Юниоры 2023

Время на выполнение модуля 4 часа

Формат участия в соревновании: командный (2 человека)

• ISP — Debian 11 (CLI) — 1 ГБ ОЗУ

• FW-MSK — Debian 11 (CLI) — 1 ГБ ОЗУ

• FW-AMS — Debian 11 (CLI) — 1 ГБ ОЗУ

• R0-MSK — VyOS — 1 ГБ ОЗУ

• APP-MSK — Альт Сервер 10.1 (CLI) — 1 ГБ ОЗУ

• SRV1-MSK — Альт Сервер 10.1 (CLI) — 1 ГБ ОЗУ

• SRV2-MSK — Альт Сервер 10.1 (CLI) — 1 ГБ ОЗУ

• PC-MSK — Альт Рабочая станция 10.1 (MATE) — 2 ГБ ОЗУ

• APP-AMS — Debian 11 (CLI) — 1 ГБ ОЗУ

• DMZ-AMS — Debian 11 (CLI) — 1 ГБ ОЗУ

• PC-AMS — Debian 11 (MATE) — 2 ГБ ОЗУ

• ClientEU — Debian 11 (MATE) — 2 ГБ ОЗУ

• ClientSPB — Альт Рабочая станция 10.1 (MATE) — 2 ГБ ОЗУ

• VDS(EKB) — Debian 11 (CLI) — 1 ГБ ОЗУ

• VPNClient(EKB) — Windows 10 — 2 ГБ ОЗУ

 

1. Меняем имя устройства если таковое не выполнено:

hostnamectl set-hostname FW-MSK; exec bash

2. Настраиваем интерфейсы согласно заданию:

• 2.1. Приводим содержимое файла «/etc/network/interfaces» к следующему виду (согласно схеме адресации):

• 2.2. Перезапускаем службу для применения настроек:

systemctl restart networking

• 2.3. Укажем информацию о DNS — сервере:

echo nameserver 100.100.100.100 > /etc/resolv.conf

• 2.4. Проверим доступ в Интернет (если пакеты будут браться из Интернета а не CD/DVD или иное):

img

Аналогичным образом настраиваем FW-AMS

hostnamectl set-hostname FW-AMS; exec bash

vi /etc/network/interfaces

img

systemctl restart networking

echo nameserver 100.100.100.100 > /etc/resolv.conf

1. Меняем имя устройства если таковое не выполнено:

configure
set system host-name R0-MSK
commit
save	
exit
exit

2. Настраиваем интерфейсы согласно заданию:

configure
set interfaces ethernet eth0 description «FW-R0-MSK»
set interfaces ethernet eth0 address 10.10.10.2/30
set interfaces ethernet eth1 description «LAN-MSK»
set interfaces ethernet eth1 address 192.168.100.1/24
set interfaces ethernet eth2 description «SRV-MSK»
set interfaces ethernet eth2 address 192.168.200.1/24
commit
save
exit

3. Проверим настройки интерфейсов:

show interfaces

img

P.S. Шлюз по заданию будет выдан посредством OSPF.

1. Меняем имя устройства если таковое не выполнено:

hostnamectl set-hostname SRV1-MSK; exec bash

2. Настраиваем интерфейс согласно схеме адресации:

• 2.1. Файл по пути «/etc/net/ifaces/ens33/options» для назначения статического адреса должен иметь следующее содержимое:

img

• 2.2. Задаём статический IPv4 — адрес:

echo 192.168.200.100/24 > /etc/net/ifaces/ens33/ipv4address

• 2.3. Задаём шлюз по умолчанию:

echo default via 192.168.200.1 > /etc/net/ifaces/ens33/ipv4route

• 2.4. Выполняем перезапуск сервиса:

systemctl restart network

3. Проверяем настройку интерфейса:

img

Аналогичным образом настраиваем SRV2-MSK

img

Аналогичным образом настраиваем APP-MSK

img

1. Меняем имя устройства если таковое не выполнено:

hostnamectl set-hostname DMZ-AMS; exec bash

2. Приводим содержимое файла «/etc/network/interfaces» к следующему виду (согласно схеме адресации):

img

3. Перезапускаем службу:

systemctl restart networking

4. Проверяем полученные настройки:

img

Аналогичным образом настраиваем APP-AMS

img

Аналогичным образом настраиваем VDS

(Также указываем DNS — сервер с адресом 100.100.100.100)

img

Через «Центр управления системой (ЦУС)»

img

Или в терминале выполнить команду «acc»

acc

img

img

После чего назначаем параметры согласно таблице адресации:

(Сетевая подсистема: NetworkManager (etcnet))

img

img

Проверяем:

img

img

img

img

Проверяем:

img

img

img

img

Настраиваем OSPFv2 на VyOS:

configure

Объявляем сеть между R0-MSK и FW-MSK для установления соседских отношений:

set protocols ospf area 0 network 10.10.10.0/30

Объявляем по заданию информацию о сетях LAN-MSK и SRV-MSK:

set protocols ospf area 0 network 192.168.100.0/24
set protocols ospf area 0 network 192.168.200.0/24

Применяем и сохраняем конфигурацию устройства:

commit
save

Обновить список пакетов и установить пакет frr:

apt-get update && apt-get install -y frr

Далее:

img

где:

• 1 — необходимо включить демон ospfd, для этого в файле «/etc/frr/daemons» — необходимо заменить значение «ospfd=no» на значание «ospfd=yes»:

sed -i “s/ospfd=no/ospfd=yes/g“ /etc/frr/daemons

• 2 — выполнить перезапуск службы «frr»:

systemctl restart frr

• 3 — проверяем наличие открытого порта для доступа к демону «ospfd»:

ss -tulpn | grep ospfd

• 4 — переходим в интерактивный CLI-интерфейс, который предоставляет аналогичную функциональность командной оболочки ‘Cisco IOS’ для управления протоколами маршрутизации:

vtysh

• 5 — наблюдаем доступ к CLI — интерфейсу frr, переходим к настройки OSPFv2:

  • Объявляем сеть между R0-MSK и FW-MSK для установления соседских отношений:

network 10.10.10.0/30 area 0
end

Проверяем соседство между FW-MSK и R0-MSK:

img

Проверяем таблицу маршрутизации с целью проверки информации о сетях LAN-MSK и SRV-MSK, переданные от R0-MSK:

show ip route ospf

img

Переходим к дальнейшей настройке OSPFv2:

Задаём маршрут по умолчанию для дальнейшего объявления его через OSPF:

ip route 0.0.0.0 0.0.0.0 10.10.10.1

Объявляем маршрут по умолчанию через OSPF:

router ospf 
default-information originate
end

Сохраняем текущие параметры конфигурации:

wr mem

Проверяем на R0-MSK информацию о маршруте по умолчанию переданную через OSPF:

show ip route ospf

img

Просмотрим таблицу маршрутизации при помощи утилиты «ip route»:

ip -c route

img

В соответствие с заданием — необходимые сети объявляются через OSPF, а не статически

