Teraz jaki system, tutaj jest to wyboru botellrocket, ubuntu, redhat.

Ogólnie można zapoznać się jakie systemy w jakiej topologi są wspierane: Matrix

No ale od czego zacząć, to będzie w dalszych opisach.

Za pomocą docker exec możemy dodawać, wyświetlać zarządzać.

Opis jak ustawić proxmox’a pisałem w poprzednim wpisie, teraz skupię się na konfiguracji łacznika. Na stronie projektu jest opis, nie bede go tutaj kopiował. Ogólnie na co należy zwrócić uwagę to że jak dodamy łacznika:

pbmc add –username admin –password password –port 6625 –proxmox-address proxmox.example.org –token-user root@pam –token-name ipmi –token-value {token} 123

to takie połaczenie nie jest aktywne aby aktywowac należy wydać polecenie:

pbmc start 123

liste można wyświetlić:

pbmc list

Jeżeli z jakiś powodów bedziemy poddnosić ponownie moze być problem z plikim z pid, należy wtedy taki plik usunać. Dodatkowo jak coś nie dział spróbowąc zrobić stop a potem start. No ale jak przetestować:

ipmitool -I lanplus -U admin -P password -H 127.0.0.1 power status

Podstawowy port to 625, dlatego nalezy podać w parametr –port 625, jednak jak chcemy zarzadzac kilkoma maszynami to musimy wystawić na porcie 625 ale na innym adresie dlatego podajemy adress IP jako przełacznik –address . No ale takie IP musi być przypisane do maszyny możemy to osiągnąć za pmoca:

EKSA wysyła sygnał ( status, start, stop, restart) na BMC (IPMI), co odbierze proxmoxbmc i w zalezności od tego co bedzie za komunikat połaczy sie do proxmox i wykona na konkretnej wirtualce akcje. Do tego jest potrzebne konto, ale także do tego konta klucz api.

Zatem w menu proxmox’a wybieramy Datacenter, nastepnie Permissions i API Tokens. Przycikając na przycisk Add wybieramy użytkownika wpisujemy unikalny Token ID, możemy wybrać Expire ( date kiedy Tiken bedzie już nieaktywny), ale także jest możliwość zaznaczenia Privilege Separation. W przypaku gdy bedzie zaznaczone należy doatkowo za pomoca ACL nadac odpowienidnie upraswnienia, jeżeli jestnak opcja jest odznaczona to ma takie uprawnieniani jak użytkownik.

Zatem należy Datacenter -> Permissions i przycisk Add. Wybraż API Token Premissions a nastepnie wybieramy Path, API Token i Rolę. I tutaj także jest opcja Propagate, jezeli zaznaczymy wtedy bedzie dostęp do całego path w dół, zatem uważnie z opcją, a zgodnie z dokumentacją lepiej:

Carefully read the section about inheritance below to understand how assigned roles (and their privileges) are propagated along the ACL tree.

No dobra, wykonałem to wszytsko i niestety cały czas mi wskazywał błednie status serwera wirtualnego, zacząłem debug, tcpdump ale cały czas miałem informację że nie ma takiej wirtualki, oczywiście przez nieodpowiendnie uprawnienia. No i po jakimś czasie zostało mi tylko zobaczenie dlaczego jak wykonuję sprawdzenie poprzez curl’a nie działa. Zgodnie z dokumnetajca należy  wykonać ( wykorzystuję konto lokalne test (dlatego jest pam), które ma API Token ea8b0727-41a6-4c24-97e5-e861aff6f18c, a nazwa API Token to bmc a Proxmox działa na dns proxmox01.example.wew, a serwer ma ID 100)

curl -v -k -H „Authorization: PVEAPIToken=test@pam!bmc=ea8b0727-41a6-4c24-97e5-e861aff6f18c”  https://proxmox01.example.wew:8006/api2/json/nodes/pve/qemu/100/

No niestety są znaki specjalne, wiec wykonywałem:

curl -v -k -H „Authorization: PVEAPIToken=test\@pam\!bmc=ea8b0727-41a6-4c24-97e5-e861aff6f18c”  https://proxmox01.example.wew:8006/api2/json/nodes/pve/qemu/100/

no niestety też nie działąło wiec może:

curl -v -k -H ‚Authorization: PVEAPIToken=test@pam!bmc=ea8b0727-41a6-4c24-97e5-e861aff6f18c’  https://proxmox01.example.wew:8006/api2/json/nodes/pve/qemu/100/

Tak udało, mimo analizowania pakietów, logów proxy od proxmox’a który to wystawia endponit dla API nic nie widac było bo cały czas pokazywał mi pustą liste. Ustawiłem odpowiednie uprawnienia ( dla testowania odzanczyłem „Privilege Separation”) i wszytsko zaczeło działać. Jedna opcja i 3 godziny analizy.

Jak mamy już skonfigurowany serwer Jenkinsa należny się na niego zalogować i

mysqlcheck -u login -p baza

Robimy kopie dysku/ów za pomocą disk2vhd ja wybrałem VHDX.

Niestety w tej formie virtualbox nie przyjmuje dysków więc należy zrobić konwersje:

Z:\>”c:\Program Files\Oracle\VirtualBox\VBoxManage.exe” clonehd –format VDI DISK_INPUT.VHDX DISK_OUTPUT.vdi

Następnie można już dodać dyski do VirtualBox.

