このドキュメントは Mail サーバへ gate-toroku-system をインストールする際の手順を書いたものである. サーバ再構築の際にサーバ機の入れ換えを行うことを前提にしている. (サーバ機の入れ換えとはネットワークパラメータを付けかえるということを意味している) また, EP サーバ再構築時の gate 登録システムのインストール手引き を参考にしている.
gate-toroku-system をインストールするために以下のパッケージが必要になるのでインストールしておく.
# dpkg -i htroff_2.0-1_all.deb」
としてインストールする必要がある)
# apt install perl # apt install libperl4-corelibs-perl # apt install libjcode-pm-perl # apt install libjcode-perl # apt install inetutils-inetd
htroff_2.0-1 を取得して展開する.
# wget http://www.gfd-dennou.org/arch/cc-env/htroff/htroff_2.0-1_all.deb # dpkg -i htroff_2.0-1_all.deb
作業用アカウント gate を作成する.ユーザ ID は 1 -- 999 の間(システムユーザ領域)に設定する.
# adduser --uid 500 --disabled-password gate
この時, フルネームは「Administrator of gate-toroku-system」とした． 9月21日の作業はここまで
gate グループに gate 管理者を加える. http://www.ep.sci.hokudai.ac.jp/~gate/hyousi.html のメンバーを参照のこと.
# vim /etc/group
今回は以下のようであった.
gate:x:500:keikei,momoko,seiko,kamata,msato |
/home/gate/.qmail を編集する.
# su gate gate@usuzumi:$ vim ~gate/.qmail
以下を記入する.
&keikei &momoko &seiko &kamata &msato |
.shosts 認証を可能にする. /etc/ssh/sshd_config を以下のように編集する.
# vim /etc/ssh/sshd_config
IgnoreRhosts yes
HostbasedAuthentication no
上記の赤字部分を以下のように変更する(すでに以下のようになっている可能性もある).
IgnoreRhosts no HostbasedAuthentication yes |
ファイル編集後, ssh を再起動する.
# /etc/init.d/ssh restart
gate ユーザになる. なお, -H を付けるとホームも変更したユーザ先の物になる.
$ sudo -u gate -s -H
/home/gate へ移動する.
gate@usuzumi:$ cd /home/gate/
.shosts を作成して, ファイルに orange.ep.sci.hokudai.ac.jp gate を書きこむ.
gate@usuzumi:$ echo 'orange.ep.sci.hokudai.ac.jp gate' > /home/gate/.shosts
.shosts のパーミッションを変更し gate 以外のユーザが見れないようにする.
gate@usuzumi$ chmod 600 /home/gate/.shosts
orange の公開鍵が既に存在しているかを調べる. 今回はssh-keygen コマンドを用いる(詳しくはこちらを参照)
(「www.ep.sci.hokudai.ac.jp」というのは「orange.ep.sci.hokudai.ac.jp」 のエイリアスであり, www サーバからのアクセスは「orange.ep.sci.hokudai.ac.jp」 からのアクセスと認識される. よって「www〜」ではなく 「orange〜」を調べる)
gate@usuzumi:$ cd .ssh/ gate@usuzumi:$ ssh-keygen -F orange.ep.sci.hokudai.ac.jp gate@usuzumi:$ ssh-keygen -F 133.50.160.51
公開鍵を削除する
gate@usuzumi:$ ssh-keygen -R orange.ep.sci.hokudai.ac.jp gate@usuzumi:$ ssh-keygen -R 133.50.160.51
新たに公開鍵を作成するためにorange にssh を試みる.このとき以下のように公開鍵を作成するか 聞かれるのでyes を打鍵.
Are you sure you want to continue connecting (yes/no)? yes |
ここでパスワードを聞かれるが当然分からない. よって, Ctrl + C で強制終了する. これで公開鍵が作られた.
以下の作業は www 以外の管理者では行うことができない.よって, gate 管理者グループの人 (もしくは www 管理者) に以下の作業を行ってもらう.
gate ユーザになる.
gate@orange:$ sudo -u gate -s -H
リモートホストの公開鍵を新たに作り直す. 方法はローカルホストでリモートホストの公開鍵を作り直した時と同じである.
.ssh/known_hosts にローカルホストの公開鍵が存在するかを確認する.
gate@orange:$ ssh-keygen -F silver.ep.sci.hokudai.ac.jp gate@orange:$ ssh-keygen -F 133.50.160.52
もし存在していたなら .ssh/known_hosts を編集して公開鍵を削除する.
gate@orange:$ vim ~gate/.ssh/known_hosts
一度削除した公開鍵を新たに取得しなおすために, www サーバ (orange) から usuzumiへ ssh 接続してみる. (アドレスはフルドメインで入力する)
gate@orange:$ ssh silver.ep.sci.hokudai.ac.jp
ここで公開鍵を作りますかと聞かれるので yes を入力する.
