[Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Vyacheslav Brunev]

Доброго времени суток Уважаемое сообщество!

Немного о задаче. В одну небольшую фирму ~20 машин, делаю сервер (только 
настраиваю, администрировать будут другие люди). 
Фирме нужно:
1 хоть какая-то экономия внешнего трафика т.е. прокси;
2 своя почта;
3 детализация трафика т.е. кто, куда, во сколько ходил и сколько скачал.

Кто будет администрировать хочет:
1 минимум телодвижений при создании и удалении новых пользователей (без 
самописных скриптов);
2 DHCP и DNS, чтобы все настройки пользователь получал при включении сетевого 
кабеля в свич.

Мои соображения:
samba в роли pdc + ddns + dhcp - с хранением всех данных в LDAP т.к. в данный 
момент у этой фирмы есть уже установленный и даже работающий отдельно стоящий 
сервер ( на Fedore Core ) который служит как PDC, на нём крутятся какие-то 
политики для парочки директорий и всё. Если у кого есть более простое 
решение - пожалуйста напишите, а то пока мурашки по телу бегают от всего что 
нужно сделать :) Что именно будет работать как "почта" пока не решил, но 
больше склоняюсь к EXIM + dovecot, может удастся это всё приладить к LDAP ( 
пока про это ничего не знаю ) ну и конечно squid + LightSquid для статистики. 

Сюда написал для совета и посильной помощи в решении подобной задачи, поэтому 
буду рад любому Вашему соображению (лучше конечно в сторону упрощения 
установок/настроек) пока не наломал много дров :)

-- 

С уважением, Вячеслав.

Re: [Sysadmins] [JT] samba (pdc) + ddns + dhcp + squid и mail?

[Max Ivanov]

> 3 детализация трафика т.е. кто, куда, во сколько ходил и сколько скачал.
Мысли вслух: Уже через полгодика-годик всюду будет доступный анлим и
эти разной степени кривости считающие поделия отвалятся сами собой и
слава Богу.

Re: [Sysadmins] [JT] samba (pdc) + ddns + dhcp + squid и mail?

[Maks Re]

> Мысли вслух: Уже через полгодика-годик всюду будет доступный анлим и

вот мы переезжаем в др офис...
и знаете что,
там всего один оператор,
и цены у него совсем не детские, совсем...
а дома у меня этого анлима - хоть 10М за приемлемые деньги...
а вот в офисе...
во общем не скоро у нас в России будет повсеместный анлим "для бизнеса"
ЗЫ: место действия - перетбург, не самый отсталый городишко...


-- 
С уважением,
 Макс.

Re: [Sysadmins] [JT] samba (pdc) + ddns + dhcp + squid и mail?

[Вадим Илларионов]

Maks Re wrote:

> там всего один оператор,
> и цены у него совсем не детские, совсем...
> а дома у меня этого анлима - хоть 10М за приемлемые деньги...
> а вот в офисе...

Аналогично. :)

> во общем не скоро у нас в России будет повсеместный анлим "для бизнеса"
> ЗЫ: место действия - перетбург, не самый отсталый городишко...

Москва. И всё то же самое.
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Maxim Ivanov]

Vyacheslav Brunev пишет:
> Доброго времени суток Уважаемое сообщество!
>
>
> 1 хоть какая-то экономия внешнего трафика т.е. прокси;
> 2 своя почта;
> 3 детализация трафика т.е. кто, куда, во сколько ходил и сколько скачал.
>
> Кто будет администрировать хочет:
> 1 минимум телодвижений при создании и удалении новых пользователей (без 
> самописных скриптов);
> 2 DHCP и DNS, чтобы все настройки пользователь получал при включении сетевого 
> кабеля в свич.
>
>   
Решал аналогичную задачу несколько лет назад.
1. Squid + SAMS + Режик
2. Qmail + vpopmail + clamav + spamassassin + QmailAdmin
3. см. п.1
По поводу хотений:

DDNS + DHCP - замечательно работали на Master 2.4
как сейчас - не знаю, но уверен. что все ОК

Собственно, все так и было: народ приносил новую машину,
включал ее в сеть, единственно, что нужно было сделать -
войти с рутовыми правами, чтобы добавить ее в домен (Samba)
и настроить учетную запись почты, которую с нее же и создавал
через QmailAdmin.
_____________
С уважением,
Максим Иванов

