
[servers]
|
||
hq-srv ansible_host=$HQ_SRV_IP ansible_user=$SSH_USER ansible_port=$SSH_PORT
|
||
|
||
[clients]
|
||
hq-cli ansible_host=$HQ_CLI_IP ansible_user=$CLI_SSH_USER ansible_port=$CLI_SSH_PORT
|
||
|
||
[routers]
|
||
hq-rtr ansible_host=$HQ_GRE_IP ansible_user=$ADM_USER ansible_port=22
|
||
br-rtr ansible_host=$BR_RTR_FW_IP ansible_user=$ADM_USER ansible_port=22
|
||
|
||
[all:vars]
|
||
ansible_password=$PASS
|
||
ansible_become=yes
|
||
ansible_become_password=$PASS
|
||
EOF
|
||
put /etc/ansible/ansible.cfg <<'EOF' || return 1
|
||
[defaults]
|
||
inventory = /etc/ansible/hosts
|
||
host_key_checking = False
|
||
interpreter_python = auto_silent
|
||
deprecation_warnings = False
|
||
EOF
|
||
((DRY)) || ansible all -m ping; warn "Файл /etc/ansible/hosts содержит пароль (права 600)."; }
|
||
brs_pcinfo(){ run mkdir -p /etc/ansible/PC-INFO || return 1
|
||
put /etc/ansible/inventory.yml <<'EOF' || return 1
|
||
---
|
||
- name: Сбор информации о хостах
|
||
hosts: hq-srv,hq-cli
|
||
gather_facts: yes
|
||
tasks:
|
||
- name: Записать имя и IP в /etc/ansible/PC-INFO/<hostname>.yml
|
||
copy:
|
||
dest: "/etc/ansible/PC-INFO/{{ ansible_hostname }}.yml"
|
||
content: |
|
||
hostname: {{ ansible_hostname }}
|
||
ip_address: {{ ansible_default_ipv4.address }}
|
||
delegate_to: localhost
|
||
become: no
|
||
EOF
|
||
((DRY)) || { ansible-playbook /etc/ansible/inventory.yml; cat /etc/ansible/PC-INFO/*.yml 2>/dev/null; }
|
||
warn "Если в задании другие хосты или имя плейбука — исправьте /etc/ansible/inventory.yml."; }
|
||
brs_docker(){ need_pass || return 1; local d f site db
|
||
pkg_any "docker-ce docker-ce-cli docker-compose-plugin" "docker-ce docker-compose" "docker docker-compose" || return 1; svc docker || return 1
|
||
d=$(iso_find 'site_latest*'); [[ -n $d ]] || { err "Образ site_latest не найден в ISO"; return 1; }; d=${d%/*}
|
||
for f in "$d"/*.tar "$d"/*.tar.gz; do [[ -f $f ]] && run docker load -i "$f"; done
|
||
f=$(find "$d" -maxdepth 1 -iname '*readme*' 2>/dev/null | head -1); [[ -n $f ]] && { warn "README из ISO — сверьте переменные:"; cat "$f"; }
|
||
site=$(docker images --format '{{.Repository}}:{{.Tag}}' 2>/dev/null | grep -i site | head -1)
|
||
db=$(docker images --format '{{.Repository}}:{{.Tag}}' 2>/dev/null | grep -i mariadb | head -1)
|
||
run install -d -m 700 /root/testapp || return 1
|
||
put /root/testapp/compose.yaml 600 <<EOF || return 1
|
||
services:
|
||
db:
|
||
image: ${db:-mariadb:latest}
|
||
container_name: db
|
||
restart: always
|
||
environment:
|
||
MARIADB_DATABASE: testdb
|
||
MARIADB_USER: test
|
||
MARIADB_PASSWORD: '$PASS'
|
||
MARIADB_ROOT_PASSWORD: '$PASS'
|
||
volumes:
|
||
- db_data:/var/lib/mysql
|
||
testapp:
|
||
image: ${site:-site:latest}
|
||
container_name: testapp
|
||
restart: always
|
||
depends_on: [db]
|
||
ports:
|
||
- "8080:$APP_INNER_PORT"
|
||
environment:
|
||
DB_TYPE: maria
|
||
DB_HOST: db
|
||
DB_NAME: testdb
|
||
DB_USER: test
|
||
DB_PASS: '$PASS'
|
||
DB_PORT: 3306
|
||
volumes:
|
||
db_data:
|
||
EOF
|
||
yesno "Открыть compose.yaml для правки перед запуском?" n && run "${EDITOR:-vi}" /root/testapp/compose.yaml
|
||
if docker compose version >/dev/null 2>&1 || ((DRY)); then run docker compose -f /root/testapp/compose.yaml up -d || return 1
|
||
else run docker-compose -f /root/testapp/compose.yaml up -d || return 1; fi
|
||
fw_open 8080/tcp; ((DRY)) || { sleep 5; docker ps; curl -s -o /dev/null -w "testapp: HTTP %{http_code}\n" http://localhost:8080/; }; }
|
||
chk_brs(){ ip -br a; ip r; systemctl is-active samba sshd chronyd docker 2>/dev/null; samba-tool user list 2>/dev/null | head
|
||
host -t SRV "_ldap._tcp.$DOMAIN" 127.0.0.1 2>/dev/null; docker ps 2>/dev/null; }
|
||
M_brs=(
|
||
"М1|Сеть|brs_net" "М1|Пользователь $SSH_USER (uid $SSH_UID, sudo без пароля)|u_srv" "М1|SSH: порт $SSH_PORT, только $SSH_USER, 2 попытки, баннер|c_sshd" "М1|Часовой пояс|c_tz"
|
||
"М2|Контроллер домена Samba AD|brs_dc" "М2|Пользователи hquser1–5, группа hq, политика паролей|brs_users" "М2|NTP-клиент → ISP|brs_ntp"
|
||
"М2|Ansible: инвентарь и проверка ping|brs_ansible" "М2|Docker: testapp и MariaDB из ISO|brs_docker"
|
||
"М3|Импорт пользователей из users.csv|brs_import" "М3|Ansible-плейбук PC-INFO|brs_pcinfo")
|
||
|
||
