第5章 外部サービスの設定

1. Red Hat Enterprise Linux Server をデプロイし、ISC DNS サービスをインストールします。

   # yum install bind bind-utils

   Copy to Clipboard Toggle word wrap

2. ドメインの設定ファイルを作成します。

   以下の例では、ドメイン virtual.lan を 1 つのサブネット 192.168.38.0/24 として設定し、capsule という名前のセキュリティーキーを設定して、フォワーダーを Google のパブリック DNS アドレス (8.8.8.8 および 8.8.4.4) に設定します。192.168.38.2 は DNS サーバーの IP アドレスで、192.168.38.1 は、Satellite Server または Capsule Server の IP アドレスになります。

   # cat /etc/named.conf
   include "/etc/rndc.key";
   
   controls  {
       inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "capsule"; };
       inet 192.168.38.2 port 953 allow { 192.168.38.1; 192.168.38.2; } keys { "capsule"; };
   };
   
   options  {
       directory "/var/named";
       forwarders { 8.8.8.8; 8.8.4.4; };
   };
   
   include "/etc/named.rfc1912.zones";
   
   zone "38.168.192.in-addr.arpa" IN {
       type master;
       file "dynamic/38.168.192-rev";
       update-policy {
           grant "capsule" zonesub ANY;
       };
   };
   
   zone "virtual.lan" IN {
       type master;
       file "dynamic/virtual.lan";
       update-policy {
           grant "capsule" zonesub ANY;
       };
   };

   Copy to Clipboard Toggle word wrap

   設定ファイルの inet 行は、1 つの行として入力する必要があります。

3. キーファイルを作成します。

   # ddns-confgen -k capsule

   Copy to Clipboard Toggle word wrap

   このコマンドが完了するまで、しばらく時間がかかることがあります。

4. キーセクションから出力をコピーし、/etc/rndc.key という名前の別のファイルに貼り付けます。

   # cat /etc/rndc.key
   key "capsule" {
           algorithm hmac-sha256;
           secret "GeBbgGoLedEAAwNQPtPh3zP56MJbkwM84UJDtaUS9mw=";
   };

   Copy to Clipboard Toggle word wrap
   重要

   これは、DNS サーバー設定を変更するために使用するキーです。root ユーザーのみが読み書きできるようにする必要があります。

5. ゾーンファイルを作成します。

   # cat /var/named/dynamic/virtual.lan
   $ORIGIN .
   $TTL 10800      ; 3 hours
   virtual.lan             IN SOA  service.virtual.lan. root.virtual.lan. (
                                   9          ; serial
                                   86400      ; refresh (1 day)
                                   3600       ; retry (1 hour)
                                   604800     ; expire (1 week)
                                   3600       ; minimum (1 hour)
                                   )
                           NS      service.virtual.lan.
   $ORIGIN virtual.lan.
   $TTL 86400      ; 1 day
   capsule                 A       192.168.38.1
   service                 A       192.168.38.2

   Copy to Clipboard Toggle word wrap

6. 逆引きゾーンファイルを作成します。

   # cat /var/named/dynamic/38.168.192-rev
   $ORIGIN .
   $TTL 10800      ; 3 hours
   38.168.192.in-addr.arpa IN SOA  service.virtual.lan. root.38.168.192.in-addr.arpa. (
                                   4          ; serial
                                   86400      ; refresh (1 day)
                                   3600       ; retry (1 hour)
                                   604800     ; expire (1 week)
                                   3600       ; minimum (1 hour)
                                   )
                           NS      service.virtual.lan.
   $ORIGIN 38.168.192.in-addr.arpa.
   $TTL 86400      ; 1 day
   1                PTR     capsule.virtual.lan.
   2                PTR     service.virtual.lan.