Аналогичным образом посмотрим таблицу маршрутизации на отсутствие статических маршрутов:

img

Один из способов достичь этой цели в сетях с использованием протокола OSPF — это сделать указанные интерфейсы пассивными. Пассивный интерфейс в OSPF не обменивается информацией о маршрутах с другими маршрутизаторами, он используется только для получения информации о топологии сети. Это позволяет предотвратить нежелательный обмен маршрутами с соседними сетями

img

img

configure
set protocols ospf passive-interface default
set protocols ospf interface eth0 passive disable
commit
save
exit
show ip ospf interface

img

Также необходимо сделать данный интерфейс — пассивным:

• также сделаем пассивный интерфейс в сторону «глобальной сети Интернет (ens33)»

img

img

vtysh
configure terminal
router ospf
passive-interface ets35
passive-interface ens33
end 
wr mem
show running-config

img

Необходимо настроить трансляцию адресов сети (NAT — Network Address Translation) с помощью пакета «firewalld«. Этот подход позволит эффективно использовать доступные публичные IP-адреса и обеспечит устойчивое и безопасное подключение к глобальной сети для всех устройств сети офисов.

Необходимо включить функцию пересылки пакетов (forwarding):

echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf

sysctl -p

img

Установим пакет «firewalld»:

apt-get install -y firewalld

Далее интерфейс который смотрит в сторону сети Интернет — добавим в зону «Public» и включим на данную зону маскировку трафика — masquerade:

• Маскировка позволяет заменить исходный IP-адрес устройства внутри локальной сети на внешний IP-адрес интерфейса, который направлен в сторону Интернета. Таким образом, ответы от внешних серверов будут возвращаться на публичный IP-адрес маршрутизатора, а затем перенаправляться на соответствующее устройство внутри локальной сети.

firewall-cmd --permanent --zone=public --add-interface=ens33

firewall-cmd --permanent --zone=public --add-masquerade  

• После чего, интерфейс смотрящий в сторону R0-MSK — дабавим в зону «trusted»:

firewall-cmd --permanent --zone=trusted --add-interface=ens34 

• А интерфейс смотрящий в сторону сети DMZ-MSK — добавим в зону «DMZ»:

firewall-cmd --permanent --zone=dmz --add-interface=ens35	 

• После чего перезагружаем «firewalld» для того чтобы изменения применились:

firewall-cmd --reload 

img

Проверяем доступ до «Настоящей сети Интернет» с хостов сетей SRV-MSK | DMZ-MSK:

img

img

Аналогичным образов включаем forwarding, после чего обновляем список пакетов и устанавливаем пакет «firewalld»:

echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf

sysctl -p

apt-get update && apt-get install -y firewalld

Далее как и в московском офисе выполним добавления интерфейса смотрящего в сторону сети Интернет с зону «public», с последующим включением на неё masquerade;

Затем интерфейс смотрящий в сторону LAN-AMS добавим в зону «trusted», а интерфейс смотрящий в DMZ-AMS — добавим в зону «DMZ»:

firewall-cmd --permanent --zone=public --add-interface=ens33 

firewall-cmd --permanent --zone=public --add-masquerade

firewall-cmd --permanent --zone=trusted --add-interface=ens34

firewall-cmd --permanent --zone=dmz --add-interface=ens35 

firewall-cmd --reload

img

Ну и проверяем доступ в сеть Интернет с хоста сети «DMZ-AMS»:

img

На устройствах со статическими сетевыми параметрами настраиваем вручную и добавляем запись в файл «/etc/resolv.conf»:

configure
set system name-server 10.10.10.1
commit
save

echo nameserver 10.10.10.1 > /etc/resolv.conf

echo nameserver 20.20.20.1 > /etc/resolv.conf

echo nameserver 172.16.200.1 > /etc/resolv.conf

Выполним установку пакета «bind9»:

apt-get install -y bind9

Далее приводим файл «/etc/bind/named.conf.options» к следующему виду:

img

где:

• allow-query { any; }; — разрешает обращаться к данному DNS — серверу для всех;

• forwarders { 100.100.100.100; }; — пересылает все неизвестные запросы на 100.100.100.100;

При помощи утилиты «named-checkconf» — можно проверить данный файл на наличие ошибок

После чего выполняем перезапуск службы «bind9»:

systemctl restart bind9

Также в firewalld на зону «dmz» — необходимо разрешить сервис «dns»:

firewall-cmd --permanent --zone=dmz --add-service=dns 

firewall-cmd --reload 

Проверим доступ к сети Интернет с локальных клиентов:

img

img

img

выполнялось ранее на стадии настройки IP — адресов

echo nameserver 100.100.100.100 > /etc/resolv.conf

Выполнялось на стадии настройки статических адресов, в противном случае используется утилита «hostnamectl»

hostnamectl set-hostname <ИМЯ>; exec bash

Создадим директорию в которой будем хранить файл с настройками для зоны «msk.jun39.wsr»:

mkdir /var/dns

Скопируем шаблон файла зоны прямого просмотра, и назначим владельца:

cp /etc/bind/db.local /var/dns/msk.db

chown -R bind:bind /var/dns

Также настроим «apparmor» — для этого в файл «/etc/apparmor.d/usr.sbin.named» — добавляем следующую строку:

img

После чего перезагружаем службу «apparmor»:

systemctl restart apparmor

В файл «/etc/bind/named.conf.local» — описываем информацию о зоне прямого просмотра «msk.jun39.wsr», а также о самом файле содержащем данные зоны прямого просмотра «/var/dns/msk.db»:

img

при помощи утилиты «named-checkconf» с колючём «-z» проверяем, что наш файл с зоной прямого просмотра загружается успешно:

img

Наконец заполняем сам файл зоны прямого просмотра «/var/dns/msk.db» и приводим его к следующему виду:

img

также проверяем наличие ошибок при помощи «named-checkconf -z»

Перезапускаем службу «bind9»:

systemctl restart bind9

P.S. Для клиентов которые получают адреса по DHCP — далее на стадии настройки DHCP — сервера вернёмся к настройки автоматического обновление записей DNS для них.