# ================================= HQ-CLI ====================================
|
||
hqc_net(){ over_ssh_warn; need_iface HQ_CLI_IF "Интерфейс HQ-CLI"; net_eth "$HQ_CLI_IF" dhcp || return 1; ((DRY)) || { ip -br a show "$HQ_CLI_IF"; cat /etc/resolv.conf; }; }
|
||
hqc_join(){ need_pass || return 1
|
||
pkg_any "realmd sssd sssd-tools oddjob oddjob-mkhomedir adcli samba-common-tools krb5-workstation authselect" "realmd sssd adcli oddjob-mkhomedir krb5-workstation authselect" || return 1
|
||
((DRY)) || { getent hosts "$(fqdn br-srv)" >/dev/null || warn "br-srv не резолвится: проверьте DNS"; realm discover "$DOMAIN" || warn "Домен не обнаружен: проверьте пересылку зон AD на HQ-SRV"; }
|
||
if ((DRY)); then run realm join -U "$AD_ADMIN" "$DOMAIN"
|
||
else printf '%s\n' "$PASS" | realm join -v -U "$AD_ADMIN" "$DOMAIN" || { err "Ввод в домен не удался (DNS, время, пароль)"; return 1; }; fi
|
||
if ((DRY)); then echo "${C_C}+ sssd.conf: use_fully_qualified_names = False, fallback_homedir = /home/%u${C_0}"
|
||
else backup /etc/sssd/sssd.conf; sed -i -E 's/^use_fully_qualified_names.*/use_fully_qualified_names = False/; s|^fallback_homedir.*|fallback_homedir = /home/%u|' /etc/sssd/sssd.conf; fi
|
||
run authselect select sssd with-mkhomedir --force || return 1; svc oddjobd; svc sssd || return 1
|
||
((DRY)) || { realm list; id hquser1; }; ok "HQ-CLI в домене $DOMAIN; перезагрузите ВМ"; }
|
||
hqc_sudo(){ pkg sudo || return 1; local f=/etc/sudoers.d/demo-hq
|
||
put "$f" 440 <<< "%hq ALL=(ALL) /usr/bin/cat, /usr/bin/grep, /usr/bin/id" || return 1
|
||
((DRY)) || visudo -cf "$f" >/dev/null || { err "Ошибка sudoers — файл удалён"; rm -f "$f"; return 1; }; ok "Группа hq: sudo только cat, grep, id"; }
|
||
hqc_nfs(){ pkg nfs-utils || return 1; run mkdir -p /mnt/nfs || return 1
|
||
if ((DRY)); then echo "${C_C}+ /etc/fstab: $HQ_SRV_IP:$RAID_MOUNT/nfs /mnt/nfs nfs defaults,_netdev,x-systemd.automount 0 0${C_0}"
|
||
else backup /etc/fstab; sed -i '\| /mnt/nfs |d' /etc/fstab; echo "$HQ_SRV_IP:$RAID_MOUNT/nfs /mnt/nfs nfs defaults,_netdev,x-systemd.automount 0 0" >> /etc/fstab; fi
|
||
run systemctl daemon-reload; run mount /mnt/nfs && ok "NFS смонтирован в /mnt/nfs"; ((DRY)) || df -h /mnt/nfs; }
|
||
hqc_ntp(){ chrony_client "$ISP_HQ_IP"; }
|
||
hqc_yandex(){ pkg_any "yandex-browser-stable" "yandex-browser" || warn "Пакет не найден — установите Яндекс Браузер вручную"; }
|
||
hqc_ssh(){ id "$CLI_SSH_USER" >/dev/null 2>&1 || mkuser "$CLI_SSH_USER" || return 1; c_sshd_basic "$CLI_SSH_PORT"; }
|
||
hqc_ca(){ local ca=/mnt/nfs/ca.crt h
|
||
[[ -f $ca ]] || ((DRY)) || ca=$(ui_input "Сертификат CA" "Путь к ca.crt:" "$ca"); [[ -f $ca ]] || ((DRY)) || { err "ca.crt не найден"; return 1; }
|
||
run install -m 644 "$ca" /etc/pki/ca-trust/source/anchors/au-team-ca.crt && run update-ca-trust || return 1
|
||
pkg nss-tools || return 1
|
||
for h in /etc/skel /root /home/*; do [[ -d $h ]] || continue
|
||
run mkdir -p "$h/.pki/nssdb"; [[ -f $h/.pki/nssdb/cert9.db ]] || run certutil -d "sql:$h/.pki/nssdb" -N --empty-password
|
||
run certutil -d "sql:$h/.pki/nssdb" -A -t "C,," -n "AU-TEAM CA" -i "$ca"
|
||
[[ $h == /home/* ]] && run chown -R "$(stat -c %U "$h")": "$h/.pki"; done
|
||
ok "CA добавлен в системное хранилище и NSS браузеров"; }
|
||
hqc_printer(){ pkg_any "cups cups-client" "cups" || return 1; svc cups || return 1
|
||
run lpadmin -p PDF -E -v "ipp://$(fqdn hq-srv):631/printers/PDF" -m everywhere || return 1
|
||
run lpadmin -d PDF && ok "Принтер PDF по умолчанию"; ((DRY)) || lpstat -d; }
|
||
hqc_backup(){ run install -d -m 700 /backup && ok "Создан /backup"
|
||
warn "Установите агент и узел хранения Кибер Бэкап, зарегистрируйте их на сервере управления; хранилище — /backup."; }
|
||
chk_hqc(){ ip -br a; ip r; cat /etc/resolv.conf; realm list 2>/dev/null; id hquser1 2>/dev/null; df -h /mnt/nfs 2>/dev/null; lpstat -d 2>/dev/null; }
|
||
M_hqc=(
|
||
"М1|Сеть: DHCP|hqc_net" "М1|Часовой пояс|c_tz" "М2|Ввод в домен $(REALM)|hqc_join" "М2|sudo для группы hq (cat, grep, id)|hqc_sudo"
|
||
"М2|NFS: автомонтирование /mnt/nfs|hqc_nfs" "М2|NTP-клиент → ISP|hqc_ntp" "М2|Яндекс Браузер|hqc_yandex" "М2|SSH для Ansible|hqc_ssh"
|
||
"М3|Доверие к CA (HTTPS без ошибок)|hqc_ca" "М3|Принтер PDF по умолчанию|hqc_printer" "М3|Кибер Бэкап: каталог /backup|hqc_backup")