   Copy to Clipboard Toggle word wrap

   ASCII 以外の他の文字は使用しないでください。

1. 構文を検証します。

   # named-checkconf -z /etc/named.conf

   Copy to Clipboard Toggle word wrap

2. サーバーを起動します。

   # systemctl restart named

   Copy to Clipboard Toggle word wrap

3. 新しいホストを追加します。

   以下のコマンドでは、ホストの例 192.168.38.2 を使用しています。この値は、ご使用の環境に合わせて変更してください。

   # echo -e "server 192.168.38.2\n \
   update add aaa.virtual.lan 3600 IN A 192.168.38.10\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

4. DNS サービスが新しいホストを解決できることを確認します。

   # nslookup aaa.virtual.lan 192.168.38.2

   Copy to Clipboard Toggle word wrap

5. 必要な場合は、新しいエントリーを削除します。

   # echo -e "server 192.168.38.2\n \
   update delete aaa.virtual.lan 3600 IN A 192.168.38.10\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

6. DNS サービスへの外部アクセスのためにファイアウォールを設定します (ポート 53 上の UDP および TCP)。

   # firewall-cmd --add-port="53/udp" --add-port="53/tcp" \
   && firewall-cmd --permanent --add-port="53/udp" --add-port="53/tcp"

   Copy to Clipboard Toggle word wrap

1. Red Hat Enterprise Linux Server で、ISC DNS サービスをインストールします。

   # yum install bind bind-utils

   Copy to Clipboard Toggle word wrap

   nsupdate ユーティリティーがインストールされていることを確認します。Capsule は nsupdate ユーティリティーを使用してリモートサーバー上の DNS レコードを更新します。

2. サービスサーバーの /etc/rndc.key ファイルを Capsule Server にコピーします。

   # scp localfile username@hostname:remotefile

   Copy to Clipboard Toggle word wrap

3. キーファイルに適切な所有者、パーミッション、および SELinux ラベルが設定されていることを確認します。

   # ls /etc/rndc.key -Zla
   -rw-r-----. root named system_u:object_r:dnssec_t:s0    /etc/rndc.key

   Copy to Clipboard Toggle word wrap

4. ホストをリモートで追加して nsupdate ユーティリティーをテストします。

   # echo -e "server 192.168.38.2\n \
   update add aaa.virtual.lan 3600 IN A 192.168.38.10\n \
   send\n" | nsupdate -k /etc/rndc.key
   # nslookup aaa.virtual.lan 192.168.38.2
   # echo -e "server 192.168.38.2\n \
   update delete aaa.virtual.lan 3600 IN A 192.168.38.10\n \
   send\n" | nsupdate -k /etc/rndc.key

   Copy to Clipboard Toggle word wrap

5. satellite-installer スクリプトを実行して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dns.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-dns=true \
   --foreman-proxy-dns-managed=false \
   --foreman-proxy-dns-provider=nsupdate \
   --foreman-proxy-dns-server="192.168.38.2" \
   --foreman-proxy-keyfile=/etc/rndc.key \
   --foreman-proxy-dns-ttl=86400

   Copy to Clipboard Toggle word wrap

6. foreman-proxy サービスを再起動します。

   # systemctl restart foreman-proxy

   Copy to Clipboard Toggle word wrap
7. Satellite Server Web インターフェースにログインします。
8. インフラストラクチャー > Capsules に移動します。適切な Capsule Server を見つけ、アクション ドロップダウンリストから 更新 を選択します。この結果、DNS 機能が現れます。
9. DNS サービスに適切なサブネットとドメインを関連付けます。