Аналогичным образом настраиваем DNS — сервер на работу с зоной прямого просмотра «ams.jun39.wsr»:

mkdir /var/dns

cp /etc/bind/db.local /var/dns/ams.db

chown -R bind:bind /var/dns

vi /etc/apparmor.d/usr.sbin.named

img

systemctl restart apparmor

vi /etc/bind/named.conf.local

img

named-checkconf -z

vi /var/dns/ams.db

img

named-checkconf -z

systemctl restart bind9

На локальных хостах добавляем в файл «/etc/resolv.conf» — строчку «search <домен поиска>» в соответствие с филиалом:

Например:

img

img

При помощи утилит «host» или «nslookup» из пакета «bind-utils» проверяем работу DNS — сервера:

img

Аналогичным образом проверяем работоспособности DNS — сервера в филиале Амстердама

Установим пакет «dhcp-server»:

apt-get update && apt-get install -y dhcp-server

Копируем файл с шалбоном конфигурационного файла dhcp-сервера для последующего редактирования:

cp /etc/dhcp/dhcpd.conf.example /etc/dhcp/dhcpd.conf

Приводим файл «/etc/dhcp/dhcpd.conf» к следующему виду:

img

где:

• 1 — Имя домена;

• 2 — Адрес DNS — сервера (FW-MSK);

• 3 — Выдаваемый диапазон адресов (согласно заданию);

• 4 — Адрес шлюза (R0-MSK);

• 5 — Адрес NTP — сервера (FW-MSK);

• 6 — Блок для автоматического обновления записей типа A на DNS — сервере;

Далее при помощи утилиты «dhcpd» и ключей «-t» и «-cf» проверяем правильность заполнения данного конфигурационного файла:

dhcpd -t -cf /etc/dhcp/dhcpd.conf

img

Выполняем перезапуск службы «dhcpd»и добавляем в автозагрузку:

systemctl enable --now dhcpd 

После чего возвращаемся на DNS — сервер и вносим необходимые изменения для совместной работы DHCP и DNS серверов:

Добавляем в файл «/etc/bind/named.conf.local» следующую строку:

img

• таким образом, в данной строке мы говорим кому разрешено отправлять динамические обновления для данной зоны, т. е. указываем адрес нашего DHCP — сервера (SRV1-MSK).

Перезагружаем службу bind9:

systemcrtl restart bind9

Аналогичным образом настраиваем DHCP — сервер в филиале Амстердама на FW-AMS:

Установим пакет «isc-dhcp-server»:

apt-get install -y isc-dhcp-server

img

• после установки данного пакета будет следующая ошибка в работе данной службы, но после правки конфигурационных файлов DHCP — сервер заработает без ошибок

Далее определяем сетевой интерфейс сервера, на котором DHCP-сервер будет слушать и обрабатывать DHCP-запросы от клиентов, для этого вносим изменения в файл «/etc/default/isc-dhcp-server»:

img

После чего аналогичным образом как и на SRV1-MSK заполняем конфигурационный файл «/etc/dhcp/dhcpd.conf»:

img

Проверяем правильность данного файла:

dhcpd -t -cf /etc/dhcp/dhcpd.conf

После перезапускаем службу «isc-dhcp-server»:

systemctl restart isc-dhcp-server

Также вносим изменения в конфигурацию DNS — сервера по пути «/etc/bind/named.conf.local»:

img

Перезагружаем службу «bind9»:

systemctl restart bind9

В качестве проверки работоспособности DHCP — сервера а также автоматического обновления записей типа A — выводим журнал при помощи команды:

journalctl -f -u isc-dhcp-server

После чего включаем PC-AMS и наблюдаем следующую информацию в журнале на FW-AMS:

img

• Полноценный «DORA» — процесс;

img

• Также запись в журнале, которая соответствует информации о автоматическом обновлении записи типа А в DNS.

configure
set service dhcp-relay interface eth1
set service dhcp-relay interface eth2
set service dhcp-relay server 192.168.200.100
set service dhcp-relay relay-options relay-agents-packets discard
commit
save

Проверим конфигурацию:

show service dhcp-relay

img

configure
set service ntp server 10.10.10.1
commit
save

Установим пакет «chrony»:

apt-get install -y chrony

Приводим конфигурационный файл «/etc/chrony.conf»

img

необходимо закомментировать строку с серверами по умолчанию, после чего явно указать с кем необходимо синхронизировать время.

После чего перезапускаем и добавляем в автозагрузку службу «chronyd»:

systemctl enable --now chronyd

Проверяем про помощи утилиты «chronyc» с кем данный хост синхронизирует время:

chronyc sources

img

Аналогичным образом настраиваем APP-MSK

Устанавливаем пакет «chrony»:

apt-get update && apt-get install -y chrony

Приводим конфигурационный файл «/etc/chrony/chrony.conf» к следующему виду, аналогично необходимо закомментировать строку с серверами по умолчанию, после чего явно указать с кем необходимо синхронизировать время.

img

Выполняем перезапуск службы «chronyd» и проверяем синхронизацию времени через «chronyc»:

systemctl restart chronyd

chronyc sources

img

Данная настройка была реализована во время настройки DHCP — сервера, таким образом необходимо установить только пакет «chrony»:

apt-get install -y chrony

systemctl enable --now chronyd

Также повторно запросим информацию от DHCP — сервера чтобы информация о NTP — серверах автоматически заполнилась в «chrony.conf»

Установим пакет «chrony»:

apt-get install -y chrony

Приводим конфигурационный файл «/etc/chrony/chrony.conf» к следующему виду:

img

После перезагружаем службу «chronyd»:

systemctl restart chronyd

Проверяем синхронизацию:

chronyc sources

img

Также необходимо в «firewalld» для зоны «dmz» — разрешить NTP:

firewall-cmd --permanent --zone=dmz --add-service=ntp 

firewall-cmd --reload 

После проверяем клиентов, которые синхронизируют время с данным сервером:

chronyc clients

img

Аналогичным образом настраиваем FW-AMS:

apt-get install -y chrony

vi /etc/chrony/chrony.conf

img

systemctl enable --now chronyd

firewall-cmd --permanent --zone=dmz --add-service=ntp 

firewall-cmd --reload 

chronyc sources && chronyc clients

img

Аналогично настраиваем ClientSPB и VDS на синхронизацию с 100.101.102.103

При помощи утилиты «timedatectl» настраиваем необходимый часовой пояс:

timedatectl set-timezone <Europe/Moscov | Europe/Amsterdam>

img

img

Аналогичным образом на остальных хостах в соответствии с географическим расположением.

Выполнено ранее, посредством добавления сетевых интерфейсов в необходимые зоны:

img

img

• Зона public: Включение masquerade в этой зоне позволяет устройствам в сети DMZ-* иметь доступ в интернет. Маскарадинг (masquerade) позволяет перенаправлять исходящий трафик от устройств в сети DMZ через внешний интерфейс маршрутизатора, чтобы он мог успешно общаться с внешними ресурсами в интернете.

• Зона trusted: это локальная сеть. Устройства в сети DMZ не смогут инициировать соединения к клиентам в этой локальной сети из-за ограничения правил firewall на этой граничной маршрутизаторе. Это выполняется благодаря отсутствию правил пересылки (forward) из зоны dmz в зону trusted.

• Зона dmz: Входящие соединения из всех локальных сетей (в том числе и из зоны trusted) в сети DMZ-* разрешены. Это достигается тем, что мы добавили интерфейс, смотрящий в DMZ, в эту зону. Соединения из локальной сети, проходящие через граничный маршрутизатор и направленные в зону dmz, будут разрешены благодаря правилам в зоне dmz.

