115 lines
8.2 KiB
Markdown
115 lines
8.2 KiB
Markdown
# MANUAL.md — шаги, которые нельзя (или не нужно) автоматизировать
|
||
|
||
Пополняется по мере работы над заданиями 2 и 3.
|
||
|
||
## Задание 1
|
||
|
||
### BR-FW — если оказался НЕ Linux
|
||
1. Смотрим, какая система стоит на ВМ BR-FW (например EcoRouter или другой МСЭ).
|
||
2. Настраиваем по логике из zadanie1/br-fw.sh:
|
||
- имя br-fw.au-team.irpo;
|
||
- интерфейс к BR-RTR: адрес из сети /30 (адресация — из таблицы 2);
|
||
- маршрут по умолчанию через адрес BR-RTR (в сети /30);
|
||
- интерфейс к BR-SRV: адрес BR-FW в сети ≤16 адресов;
|
||
- OSPF: соседство с BR-RTR, рекламируем сети линка и сети BR-SRV;
|
||
- протокол OSPF разрешаем ТОЛЬКО на интерфейсе к BR-RTR;
|
||
- часовой пояс по месту экзамена.
|
||
3. Отчёт: заполняем раздел «коммутация/маршрутизация офиса BR».
|
||
|
||
### Таблица 2 и таблица 3
|
||
- Заполняются вручную из вывода tools/subnet-calc.sh и из ip -4 -br address
|
||
на машинах (см. README.md, порядок запуска).
|
||
|
||
## Задание 2
|
||
|
||
### HQ-CLI: ввод в домен samba-DC
|
||
Команде join нужен пароль администратора домена, нельзя автоматизировать
|
||
без секрета в файле. Делается вручную:
|
||
1. Проверить DNS: адрес BR-SRV должен резолвиться (DNS BR-SRV в /etc/resolv.conf).
|
||
Проверка: `realm discover au-team.irpo` (если используется realmd) либо
|
||
`smbclient -L //br-srv.au-team.irpo -U administrator`.
|
||
2. Ввести в домен одним из способов (уточнить на стенде, какой стек стоит
|
||
на HQ-CLI: realmd+sssd или winbind):
|
||
- realmd: `realm join au-team.irpo -U administrator` (пароль спросит);
|
||
- sssd/winbind вручную: настроить krb5.conf, затем
|
||
`net ads join -U administrator`.
|
||
3. Включить вход доменных пользователей: pam/winbind/sss настроить
|
||
(`/etc/nsswitch` и sssd.conf), перезапустить службы, проверить:
|
||
`getent passwd hquser1`.
|
||
4. Проверяем: `getent passwd hquser1`, затем `su - hquser1` — вход работает.
|
||
5. Проверить правило sudo (файл /etc/sudoers.d/hq_group от hq-cli.sh):
|
||
`su - hquser1 -c 'sudo cat /etc/hostname'` и убедиться, что другие команды
|
||
(например `sudo vim`) под пользователем группы hq НЕ работают.
|
||
|
||
## Задание 2: Ansible — ключи на машины
|
||
После br-srv.sh ключ сгенерирован, его надо раскидать вручную (пароль
|
||
запрашивается интерактивно, автоматизации по ТЗ нет):
|
||
```
|
||
ssh-copy-id sshuser@<адрес HQ-SRV>
|
||
ssh-copy-id sshuser@<адрес HQ-CLI>
|
||
ssh-copy-id net_admin@<адрес HQ-RTR>
|
||
ssh-copy-id net_admin@<адрес BR-RTR>
|
||
```
|
||
Затем на BR-SRV: `ansible all -m ping` — все четыре машины должны ответить
|
||
`pong`. Если машина отвечает, а модуль не находит python — установить
|
||
python3: `dnf install -y python3`.
|
||
|
||
### HQ-CLI: Яндекс Браузер
|
||
- Если пакет есть в репозитории РЕД ОС 8: `dnf install -y yandex-browser`
|
||
(уточнить точное имя пакета).
