Фичи для RELS (пожелания)

[Yamah]

Решил создать топик с пожеланием дополнительного функционала в RELS.
Предлагаю структуру: одно сообщение - один запрос/предложение.

[Yamah]

1. Добавьте XMPP-cервер Openfire в репозиторий дистрибутива (пакет от Fedora не рабочий практически), а так же в Rosa Server Setup (настройка RDS) добавить конфигурацию связки OpenFire и LDAP.

В таблице ofProperty MySQL-базы OpenFire должено содержаться примерно следующее.

Код: Выделить всё

'ldap.host', 'localhost'
'ldap.port', '389'
'ldap.baseDN', 'dc=MyDomen,dc=ru'
'ldap.adminDN', 'uid=LDAP Admin,ou=System Accounts,dc=MyDomen,dc=ru'
'ldap.adminPassword', 'LdapDomemPassword'
'ldap.connectionPoolEnabled', 'true'
'ldap.sslEnabled', 'false'
'ldap.ldapDebugEnabled', 'false'
'ldap.autoFollowReferrals', 'false'
'ldap.autoFollowAliasReferrals', 'true'
'ldap.encloseDNs', 'true'
'ldap.usernameField', 'uid'
'ldap.searchFilter', '(&(objectClass=Person))'
'ldap.vcard-mapping', '<![CDATA[\n<vCard xmlns=\"vcard-temp\">\n  <N>\n    <GIVEN>{cn}</GIVEN>\n  </N> \n  <EMAIL>\n    <INTERNET/> \n    <USERID>{mail}</USERID>\n  </EMAIL> \n  <FN>{displayName}</FN> \n  <NICKNAME>{uid}</NICKNAME> \n  <PHOTO>\n    <TYPE>image/jpeg</TYPE> \n    <BINVAL>{jpegPhoto}</BINVAL>\n  </PHOTO> \n  <ADR>\n    <HOME/> \n    <STREET>{homePostalAddress}</STREET>\n  </ADR> \n  <ADR>\n    <WORK/> \n    <STREET>{postalAddress}</STREET> \n    <LOCALITY>{l}</LOCALITY> \n    <REGION>{st}</REGION> \n    <PCODE>{postalCode}</PCODE>\n  </ADR> \n  <TEL>\n    <HOME/> \n    <VOICE/> \n    <NUMBER>{homePhone}</NUMBER>\n  </TEL> \n  <TEL>\n    <WORK/> \n    <VOICE/> \n    <NUMBER>{telephoneNumber}</NUMBER>\n  </TEL> \n  <TEL>\n    <WORK/> \n    <CELL/> \n    <NUMBER>{mobile}</NUMBER>\n  </TEL> \n  <TEL>\n    <WORK/> \n    <PAGER/> \n    <NUMBER>{pager}</NUMBER>\n  </TEL> \n  <TITLE>{title}</TITLE> \n  <ORG>\n    <ORGUNIT>{departmentNumber}</ORGUNIT>\n  </ORG>\n</vCard>]]>'
'provider.vcard.className', 'org.jivesoftware.openfire.ldap.LdapVCardProvider'
'ldap.nameField', 'cn'
'ldap.emailField', 'mail'
'ldap.override.avatar', 'false'
'provider.user.className', 'org.jivesoftware.openfire.ldap.LdapUserProvider'
'provider.auth.className', 'org.jivesoftware.openfire.ldap.LdapAuthProvider'
'ldap.groupNameField', 'cn'
'ldap.groupMemberField', 'memberUid'
'ldap.groupDescriptionField', 'description'
'ldap.posixMode', 'true'
'ldap.groupSearchFilter', '(objectClass=mailGroup)'
'provider.group.className', 'org.jivesoftware.openfire.ldap.LdapGroupProvider'
'xmpp.socket.ssl.active', 'true'
'xmpp.domain', 'MyDomen.ru'
'xmpp.auth.anonymous', 'true'
'ldap.debugEnabled', 'false'
'admin.authorizedJIDs', 'admin@MyDonen.ru'
'xmpp.session.conflict-limit', '0'
'locale.timeZone', 'MyTimeZone'
'cache.KrakenSessionLocationCache.type', 'optimistic'
'cache.KrakenSessionLocationCache.size', '-1'
'cache.KrakenSessionLocationCache.maxLifetime', '-1'
'cache.KrakenSessionLocationCache.min', '-1'
'cache.KrakenRegistrationCache.type', 'optimistic'
'cache.KrakenRegistrationCache.size', '-1'
'cache.KrakenRegistrationCache.maxLifetime', '-1'
'cache.KrakenRegistrationCache.min', '-1'
'xmpp.filetransfer.enabled', 'true'
'xmpp.client.tls.policy', 'optional'
'xmpp.server.tls.enabled', 'true'
'xmpp.server.dialback.enabled', 'true'
'xmpp.server.certificate.accept-selfsigned', 'true'
'xmpp.socket.ssl.port', '5223'
'xmpp.socket.ssl.storeType', 'jks'
'xmpp.socket.ssl.keystore', ''
'xmpp.socket.ssl.keypass', 'SSL_Password'
'passwordKey', 'PassKey'