Выполняем установку пакета «lldpd»:

apt-get install -y lldpd

Включаем и добавляем в автозагрузку службу «lldpld»:

systemctl enable --now lldpd

Проверяем информацию о соседних устройствах:

lldpcli show neighbors

img

img

Аналогичным образом устанавливаем «lldpd» на FW-MSK и APP-MSK:

apt-get install -y lldpd

systemctl enable --now lldpd

img

img

configure
set service lldpd
commit
save
exit
show lldp neighbors

img

Аналогично настраиваем филиал Амстердама

apt-get install -y lldpd

systemctl enable --now lldpd

img

Создадим SSH — ключи:

ssh-keygen -t rsa

img

Скопируем публичный ключ «id_rsa.pub» на VDS:

ssh-copy-id user@100.70.6.12

img

Проверяем подключение:

ssh user@100.70.6.12

img

Добавим алиас для него в файл «~/.ssh/config». Это позволит подключаться к VDS, используя указанное имя:

img

Проверяем подключение по имени, а не IP — адресу:

img

Настройка защищённого VPN — туннеля будем настраиваться посредством Wireguard:

• 14.1. WireGuard — WireGuard является современной технологией VPN, которая обеспечивает высокую производительность и безопасность.

• 14.2. WireGuard использует симметричное шифрование, и AES является одним из поддерживаемых алгоритмов шифрования. SHA-2 обычно используется для хеширования и аутентификации данных в WireGuard.

• 14.3. WireGuard поддерживает протоколы шифрования, такие как ChaCha20 и Curve25519, которые обеспечивают ключи и хеши длиной 256 бит, что удовлетворяет данному требованию.

Установим пакет «wireguard»:

apt-get install -y wireguard

Создадим директорию для ключей:

mkdir /etc/wireguard/keys

cd /etc/wireguard/keys

Генерируем пары ключей для сервера и клиента:

wg genkey | tee srv-sec.key | wg pubkey > srv-pub.key

wg genkey | tee cli-sec.key | wg pubkey > cli-pub.key

Копируем закрытый ключ сервера и публичный ключ клиента в конфигурационный файл туннельного интерфейса «/etc/wireguard/wg0.conf»:

cat srv-sec.key cli-pub.key >> /etc/wireguard/wg0.conf

Далее заполняем этот конфигурационный файл и приводим его к следующему виду:

img

Включаем и добавляем в автозагрузку туннельный интерфейс:

systemctl enable --now wg-quick@wg0

Проверяем:

img

Данный туннельный интерфейс необходимо вынести в отдельную зону в firewalld, чтобы трафик не натировался и не блокировался:

firewall-cmd --permanent --zone=internal --add-interface=wg0 

Также настраиваем необходимые разрешения для firewalld:

firewall-cmd --permanent --zone=public --add-port=12345/{tcp,udp} 

firewall-cmd --reload 

Установим пакет «wireguard»:

apt-get install -y wireguard

Создадим директорию для ключей:

mkdir /etc/wireguard/keys

cd /etc/wireguard/keys

При помощи утилиты «scp» забираем с FW-MSK закрытый ключ клиента и открытый ключ сервера:

scp root@100.70.4.18:/etc/wireguard/keys/cli-sec.key ./

scp root@100.70.4.18:/etc/wireguard/keys/srv-pub.key ./

Копируем закрытый ключ клиента и публичный ключ сервера в конфигурационный файл туннельного интерфейса «/etc/wireguard/wg0.conf»:

cat cli-sec.key srv-pub.key >> /etc/wireguard/wg0.conf

Далее заполняем этот конфигурационный файл и приводим его к следующему виду:

img

Включаем и добавляем в автозагрузку туннельный интерфейс:

systemctl enable --now wg-quick@wg0

Данный туннельный интерфейс необходимо вынести в отдельную зону в firewalld, чтобы трафик не натировался и не блокировался:

firewall-cmd --permanent --zone=internal --add-interface=wg0 

firewall-cmd --reload

Проверяем:

img

img

Необходимо дополнить конфигурационный файл туннельного интерфейса «/etc/wireguard/wg0.conf», и привести его к следующему виду:

img

• Параметр Table в конфигурации WireGuard отвечает за управление маршрутной таблицей для интерфейса WireGuard. Когда значение установлено в off, WireGuard не будет управлять маршрутной таблицей, и вам придется настраивать маршруты вручную без автоматического добавления или удаления маршрутов через интерфейс WireGuard.

• Параметр AllowedIPs в конфигурации WireGuard используется для указания подсетей (IP-адресов), которые разрешены для пересылки через туннель WireGuard. Когда трафик с определенного IP-адреса приходит к WireGuard интерфейсу, он будет перенаправлен через VPN туннель, если его IP-адрес находится в списке AllowedIPs.

Для применения настроек перезапускаем туннельный интерфейс:

wg-quick down wg0

wg-quick up wg0

img

После чего переходим к настройки OSPF:

vtysh
configure terminal
router ospf 
network 10.20.30.0/30 area 0
network 20.20.20.0/30 area 0
end
wr mem
show running-config

img

Также для зоны «internal» в которой находится наш туннельный интерфейс «wg0» в firewalld разрешим OSPF:

firewall-cmd --permanent --zone=internal --add-protocol={ospf,89} 

firewall-cmd --reload

Аналогичным образом настраиваем FW-AMS

Содержимое файла «/etc/wireguard/wg0.conf»:

img

Конфигурация OSPF:

img

Проверка соседей:

img

img

Также посмотрим таблицы маршрутизации:

img

FW-MSK — знает о сетях LAN-AMS и DMZ-AMS, через туннельный интерфейс wg0 по ospf

img

аналогично FW-AMS — знает о сетях DMZ-MSK, LAN-MSK и SRV-MSK, через туннельный интерфейс wg0 по ospf

проверка доступа с SRV1-MSK до APP-AMS — через туннель Wireguard

img

Будем использовать также Wireguard для обеспечения подключения, так как клиент должен иметь ограниченный доступ а именно только к сети SRV-MSK, поэтому создадим новый туннельный интерфейс «wg1» на FW-MSK

Переходим в каталог «/etc/wireguard/keys» и генерируем новую пару ключей для сервера и клиента:

cd /etc/wireguard/keys

wg genkey | tee srv01-sec.key | wg pubkey > srv01-pub.key

wg genkey | tee cli01-sec.key | wg pubkey > cli01-pub.key

Копируем приватный ключ сервера и публичный ключ клиента в конфигурационный файл туннельного интерфейса «/etc/wireguard/wg1.conf»:

cat srv01-sec.key cli01-pub.key >> /etc/wireguard/wg1.conf

Далее описываем сам конфигурационный файл и приводим его к следующему виду:

img

после чего включаем и добавляем в автозагрузку данный виртуальный интерфейс:

systemctl enable --now wg-quick@wg1

также разрешаем на зону «public»в firewalld порты используемые для подключения туннельного интерфейса:

firewall-cmd --permanent --zone=public --add-port=23456/{tcp,udp} 

firewall-cmd --reload

далее необходимо, через OSPF объявить туннельную сеть для R0-MSK:

vtysh
configure terminal
router ospf 
network 10.9.9.0/30 area 0
end 
wr mem
exit