Dla tych co chcą to zaimpotować to Synoglogy Vitrual

Dobra zaczynamy.
To co potrzeba to jakiś serwer z docker i najlepiej docker-compose, jak nie masz trego drugiego po po prostu pobierze odpowiednią wersje, jest to skrypt

1) wybrać miejsce, katalog w którym będą pliki konfiguracyjne i dane.
2) będąc w tym katalogu wykonać:
curl -Lso bitwarden.sh https://go.btwrdn.co/bw-sh && chmod 700 bitwarden.sh
3) W katalogu którym jesteśmy i jest bitwarden.sh tworzymy katalog bwdata i nadajemy uprawnienia do zapisu odczytu dla wszytskich
4) Uruchamiamy: ./bitwarden install i tutaj jeżeli korzystamy z LetEncrytp i na serwerze port 80 i 443 jest juz zajety musimy zmienić port zatem zatrzymujemy instalacje i musmy zmienić w innym przypadku przejdz do punktu 5:
– wyedytować skrypt bitwarden.sh i zakomentować linijki z „downloadRunFile” -> „#downloadRunFile”
– wyedytować bwdata/scripts/run.sh i zamienić port 80 na inny niż jednak na taki który jest przekierowana nazwa na IP zewnetrzene.
docker run -it –rm –name certbot -p 80:80
na
docker run -it –rm –name certbot -p 8080:80

5) jak uruchomimy ./bitwarden install to
– podaje domene na jakiej bedzie działał bitwarden
– potwierdzamy czy chcemy korzystac z LetEncrypt
– adres e-mail na jaki ma przyjśc powiadomeinie że konczy sie waznośc certyfikatu
– nazwa instancji bazy gdzie beda przechowywane dane
– dane ze strony https://bitwarden.com/host/
Installation Id:
Installation Key:
– czekamy jak się wygenerują klucze

TESTE

# synosystemctl restart nginx.service

[nginx.service] restarted.

Aby pobrać listę serwisów:

# systemctl list-unit-files

pihole moża zainstalowac na linux lub na docker. Ogólnie zalecam przeczytać na stronie producenta jak zainstalować : PiHole

O dosintalowaniu unbound można na spokojnie wykorzystać opis: Unbound

Do postawienia tego na docker jako jeden kontener użyłem: cbcrowe/pihole-unbound

W ustawieniach wpisz adres unbound i port tak aby pihole korzysatł z unbound: 127.0.0.1#5335

Z takich ważniejszych rzeczy to jak używam docker to nie moge zmusić aby każde odpytanie mialo IP klienta, a ma IP docker’a dlatego przeniosęłm sie na VM debiana. Mój DHCP server nie jest w stanie wspolpracowac z pihole, i jako klinetów miałem IP wiec także i na pihole ustawiłem sobie DHCP serwer a na routerze wyłaczyłem DHCP server.

Jako pierwszą listę domen do blokowania dodałem CERT block list

Inne jakie sobie dodawałem to wszystkie potwierdzone czyli zielone ze strony: The Big Blocklist Collection

Inne źródło list to: POLSKIE FILTRY DO ADBLOCKA, UBLOCKA ORIGIN I ADGUARDA

I tak to sobie ładnie dział, mniej reklam mam wyświetalnych, ale nietóre za dużo bo np. jak cche przejśc przez wyszukiwarke google z linka reklamay to mi blokuje, jednka znalazłem dokładnie jaki jest blokowany adres i dodałem sobie jako white liste.

Czy warto, dla mnie tak bo mniej reklam mi sie wyświetla, no i mam już na poziomie DNS fitrowanie małe to małe ale zawsze filtrowanie przypuszczalnie niebezpiecznych stron, jak i statystyk.

Co do unbound to tutaj jest fajnie opisane: https://calomel.org/unbound_dns.html

## DNS Over TLS, Simple ENCRYPTED recursive caching DNS, TCP port 853
## unbound.conf -- https://calomel.org
## FreeBSD 12 unbound config
#
server:
access-control: 10.0.0.0/8 allow
access-control: 192.168.0.0/16 allow
#access-control: fddd::/48 allow
aggressive-nsec: yes
#auto-trust-anchor-file: /usr/local/etc/unbound/root.key
cache-max-ttl: 14400
cache-min-ttl: 1200
chroot: /usr/local/etc/unbound
directory: /usr/local/etc/unbound
do-ip4: yes
do-ip6: yes
do-tcp: yes
hide-identity: yes
hide-version: yes
interface: 0.0.0.0
#interface: ::0
pidfile: /var/run/local_unbound.pid
port: 53
prefetch: yes
rrset-roundrobin: yes
so-reuseport: yes
tls-cert-bundle: "/usr/local/share/certs/ca-root-nss.crt"
use-caps-for-id: yes
username: unbound

# Unbound from pkg built with libevent; increase threads and slabs to the
# number of real cpu cores to reduce lock contention. Increase cache size to
# store more records and allow each thread to serve an increased number of
# concurrent client requests.
# num-threads: 4
# msg-cache-slabs: 4
# rrset-cache-slabs: 4
# infra-cache-slabs: 4
# key-cache-slabs: 4
# msg-cache-size: 256M
# rrset-cache-size: 512M
# outgoing-range: 8192
# num-queries-per-thread: 4096

# forward-addr format must be ip „@” port number „#” followed by the valid public hostname
# in order for unbound to use the tls-cert-bundle to validate the dns server certificate.
forward-zone:
name: „.”
forward-tls-upstream: yes
forward-addr: 1.0.0.1@853#one.one.one.one
forward-addr: 1.1.1.1@853#one.one.one.one
forward-addr: 8.8.4.4@853#dns.google
forward-addr: 8.8.8.8@853#dns.google
forward-addr: 9.9.9.9@853#dns.quad9.net
forward-addr: 149.112.112.112@853#dns.quad9.net

lub