Are you sure you want to continue connecting (yes/no)? yes |
設定が正しければ, パスワードを聞かれることなく にログインできる.
以上で, サーバ入れ換え前の ssh のノンパスワードログインに関する設定は終了である.
予備機と本務機の入れ換え後に www サーバ (orange) の .ssh/known_hosts 内のホスト名を予備機名から本務機名に変更する必要がある. それに関しては[3-1]. 公開鍵作り直しで述べる.
この作業はgate を試しに動かすために行う, 途中で password を変えた人がいるかもしれないので入れ替え当日も同じ作業を行う.
旧サーバの /etc/shadow ファイルのユーザ部分 (/etc/passwd の UID 1000 - 29999のユーザ. つまり, gate から下のユーザ) のみを新サーバの /etc/shadow に張り付ける作業を行う.
grey から /etc/shadow を持ってくる(途中でhogeのホーム領域に作った shadowkari は後でしっかり削除しておく).
mondo1@usuzumi:$ ssh -l hoge grey.ep.sci.hokudai.ac.jp hoge@grey:$ sudo cp /etc/shadow ~/shadowkari hoge@grey:$ exit mondo1@usuzumi:$ scp hoge@grey.ep.sci.hokudai.ac.jp:~hoge/shadowkari ~/
shadowkari の中の grey の /etc/passwd での UID 1000 - 29999のユーザ(つまり, gate から下のユーザ)情報を usuzumi の /etc/shadow に追加する.
root@usuzumi:# vipw -s
www.ep.sci.hokudai.ac.jp からインストール中のホストに /home/gate/gate-toroku-system.tar.gz をコピーする. コピー先のディレクトリは /home/gate とする.
mondo1@usuzumi:$ sudo -u gate -s -H gate@usuzumi:$ cd /home/gate gate@usuzumi:$ scp hoge@orange.ep.sci.hokudai.ac.jp:/home/gate/gate-arch/gate-toroku-system_2018_05_10.tgz ./
ここで hoge のところは自分のユーザアカウントを入れる. hogehoge@ を省略すると gate ユーザのパスワードを聞かれてしまうので注意すること.
コピーして来た gate-toroku-system_2018_05_10.tgz を展開する.
gate@usuzumi:~$ tar xvfz gate-toroku-system_2018_05_10.tgz
作成された gate-toroku-system ディレクトリに移動.
gate@usuzumi:$ cd gate-toroku-system_2018_05_10
sango から gate.conf をコピーする.
gate@usuzumi:~/gate-toroku-system$ wget http://www.ep.sci.hokudai.ac.jp/~epwww/dvlop/saikochiku/gate.conf gate@usuzumi:~/gate-toroku-system$ cp gate.conf ~gate/gate-toroku-system_2018_05_10 /include/
Config.mk の生成
gate@usuzumi:~/gate-toroku-system_2018_05_10 $ perl ./config.pl
make によるコンパイル
gate@usuzumi:~/gate-toroku-system_2018_05_10 $ make
ほんとうにインストールする
gate@usuzumi:$ exit (一般ユーザに戻る) mondo1@usuzumi:$ sudo -s (root ユーザになる) # cd /home/gate/gate-toroku-system # cp ./include/gate.conf /etc/gate.conf # make install
インストール終了後, プログラムファイル (gate-ip-accept 等)が /usr/local/bin, /usr/local/sbin, /usr/local/lib/gate にインストールされていることを確認する. また, /etc/passwd, /etc/shadow, /etc/group, /etc/sudoers が /ETC に存在していることを確認する.
mondo1@usuzumi:$ ls /usr/local/bin/gate-* mondo1@usuzumi:$ ls /usr/local/sbin/gate-* mondo1@usuzumi:$ sudo -s # lv /ETC/shadow
デーモンモードで起動するため /etc/gate.conf での確認
# less /etc/gate.conf | grep "USE_DAEMON"
以下のように表示されればよい.
$USE_DAEMON = 1 ; |
/etc/inetd.conf を編集する
# vim /etc/inetd.conf
以下の一行を追加
gate stream tcp nowait root /usr/sbin/tcpd /usr/local/lib/gate/gate-daily -N |
gate 用に 8888 番 ポートを割り当てる. /etc/services を編集する.
# vim /etc/services
以下の行を追加する (空行はスペースキーではなく tab キーで).
gate 8888/tcp # gate-toroku-system |
inetd を再起動する.
# service inetutils-inetd restart
gate のポートには登録サーバである orange 以外のホストはアクセスできないようにする. /etc/hosts.deny を以下のように編集して全てのホストに対して gate ポートへのアクセスを禁止する.