Переходим к конфигурации клиента:

Открываем браузер, переходим на сайт https://wireguard.com/install, после чего скачиваем клиентское приложиние по необходимую операционную систему:

img

после чего выполняем установку из скаченного файла

Далее описываем конфигурацию клиента:

img

img

img

img

Проверяем на FW-MSK:

img

И проверим таблицу маршрутизации у VPNClient:

img

видим доступ к сети SRV-MSK — через туннельный интерфейса

Проверим сетевую связность с VPNClient до SRV1-MSK:

img

При перезагрузке ПК или входе под пользователем «user» данный туннельный интерфейс поднимается в автоматическом режиме:

img

Установим пакет «rsyslog»:

apt-get install -y rsyslog

Создадим директорию для хранения журналов:

mkdir /opt/logs

Редактируем конфигурационный файл «/etc/rsyslog.conf»:

• Добавьте следующие строки в конец файла, чтобы настроить хранение журналов в файлах /opt/logs/ согласно требованиям:

...
$template DynaFile,"/opt/logs/%HOSTNAME%.log"
*.* -?DynaFile

Это настроит запись всех журналов в файлы, где %HOSTNAME% будет заменено на соответствующее доменное имя машины.

Фильтрация журналов по уровню сообщений:

• Добавьте следующие строки в конфигурацию rsyslog, чтобы фильтровать журналы в соответствии с указанными требованиями:

...
:msg, contains, "error" /opt/logs/PC-MSK.log
& stop

:msg, contains, "warning" /opt/logs/SRV-MSK.log
& stop

:msg, contains, "ospf" /opt/logs/FW.log
:msg, contains, "ipsec" /opt/logs/FW.log
:msg, contains, "openvpn" /opt/logs/FW.log
:msg, contains, "wireguard" /opt/logs/FW.log
& stop

Перезапустите службу rsyslog, чтобы применить изменения:

systemctl restart rsyslog

Теперь сервер SRV1-MSK будет настроен для централизованного сбора журналов syslog согласно указанным требованиям. Журналы будут храниться в соответствующих файлах /opt/logs/, и фильтрация сообщений будет осуществляться в соответствии с заданными правилами.

Время на выполнение модуля 4 часа

Формат участия в соревновании: командный (2 человека)

img

img

img

В зависимости от способа развёртывания стенда и выбранного гипервизора, варианты и способы развёртывания необходимых виртуальных машин может быть выполнено по разному

В данном случае Модуль А — выполнялся в среде VMWare Workstation

img

Поэтому выполнение пункта 1.1. будет продемонстрировано на примере VMWare Workstation

Вариант развёртывания виртуальной машины из шаблона «OVA-файла»:

img

Выбираем «Открыть виртуальную машину» — после чего выбираем файл шаблона с расширением «.ova»:

img

выбираем необходимый шаблон, нажимаем «Открыть»

img

задаём необходимое имя, нажимаем «Импортировать»

img

Начинается процесс импорта виртуальной машины, одновременно можно импортировать несколько виртуальных машин

img

После импорта виртуальной машины из шаблона — задаём необходимые параметры согласно заданию:

img

Аналогичным образом развернуть другие ВМ

img

Для создания недостающих сетей в настройках ВМ нажимаем «Добавить», выбираем «Сетевой Адаптер» — нажимаем «Финиш»

img

img

Выбираем созданную сеть, нажимаем «Сохранить» Аналогично создаём и подключаем все остальные сети к ВМ

Задаём имя, если таковое не выполнено:

hostnamectl set-hostname FW-IKT; exec bash

Далее настраиваем сетевые интерфейсы, приводим конфигурационный файл «/etc/network/interfaces» к следующему виду:

img

Перезапускаем сетевую службу для применения IP — адресов:

systemctl restart networking

Проверяем:

ip -c a

Проверяем доступ в Интернет:

img

Затем, обновляем список пакетов и устанавливаем firewalld:

apt-get update && apt-get install -y firewalld

После настраиваем доступ в Интернет посредством NAT (PAT), а именно внешний интерфейс добавим в зону «public» и включим на неё «masquerade», интерфейс смотрящий в сеть LAN-IKT добавим в зону «trusted», а интерфейс смотрящий в зону DMZ-IKT добавим в зону «DMZ»:

firewall-cmd --permanent --zone=public --add-interface=ens33 

firewall-cmd --permanent --zone=public --add-masquerade 

firewall-cmd --permanent --zone=trusted --add-interface=ens34 

firewall-cmd --permanen --zone=dmz --add-interface=ens35 

firewall-cmd --reload

img

Также необходимо включить функцию пересылки пакетов (forwarding):

echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf; sysctl -p

img

img

img

Далее назначаем имя и сетевые параметры:

img

img

Проверяем доступ в Интернет:

img

Задаём имя, если таковое не выполнено:

hostnamectl set-hostname SRV1-IKT; exec bash

Далее настраиваем параметры сетевого интерфейса:

echo 192.168.1.100/24 > /etc/net/ifaces/ens33/ipv4address

echo default via 192.168.1.1 > /etc/net/ifaces/ens33/ipv4route

Для применения настроек перезагружаем сетевой сервис:

systemctl restart network

Проверяем:

img

Аналогичным образом настраиваем APP-IKT:

img

Установим пакет «bind9»:

apt-get install -y bind9 

Далее редактируем конфигурационный файл «/etc/bind/named.conf.options» и приводим его к следующему виду:

img

секцией «forwarders { 100.100.100.100; }; — выполняем пункт 1.6. также при помощи утилиты «named-checkconf» проверяем данный файл

после описываем информацию о зоне «ikt.jun39.wsr» в конфигурационном файле «/etc/bind/named.conf.local»:

img

далее создаём каталог для хранения файла зоны «ikt.jun39.wsr» и копируем шаблон для дальнейшего редактирования:

mkdir /var/dns

cp /etc/bind/db.local /var/dns/ikt.db

chown -R bind:bind /var/dns

после чего настраиваем «apparmor» и приводим «/etc/apparmor.d/usr.sbin.named» к следующему виду:

img

перезагружаем службу «apparmor»:

systemctl restart apparmor

проверяем:

named-checkconf -z

img

Приступаем к заполнению зоны прямого просмотра «/var/dns/ikt.db»:

img

перезагружаем службу «bind9»:

systemctl restart bind9

Также в firewalld для зоны «DMZ» разрешаем сервис dns:

firewall-cmd --permanent --zone=dmz --add-service=dns 

firewall-cmd --reload

Также для того чтобы клиент PC-IKT получал сетевые параметры по DHCP — развернём на данном хосте DHCP — сервер:

Выполним установку пакета «isc-dhcp-server»:

apt-get install -y isc-dhcp-server

Также в файле «/etc/default/isc-dhcp-server» указываем через какой интерфейс слушать DHCP запросы:

sed -i “s/INTERFACESv4=\“\“/INTERFACESv4=\“ens34\“/g“ /etc/default/isc-dhcp-server

после чего настраиваем конфигурационный файл «/etc/dhcp/dhcpd.conf»:

img

также проверяем конфигурационный файл при помощи утилиты «dhcpd»:

dhcpd -t -cf /etc/dhcp/dhcpd.conf

img

перезапускаем dhcp — сервер:

systemctl restart isc-dhcp-server

Проверяем включаем PC-IKT и смотрим журнал:

img

полноценный «DORA» процесс, а также автоматическое добавление и обновление DNS записей:

img

img

img

echo nameserver 192.168.1.1 > /etc/resolv.conf

echo nameserver 172.16.1.1 > /etc/resolv.conf

Выполнено на стадии настройки локального DNS сервера на FW-IKT

Если имена устройств не назначены ранее то назначаем при помощи утилиты «hostnamectl»:

hostnamectl set-hostname <ИМЯ>;exec bash

echo search ikt.jun39.wsr >> /etc/resolv.conf 

Установим пакет «chrony»:

apt-get install -y chrony

Далее настраиваем синхронизацию с хостом 100.101.102.103 правим конфигурационный файл «/etc/chrony/chrony.conf»:

img

после выполняем перезапуск службы «chronyd»:

systemctl restart chronyd

Проверяем синхронизацию при помощи утилиты «chronyc»:

img

Также в firewalld для зону «DMZ» разрешим сервис NTP:

firewall-cmd --permanent --zone=dmz --add-service=ntp 

firewall-cmd --reload 

Установим пакет «chrony»:

apt-get update && apt-get install -y chrony

Далее настраиваем синхронизацию с FW-IKT правим конфигурационный файл «/etc/chrony.conf»:

img

перезапускаем службу:

systemctl restart chronyd

Проверяем:

chronyc sources

Аналогично настраиваем APP-IKT:

Установим пакет «chrony»:

apt-get update && apt-get install -y chrony

Далее настраиваем синхронизацию с FW-IKT правим конфигурационный файл «/etc/chrony.conf»:

img

перезапускаем службу:

systemctl restart chronyd

Проверяем:

chronyc sources

Так же как и в модуле А — для построения защищённого VPN — туннеля будем использовать технологию Wireguard

Напоминаю что туннельные интерфейсы уже есть, а именно:

• wg0 — для соединения филиала MSK с AMS;

• wg1 — для соединения клиента ClientVPN с сетью LAN-MSK;

Таким образом для туннеля между FW-IKT и FW-MSK будем использовать wg2;

Переходим в директорию где ранее создавали ключи и создаём пару ключей для клиента и сервера:

cd /etc/wireguard/keys

wg genkey | tee srv02-sec.key | wg pubkey > srv02-pub.key

wg genkey | tee cli02-sec.key | wg pubkey > cli02-pub.key

После копируем содержание закрытого серверного ключа и открытого клиентского в конфигурационный файл туннельного интерфейса «/etc/wireguard/wg2.con»:

cat srv02-sec.key cli02-pub.key >> /etc/wireguard/wg2.conf

Далее приводим конфигурационный файл к следующему виду:

img

далее включаем и добавляем в автозагрузку туннельный интерфейс:

systemctl enable --now wg-quick@wg2

Также в настройках firewalld на зону «public» разрешаем порт иписанной в конфигурационном файле, и выносим данный туннельный интерфейс в зону «internal»:

firewall-cmd --permanent --zone=public --add-port=34567/{tcp,udp} 

firewall-cmd --permanent --zone=internal --add-interface=wg2 

firewall-cmd --reload 

переходим к настройке FW-IKT:

Установим пакет «wireguard»:

apt-get install -y wireguard

Создадим директорию для ключей:

mkdir /etc/wireguard/keys

cd /etc/wireguard/keys

Затем при помощи утилиты «scp» заберём необходимые ключи с FW-MKS:

scp root@100.70.4.18:/etc/wireguard/keys/cli02-sec.key ./

scp root@100.70.4.18:/etc/wireguard/keys/srv02-pub.key ./

Далее добавим данные ключи в конфигурационный файл туннельного интерфейса «wg2»:

cat cli02-sec.key srv02-pub.key >> /etc/wireguard/wg2.conf

Затем приводим конфигурационный файл к следующему виду:

img

далее включаем и добавляем в автозагрузку туннельный интерфейс:

systemctl enable --now wg-quick@wg2

Также в настройках firewalld выносим данный туннельный интерфейс в зону «internal»:

firewall-cmd --permanent --zone=internal --add-interface=wg2 

firewall-cmd --reload 

Проверяем:

wg show wg2

img

Устанавливаем пакет «frr»:

apt-get install -y frr

Правим конфишурационный файл «/etc/frr/daemons» и ключаем демон «ospfd»:

sed -i “s/ospfd=no/ospfd=yes/g“ /etc/frr/daemons

Перезагружаем службу «frr»:

systemctl restart frr 

Переходим в режим конкурирования протокола ospfd в стиле Cisco Like:

vtysh

img

Далее настраиваем OSPFv2:

configure terminal
router ospf 
passive-interface default
no passive-interface wg2
network 10.8.8.0/30 area 0
network 192.168.1.0/24 area 0
network 172.16.1.0/24 area 0
end
wr mem
exit

Проверяем:

show running-config

img

Так же в firewalld на зону «internal» добавляем протокол ospf:

firewall-cmd --permanent --zone=internal --add-protocol={ospf,89} 

firewall-cmd --reload 

Переходим к настройке OSPFv2 на FW-MSK:

vtysh

configure terminal
router ospf 
network 10.8.8.0/30 area 0 
end
wr mem

Проверяем соседство:

show ip ospf neighbor

img

Также проверим таблицу маршрутизации, в которой должна появиться информация о сетях LAN-IKT, DMZ-IKT:

show ip route ospf

img

Также проверим известные маршруты по OSPF с FW-IKT

img

таким образом, видно, что FW-IKT знаем о локальных сетях в московском и амстердамских филиалах

Проверим сетевую связность с APP-IKT до APP-MSK и APP-AMS

img

вы можете использовать подход с копированием файлов зон с DNS-серверов FW-MSK и FW-AMS на DNS-сервер FW-IKT в иркутском филиале, чтобы реализовать возможность обращения устройств из иркутского филиала к устройствам в других филиалах по доменным именам.