|
||
|
||
|
||
# ============================ интерфейс (окна) ===============================
|
||
# Окна whiptail/dialog, если они есть; иначе текстовое меню. DEMO_UI=text — всегда текст.
|
||
UI=text; UI_TTY=${DEMO_TTY:-/dev/tty}
|
||
ui_init(){ local b
|
||
case ${DEMO_UI:-auto} in
|
||
text) UI=text; return ;;
|
||
whiptail|dialog) UI=$DEMO_UI; return ;;
|
||
esac
|
||
[[ -t 0 && -t 1 || -t 0 && $MODE == apply ]] || return 0
|
||
for b in whiptail dialog; do have "$b" && { UI=$b; return; }; done
|
||
if [[ $MODE == apply ]] && yesno "Окна выбора недоступны. Установить пакет newt (whiptail)?" y; then
|
||
dnf install -y newt >/dev/null 2>&1 && have whiptail && UI=whiptail; fi; return 0; }
|
||
ui_size(){ local l c; l=$(tput lines 2>/dev/null || echo 24); c=$(tput cols 2>/dev/null || echo 80)
|
||
UI_H=$(( l > 10 ? l - 4 : 20 )); UI_W=$(( c > 90 ? 86 : (c > 40 ? c - 4 : 76) )); }
|
||
# ui_call АРГУМЕНТЫ — запускает whiptail/dialog, результат печатает в stdout.
|
||
ui_call(){ local rc out; ui_size
|
||
out=$("$UI" --backtitle "demo-setup v$VERSION — $([[ $MODE == apply ]] && echo ПРИМЕНЕНИЕ || echo ПРОСМОТР)" "$@" 3>&1 1>"$UI_TTY" 2>&3 <&5); rc=$?
|
||
printf '%s' "$out"; return $rc; }
|
||
btn(){ if [[ $UI == dialog ]]; then echo "--yes-label $1 --no-label $2 --ok-label $1 --cancel-label $2"; else echo "--yes-button $1 --no-button $2 --ok-button $1 --cancel-button $2"; fi; }
|
||
# ui_menu "заголовок" "текст" ТЕГ ПУНКТ ТЕГ ПУНКТ ... → выбранный тег
|
||
ui_menu(){ local t=$1 x=$2; shift 2; local n=$(( $# / 2 )) a i
|
||
if [[ $UI != text ]]; then ui_size; local h=$(( n + 8 < UI_H ? n + 8 : UI_H ))
|
||
ui_call --title "$t" $(btn Выбрать Назад) --menu "$x" "$h" "$UI_W" $(( h - 7 )) "$@"; return; fi
|
||
local -a args=("$@")
|
||
{ echo; echo "${C_B}===== $t =====${C_0}"; [[ -n $x ]] && echo "$x"
|
||
for ((i = 0; i < ${#args[@]}; i += 2)); do printf ' %4s) %s\n' "${args[i]}" "${args[i+1]}"; done; } >&2
|
||
read -r -p "Выбор: " a || return 255
|
||
for ((i = 0; i < ${#args[@]}; i += 2)); do [[ ${args[i],,} == "${a,,}" ]] && { printf '%s' "${args[i]}"; return 0; }; done
|
||
[[ -z $a ]] && return 1; warn "Нет такого пункта: $a" >&2; ui_menu "$t" "$x" "$@"; }
|
||
# ui_input "заголовок" "вопрос" "значение по умолчанию" → введённая строка
|
||
ui_input(){ local a
|
||
if [[ $UI != text ]]; then ui_size; ui_call --title "$1" $(btn OK Отмена) --inputbox "$2" 12 "$UI_W" "$3"; return; fi
|
||
read -r -p "$2 [$3]: " a || return 1; printf '%s' "${a:-$3}"; }
|
||
ui_pass(){ local a
|
||
if [[ $UI != text ]]; then ui_call --title "Пароль" $(btn OK Отмена) --passwordbox "$1" 10 "$UI_W"; return; fi
|
||
read -r -s -p "$1: " a || return 1; echo >&2; printf '%s' "$a"; }
|
||
ui_yesno(){ local q=$1 d=${2:-n} a h
|
||
if [[ $UI != text ]]; then ui_size; local -a dn=(); [[ $d == n ]] && dn=(--defaultno)
|
||
ui_call --title "Подтверждение" $(btn Да Нет) "${dn[@]}" --yesno "$q" 12 "$UI_W" >/dev/null; return; fi
|
||
[[ $d == y ]] && h="Y/n" || h="y/N"; read -r -p "$q [$h] " a || return 1; a=${a:-$d}; [[ $a =~ ^[YyДд] ]]; }
