Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- dienste:bytecluster0002 [27.12.2020 20:40] – mape2k
+++ dienste:bytecluster0002 [02.12.2023 21:36] (aktuell) – mape2k
@@ Zeile 3: / Zeile 3: @@
 bytecluster0002 ist ein Virtualisierungsserver, der Kommunikationsdienste für den Verein bereitstellt.
 Er löst [[bytecluster0001]] ab.
+====== Virtuelle Hardware ======
+  * 4 Kerne
+  * 16 GB RAM
+  * Volumes
+    * 160 GB / //(inkludiert)//
+    * 100 GB /mnt/data //(zusätzlich)//
+====== Migration ======
+  * mehr zur Migration unter [[dienste:bytecluster0002:migration]]
 ====== Festlegungen (Diskussionsgrundlage) ======
@@ Zeile 14: / Zeile 26: @@
 ====== Container ======
-  * [[dienste:bytecluster0002:wik|wiki]]
+  * siehe [[dienste:bytecluster0002:host-netzwerke|host-netzwerke]]
-  * [[dienste:bytecluster0002:traefik|traefik]]
-  * [[dienste:bytecluster0002:mariadb|mariadb]]
-  * [[dienste:bytecluster0002:nextcloud|nextcloud]]
-  * [[dienste:bytecluster0002:web|web]]
-  * [[dienste:bytecluster0002:wordpress|wordpress]]
 ====== Administratoren ======
@@ Zeile 80: / Zeile 88: @@
 ===== Betriebssystem =====
-  * Debian 10 minimal (vorinstalliert)
+  * Debian 12 minimal (vorinstalliert)
 ==== Vorkonfiguration =====
@@ Zeile 89: / Zeile 97: @@
 ==== Grundeinrichtung ====
+====== Migration ======
   - System aktualisieren
@@ Zeile 120: / Zeile 129: @@
   - SSH - Login als root und mit Passwort deaktivieren
     * Vorher mindestens einen Benutzer einrichten, der einen SSH-Schlüssel hinterlegt hat!
-    - Konfiguration anpassen<file|/etc/ssh/sshd_config>
+    - Konfiguration anpassen<file|/etc/ssh/sshd_config.d/01_custom.conf>
-...
 PermitRootLogin no
-...
 PasswordAuthentication no
-...
+KbdInteractiveAuthentication no
-ChallengeResponseAuthentication no
-...
 </file>
     - SSH-Daemon neustarten
@@ Zeile 170: / Zeile 175: @@
     * Aktuelle Regeln nicht speichern
   - NAT (portbasiert) für IPv4
-    * **iptables -t nat -A POSTROUTING -o eth0 -s '10.2.0.0/24' -j MASQUERADE**
+    * **iptables -t nat -A POSTROUTING -o eth0 -s 10.2.0.0/24 -j MASQUERADE**
-  - NAT-Reflection für IPv4 (Zugriff von intern auf externe IP-Adresse)
+  - NAT-Reflection für IPv4 (Zugriff von intern auf externe IP-Adresse für Ports 80/443)
-    * **iptables -t nat -A POSTROUTING -o vmbr0 -j SNAT --to-source 138.201.246.25**
+    * **<nowiki>iptables -t nat -A PREROUTING -i vmbr0 -s 10.2.0.0/24 -d 138.201.246.25/32 -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.2.0.1:80</nowiki>**
+    * **<nowiki>iptables -t nat -A PREROUTING -i vmbr0 -s 10.2.0.0/24 -d 138.201.246.25/32 -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.2.0.1:443</nowiki>**
+    * **<nowiki>iptables -t nat -A POSTROUTING -o vmbr0 -s 10.2.0.0/24 -j SNAT --to-source 138.201.246.25</nowiki>**
   - NAT (prefixbasiert) für IPv6
     * **<nowiki>ip6tables -t nat -A POSTROUTING -o eth0 --to 2a01:4f8:c17:cf64:ffff::/80 -s fd00:10:2:0::/64 -j NETMAP</nowiki>**
     * **<nowiki>ip6tables -t nat -A PREROUTING -i eth0 -d 2a01:4f8:c17:cf64:ffff::/80 --to fd00:10:2:0::/64 -j NETMAP</nowiki>**
+  - NAT-Reflection für IPv6 (Zugriff von intern auf externe IP-Adresse)
+    * **<nowiki>ip6tables -t nat -A POSTROUTING -o vmbr0 -s fd00:10:2::/64 -j SNAT --to-source 2a01:4f8:c17:cf64::1</nowiki>**