# vim /etc/hosts.deny
gate-daily: ALL [改行] |
/etc/hosts.allow を編集する.
# vim /etc/hosts.allow
orange に対して gate ポートへのアクセスを許可する.
gate-daily: orange.ep.sci.hokudai.ac.jp [改行] |
以下のコマンドで確認する
# tcpdmatch gate-daily grey.ep.sci.hokudai.ac.jp
以下のように表示されればよい.
access: denied |
以下も打つ.
# tcpdmatch gate-daily orange.ep.sci.hokudai.ac.jp
以下のように表示されればよい
access: granted |
本格運用を開始するにあたり万一の場合に備え以下の作業を行う.
/etc/passwd, /etc/shadow, /etc/group, /etc/sudoers ファイルのバックアップをホームディレクトリ以下に作成しておく.
※pr オプションを付けるとファイルの所有者・グループを保ったままコピーできる
# mkdir ~mondo7/bak # cp -pr /etc/passwd ~mondo7/bak/ # cp -pr /etc/shadow ~mondo7/bak/ # cp -pr /etc/group ~mondo7/bak/ # cp -pr /etc/sudoers ~mondo7/bak/
コピーしたファイルのパーミッションを設定して外部から見れないようにする.
# chmod 400 ~mondo7/bak/*
確認のために gate.conf を編集する
# vim /etc/gate.conf
$DEBUG_CONFIG = 1 を 0に書き換える
$DEBUG_CONFIG = 0 |
www サーバ (orange) から usuzumi の gate ポートに接続する.
mondo1@usuzumi:$ ssh -l hoge orange.ep.sci.hokudai.ac.jp hoge@orange:$ telnet silver.ep.sci.hokudai.ac.jp 8888
正常に接続できたかを確認するには /etc/passwd, /etc/shadow などのファイルのタイムスタンプを確認する.
hoge@orange:$ exit mondo1@usuzumi:$ date (現在時刻の確認) mondo1@usuzumi:$ ls -l /etc/passwd /etc/shadow
/etc/passwd と /etc/shadow の更新時間が date の時間になっていればよい.
また, /etc/passwd の中身がユーザ ID の順番に並び変えられていればよい.
安全のためにデバッグモードに直しておく
# vim /etc/gate.conf
$DEBUG_CONFIG = 0 を 1 に書き換える
$DEBUG_CONFIG = 1 |
以下の作業も www 以外の管理者では行うことができない.よって, gate 管理者グループの人 (もしくは www 管理者) に以下の作業を行ってもらう.
サーバを入れ換えたため www サーバ (orange) 内の .ssh/known_hosts 内のホスト名と IP アドレスが実際のサーバ名が合わなくなっている. 従って, 公開鍵を再び取り直す.
公開鍵を新たに取得しなおすために, www サーバ (orange) から ホスト名と IP アドレスを変更後のサーバへ ssh 接続してみる. (アドレスはフルドメインで入力する). 以下の例では, 変更後のサーバのホスト名が grey.ep.sci.hokudai.ac.jp である.
gate@orange:$ ssh grey.ep.sci.hokudai.ac.jp
ここで公開鍵を作りますかと聞かれるので yes を入力する. 設定が正しければ, パスワードを聞かれることなく にログインできる.
以上で, ssh のノンパスワードログインに関する設定は完全に終了である.
orange.ep.sci.hokudai.ac.jp の /etc/gate.conf の %DB_SHARE_HOSTS にこのサーバののホスト名が書き込まれているかを確認する.
登録サーバで gate ポートにアクセスすることによって gate-daily を動かす. これにより, データベースの転送が行われる. 転送には 1,2 分程度かかる.
hoge@orange$ telnet localhost 8888
転送完了の確認には ps aux コマンドを実行する. gate-daily が動いていなければ, 転送は完了している.
mondo1@grey:$ ps aux | grep gate
また, /etc/passwd が gate-daily によって更新されているかを確認する. 確認するためには以下を実行する.
mondo1@grey:$ ls -lt /etc/passwd
このとき表示される時間が数分前であればよい.
なお, データベースは /home/gate/userdb や /home/gate/ipdb 以下にあるので, その中にそれなりにデータファイル (3桁くらい) あれば転送が完了していると思って良い.
root@grey:# ls /home/gate/userdb/stable /home/gate/ipdb/stable
ファイルが全く存在しない場合は転送が失敗しているので注意.
安全に動作していれば /ETC , /HOME を削除する.
root@grey:# rm -r /ETC /HOME
また, mondo ユーザも削除する.
root@grey:# userdel -r mondo4
| 最終更新日 : 2023/09/21 (髙橋 聖輝) | Copyright © 2000-2015 EPCore |