|
||
# ui_text "заголовок" — показывает текст из stdin (с прокруткой).
|
||
ui_text(){ local f; f=$(mktemp) || return 1; cat > "$f"
|
||
if [[ $UI != text ]]; then ui_size; ui_call --title "$1" --scrolltext --textbox "$f" "$UI_H" "$UI_W" >/dev/null 2>&1 || ui_call --title "$1" --textbox "$f" "$UI_H" "$UI_W" >/dev/null
|
||
else echo; echo "${C_B}===== $1 =====${C_0}"; cat "$f"; pause; fi; rm -f "$f"; }
|
||
ui_clear(){ [[ $UI != text ]] && clear 2>/dev/null; return 0; }
|
||
|
||
# ========================== ввод данных пользователем ========================
|
||
declare -A IF_LABEL=(
|
||
[ISP_WAN_IF]="ISP: интерфейс в Интернет" [ISP_HQ_IF]="ISP: интерфейс к HQ-RTR" [ISP_BR_IF]="ISP: интерфейс к BR-RTR"
|
||
[HQ_RTR_WAN_IF]="HQ-RTR: WAN-интерфейс" [HQ_RTR_LAN_IF]="HQ-RTR: LAN (транк к HQ-SW)" [BR_RTR_WAN_IF]="BR-RTR: WAN-интерфейс"
|
||
[BR_RTR_LAN_IF]="BR-RTR: интерфейс к BR-FW" [BR_FW_WAN_IF]="BR-FW: интерфейс к BR-RTR" [BR_FW_LAN_IF]="BR-FW: интерфейс к BR-SRV"
|
||
[HQ_SW_UP_IF]="HQ-SW: аплинк к HQ-RTR" [HQ_SW_SRV_IF]="HQ-SW: порт к HQ-SRV" [HQ_SW_CLI_IF]="HQ-SW: порт к HQ-CLI"
|
||
[HQ_SRV_IF]="HQ-SRV: интерфейс" [BR_SRV_IF]="BR-SRV: интерфейс" [HQ_CLI_IF]="HQ-CLI: интерфейс")
|
||
label_of(){ local e; [[ -n ${IF_LABEL[$1]+x} ]] && { echo "${IF_LABEL[$1]}"; return; }
|
||
for e in "${PARAMS[@]}"; do [[ ${e%%|*} == "$1" ]] && { echo "${e##*|}"; return; }; done; echo "$1"; }
|
||
type_hint(){ case $1 in
|
||
ip) echo "IPv4-адрес, например 192.168.1.10" ;; ipo) echo "IPv4-адрес или пусто" ;;
|
||
pfx) echo "Префикс 0–32 (можно /28 или маску 255.255.255.240)" ;; port) echo "Порт 1–65535" ;; int) echo "Целое число" ;;
|
||
name) echo "Латиница, цифры, точка, дефис" ;; yn) echo "yes или no" ;; alg) echo "rsa или gost" ;;
|
||
list) echo "Записи имя=IP или имя=IP:ptr через пробел" ;; *) echo "Текст без кавычек" ;; esac; }
|
||
# Приводит «/28» и «255.255.255.240» к префиксу 28.
|
||
norm_pfx(){ local v=${1#/}; if is_pfx "$v"; then echo "$v"; elif is_ip "$v"; then mask2pfx "$v"; else return 1; fi; }
|
||
# Выбор интерфейса из списка интерфейсов ВМ.
|
||
pick_iface(){ local v=$1 i st mac items=() c
|
||
for i in /sys/class/net/*; do i=${i##*/}; [[ $i == lo || $i == ovs-system ]] && continue
|
||
st=$(cat "/sys/class/net/$i/operstate" 2>/dev/null); mac=$(cat "/sys/class/net/$i/address" 2>/dev/null)
|
||
items+=("$i" "$st $mac $(ip -4 -o addr show dev "$i" 2>/dev/null | awk '{print $4}' | head -1)"); done
|
||
items+=("*" "Ввести имя вручную")
|
||
c=$(ui_menu "$(label_of "$v")" "Текущее значение: ${!v:-не выбрано}. Выберите интерфейс этой ВМ:" "${items[@]}") || return 1
|
||
if [[ $c == "*" ]]; then c=$(ui_input "$(label_of "$v")" "Имя интерфейса (например ens19):" "${!v}") || return 1; fi
|
||
if is_iface "$c" || { ((DRY)) && [[ $c =~ ^[A-Za-z0-9._@-]{1,15}$ ]]; }; then printf -v "$v" '%s' "$c"; conf_save; return 0; fi
|
||
ui_msg "Интерфейс «$c» не найден на этой ВМ."; return 1; }
|
||
ui_msg(){ if [[ $UI != text ]]; then ui_call --title "Сообщение" --msgbox "$1" 12 "${UI_W:-76}" >/dev/null; else warn "$1"; fi; }
|
||
# edit_param ПЕРЕМЕННАЯ ["вопрос"] — ввод значения с проверкой.
|
||
edit_param(){ local v=$1 q=${2:-} t a; t=$(param_type "$v"); t=${t:-text}
|
||
[[ $t == if ]] && { pick_iface "$v"; return; }
|
||
[[ -n $q ]] || q=$(label_of "$v")
|
||
while :; do a=$(ui_input "$(label_of "$v")" "$q"$'\n'"$(type_hint "$t")" "${!v}") || return 1
|
||
[[ $t == pfx ]] && { a=$(norm_pfx "$a") || { ui_msg "Неверный префикс или маска."; continue; }; }
|
||
if valid "$t" "$a"; then printf -v "$v" '%s' "$a"; conf_save; return 0; fi
|
||
ui_msg "Неверное значение. $(type_hint "$t")."; done; }
|
||
ask(){ edit_param "$1" "$2"; }
|
||
ask_iface(){ pick_iface "$1"; }
|
||
need_iface(){ [[ -n ${!1} ]] && { is_iface "${!1}" || ((DRY)); } && return 0; pick_iface "$1"; }
|
||
show_val(){ local v=$1 t; t=$(param_type "$v")
|
||
if [[ -z ${!v} ]]; then [[ $t == if ]] && echo "(не выбран)" || echo "(пусто)"
|
||
elif [[ $t == pfx ]]; then echo "/${!v} ($(pfx2mask "${!v}"))"; else echo "${!v}"; fi; }
|
||
settings_menu(){ local items=() e k c i
|
||
while :; do items=(); i=1
|
||
for e in "${PARAMS[@]}"; do k=${e%%|*}; items+=("$i" "$(padr "${e##*|}" 40)$(show_val "$k")"); i=$((i+1)); done
|
||
for k in "${IFACE_VARS[@]}"; do items+=("$i" "$(padr "${IF_LABEL[$k]}" 40)$(show_val "$k")"); i=$((i+1)); done
|
||
items+=("0" "Назад")
|
||
c=$(ui_menu "Параметры стенда" "Файл: $CONF (пароль не сохраняется)" "${items[@]}") || return
|
||
[[ $c == 0 ]] && return
|
||
if ((c <= ${#PARAMS[@]})); then e=${PARAMS[c-1]}; edit_param "${e%%|*}"; else edit_param "${IFACE_VARS[c-1-${#PARAMS[@]}]}"; fi; done; }
|
||
need_pass(){ [[ -n $PASS ]] && return 0
|
||
if ((DRY)); then PASS='DryRun.Pass1'; return 0; fi
|
||
local p1 p2
|
||
p1=$(ui_pass "Общий пароль стенда (8–64 символа: A-Z a-z 0-9 @ . _ ! + -)") || return 1
|
||
p2=$(ui_pass "Повторите пароль") || return 1
|
||
[[ $p1 == "$p2" && ${#p1} -ge 8 && ${#p1} -le 64 && $p1 =~ ^[A-Za-z0-9@._!+-]+$ ]] || { ui_msg "Пароли не совпадают или недопустимы."; return 1; }