   - Regeln speichern
     * **netfilter-persistent save**
@@ Zeile 306: / Zeile 315: @@
 Task OK
 </file>
+==== SSH-Forward-Hook einrichten ====
+  - Skript hinterlegen<file|/var/lib/vz/snippets/ssh_forward.sh>
+#!/usr/bin/sh
+# Hook script to automatically forward SSH-Port to Container
+VMID=$1
+PHASE=$2
+NETWORK_INTERFACE_EXTERNAL=eth0
+NETWORK_INTERFACE_INTERNAL=vmbr0
+SSH_DESTINATION_PORT=22
+SSH_FORWARD_BASE_PORT=22000
+# Determine container details
+IP_ADDRESS_INTERNAL=$(pct config $VMID | grep "bridge=$NETWORK_INTERFACE_INTERNAL" | sed --regexp-extended 's/.*ip=([0-9\.]*)\/.*/\1/')
+# IP_LAST_OCTET=$(pct config $VMID | grep "bridge=$NETWORK_INTERFACE_INTERNAL" | sed --regexp-extended 's/.*ip=[0-9]+\.[0-9]+\.[0-9]+\.([0-9]+)\/.*/\1/')
+SSH_FORWARD_PORT=$(expr $SSH_FORWARD_BASE_PORT + $VMID)
+echo "GUEST HOOK on VMID $VMID for phase $PHASE"
+echo "Internal IP address: $IP_ADDRESS_INTERNAL"
+echo "SSH-Port on host: $SSH_FORWARD_PORT"
+case "$PHASE" in
+  # First phase 'pre-start' will be executed before the guest
+  # ist started. Exiting with a code != 0 will abort the start
+  pre-start) echo "$VMID is starting, doing preparations.\n"
+             iptables -t nat -A PREROUTING -i $NETWORK_INTERFACE_EXTERNAL -p tcp --dport $SSH_FORWARD_PORT -j DNAT --to $IP_ADDRESS_INTERNAL:$SSH_DESTINATION_PORT
+             ;;
+  # Second phase 'post-start' will be executed after the guest
+  # successfully started.
+  post-start) echo "$VMID started successfully.\n"
+              ;;
+  # Third phase 'pre-stop' will be executed before stopping the guest
+  # via the API. Will not be executed if the guest is stopped from
+  # within e.g., with a 'poweroff'
+  pre-stop) echo "$VMID will be stopped.\n"
+            ;;
+  # Last phase 'post-stop' will be executed after the guest stopped.
+  # This should even be executed in case the guest crashes or stopped
+  # unexpectedly.
+  post-stop) echo "$VMID stopped. Doing cleanup.\n"
+             iptables -t nat -D PREROUTING -i $NETWORK_INTERFACE_EXTERNAL -p tcp --dport $SSH_FORWARD_PORT -j DNAT --to $IP_ADDRESS_INTERNAL:$SSH_DESTINATION_PORT
+             ;;
+  *) echo "Got unknown phase '$PHASE'\n"
+     exit 1
+     ;;
+esac
+</file>
+  - Skript ausführbar machen
+    * **chmod +x /var/lib/vz/snippets/ssh_forward.sh**
+==== Zusätzliches Volume einrichten ====
+  - Volume vorbereiten als /mnt/data
+  - Volume in Proxmox einbinden
+    * **pvesm add dir data -content rootdir,images,backup -path /mnt/data/**
 ==== Anpassung des Standard-Templates auf Debian-Basis ====
@@ Zeile 314: / Zeile 388: @@
     * **pveam update**
   - Verfügbare Images anzeigen
-    * **<nowiki>pveam available --section system | grep debian</nowiki>**<code>system          debian-10.0-standard_10.0-1_amd64.tar.gz
+    * **<nowiki>pveam available --section system | grep debian</nowiki>**<code>system          debian-11-standard_11.7-1_amd64.tar.zst
-system          debian-8.0-standard_8.11-1_amd64.tar.gz
+system          debian-12-standard_12.2-1_amd64.tar.zst</code>
-system          debian-9.0-standard_9.7-1_amd64.tar.gz</code>
+  - Debian 12 Image herunterladen
-  - Debian 10 Image herunterladen