|
||
- Если нет — скачать rpm из Образца/Additional.iso/локальной сети и
|
||
`dnf localinstall`. Отметить в отчёте действие установки.
|
||
|
||
## Задание 3
|
||
|
||
### Кибер Бэкап (HQ-SRV и агент на HQ-CLI)
|
||
Графический продукт, автоматизации через конфиги нет:
|
||
1. Устанавливаем сервер управления на HQ-SRV (пакет с ISO/сети — уточнить
|
||
источник, где именно дистрибутив).
|
||
2. В веб-интерфейсе создаём подразделение `irpo`, пользователя
|
||
`irpoadmin` с паролем `P@ssw0rd` (значения берём из задания 3 п. 9).
|
||
3. На HQ-CLI ставим агент с функциями узла хранилища, подключаем к серверу.
|
||
4. На HQ-CLI создаём директорию /backup, выбираем её устройством хранения.
|
||
5. Создаём план «копирование /etc и всех поддиректорий» для HQ-SRV.
|
||
6. Запускаем план, показываем результат, снимаем скриншоты для отчёта.
|
||
|
||
## Задание 3
|
||
|
||
### HQ-SRV: HTTPS на реверс-прокси (доставка сертификатов)
|
||
Сертификаты выпущены hq-srv.sh (zadanie3) в /etc/CA. Их надо вручную доставить:
|
||
1. На ISP скопировать сертификат web/docker-домена и ключ:
|
||
`scp /etc/CA/веб_домен.crt root@<адрес ISP>:/etc/nginx/`
|
||
(аналогично ключ .key).
|
||
2. На ISP поправить пути в zadanie3/isp.sh (TLS_CERT_FILE/TLS_KEY_FILE)
|
||
и запустить скрипт повторно — он перенастроит прокси на 443.
|
||
3. На HQ-CLI скопировать root.crt и запустить zadanie3/hq-cli.sh
|
||
(укажите CA_ROOT_FILE) — доверие установится, браузер без предупреждений.
|
||
4. Проверить в браузере HQ-CLI (если GUI есть) либо curl: `curl -v https://...`
|
||
|
||
### HQ-SRV: Кибер Бэкап 18 (или аналог)
|
||
1. Установить сервер управления (источник — Additional.iso/локальный
|
||
репозиторий, точка задания 3 п. 9; ПрИл_6 содержит точные шаги).
|
||
2. В веб-интерфейсе создать подразделение «irpo», пользователя
|
||
«irpoadmin» с паролем P@ssw0rd.
|
||
3. На HQ-CLI установить агент с функциями узла хранилища, подключить
|
||
агент к серверу HQ-SRV.
|
||
4. На узел HQ-CLI выбрать/создать директорию /backup как устройство
|
||
хранения в консоли сервера.
|
||
5. Создать план резервного копирования: HQ-SRV, директория /etc со всеми
|
||
поддиректориями, целевой узел хранения — HQ-CLI /backup.
|
||
6. Запустить план, проверить архив в хранилище. Отметить шаги в отчёте.
|
||
|
||
### HQ-CLI: подключение pdf-принтера (если CLI без CUPS)
|
||
lpadmin/lpoptions из zadanie3/hq-cli.sh должны работать в консоли. Если
|
||
на стенде требуется GUI-подключение (GUI может отсутствовать) — сделать
|
||
через system-config-printer или настройки окружения, отметить в отчёте способ.
|
||
|
||
### Импорт пользователей через import.sh (задание 3, п. 1)
|
||
1. Монтируем Additional.iso в каталог (переменная ISO_DIR=/mnt/iso в
|
||
скриптах задания 3).
|
||
2. Запускаем файл с образа: `bash /mnt/iso/import.sh` — скрипт сам запросит
|
||
путь к источнику, вводим `/mnt/iso/users.csv`. Импорт идёт со всеми
|
||
атрибутами. Повторно допустимо (см. задание 3 п. 1).
|
||
3. Проверка: `samba-tool user list` на BR-SRV; пользователи должны
|
||
логиниться на HQ-CLI вручную (`su - имя_пользователя`). Результат в отчёт.
|