|
||
PASS=$p1; }
|
||
|
||
# padr ТЕКСТ ШИРИНА — дополняет пробелами по числу символов (корректно для кириллицы).
|
||
padr(){ local n=$(( $2 - ${#1} )); ((n < 1)) && n=1; printf '%s%*s' "$1" "$n" ''; }
|
||
|
||
# ============================ калькулятор масок ==============================
|
||
ip2int(){ local IFS=. a b c d; read -r a b c d <<< "$1"; echo $(( (10#$a << 24) | (10#$b << 16) | (10#$c << 8) | 10#$d )); }
|
||
int2ip(){ local n=$1; echo "$(( (n >> 24) & 255 )).$(( (n >> 16) & 255 )).$(( (n >> 8) & 255 )).$(( n & 255 ))"; }
|
||
pfx2int(){ (( $1 == 0 )) && { echo 0; return; }; echo $(( (0xFFFFFFFF << (32 - $1)) & 0xFFFFFFFF )); }
|
||
mask2pfx(){ is_ip "$1" || return 1; local m p; m=$(ip2int "$1")
|
||
for ((p = 0; p <= 32; p++)); do (( $(pfx2int "$p") == m )) && { echo "$p"; return 0; }; done; return 1; }
|
||
hosts_of(){ local p=$1; if ((p == 32)); then echo 1; elif ((p == 31)); then echo 2; else echo $(( (1 << (32 - p)) - 2 )); fi; }
|
||
# net_info IP ПРЕФИКС — сведения о подсети.
|
||
net_info(){ local ip=$1 p=$2 a m net bc first last
|
||
a=$(ip2int "$ip"); m=$(pfx2int "$p"); net=$(( a & m )); bc=$(( net | (~m & 0xFFFFFFFF) ))
|
||
if ((p >= 31)); then first=$net; last=$bc; else first=$((net + 1)); last=$((bc - 1)); fi
|
||
local k v; while IFS='|' read -r k v; do echo "$(padr "$k" 22)$v"; done <<EOT
|
||
Адрес:|$ip
|
||
Префикс / маска:|/$p $(pfx2mask "$p")
|
||
Обратная маска:|$(int2ip $(( ~m & 0xFFFFFFFF )))
|
||
Сеть:|$(int2ip $net)/$p
|
||
Широковещательный:|$(int2ip $bc)
|
||
Первый узел:|$(int2ip $first)
|
||
Последний узел:|$(int2ip $last)
|
||
Узлов:|$(hosts_of "$p")
|
||
EOT
|
||
(( a == net && p < 31 )) && echo "Примечание: это адрес сети, узлу его назначать нельзя."
|
||
(( a == bc && p < 31 )) && echo "Примечание: это широковещательный адрес, узлу его назначать нельзя."; return 0; }
|
||
# parse_cidr "IP/префикс" | "IP маска" | "IP" → CALC_IP CALC_PFX
|
||
parse_cidr(){ local s=${1//,/ } ip p; s=$(echo "$s" | xargs)
|
||
if [[ $s == */* ]]; then ip=${s%/*}; p=${s#*/}; elif [[ $s == *' '* ]]; then ip=${s%% *}; p=${s##* }; else ip=$s; p=; fi
|
||
is_ip "$ip" || return 1
|
||
if [[ -z $p ]]; then p=$(ui_input "Калькулятор" "Префикс или маска для $ip:" "24") || return 1; fi
|
||
p=$(norm_pfx "$p") || return 1; CALC_IP=$ip; CALC_PFX=$p; }
|
||
calc_net(){ local s; s=$(ui_input "Расчёт подсети" "Адрес и префикс/маска: 192.168.100.5/27 или 192.168.100.5 255.255.255.224" "${CALC_LAST:-192.168.100.0/27}") || return
|
||
parse_cidr "$s" || { ui_msg "Не удалось разобрать «$s»."; return; }; CALC_LAST="$CALC_IP/$CALC_PFX"
|
||
net_info "$CALC_IP" "$CALC_PFX" | ui_text "Подсеть $CALC_IP/$CALC_PFX"; }
|
||
calc_hosts(){ local n p
|
||
n=$(ui_input "Подбор префикса" "Сколько адресов узлов нужно в сети (включая шлюз)?" "14") || return
|
||
[[ $n =~ ^[0-9]+$ ]] && ((n >= 1 && n <= 4294967294)) || { ui_msg "Нужно число узлов."; return; }
|
||
for ((p = 32; p >= 0; p--)); do (( $(hosts_of "$p") >= n )) && break; done
|
||
{ echo "Для $n узлов подходит минимальный префикс /$p (маска $(pfx2mask "$p"))."
|
||
echo "Узлов в такой сети: $(hosts_of "$p"); всего адресов: $(( 1 << (32 - p) ))."
