sysadmin-blog.de

Rancid ist ein sehr nettes Linux Tool, mit dem man einfach Router und Switche sichern kann. Unter anderem werden auch Geräte von Cisco und Extreme Networks unterstützt.

Installation

Installation der benötigten Pakete.

apt-get install apache2 expect cvs gcc make libc6-dev perl telnet

Rancid Benutzer erstellen.

adduser rancid

Sourcen herunterladen, compilieren und installieren:

cd /usr/src
wget ftp://ftp.shrubbery.net/pub/rancid/rancid-2.3.2a8.tar.gz
tar xzvf rancid-2.3.2a8.tar.gz
cd rancid-2.3.2a8
./configure -prefix=/home/rancid -localstatedir=/home/rancid/var
make install
chown -R rancid:rancid /home/rancid

Konfiguration

Gruppe für die Geräte definieren.

vi /home/rancid/etc/rancid.conf

LIST_OF_GROUPS="test"

Host, Benutzername, Kennwort und ggf. das “enable” Passwort hinterlegen.

vi /home/rancid/.cloginrc

add user        *       user
add password    gw1.domain.de    password    enable_password
add password    gw2.domain.de    password    enable_password
add password    gw3.domain.de    password    enable_password
add password    192.168.10.254   password    enable_password
 
chmod 600 .cloginrc
chown rancid:rancid .cloginrc

Für die restlichen Arbeiten am besten den Benutzer wechseln.

su - rancid

Verzeichnis für die Gruppe anlegen

mkdir /home/rancid/var/test
cd /home/rancid/var/test

Geräte Datenbank aufbauen.

vi router.db

gw1.domain.de:cisco:up
gw2.domain.de:cisco:up
gw3.domain.de:cisco:up
192.168.10.254:cisco:up

Achtung: Bei verwendung von DNS Namen müssen diese zwingend aufgelöst werden können.

CVS Tree erzeugen.

/home/rancid/bin/rancid-cvs

Erster Testlauf. Danach am besten “~/var/log/” auf eventuelle Fehler prüfen.

/home/rancid/bin/rancid-run

Cron Job einrichten.

vi /etc/crontab

1 * * * * rancid /home/rancid/bin/rancid-run

Fertig.

Wer kennt das nicht, bei jeder neuen Einwahl bekommt Ihr eine neue dynamische IP Adresse von eurem Provider zugewiesen. Um trotzdem den Zugriff auf Daten und Dienste von außen zu gewährleisten werden zwei Dinge benötigt.

Dyndns Anbieter (z.B.: www.dyndns.org)

Kostenloser Anbieter der einen statischen DNS Namen für die dynamische IP Adresse zur Verfügung stellt.

Router Anpassung

Prinzipiell funktioniert diese Konfiguration mit jeden Cisco Router ab dem Release 12.3(8).

In den “Privilege Mode” wechseln:

enable

Konfigurations Modus aktivieren:

configure terminal

Dyndns Konfiguration:

ip ddns update method dyndns
 HTTP
  add http://username:password@members.dyndns.org/nic/update?system=dyndns&hostname=host.dyndns.org&myip=<a>
 interval maximum 0 1 0 0
 
interface Dialer0
 ip ddns update hostname host.dyndns.org
 ip ddns update dyndns host members.dyndns.org

# Debugging aktivieren

debug ip ddns update

Achtung:

Beim kopieren der Befehle geht öfters mal das “?” verloren. Entsprechende Zeile am besten von Hand eingeben. Vor dem Fragezeichen einmal “STRG + V” drücken.

Bislang hatte ich auf meinem Hetzner Root-Server ein “Bridge”-Setup. Dieses habe ich jetzt auf ein “Routed”-Setup umgestallt, da Hetzner nun bald endgültig auf die neue Subnetz Allokierung umstellt und dort ein “Briged”-Setup dann nicht mehr möglich wäre.

Das “Bridge”-Setup ist auch eher für den Einsatz in einem lokalen LAN gedacht. Problem bei dieser Variante im Rechenzentrum ist, das der Switch die MAC-Adressen und IP`s der DomU`s zulassen muss. Dadurch besteht die Möglichkeit, die IP Adresse eines benachbarten Server zu übernehmen.

Zwar geht es hier um die Verwendung im Rechenzentrurm (mit öffentlichen IP`s), werde jedoch zur Veranschaulichung private Adressen nutzen.

192.168.1.0/24 (Für den Hauptserver)
192.168.2.0/24 (Zusätzliche Netz für die DomU`s)

Anpassungen – Dom0

IP-Forwarding aktivieren:

echo "1" > /proc/sys/net/ipv4/ip_forward

Proxy-APR aktivieren:

echo "1" > /proc/sys/net/ipv4/conf/default/proxy_arp

Es müssen natürlich die richtigen Netzwerk Einstellungen (IP, Netmask, …) für den Hauptserver (Dom0) gesetzt werden. Die letzte Zeile sorg dafür, das der Hauptserver noch die erste “benutzbare” IP aus dem zusätzlichen Subnetz bekommt. Diese IP wird dann später bei den DumU`s als Gateway eingetragen.

/etc/network/interfaces

auto eth0
iface eth0 inet static
	address 192.168.1.1
	broadcast 192.168.1.255
	netmask 255.255.255.0
	gateway 192.168.1.254
	pointopoint 192.168.1.254
 
	# IP aus dem zus. Subnetz mit Netzmaske
	up ip addr add 192.168.2.254/24 dev eth0

Dann noch eine Anpassung an dem Xen Script für die Interfaces.

/etc/xen/scripts/vif-common.sh

##
# ip_of interface
#
# Print the IP address currently in use at the given interface, or nothing if
# the interface is not up.
#
function ip_of()
{
	# ALT
	# ip addr show "$1" | awk "/^.*inet.*$1\$/{print \$2}" | sed -n '1 s,/.*,,p'
 
	# wird zu
	ip addr show "$1" | awk "/^.*inet.*$1\$/{print \$2}" | sed -n '2 s,/.*,,p'
}

Sehr wichtig ist auch in der Konfigurationsdatei der jeweiligen DomU die richtige IP Adresse einzutragen, da sonst beim Starten der DomU nicht die richtigen Routen angelegt werden.

/etc/xen/domu.cfg

vif = [ 'ip=192.168.2.1' ]

Anpassungen – DomU`s

Die DomU`s bekommen dann die zweite des Hauptservers als Gateway.

/etc/network/interfaces

auto eth0
iface eth0 inet static
	address  192.168.2.1
	netmask  255.255.255.0
	gateway  192.168.2.254

Schluss:

- DomU`s herunterfahren
- Dom0 neu starten
- DomU`s starten
- Fertig