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Alexey Shabalin]

24 июня 2008 г. 11:47 пользователь Maxim Ivanov написал:
> Vyacheslav Brunev пишет:
>>
>> Доброго времени суток Уважаемое сообщество!
>>
>>
>> 1 хоть какая-то экономия внешнего трафика т.е. прокси;
>> 2 своя почта;
>> 3 детализация трафика т.е. кто, куда, во сколько ходил и сколько скачал.
>>
>> Кто будет администрировать хочет:
>> 1 минимум телодвижений при создании и удалении новых пользователей (без
>> самописных скриптов);
>> 2 DHCP и DNS, чтобы все настройки пользователь получал при включении
>> сетевого кабеля в свич.
>>
>>
>
> Решал аналогичную задачу несколько лет назад.
> 1. Squid + SAMS + Режик
> 2. Qmail + vpopmail + clamav + spamassassin + QmailAdmin
> 3. см. п.1
> По поводу хотений:
>
> DDNS + DHCP - замечательно работали на Master 2.4
> как сейчас - не знаю, но уверен. что все ОК
>
> Собственно, все так и было: народ приносил новую машину,
> включал ее в сеть, единственно, что нужно было сделать -
> войти с рутовыми правами, чтобы добавить ее в домен (Samba)
> и настроить учетную запись почты, которую с нее же и создавал
> через QmailAdmin.
Вот, лишние тело движения и две базы пользователей.
Откройте для себя smbldap-tools.
Все перечисленные задачи(сервера) легко могут пользоватся одной базой
пользователей в ldap.
Мой рецепт (имхо): управление пользователями через smbldap-tools
(достаточно легко модифицировать для создания дополнительных полей)
ldap+samba
ldap+postfix
ldap+dovecot
ldap+squid

А, чуть не забыл, Вас скорее всего устроит gosa, мне он раньше не
понравился что использовал свои схемы ldap(сейчас может что-то
изменилось).

-- 
Alexey Shabalin

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Maxim Ivanov]

Alexey Shabalin пишет:
>
> Вот, лишние тело движения и две базы пользователей.
> Откройте для себя smbldap-tools.
>   
Для 20-пользователей лишние движения?
При отсутствии админа? Ну-ну...
Простите за скепсис, но поднимать рухнувший
LDAP значительно менее приятно, чем вбить
два аккаунта, Вы не находите?

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Вадим Илларионов]

Maxim Ivanov wrote:

> Для 20-пользователей лишние движения?
> При отсутствии админа? Ну-ну...
> Простите за скепсис, но поднимать рухнувший
> LDAP значительно менее приятно, чем вбить
> два аккаунта, Вы не находите?

Я - не нахожу. У меня из cron.daily запускается пара скриптов.

ldap_backup:

#!/bin/sh

BASES=/var/lib/ldap/bases
/usr/sbin/slapcat | bzip2 -c9 > "$BASES/`date +%Y.%m.%d,%H:%M`.ldif.bz2"

EOF ldap_backup

ldap_restore:

#!/bin/sh

WDIR=/var/lib/ldap
SITE=мой.домен
BASE="$WDIR/bases/$SITE"
LOGS="$WDIR/dblogs/$SITE"
# ПРЕДпоследний из сохранённых (если есть):
#LAST=`ls -1 $WDIR/bases/*.bz2 | tail -2 | head -1`
# Последний из сохранённых:
LAST=`ls -1 $WDIR/bases/*.bz2 | tail -1`

for User in три \
            десятка \
            пользователей \
            моего \
            домена
do
    id $User >/dev/null || {
        /sbin/service slapd condstop # Работает - тормознём.
        rm -f $BASE/*                # Старую базу - фтопку.
        /sbin/service slapd start    # Да будет новая, пустая!
        sleep 10                     # 9 мало - даже пустая ломается.
        /sbin/service slapd condstop # Перед заполнением - остановить.
        bzip2 -cd "$LAST" | /usr/sbin/slapadd # Осталось заполнить,
        chown -R ldap.ldap $BASE $LOGS        # допуски поправить -
        /sbin/service slapd start             # и за работу.
        break
    }
done

EOF ldap_restore

_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Вадим Илларионов]

Вадим Илларионов wrote:

> У меня из cron.daily запускается пара скриптов.