|
||
((p > 0)) && echo "Префикс /$((p - 1)) даст $(hosts_of $((p - 1))) узлов (с запасом)."; } | ui_text "Подбор префикса"; }
|
||
calc_split(){ local s n p np i base step
|
||
s=$(ui_input "Деление сети" "Сеть для деления, например 192.168.0.0/24:" "192.168.0.0/24") || return
|
||
parse_cidr "$s" || { ui_msg "Не удалось разобрать «$s»."; return; }
|
||
np=$(ui_input "Деление сети" "Новый префикс подсетей (больше /$CALC_PFX):" "$((CALC_PFX + 2 > 32 ? 32 : CALC_PFX + 2))") || return
|
||
np=$(norm_pfx "$np") || { ui_msg "Неверный префикс."; return; }
|
||
((np > CALC_PFX)) || { ui_msg "Новый префикс должен быть больше /$CALC_PFX."; return; }
|
||
n=$(( 1 << (np - CALC_PFX) )); ((n <= 256)) || { ui_msg "Получится $n подсетей — слишком много для вывода (максимум 256)."; return; }
|
||
base=$(( $(ip2int "$CALC_IP") & $(pfx2int "$CALC_PFX") )); step=$(( 1 << (32 - np) ))
|
||
{ printf '%-4s %-20s %-17s %-17s %s\n' "№" "Подсеть" "Первый узел" "Последний узел" "Широковещ."
|
||
for ((i = 0; i < n; i++)); do p=$(( base + i * step ))
|
||
if ((np >= 31)); then printf '%-4s %-20s %-17s %-17s %s\n' $((i + 1)) "$(int2ip $p)/$np" "$(int2ip $p)" "$(int2ip $((p + step - 1)))" "-"
|
||
else printf '%-4s %-20s %-17s %-17s %s\n' $((i + 1)) "$(int2ip $p)/$np" "$(int2ip $((p + 1)))" "$(int2ip $((p + step - 2)))" "$(int2ip $((p + step - 1)))"; fi
|
||
done; } | ui_text "Деление $(int2ip $base)/$CALC_PFX на /$np"; }
|
||
calc_table(){ local p; { printf '%-6s %-17s %-12s %s\n' "Префикс" "Маска" "Адресов" "Узлов"
|
||
for ((p = 32; p >= 8; p--)); do printf '/%-5s %-17s %-12s %s\n' "$p" "$(pfx2mask "$p")" "$(( 1 << (32 - p) ))" "$(hosts_of "$p")"; done; } | ui_text "Таблица префиксов"; }
|
||
# Проверка стенда: каждый адрес должен входить в свою сеть.
|
||
in_net(){ local m; m=$(pfx2int "$3"); (( ($(ip2int "$1") & m) == ($(ip2int "$2") & m) )); }
|
||
calc_check(){ local line ip net p name bad=0
|
||
{ echo "$(padr Узел 18)$(padr IP 17)$(padr Сеть 21)Итог"
|
||
while read -r name ip net p; do
|
||
if in_net "${!ip}" "${!net}" "${!p}"; then r=OK; else r="НЕ В СЕТИ"; bad=1; fi
|
||
printf '%-18s %-16s %-20s %s\n' "$name" "${!ip}" "$(int2ip $(( $(ip2int "${!net}") & $(pfx2int "${!p}") )))/${!p}" "$r"
|
||
done <<'EOT'
|
||
ISP-to-HQ ISP_HQ_IP HQ_RTR_WAN_IP HQ_WAN_PFX
|
||
HQ-RTR_WAN HQ_RTR_WAN_IP ISP_HQ_IP HQ_WAN_PFX
|
||
ISP-to-BR ISP_BR_IP BR_RTR_WAN_IP BR_WAN_PFX
|
||
HQ-RTR_VLAN_SRV HQ_RTR_SRV_IP SRV_NET SRV_PFX
|
||
HQ-SRV HQ_SRV_IP SRV_NET SRV_PFX
|
||
HQ-RTR_VLAN_CLI HQ_RTR_CLI_IP CLI_NET CLI_PFX
|
||
DHCP-start DHCP_START CLI_NET CLI_PFX
|
||
DHCP-end DHCP_END CLI_NET CLI_PFX
|
||
HQ-CLI HQ_CLI_IP CLI_NET CLI_PFX
|
||
HQ-RTR_MGMT HQ_RTR_MGMT_IP MGMT_NET MGMT_PFX
|
||
HQ-SW_MGMT HQ_SW_MGMT_IP MGMT_NET MGMT_PFX
|
||
BR-RTR-to-FW BR_RTR_FW_IP FW_NET FW_PFX
|
||
BR-FW-to-RTR BR_FW_IP FW_NET FW_PFX
|
||
BR-FW_LAN BR_FW_LAN_IP BR_NET BR_PFX
|
||
BR-SRV BR_SRV_IP BR_NET BR_PFX
|
||
HQ-RTR_GRE HQ_GRE_IP GRE_NET GRE_PFX
|
||
BR-RTR_GRE BR_GRE_IP GRE_NET GRE_PFX
|
||
EOT
|
||
echo; echo "Сети серверов/клиентов: узлов в /$SRV_PFX — $(hosts_of "$SRV_PFX"), в /$CLI_PFX — $(hosts_of "$CLI_PFX"), в /$MGMT_PFX — $(hosts_of "$MGMT_PFX")."
