XWiki - Main.LD Server.Allgemein.Samba4 Verzeichnisdienst direkt im Internet freigeben (ohne Stream via rev-proxy) - Samba4 Verzeichnisdienst direkt im Internet freigeben (ohne Stream via rev-proxy)

(% class="box warningmessage" %)

(((

(% style="font-size:16px" %)__**Wichtig**__(%%)

Diese Art der Verzeichnisdienst-Freigabe wird von SBE nicht empfohlen, da hier die Freischaltung ohne zertifikatsgesicherte Transportverschlüsselung erfolgt.

5

Wir empfehlen Ihnen stattdessen, dieser [[Anleitung >>doc:Main.LD Server.Puppet-Version.1\.3\.22\.14.Geändert\: LDAP Admin-Benutzer und ReadOnly-Benutzer im logosrv.WebHome||target="_blank"]]zu folgen, um den LDAP-Dienst auf sichere Art mit Lets' Encrypt SSL-Zertifikaten freizugeben!

)))

----

(% style="color:#000000" %)Wenn Sie den Verzeichnisdienst des Samba4-Containers direkt (und nicht über einen Tunnel via rev-proxy / nginx) im Internet freigeben wollen, folgen Sie bitte dieser Anleitung.

==== (% style="color:#000000" %)Schritte im Container (% style="color:#2980b9" %)ldhost(%%) ====

18

19

20

(% style="color:#000000" %)Öffnen Sie die die Datei {{box}}/etc/nano/shorewall/rules{{/box}} mit einem Editor Ihrer Wahl und fügen Sie am Anfang folgende Zeile hinzu.

21

Da der Port 636 intern schon vergeben ist wird mit diesem Eintrag der Port intern auf einen anderen Port umgemappt.

(% class="box" %)

(((

(% style="color:#000000" %)##DNAT ext dmz:172.28.29.2:1636 tcp 636##

26

)))

27

28

(% style="color:#000000" %)Im Anschluß daran starten Sie mit folgendem Befehl die Shorewall neu:

(% class="box" %)

(((

(% style="color:#000000" %)##shorewall restart##

)))

==== (% style="color:#000000" %)Schritte im Container (% style="color:#2980b9" %)logosrv(%%) ====

37

38

39

(% style="color:#000000" %)Erstellen Sie die Datei {{box}}/usr/sbin/ldfirewall.custom{{/box}} mit einem Editor Ihrer Wahl.

40

Sollte die Datei schon mit anderweitigen Regeln existieren, bearbeiten Sie stattdessen den Inhalt in geeigneter Form.

(% class="box" %)

(((

(% style="color:#000000" %)##nano /usr/sbin/ldfirewall.custom##

)))

(% style="color:#000000" %)Kopieren Sie nun folgenden Text in die Datei. Wichtig sollte sich schon Inhalt in der Datei befinden fügen sie folgenden Text hinzu.

49

Wie Sie dem Abschnitt unter// ipaddr// sehen können wird, hier der Port auf 636 zurückgemappt:

(% class="box" %)

(((

(% style="color:#000000" %)###!/bin/bash

\\DRYRUN=no

VERBOSE=no

ipt=do_iptables

PATH="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/home/bin:/usr/local/bin/support"

\\do_iptables()

{

run iptables "$@"

}

run()

{

if [ "$VERBOSE" = "yes" ]; then

65

echo "$@"

66

fi

67

if [ "$DRYRUN" = "no" ]; then

"$@"

fi

}

\\case "$1" in

start|restart)

# Zugelassene externe IP-Adressen

74

# (falls mehrere IP-Adressen nötig, diese per Leerzeichen trennen)

75

# ~-~-~-~-~-~--

76

# - BelWue-Moodle-Server IPs: 129.143.69.1 129.143.232.18 129.143.255.2

77

# - Webuntis Server in Österreich IP: 213.208.138.146

78

##(% style="color:#e74c3c" %)## SOURCEIP="213.23.76.144 213.23.76.123 195.34.83.83 87.130.28.26"

79

IP_LOGOSRV_DMZ=172.28.29.2

80

IP_SAMBA4_SERVERNET=172.28.28.30##(%%)