Эти скрипты я писал давненько.
А уже отправив сюда, несколько переосмыслил и переписал ldap_restore.
Если кому интересно, вот он:

,----[ /var/ftp/pub/Server/LDAP/ldap_restore ]
| #!/bin/sh
| 
| WDIR=/var/lib/ldap
| SITE=my.domain
| BASE="$WDIR/bases/$SITE"
| LOGS="$WDIR/dblogs/$SITE"
| MinSize=50000                                 # Минимальный размер упакованной базы, байт.
| Users=`cat $WDIR/bases/Users.$SITE`           # Файл со списком пользователей.
| SLEEP=10                                      # 9 мало - даже пустая база ломается...
| 
| Restore(){
|       /sbin/service slapd condstop            # Работает - тормознём.
|       rm -f $BASE/*                           # Старую базу - фтопку.
|       /sbin/service slapd start               # Да будет новая, пустая!
|       echo -n "Waiting $SLEEP seconds while empty base creates: "
|       for ((s=$SLEEP;s; s--)); do
|               echo -n "$s "
|               sleep 1
|       done
|       echo
|       /sbin/service slapd condstop            # Перед заполнением - остановить.
|       bzip2 -cd "$LAST" | /usr/sbin/slapadd   # Осталось заполнить,
|       chown -R ldap.ldap $BASE $LOGS          # допуски поправить -
|       /sbin/service slapd start               # и за работу.
| }
| 
| for ((i=1;;i++)); do
|       let n=i-1
|       [ $n -gt 0 ] &&
|       PREV=`ls -1 $WDIR/bases/*.bz2 | tail -$n | head -1`
|       LAST=`ls -1 $WDIR/bases/*.bz2 | tail -$i | head -1`
|       SIZE=`stat -c %s $LAST`
|       [ $SIZE -gt $MinSize ] && {
|               echo "Last relevant base dated `basename $LAST .ldif.bz2`"
|               break
|       }
|       case $PREV in
|               "$LAST")
|                       echo "No relevant base found."
|                       exit 1
|               ;;
|       esac
| done
| 
| for User in $Users; do
|       id $User >/dev/null || {
|               echo "User $User is out of base. Restoring."
|               Restore
|               break
|       }
| done
| 
| case $1 in
|       --force|-f) Restore ;;
| esac
`----
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Владимир]

Вадим Илларионов пишет:
> Вадим Илларионов wrote:
>
>   
>> У меня из cron.daily запускается пара скриптов.
>>     
>
> Эти скрипты я писал давненько.
> А уже отправив сюда, несколько переосмыслил и переписал ldap_restore.
> Если кому интересно, вот он:
>
>   
Если интересно.

У меня было нечто подобное и после доработки на разных инсталляциях и в
разных условиях в качестве функций было добавлено в /etc/rc.d/init.d/slapd
Добавлены две опции:
service slapd save
service slapd rebuild

rebuild, поскольку восстановление баз дело редкое, а "переинициализация"
после изменения конфигурации индексов или изменений в составе
менеджеров или их полномочий происходит чаще.

1. Кстати, чтобы можно было без проблем и ругани менять менеджеров и
их права, лучше сразу удалять из текстового дампа баз служебную инфу
(кто и когда вносил в запись последние изменения и т.п.).
2. Кстати, после "обкатки" я пришел к выводу, что лучше делать backup
не "по факту запуска скрипта", а по "факту внесения изменений после
последнего запуска" и хранить некоторое количество копий для отката
(у меня это реализовано через проверку md5 и logrotate).
3. Кстати, такие переменные, как $WDIR $SITE $BASE $LOGS лучше
не объявлять в самом скрипте, а "выуживать" из конфигурационных
файлов сервиса. У меня при создании новых или удалении старых баз
изменения делаются один раз и только в конфигурационной директории сервиса.
4. Кстати, баз может быть несколько (каждая описана в своем
конфигурационном файле), а представленный скрипт этого
обстоятельства не учитывает.



-- 
Vladimir Kholmanov
fmfm@mmascience.ru
fmfm@mma.ru

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Вадим Илларионов]

Владимир wrote:

> Если интересно.

Очень!

> У меня было нечто подобное и после доработки на разных инсталляциях и в
> разных условиях в качестве функций было добавлено в /etc/rc.d/init.d/slapd
> Добавлены две опции:
> service slapd save
> service slapd rebuild

Скрипт - в студию.