|
||
} | ui_text "Проверка адресов стенда"; }
|
||
calc_menu(){ local c
|
||
while :; do c=$(ui_menu "Калькулятор масок" "Выберите действие:" \
|
||
1 "Рассчитать подсеть (IP/префикс или IP маска)" 2 "Подобрать префикс по числу узлов" 3 "Разделить сеть на подсети" \
|
||
4 "Таблица префиксов /8–/32" 5 "Проверить адреса стенда (входят ли в свои сети)" 0 "Назад") || return
|
||
case $c in 1) calc_net ;; 2) calc_hosts ;; 3) calc_split ;; 4) calc_table ;; 5) calc_check ;; 0) return ;; esac; done; }
|
||
|
||
# ================================== меню =====================================
|
||
# Данные, которые показываются и вводятся перед выполнением пункта.
|
||
declare -A TASK_PARAMS=(
|
||
[c_tz]="TZ_NAME" [c_hostname]="DOMAIN" [u_rtr]="ADM_USER" [u_srv]="SSH_USER SSH_UID" [c_sshd]="SSH_USER SSH_PORT BANNER_TEXT"
|
||
[isp_net]="ISP_WAN_IF ISP_HQ_IF ISP_BR_IF ISP_HQ_IP HQ_WAN_PFX ISP_BR_IP BR_WAN_PFX"
|
||
[isp_nat]="ISP_WAN_IF ISP_HQ_IF ISP_BR_IF" [isp_chrony]="NTP_UPSTREAM ISP_HQ_IP HQ_WAN_PFX ISP_BR_IP BR_WAN_PFX"
|
||
[isp_proxy]="DOMAIN HQ_RTR_WAN_IP BR_RTR_WAN_IP" [isp_auth]="DOMAIN HQ_RTR_WAN_IP BR_RTR_WAN_IP" [isp_https]="HQ_RTR_WAN_IP SSH_PORT SSH_USER"
|
||
[hqr_net]="HQ_RTR_WAN_IF HQ_RTR_LAN_IF HQ_RTR_WAN_IP HQ_WAN_PFX ISP_HQ_IP DNS_FWD VLAN_SRV HQ_RTR_SRV_IP SRV_PFX VLAN_CLI HQ_RTR_CLI_IP CLI_PFX VLAN_MGMT HQ_RTR_MGMT_IP MGMT_PFX"
|
||
[hqr_nat]="HQ_RTR_WAN_IF HQ_RTR_LAN_IF" [hqr_gre]="GRE_IF HQ_RTR_WAN_IP BR_RTR_WAN_IP HQ_GRE_IP GRE_PFX"
|
||
[hqr_ospf]="HQ_GRE_IP GRE_NET GRE_PFX SRV_NET SRV_PFX CLI_NET CLI_PFX MGMT_NET MGMT_PFX"
|
||
[hqr_dhcp]="HQ_RTR_LAN_IF VLAN_CLI DHCP_START DHCP_END CLI_PFX HQ_RTR_CLI_IP HQ_SRV_IP DOMAIN HQ_CLI_MAC HQ_CLI_IP"
|
||
[hqr_ntp]="ISP_HQ_IP" [hqr_dnat]="HQ_SRV_IP SSH_PORT"
|
||
[brr_net]="BR_RTR_WAN_IF BR_RTR_LAN_IF BR_RTR_WAN_IP BR_WAN_PFX ISP_BR_IP DNS_FWD BR_RTR_FW_IP FW_PFX"
|
||
[brr_nat]="BR_RTR_WAN_IF BR_RTR_LAN_IF" [brr_gre]="GRE_IF BR_RTR_WAN_IP HQ_RTR_WAN_IP BR_GRE_IP GRE_PFX"
|
||
[brr_ospf]="BR_RTR_LAN_IF OSPF_FW_AUTH BR_GRE_IP GRE_NET GRE_PFX FW_NET FW_PFX" [brr_ntp]="ISP_BR_IP" [brr_dnat]="BR_SRV_IP SSH_PORT"
|
||
[brfw_net]="BR_FW_WAN_IF BR_FW_LAN_IF BR_FW_IP FW_PFX BR_RTR_FW_IP BR_FW_LAN_IP BR_PFX HQ_SRV_IP"
|
||
[brfw_ospf]="BR_FW_WAN_IF OSPF_FW_AUTH BR_FW_IP FW_NET FW_PFX BR_NET BR_PFX"
|
||
[hqsw_ovs]="HQ_SW_UP_IF HQ_SW_SRV_IF HQ_SW_CLI_IF VLAN_SRV VLAN_CLI VLAN_MGMT HQ_SW_MGMT_IP MGMT_PFX HQ_RTR_MGMT_IP"
|
||
[hqs_net]="HQ_SRV_IF HQ_SRV_IP SRV_PFX HQ_RTR_SRV_IP DNS_FWD"
|
||
[hqs_dns]="DOMAIN HQ_SRV_IP DNS_FWD DNS_FWD2 DNS_RECORDS WEB_DNS_IP DOCKER_DNS_IP" [hqs_adfwd]="DOMAIN BR_SRV_IP"
|
||
[hqs_raid]="RAID_LEVEL RAID_MOUNT" [hqs_nfs]="RAID_MOUNT CLI_NET CLI_PFX" [hqs_ntp]="ISP_HQ_IP" [hqs_web]="ISO_SRC ISO_DIR"
|
||
[hqs_ca]="CERT_ALG SSH_USER DOMAIN RAID_MOUNT" [hqs_f2b]="SSH_PORT" [hqs_backup]="ISO_SRC ISO_DIR"
|
||
[brs_net]="BR_SRV_IF BR_SRV_IP BR_PFX BR_FW_LAN_IP HQ_SRV_IP" [brs_dc]="DOMAIN AD_WORKGROUP HQ_SRV_IP" [brs_ntp]="ISP_BR_IP"
|
||
[brs_ansible]="HQ_SRV_IP SSH_USER SSH_PORT HQ_CLI_IP CLI_SSH_USER CLI_SSH_PORT HQ_GRE_IP BR_RTR_FW_IP ADM_USER"
|
||
[brs_docker]="ISO_SRC ISO_DIR APP_INNER_PORT" [brs_import]="ISO_SRC ISO_DIR"
|
||
[hqc_net]="HQ_CLI_IF" [hqc_join]="DOMAIN AD_ADMIN" [hqc_nfs]="HQ_SRV_IP RAID_MOUNT" [hqc_ntp]="ISP_HQ_IP"
|
||
[hqc_ssh]="CLI_SSH_USER CLI_SSH_PORT" [hqc_printer]="DOMAIN"
|
||
)
|
||
run_item(){ local desc=$1 fn=$2 rc
|
||
ui_clear; hdr "$desc"; "$fn"; rc=$?