+    * **pveam download local debian-12-standard_12.2-1_amd64.tar.zst**
-    * **pveam download local debian-10.0-standard_10.0-1_amd64.tar.gz**
   - Template in neuen Ordner entpacken
     * **mkdir /tmp/template**
     * **cd /tmp/template**
-    * **<nowiki>tar --numeric-owner --extract --verbose --file=/var/lib/vz/template/cache/debian-10.0-standard_10.0-1_amd64.tar.gz --directory=/tmp/template</nowiki>**
+    * **<nowiki>tar --numeric-owner --extract --verbose --file=/var/lib/vz/template/cache/debian-12-standard_12.2-1_amd64.tar.zst --directory=/tmp/template</nowiki>**
   - In das Template-System wechseln
     * **systemd-nspawn -D /tmp/template**<code|Ausgabe>
@@ Zeile 331: / Zeile 404: @@
   - Template: Konfiguration und Software anpassen
     - APT-Quellen auf Hetzner festlegen
-      * **echo "deb http://mirror.hetzner.de/debian/security buster/updates main contrib non-free" > /etc/apt/sources.list.d/hetzner-security-updates.list**
+      * **<nowiki>echo "deb http://mirror.hetzner.de/debian/security bookworm-security main contrib" > /etc/apt/sources.list.d/hetzner-security-updates.list</nowiki>**
-      * **echo "deb http://mirror.hetzner.de/debian/packages buster main contrib non-free" > /etc/apt/sources.list.d/hetzner-mirror.list**
+      * **<nowiki>echo "deb http://mirror.hetzner.de/debian/packages bookworm main contrib" > /etc/apt/sources.list.d/hetzner-mirror.list</nowiki>**
-      * **echo "deb http://mirror.hetzner.de/debian/packages buster-updates main contrib non-free" >> /etc/apt/sources.list.d/hetzner-mirror.list**
+      * **<nowiki>echo "deb http://mirror.hetzner.de/debian/packages bookworm-updates main contrib" >> /etc/apt/sources.list.d/hetzner-mirror.list</nowiki>**
-      * **echo "deb http://mirror.hetzner.de/debian/packages buster-backports main contrib non-free" >> /etc/apt/sources.list.d/hetzner-mirror.list**
+      * **<nowiki>echo "deb http://mirror.hetzner.de/debian/packages bookworm-backports main contrib" >> /etc/apt/sources.list.d/hetzner-mirror.list</nowiki>**
     - Alle Änderungen aus Betriebssystem von bytecluster0002 vornehmen
       * Ausnahmen: NFS deaktivieren und SSH neustarten
@@ Zeile 343: / Zeile 416: @@
       * **logout**
   - Template packen und temporären Ordner entfernen
-    * **<nowiki>tar --numeric-owner --create --gzip --verbose --file=/var/lib/vz/template/cache/debian-10-$(hostname).tar.gz .</nowiki>**
+    * **<nowiki>tar --numeric-owner --create --zstd --verbose --file=/var/lib/vz/template/cache/debian-12-$(hostname).tar.zst .</nowiki>**
     * **cd**
     * **<nowiki>rm --recursive /tmp/template</nowiki>**
@@ Zeile 365: / Zeile 438: @@
   - Unter **network** statische IPs vergeben: IPv4: 10.2.0.x/24 Gateway 10.2.0.0 IPv6: fd00:10:2:0::x/64 Gateway fd00:10:2:0::0 mit freiem x (0 = host, 10 = web, ...);
   - Im letzten Tab bestätigen und ggfs. Container sofort starten.
+=== Automatischen SSH-Forward für Container konfigurieren ===
+  - Per SSH auf dem Host einloggen
+  - Hook-Skript an Container binden
+    * **sudo pct set <CT ID> -hookscript local:snippets/ssh_forward.sh**
+  - Container ist nach dem (Neu)Start per SSH auf Port 22000 + <CT ID> (z.B. 22149 für Container mit ID 149) direkt erreichbar
 === In Container einloggen ===