Файл с конфигами openfire.xml примерно такой.

Код: Выделить всё

<?xml version="1.0" encoding="UTF-8"?>

<!--
    This file stores bootstrap properties needed by Openfire.
    Property names must be in the format: "prop.name.is.blah=value"
    That will be stored as:
        <prop>
            <name>
                <is>
                    <blah>value</blah>
                </is>
            </name>
        </prop>

    Most properties are stored in the Openfire database. A
    property viewer and editor is included in the admin console.
-->
<!-- root element, all properties must be under this element -->
<jive> 
  <adminConsole> 
    <!-- Disable either port by setting the value to -1 -->  
    <port>9090</port>  
    <securePort>9091</securePort> 
  </adminConsole>  
  <locale>en</locale>  
  <!-- Network settings. By default, Openfire will bind to all network interfaces.
      Alternatively, you can specify a specific network interfaces that the server
      will listen on. For example, 127.0.0.1. This setting is generally only useful
       on multi-homed servers. -->  
  <!--
    <network>
        <interface></interface>
    </network>
    -->  
  <connectionProvider> 
    <className>org.jivesoftware.database.DefaultConnectionProvider</className> 
  </connectionProvider>  
  <database> 
    <defaultProvider> 
      <driver>com.mysql.jdbc.Driver</driver>  
      <serverURL>jdbc:mysql://localhost:3306/openfire_db?rewriteBatchedStatements=true</serverURL>  
      <username>MySQL_User</username>  
      <password>MySQL_Password</password>  
      <testSQL>select 1</testSQL>  
      <testBeforeUse>false</testBeforeUse>  
      <testAfterUse>false</testAfterUse>  
      <minConnections>5</minConnections>  
      <maxConnections>25</maxConnections>  
      <connectionTimeout>1.0</connectionTimeout> 
    </defaultProvider> 
  </database>  
  <setup>true</setup> 
</jive>

[Yamah]

2. В настройках DNS-сервера добавить опции:
- кэширующий сервер
В файл /etc/mss_forwarders.conf добавить:

Код: Выделить всё

forwarders {<ip_dns1>;[<ip_dns2>;[<ip_dns_3>;[...]]}};
forward only;

- настройки для master DNS
Изменить /etc/named.conf так:

Код: Выделить всё

 
// secret must be the same as in /etc/rndc.conf
include "/etc/rndc.key";
include "/etc/ddns.key";

controls {
    inet 127.0.0.1 port 953
    allow { 127.0.0.1; } keys { mykey; };
};

// Access lists (ACL's) should be defined here
include "/etc/mss_acls.conf";

// Define logging channels
include "/etc/logging.conf";

options {
    version "";
    directory "/var/named";
    dump-file "/var/tmp/named_dump.db";
    pid-file "/var/run/named/named.pid";
    statistics-file "/var/tmp/named.stats";
    zone-statistics yes;
    coresize 100M; 
    auth-nxdomain yes;
    query-source address * port *;
    listen-on port 53 { any; };
    cleaning-interval 120;
    transfers-in 20;
    transfers-per-ns 2;
    lame-ttl 0;
    max-ncache-ttl 10800;
    include "/etc/mss_forwarders.conf";
    allow-update { key ddnskey; };
    allow-transfer { <ip_slave_dns>; };
    allow-recursion { mss; };

// Prevent DoS attacks by generating bogus zone transfer 
// requests.  This will result in slower updates to the 
// slave servers (e.g. they will await the poll interval 
// before checking for updates). 

    notify yes;

// Generate more efficient zone transfers.  This will place 
// multiple DNS records in a DNS message, instead of one per 
// DNS message. 