В этом случае вы будете создавать «слепки» зон с других филиалов на DNS-сервере FW-IKT в иркутском филиале. Это позволит FW-IKT разрешать имена устройств из других филиалов без необходимости перенаправления запросов на другие DNS-серверы.

scp root@100.70.4.18:/var/dns/msk.db /var/dns/

scp root@100.70.3.45:/var/dns/ams.db /var/dns/

Также редактируем файл «/etc/bind/named.conf.local» и вносим информацию о зонах московского и амстердамского филиалов:

img

также проверяем при помощи утилиты «named-checkconf»:

img

После чего перепусканем службу «bind9»:

systemctl restart bind9

Также необходимо на всех FW-* в firewalld на зону «internal» — разрешить сервис dns:

firewall-cmd --permanent --zone=internal --add-service=dns 

firewall-cmd --reload

После чего проверяем с APP-IKT доступ до APP-* в других филиалах:

img

теперь устройства с иркутского филиала могут обращаться по доменным именам к устройствам в других филиалах

img

useradd admin

passwd admin

после задаём пароль P@ssw0rd и подтверждаем его

usermod -aG wheel admin

echo “admin ALL=(ALL:ALL) ALL“ >> /etc/sudoers

Проверяем:

img

Создаём директории и даём полные права для общего доступа согласно заданию:

mkdir -p /opt/nfs/{rw,ro}

chmod 777 /opt/nfs/{rw,ro}

После чего переходим к настройке общего доступа по протоколу NFS:

apt-get update && apt-get install -y nfs-{server,utils}

Далее приводим файл «/etc/exports» к следующему виду:

img

После включаем и добавляем в автозагрузку «nfs-server»:

systemctl enable --now nfs-server

Также проверим при помощи утилиты «showmount» какие директории доступны с данного хоста для монтирования другими в качестве общего ресурса:

img

Выполним установку необходимых пакетов:

apt-get update && apt-get install -y nfs-{utils,clients}

Далее создадим структуру каталогов для дальнейшего монтирования:

mkdir -p /home/user/Desktop/nfs_{rw,ro}

После чего добавляем следующие записи в файл «/etc/fstab»:

echo "192.168.1.100:/opt/nfs/rw /home/user/Desktop/nfs_rw nfs defaults 0 0" >> /etc/fstab

echo "192.168.1.100:/opt/nfs/ro /home/user/Desktop/nfs_ro nfs defaults 0 0" >> /etc/fstab

Для применения монтирования воспользуемся утилитой «mount»:

mount -av

Проверяем:

img

Также правиряем права на чтение и запись для каталога «/home/user/Desktop/nfs_rw»:

img

img

И также права на чтение для каталога «/home/user/Desktop/nfs_ro»:

img

кнопка «Создать» — неактивна, так как права только на чтение:

Перейдём на SRV1-IKT и из под пользователя admin создадим тестовый файл, чтобы проверить права на чтение:

img

Выполнено ранее, так как были выданы полные права в моменте настройке NFS — сервера

Но можно выполнить и иным способом:

Создайте группу для пользователей, которым разрешен доступ к каталогу «/opt/nfs/»:

groupadd nfs_user

Добавьте пользователя admin в созданную группу:

usermod -aG nfs_user admin

Назначьте права на каталог /opt/nfs/ для группы nfs_users, чтобы члены этой группы имели доступ на чтение и запись:

chown -R root:nfs_user /opt/nfs

chmod -R 770 /opt/nfs

В качестве веб-сервера будем использовать NGINX:

Установим пакет «nginx»:

apt-get update && apt-get install -y nginx

Далее заменим содержание страницы по умолчанию на то, что требуется в задании:

echo “Welcome to Minecraft server mc.jun39.wsr site in European region“ > /var/www/html/index.nginx-debian.html

После чего выполняем перезагрузку веб-сервера «nginx»:

systemctl restart nginx

Проверяем доступ по IP — адресу с клиента PC-AMS:

img

веб-сервер работает, доступ по имени «web.jun39.wsr» будет выполнен позднее

Аналогичным образом выполняем настройку веб-сервера в филиалах Москвы и Иркутска

В случае с ОС Альт Сервер настройка веб-сервера занимает больше действий, но смысл тот же что в случае с Debian

Выполняем установку пакета «nginx»:

apt-get update && apt-get install -y nginx

Создадим директорию для хранения сайта:

mkdir -p /var/www/html

Далее в данной директории поместим сам файл с сайтом и содержимым в соответствии с регионом по заданию «index.html»:

echo “Welcome to Minecraft server mc.jun39.wsr site in <РЕГИОН> region“ > /var/www/html/index.html

После правим конфигурационный файл «/etc/nginx/sites-available.d/default.conf» и приводим его к следующему виду:

img

после чего создаём символическую ссылку на директорию «/etc/nginx/sites-enabled.d/»

ln -s /etc/nginx/sites-available.d/default.conf /etc/nginx/sites-enabled.d/default.conf

Включаем и добавляем в автозагруску веб-сервер «nginx»

systemctl enable --now nginx 

Проверяем с локальных клиентов в соответствующих филиалах:

img

img

После чего настраиваем доступ к сайту из сети Интернет, для этого необходимо на FW-* в соответствующих филиалах выполнить проброс портов, а также разрешить сервис «http» на внешнюю зону «public» и «dmz»:

firewall-cmd --permanent --zone=public --add-service=http 

firewall-cmd --permanent --zone=dmz --add-service=http 

firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=20.20.20.2 

firewall-cmd --reload 

firewall-cmd --permanent --zone=public --add-service=http 

firewall-cmd --permanent --zone=dmz --add-service=http

firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=172.16.200.200 

firewall-cmd --reload

firewall-cmd --permanent --zone=public --add-service=http 

firewall-cmd --permanent --zone=dmz --add-service=http 

firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=172.16.1.100 

firewall-cmd --reload

После чего запускаем любого клиента из сети Интернет и проверяем доступ к веб-сайтам:

img

img

img

для настройки доступа по имени «web.jun39.wsr» внутри локальной сети каждого филиала, на FW-* создадим зону «jun39.wsr» в которую добавим запись типа A с адресами APP-*:

Добавляем в файл «/etc/bind/named.conf.local» информацию о зоне jun39.wsr:

img

после чего, копируем шаблон для зоны и заполняем его и приводим к следующему виду:

cp /etc/bind/db.local /var/dns/jun39.db

img

перезагружаем DNS — сервер:

systemctl restart bind9

Проверяем с клиента доступ по имени:

img

Аналогично настраиваем на остальных FW-* и проверяем с локальных клиентов

img

img

Установим пакет «bind9»:

apt-get update && apt-get install -y bind9

После привидём файл «/etc/bind/named.conf.options» к следующему виду:

img

Далее описываем в файле «/etc/bind/named.conf.local» информацию о зоне «jun39.wsr»:

img

Также настраиваем apparmor и добавляем следующую сторку в файл «/etc/apparmor.d/usr.sbin.named»:

img

перезагружаем «apparmor»:

systemctl restart apparmor

Копируем шаблон для зоны и описываем зоны «jun39.wsr» и приводим её к следующему виду:

mkdir /var/dns

/etc/bind/db.local /var/dns/jun39.db

chown -R bind:bind /var/dns

img

проверяем утилитой «named-checkconf» с ключём «-z»