> rebuild, поскольку восстановление баз дело редкое, а "переинициализация"
> после изменения конфигурации индексов или изменений в составе
> менеджеров или их полномочий происходит чаще.

Хм. Мне чаще доводится именно упавшую базу чинить, потому и наскриптовал.

> 1. Кстати, чтобы можно было без проблем и ругани менять менеджеров и
> их права, лучше сразу удалять из текстового дампа баз служебную инфу
> (кто и когда вносил в запись последние изменения и т.п.).
> 2. Кстати, после "обкатки" я пришел к выводу, что лучше делать backup
> не "по факту запуска скрипта", а по "факту внесения изменений после
> последнего запуска" и хранить некоторое количество копий для отката
> (у меня это реализовано через проверку md5 и logrotate).
> 3. Кстати, такие переменные, как $WDIR $SITE $BASE $LOGS лучше
> не объявлять в самом скрипте, а "выуживать" из конфигурационных
> файлов сервиса. У меня при создании новых или удалении старых баз
> изменения делаются один раз и только в конфигурационной директории
> сервиса. 4. Кстати, баз может быть несколько (каждая описана в своем
> конфигурационном файле), а представленный скрипт этого
> обстоятельства не учитывает.

Так покройте его своим скриптом, это учитывающим!
И не только это, но и все озвученные "Кстати" :)
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Вадим Илларионов]

Alexey Shabalin wrote:

> Мой рецепт (имхо): управление пользователями через smbldap-tools
> (достаточно легко модифицировать для создания дополнительных полей)
> ldap+samba
> ldap+postfix
> ldap+dovecot
> ldap+squid

Подписываюсь. Единственно, squid+ntlm_auth, иначе ИЕ будет cпрашивать пароль
при каждом запуске.
А ntlm_auth, естественно, через самбу, которая по-прежнему +ldap.

> А, чуть не забыл, Вас скорее всего устроит gosa, мне он раньше не
> понравился что использовал свои схемы ldap(сейчас может что-то
> изменилось).

Пользую JXplorer, коим весьма доволен.
Гошу как-то не пробовал, а пожалуй, стоит приглядеться. 
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Vyacheslav Brunev]

В сообщении от Tuesday 24 June 2008 17:54:07 Вадим Илларионов написал(а):
> Подписываюсь. Единственно, squid+ntlm_auth, иначе ИЕ будет cпрашивать
> пароль при каждом запуске.
> А ntlm_auth, естественно, через самбу, которая по-прежнему +ldap.
>
Спасибо учту при настройке.

-- 

С уважением, Вячеслав.

Re: [Sysadmins] samba (pdc) + ddns + dhcp + squid и mail?

[Вадим Илларионов]

Vyacheslav Brunev wrote:

>> Подписываюсь. Единственно, squid+ntlm_auth, иначе ИЕ будет cпрашивать
>> пароль при каждом запуске.
>> А ntlm_auth, естественно, через самбу, которая по-прежнему +ldap.
>>
> Спасибо учту при настройке.
 
Да, а basic_auth удобно сделать через pam.
squid_ldap_auth у меня отчего-то не заработал.
Собственно, вот кусок моего конфига из FreeBSD:

,----[ squid.conf ]
| auth_param ntlm program /usr/local/bin/ntlm_auth
| --helper-protocol=squid-2.5-ntlmssp auth_param ntlm children 30
| 
| ## program to use for 'basic' authentication
| ## (ntlm_auth, squid_ldap_auth or pam_auth):
| #auth_param basic program /usr/local/bin/ntlm_auth
| # --helper-protocol=squid-2.5-basic
| #auth_param basic program /usr/local/libexec/squid/squid_ldap_auth -b
| # dc=nstel,dc=ru ldap://domain.office.nstel.ru:389
| auth_param basic program /usr/local/libexec/squid/pam_auth
| 
| auth_param basic children 5
| auth_param basic realm Squid proxy-caching web server
| auth_param basic credentialsttl 2 hours
| 
| acl   all             src 0.0.0.0/0.0.0.0
| acl   auth_users      proxy_auth REQUIRED
| 
| http_access allow auth_users
| http_access deny all
`----
 
Для линукса только пути поправьте, и будет работать.
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337