net/MANUAL.md

MANUAL.md — шаги, которые нельзя (или не нужно) автоматизировать

Пополняется по мере работы над заданиями 2 и 3.

Задание 1

BR-FW — если оказался НЕ Linux

1. Смотрим, какая система стоит на ВМ BR-FW (например EcoRouter или другой МСЭ).
2. Настраиваем по логике из zadanie1/br-fw.sh:
   • имя br-fw.au-team.irpo;
   • интерфейс к BR-RTR: адрес из сети /30 (адресация — из таблицы 2);
   • маршрут по умолчанию через адрес BR-RTR (в сети /30);
   • интерфейс к BR-SRV: адрес BR-FW в сети ≤16 адресов;
   • OSPF: соседство с BR-RTR, рекламируем сети линка и сети BR-SRV;
   • протокол OSPF разрешаем ТОЛЬКО на интерфейсе к BR-RTR;
   • часовой пояс по месту экзамена.
3. Отчёт: заполняем раздел «коммутация/маршрутизация офиса BR».

Таблица 2 и таблица 3

• Заполняются вручную из вывода tools/subnet-calc.sh и из ip -4 -br address на машинах (см. README.md, порядок запуска).

Задание 2

HQ-CLI: ввод в домен samba-DC

Команде join нужен пароль администратора домена, нельзя автоматизировать без секрета в файле. Делается вручную:

1. Проверить DNS: адрес BR-SRV должен резолвиться (DNS BR-SRV в /etc/resolv.conf). Проверка: realm discover au-team.irpo (если используется realmd) либо smbclient -L //br-srv.au-team.irpo -U administrator.
2. Ввести в домен одним из способов (уточнить на стенде, какой стек стоит на HQ-CLI: realmd+sssd или winbind):
   • realmd: realm join au-team.irpo -U administrator (пароль спросит);
   • sssd/winbind вручную: настроить krb5.conf, затем net ads join -U administrator.
3. Включить вход доменных пользователей: pam/winbind/sss настроить (/etc/nsswitch и sssd.conf), перезапустить службы, проверить: getent passwd hquser1.
4. Проверяем: getent passwd hquser1, затем su - hquser1 — вход работает.
5. Проверить правило sudo (файл /etc/sudoers.d/hq_group от hq-cli.sh): su - hquser1 -c 'sudo cat /etc/hostname' и убедиться, что другие команды (например sudo vim) под пользователем группы hq НЕ работают.

Задание 2: Ansible — ключи на машины

После br-srv.sh ключ сгенерирован, его надо раскидать вручную (пароль запрашивается интерактивно, автоматизации по ТЗ нет):

ssh-copy-id sshuser@<адрес HQ-SRV>
ssh-copy-id sshuser@<адрес HQ-CLI>
ssh-copy-id net_admin@<адрес HQ-RTR>
ssh-copy-id net_admin@<адрес BR-RTR>

Затем на BR-SRV: ansible all -m ping — все четыре машины должны ответить pong. Если машина отвечает, а модуль не находит python — установить python3: dnf install -y python3.

HQ-CLI: Яндекс Браузер

• Если пакет есть в репозитории РЕД ОС 8: dnf install -y yandex-browser (уточнить точное имя пакета).
• Если нет — скачать rpm из Образца/Additional.iso/локальной сети и dnf localinstall. Отметить в отчёте действие установки.

Задание 3

Кибер Бэкап (HQ-SRV и агент на HQ-CLI)

Графический продукт, автоматизации через конфиги нет:

1. Устанавливаем сервер управления на HQ-SRV (пакет с ISO/сети — уточнить источник, где именно дистрибутив).
2. В веб-интерфейсе создаём подразделение irpo, пользователя irpoadmin с паролем P@ssw0rd (значения берём из задания 3 п. 9).
3. На HQ-CLI ставим агент с функциями узла хранилища, подключаем к серверу.
4. На HQ-CLI создаём директорию /backup, выбираем её устройством хранения.
5. Создаём план «копирование /etc и всех поддиректорий» для HQ-SRV.
6. Запускаем план, показываем результат, снимаем скриншоты для отчёта.

Задание 3

HQ-SRV: HTTPS на реверс-прокси (доставка сертификатов)

Сертификаты выпущены hq-srv.sh (zadanie3) в /etc/CA. Их надо вручную доставить:

1. На ISP скопировать сертификат web/docker-домена и ключ: scp /etc/CA/веб_домен.crt root@<адрес ISP>:/etc/nginx/ (аналогично ключ .key).
2. На ISP поправить пути в zadanie3/isp.sh (TLS_CERT_FILE/TLS_KEY_FILE) и запустить скрипт повторно — он перенастроит прокси на 443.
3. На HQ-CLI скопировать root.crt и запустить zadanie3/hq-cli.sh (укажите CA_ROOT_FILE) — доверие установится, браузер без предупреждений.
4. Проверить в браузере HQ-CLI (если GUI есть) либо curl: curl -v https://...

HQ-SRV: Кибер Бэкап 18 (или аналог)

1. Установить сервер управления (источник — Additional.iso/локальный репозиторий, точка задания 3 п. 9; ПрИл_6 содержит точные шаги).
2. В веб-интерфейсе создать подразделение «irpo», пользователя «irpoadmin» с паролем P@ssw0rd.
3. На HQ-CLI установить агент с функциями узла хранилища, подключить агент к серверу HQ-SRV.
4. На узел HQ-CLI выбрать/создать директорию /backup как устройство хранения в консоли сервера.
5. Создать план резервного копирования: HQ-SRV, директория /etc со всеми поддиректориями, целевой узел хранения — HQ-CLI /backup.
6. Запустить план, проверить архив в хранилище. Отметить шаги в отчёте.

HQ-CLI: подключение pdf-принтера (если CLI без CUPS)

lpadmin/lpoptions из zadanie3/hq-cli.sh должны работать в консоли. Если на стенде требуется GUI-подключение (GUI может отсутствовать) — сделать через system-config-printer или настройки окружения, отметить в отчёте способ.

Импорт пользователей через import.sh (задание 3, п. 1)

1. Монтируем Additional.iso в каталог (переменная ISO_DIR=/mnt/iso в скриптах задания 3).
2. Запускаем файл с образа: bash /mnt/iso/import.sh — скрипт сам запросит путь к источнику, вводим /mnt/iso/users.csv. Импорт идёт со всеми атрибутами. Повторно допустимо (см. задание 3 п. 1).
3. Проверка: samba-tool user list на BR-SRV; пользователи должны логиниться на HQ-CLI вручную (su - имя_пользователя). Результат в отчёт.