Перезагружаем службу «bind9»:

systemctl restart bind9

Далее на ClientEU, ClientSPB и ClientVV добавляем в файл «/etc/resolv.conf» информацию о том, что DNS — сервером будет является VDS:

echo nameserver 100.70.6.12 > /etc/resolv.conf

После чего проверяем с любого клиента:

img

Для реализации «во внешний адрес FW- в ближайшем к клиенту регионе*» самым быстрым (но не правильным для продакшена) способом, в связи с временными ограничениями чемпионата является правка локального файла «/etc/hosts» на клиентах в соответствие с адресами ближайших FW:

echo 100.70.3.45 web.jun39.wsr >> /etc/hosts

img

echo 100.70.4.18 web.jun39.wsr >> /etc/hosts

img

echo 100.70.7.99 web.jun39.wsr >> /etc/hosts

img

Данный способ выполнит данные требования данного пункта и сэкономит время на настройки данного способа посредством BGP или других решений таких как Anycast, CDN, CD-WAN и другие.

Данный пункт был выполнен на стадии развёртывания веб-серверов, когда на FW-* были созданы внутренние зоны «jun39.wsr» и заведены соответствующие записи типа А ссылающиеся на IP — адреса APP в соответствующем филиале

img

img

img

Установим пакет «openssl»:

apt-get install -y openssl

Далее создадим директорию в качестве корневой для СА согласно заданию:

mkdir /opt/ca

Далее скопируем конфигурационный файл «/etc/openssl/openssl.cnf»:

cp /etc/openssl/openssl.cnf /opt/ca

После редактируем данный файл «/opt/ca/openssl.cnf» и проводим его к следующему виду:

img

в секции [ CA_default ] — правим параметр «dir» и указываем ранее созданную директорию в качестве корневой для СА

img

далее в секции [ req_distinguished_name ] — правим согласно заданию следующие параметры: «countryName», «0.organizationName» и «commonName»

Затем при помощи утилиты «openssl» создаём корневой ключ и сертификат СА:

cd /opt/ca

openssl genrsa -out ca.key 2048

openssl req -x509 -new -key ca.key -days 500 -out ca.pem -config openssl.cnf

После выполняем добавления корневого сертификата в качестве доверенного:

cp /opt/ca/ca.pem /etc/pki/ca-trust/source/anchors/ && update-ca-trust

Аналогичным образом выполняем настройку клиента, предварительно при помощи утилиты «scp» забрав корневой сертификат «ca.pem» с SRV2-MSK:

scp root@srv2-msk:/opt/ca/ca.pem /etc/pki/ca-trust/source/anchors/ && update-ca-trust

Для начала с генерируем ключ, запрос и сертификат на основе подписанного запроса при помощи ранее настроенного Центра Сертификации:

cd /opt/ca

openssl genrsa -out corp.key 2048

openssl req -new -key corp.key -out corp.csr -config openssl.cnf

img

оставляем все значения по умолчанию за исключением CN

openssl x509 -req -in corp.csr -CA ca.pem -CAkey ca.key -CAcreareserial -out corp.crt

Переходим к настройке веб-сервера

Выполняем установку веб-сервера «NGINX»:

apt-get install -y nginx 

Создаём директорию для хранения веб-сайта и помощаем в него информацию согласно заданию:

mkdir -p /var/www/html

echo “Welcome to secure corporate portal jun39.wsr“ > /var/www/html/index.html

После чего необходимо забрать созданные на SRV2-MSK для данного веб-сервера ключ и сертификат «corp.key» и «corp.crt»:

scp root@srv2-msk:/opt/ca/corp.key /etc/nginx

scp root@srv2-msk:/opt/ca/corp.crt /etc/nginx

Затем настраиваем конфигурационный файл веб-сервера «/etc/nginx/sites-available.d/default.conf» согласно заданию:

img

после чего создаём символическую ссылку на директорию «/etc/nginx/sites-enabled.d/»

ln -s /etc/nginx/sites-available.d/default.conf /etc/nginx/sites-enabled.d/default.conf

Включаем и добавляем в автозагруску веб-сервер «nginx»

systemctl enable --now nginx 

Необходимо давить CNAME запись в зоне «msk.jun39.wsr» на DNS — сервере:

img

после перезагружаем службу «bind9»:

systemctl restart bind9

Проверяем с клиента:

img

Открываем приложение Wireguard:

img

затем нажимаем «Редактировать» — добавляем строчку «DNS» и указываем информацию о DNS — сервере и нажимаем «Сохранить»

Далее необходимо забрать корневой сертификат с SRV2-MSK:

через PowerShell:

scp root@srv2-msk:/opt/ca/ca.pem C:\Users\user\Desktop\

После при помощи «certlm» добавляем сертификат в качестве Корневого:

img

img

img

img

После чего проверяем доступ к порталу в браузере по адресу «https://corp.msk.jun39.wsr»:

img

Для начала необходимо установить Docker:

apt-get install -y ca-certificates curl gnupg lsb-release

curl -fsSL https://download.docker.com/linux/debian/gpg | gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg

echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/debian $(lsb_release -cs) stable" | tee /etc/apt/sources.list.d/docker.list > /dev/null

apt-get update

apt-get install -y docker-ce docker-ce-cli containerd.io

systemctl enable --now docker 

Дак же установим «docker-compose»:

curl -L "https://github.com/docker/compose/releases/download/1.29.2/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose

chmod +x /usr/local/bin/docker-compose

ln -s /usr/local/bin/docker-compose /usr/bin/docker-compose

img

Создадим файл «docker-compose.yml», где опишем как и какой контейнер необходимо запускать:

img

после чего выполняем сборку и запуск контейнера:

docker-compose up -d 

img

Смотрим список запущенных контейнеров:

docker ps 

img

Аналогичным образом как и на VDS устанавливаем docker и docker-comose

img

После чего описываем «docker-compose.yml» в котором будем хранить информацию о том какие контейнеры и как запускать

Как итог будет создано и запущено три контейнера переменные для которых доступны по гиперссылкам:

• nextcloud

• mariadb

• phpmyadmin

img

после чего выполняем сборку и запуск контейнеров:

docker-compose up -d 

img

также смотрим список запущенных контейнеров:

docker ps

img

Проверяем работоспособность сервисов:

img

img

Добавляем в конфигурацию Wireguard на клиенте:

img

Проверяем доступ к сервисам:

img