|
||
if ((rc == 0)); then ok "Готово: $desc"; else err "Не выполнено: $desc (код $rc)"; fi; pause; return $rc; }
|
||
# task_screen ФУНКЦИЯ "описание" [skip] — окно пункта: данные + выполнить.
|
||
# Код: 0 выполнено, 1 ошибка, 2 назад/пропуск.
|
||
task_screen(){ local fn=$1 desc=$2 skip=${3:-} vars c i items v
|
||
read -ra vars <<< "${TASK_PARAMS[$fn]:-}"
|
||
while :; do items=("R" "▶ Выполнить пункт")
|
||
i=1; for v in "${vars[@]}"; do items+=("$i" "$(padr "$(label_of "$v")" 38)$(show_val "$v")"); i=$((i+1)); done
|
||
((${#vars[@]})) && items+=("A" "Ввести все данные по очереди")
|
||
items+=("K" "Калькулятор масок"); [[ -n $skip ]] && items+=("S" "Пропустить пункт"); items+=("0" "Назад")
|
||
c=$(ui_menu "$desc" "Проверьте данные пункта. Выберите строку, чтобы вписать своё значение." "${items[@]}") || return 2
|
||
case $c in
|
||
R|r) run_item "$desc" "$fn"; return ;;
|
||
A|a) for v in "${vars[@]}"; do edit_param "$v" || break; done ;;
|
||
K|k) calc_menu ;;
|
||
S|s|0) return 2 ;;
|
||
*) [[ $c =~ ^[0-9]+$ ]] && ((c >= 1 && c <= ${#vars[@]})) && edit_param "${vars[c-1]}" ;;
|
||
esac; done; }
|
||
# module_menu id "заголовок" М1 — список пунктов модуля.
|
||
module_menu(){ local id=$1 title=$2 mod=$3; local -n items="M_$id"; local e m d fn i c tags=() fns=() descs=()
|
||
while :; do tags=(); fns=(); descs=(); i=1
|
||
for e in "${items[@]}"; do IFS='|' read -r m d fn <<< "$e"; [[ $m == "$mod" ]] || continue
|
||
tags+=("$i" "$d"); fns+=("$fn"); descs+=("$d"); i=$((i+1)); done
|
||
((${#fns[@]})) || { ui_msg "В модуле $mod для $title нет пунктов."; return; }
|
||
tags+=("*" "Выполнить весь модуль по порядку" "0" "Назад")
|
||
c=$(ui_menu "$title — модуль $mod" "Выберите пункт:" "${tags[@]}") || return
|
||
case $c in
|
||
0) return ;;
|
||
"*") for ((i = 0; i < ${#fns[@]}; i++)); do task_screen "${fns[i]}" "${descs[i]}" skip; rc=$?
|
||
((rc == 1)) && { ui_yesno "Пункт «${descs[i]}» не выполнен. Продолжить модуль?" n || break; }; done ;;
|
||
*) [[ $c =~ ^[0-9]+$ ]] && ((c >= 1 && c <= ${#fns[@]})) && task_screen "${fns[c-1]}" "${descs[c-1]}" ;;
|
||
esac; done; }
|
||
machine_menu(){ local id=$1 title=$2 host=$3; local -n items="M_$id"; local e m c n1=0 n2=0 n3=0
|
||
MACHINE=$host
|
||
for e in "${items[@]}"; do case ${e%%|*} in М1) n1=$((n1+1));; М2) n2=$((n2+1));; М3) n3=$((n3+1));; esac; done
|
||
while :; do
|
||
local -a it=(); ((n1)) && it+=(1 "Модуль 1 ($n1 пунктов)"); ((n2)) && it+=(2 "Модуль 2 ($n2 пунктов)"); ((n3)) && it+=(3 "Модуль 3 ($n3 пунктов)")
|
||
it+=(h "Имя хоста → $(fqdn "$host")" p "Подготовка: установить утилиты" c "Проверка состояния машины" k "Калькулятор масок" 0 "Назад")
|
||
c=$(ui_menu "$title" "Машина: $title. Выберите модуль:" "${it[@]}") || return
|
||
case $c in
|
||
0) return ;; 1|2|3) module_menu "$id" "$title" "М$c" ;;
|
||
h) task_screen c_hostname "Имя хоста $(fqdn "$host")" ;;
|
||
p) task_screen os_prep "Подготовка: утилиты" ;;
|
||
c) ui_clear; hdr "Проверка $title"; "chk_$id"; pause ;;
|
||
k) calc_menu ;;
|
||
esac; done; }
|
||
main_menu(){ local c rc
|
||
while :; do
|
||
c=$(ui_menu "demo-setup v$VERSION — домен $DOMAIN" "Какую машину настраиваем?" \
|
||
1 "ISP" 2 "HQ-RTR" 3 "BR-RTR" 4 "BR-FW" 5 "HQ-SW" 6 "HQ-SRV" 7 "BR-SRV" 8 "HQ-CLI" \
|
||
9 "Калькулятор масок" P "Параметры стенда (все адреса и имена)" 0 "Выход"); rc=$?
|
||
((rc == 255)) && exit 0
|
||
((rc != 0)) && { ui_yesno "Выйти из программы?" y && { ui_clear; exit 0; }; continue; }
|
||
case $c in
|
||
1) machine_menu isp ISP isp ;; 2) machine_menu hqr HQ-RTR hq-rtr ;; 3) machine_menu brr BR-RTR br-rtr ;; 4) machine_menu brfw BR-FW br-fw ;;
|
||
5) machine_menu hqsw HQ-SW hq-sw ;; 6) machine_menu hqs HQ-SRV hq-srv ;; 7) machine_menu brs BR-SRV br-srv ;; 8) machine_menu hqc HQ-CLI hq-cli ;;
|
||
9) calc_menu ;; P|p) settings_menu ;; 0) ui_clear; exit 0 ;;
|
||
esac; done; }
|
||
|
||
ui_init
|
||
[[ -f $CONF ]] || { ui_yesno "Файл параметров не найден. Значения по умолчанию примерные — открыть параметры и сверить их с заданием?" n && settings_menu; }
|
||
main_menu
|