81

\\(% style="color:#000000" %)## for ipaddr in $SOURCEIP

82

do

83

echo -n "Adding custom rules to allow ldaps connections (tcp/1636) from host '${ipaddr}' and redirect to 'samba4-ad:636'... "

84

$ipt -t nat -I PREROUTING -i dmz -p tcp -s ${ipaddr} -d ${IP_LOGOSRV_DMZ} ~-~-dport 1636 -j DNAT ~-~-to-destination ${IP_SAMBA4_SERVERNET}:636

85

$ipt -t mangle -I mark_from_internet_check_ports -p tcp -s ${ipaddr} -d ${IP_LOGOSRV_DMZ} ~-~-dport 1636 -g mark_from_internet_allowed

echo "OK"

done

;;

stop)

;;

*)

echo "Benutzung: $0 {start|restart}"

exit 1

;;

esac##

)))

(% style="color:#000000" %)Hier müssen nun folgende Werte angepasst werden:

(% class="box" %)

(((

(% style="color:#000000" %)##SOURCEIP="87.130.28.26" ##(% style="color:#e74c3c" %)### <- Öffentliche IP(s), von denen aus Verbindungen erlaubt werden. In der Regel handelt es sich um IPv4-Adressen von Webservern, z.B. ein extern gehostete Moodle-Instanz##(%%)

104

(% style="color:#000000" %)##IP_LOGOSRV_DMZ=172.28.29.2 ##(% style="color:#e74c3c" %)### <- ifconfig im logosrv und IP-Adresse der Schnittstelle "dmz" anschauen##(%%)

105

(% style="color:#000000" %)##IP_SAMBA4_SERVERNET=172.28.28.30 ##(% style="color:#e74c3c" %)## # <- ifconfig im Samba4-ad Container und IP-Adresse der Schnittstelle "servernet" anschauen##

)))

(% style="color:#000000" %)Danach müssen Sie das Skript ausführbar machen, damit sie im Zuge eines Firewall-Restarts automatisch verarbeitet wird:

(% class="box" %)

(((

(% style="color:#000000" %)##chmod +x /usr/sbin/ldfirewall.custom##

)))

(% style="color:#000000" %)Führen Sie nun das Skript einmal aus und stellen Sie sicher, dass keine Fehlermeldungen an der Konsole ausgegeben werden (Syntaxkontrolle):

(% class="box" %)

(((

(% style="color:#000000" %)##bash /usr/sbin/ldfirewall.custom##

)))

(% style="color:#000000" %)Im nächsten Schritt öffnen Sie mit einem Editor Ihrer Wahl die //internet.conf//

(% class="box" %)

(((

(% style="color:#000000" %)##nano /etc/logodidact/internet.conf##

)))

(% style="color:#000000" %)Hier fügen Sie nun den Port 1636 im Abschnitt //FromInternetAllowTCP// hinzu

(% class="box" %)

(((

(% style="color:#000000" %)##FromInternetAllowTCP 1636##

)))

(% style="color:#000000" %)Im Anschluß daran starten Sie die Firewall neu

(% class="box" %)

(((

(% style="color:#000000" %)##ldfirewall restart##

)))

(% style="color:#000000" %)Damit die Freigabe des Samba4-LDAP funktioniert, ist es außerdem noch wichtig, die Portfreigabe (TCP-Port 636) am vorgeschalteten Router nicht zu vergessen:

150

151

(% style="color:#000000" %)[[image:Port_Router.png]]

152

153

154

(% class="box successmessage" %)

155

(((

156

(% style="color:#000000" %)**__Hinweise:__**(%%)

157

(% style="color:#000000" %)- Bei der IP-Adresse 192.168.1.254 in der Abbildung handelt es sich um die Schnittstelle p_extern des LogoDIDACT Servers(%%)

158

- (% style="color:#000000" %)Neben dem Port 636 (LDAP-Freigabe als Thema dieses Artikels) werden hier außerdem noch die Ports 80+443 zur Freischaltung von Webdiensten durch den Router weitergeleitet

159

)))

Wiki-Quellcode von Samba4 Verzeichnisdienst direkt im Internet freigeben (ohne Stream via rev-proxy)