    transfer-format many-answers;

// Set the maximum zone transfer time to something more 
// reasonable.  In this case, we state that any zone transfer 
// that takes longer than 60 minutes is unlikely to ever 
// complete.  WARNING:  If you have very large zone files, 
// adjust this to fit your requirements. 

    max-transfer-time-in 60;

// We have no dynamic interfaces, so BIND shouldn't need to 
// poll for interface state {UP|DOWN}. 

    interface-interval 0;

};

include "/var/named/named.conf.ldap";

[andrew.lukoshko]

Добавьте XMPP-cервер Openfire в репозиторий дистрибутива (пакет от Fedora не рабочий практически)

А тот пакет, который мы собирали в Contrib по вашей просьбе - тоже нерабочий?
https://abf.rosalinux.ru/build_lists/1644892

[antichrist]

Хотелось бы видеть настройки squid, хотябы аналогично sams

[Yamah]

Добавьте XMPP-cервер Openfire в репозиторий дистрибутива (пакет от Fedora не рабочий практически)

А тот пакет, который мы собирали в Contrib по вашей просьбе - тоже нерабочий?
https://abf.rosalinux.ru/build_lists/1644892

Упс. Я его пропустил!
Контриб был отключен.

Но пакет действительно не рабочий. Отдельная тема в багтрекере 4075.
Сейчас openfire требует обновления.

Вдобавок, я предложил еще и добавить конфигуратор в MSS с автоматической настройкой для авторизации из домена.

[andrew.lukoshko]

Новый Openfire в обновлениях - проверяйте.
Насчет Openfire в MSS - это конечно было бы интересно. но каких-то сроках я даже говорить не берусь. Первоочередная задача - это привести то, что там уже есть, в достойный вид

[Yamah]

Новый Openfire в обновлениях - проверяйте.

Поставил!
yum сругался, правда:

Код: Выделить всё

Package openfire-3.9.3-1.res6.noarch.rpm is not signed

Насчет Openfire в MSS - это конечно было бы интересно. но каких-то сроках я даже говорить не берусь. Первоочередная задача - это привести то, что там уже есть, в достойный вид

Это только предложение/пожелание, а не требование "сделай мне зашибись!".

[Yamah]

3. Навеяно темой Проблемы безопасности для RELS в интернете
Реализовать возможность работы шлюза сразу через два провайдера. С балансировкой нагрузки
Я пока реализовал примитивно, nexthop-ами при удаленном дефалтовом гетвее.

[l3x]

Добавьте сервер приложений GlassFish в репозиторий дистрибутива.

[Yamah]

4. Режим "фриз" для всей системы (кроме /home и /mnt) или отдельного сервиса через реализацию UnionFS/Aufs, а так же снапшоты.

[andrew.lukoshko]

Добавьте сервер приложений GlassFish в репозиторий дистрибутива.

А почему нельзя использовать тот, который на официальном сайте предлагается?

[J-Son]

Установил в виртуалку сервер, поглядел. Очень положительные эмоции он у меня вызвал. По функционалу хочу спросить разработчиков: планируется ли добавить настройку фаерволла? И насколько целесообразно настраивать один такой сервер как контроллер домена и шлюз в Интернет в плане безопасности? По идее просится отдельно шлюз, отдельно гейт.

[Yamah]

Установил в виртуалку сервер, поглядел. Очень положительные эмоции он у меня вызвал. По функционалу хочу спросить разработчиков: планируется ли добавить настройку фаерволла? И насколько целесообразно настраивать один такой сервер как контроллер домена и шлюз в Интернет в плане безопасности? По идее просится отдельно шлюз, отдельно гейт.

Скрипты для настройки файервола лежат в соседней теме. Плюс реализована настройка шлюза для работы с несколькими провайдерами.

Шлюз лучше держать на отдельной системе. В случае проблем с доменом, у Вас должна быть возможность выйти в интернет.

[J-Son]

Спасибо! Попробую развернуть Ваше решение у себя. Пока на виртуалке, т.к. я не особо силён в iptables.

[Yamah]

Спасибо! Попробую развернуть Ваше решение у себя. Пока на виртуалке, т.к. я не особо силён в iptables.

Там не нужно знать iptables. (Хотя знания никогда не помешают. )
Нужно просто знать какие сетевые устройства куда смотрят, а так же нужны знания IP-адресов и портов нужных сервисов.