DHCP サーバーの設定、DHCP 設定およびリースファイルの共有

1. Red Hat Enterprise Linux Server をデプロイし、ISC DHCP サービスおよび BIND (Berkeley Internet Name Domain) をインストールします。

   # yum install dhcp bind

   Copy to Clipboard Toggle word wrap

2. 空のディレクトリーでセキュリティートークンを生成します。

   # dnssec-keygen -a HMAC-MD5 -b 512 -n HOST omapi_key

   Copy to Clipboard Toggle word wrap

   上記のコマンドが完了するまで、しばらく時間がかかることがあります。安全性が高くない概念実証のデプロイメントでは、非ブロック型乱数ジェネレーターを使用できます。

   # dnssec-keygen -r /dev/urandom -a HMAC-MD5 -b 512 -n HOST omapi_key

   Copy to Clipboard Toggle word wrap

   これにより、キーペアが現行ディレクトリーに 2 つのファイルで作成されます。

3. キーからシークレットハッシュをコピーします。

   # cat Komapi_key.+*.private |grep ^Key|cut -d ' ' -f2

   Copy to Clipboard Toggle word wrap

4. すべてのサブネットに対して dhcpd 設定ファイルを編集し、キーを追加します。例を示します。

   # cat /etc/dhcp/dhcpd.conf
   default-lease-time 604800;
   max-lease-time 2592000;
   log-facility local7;
   
   subnet 192.168.38.0 netmask 255.255.255.0 {
   	range 192.168.38.10 192.168.38.100;
   	option routers 192.168.38.1;
   	option subnet-mask 255.255.255.0;
   	option domain-search "virtual.lan";
   	option domain-name "virtual.lan";
   	option domain-name-servers 8.8.8.8;
   }
   
   omapi-port 7911;
   key omapi_key {
   	algorithm HMAC-MD5;
   	secret "jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw==";
   };
   omapi-key omapi_key;

   Copy to Clipboard Toggle word wrap
5. 2 つのキーファイルを、それらを作成したディレクトリーから削除します。

6. Satellite Server で各サブネットを定義します。

   競合を回避するために、リース範囲と予約範囲は別々に設定することが推奨されます。たとえば、リース範囲を 192.168.38.10 から 192.168.38.100 とし、予約範囲 (Satellite Web UI で定義済み) を 192.168.38.101 から 192.168.38.250 とします。ここでは、定義されたサブネットに DHCP Capsule を設定しないでください。

7. ファイアウォールで DHCP サーバーへの外部アクセスを設定します。

   # firewall-cmd --add-service dhcp \
   && firewall-cmd --permanent --add-service dhcp

   Copy to Clipboard Toggle word wrap

8. Capsule Server の foreman ユーザーの UID 番号と GID 番号を確認します。

   # id -u foreman
   993
   # id -g foreman
   990

   Copy to Clipboard Toggle word wrap

9. ユーザー ID とグループ ID が同じユーザーとグループを、DHCP サーバーに作成します。

   # groupadd -g 990 foreman
   # useradd -u 993 -g 990 -s /sbin/nologin foreman

   Copy to Clipboard Toggle word wrap

10. 設定ファイルを読み取り可能にするために、読み取りおよび実行フラグを復元します。

    # chmod o+rx /etc/dhcp/
    # chmod o+r /etc/dhcp/dhcpd.conf
    # chattr +i /etc/dhcp/ /etc/dhcp/dhcpd.conf

    Copy to Clipboard Toggle word wrap

11. DHCP サービスを起動します。

    # systemctl start dhcpd

    Copy to Clipboard Toggle word wrap

12. NFS を使用して DHCP 設定およびリースファイルをエクスポートします。

    # yum install nfs-utils
    # systemctl enable rpcbind nfs-server
    # systemctl start rpcbind nfs-server nfs-lock nfs-idmapd

    Copy to Clipboard Toggle word wrap

13. NFS を使用して、エクスポートする DHCP 設定およびリースファイルを作成します。

    # mkdir -p /exports/var/lib/dhcpd /exports/etc/dhcp

    Copy to Clipboard Toggle word wrap

14. /etc/fstab ファイルに以下の行を追加して、新規作成ディレクトリー用にマウントポイントを作成します。

    /var/lib/dhcpd /exports/var/lib/dhcpd none bind,auto 0 0
    /etc/dhcp /exports/etc/dhcp none bind,auto 0 0

    Copy to Clipboard Toggle word wrap

15. /etc/fstab のファイルシステムをマウントします。

    # mount -a

    Copy to Clipboard Toggle word wrap

16. /etc/exports に以下の行が存在することを確認します。

    /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)
    
    /exports/etc/dhcp 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)
    
    /exports/var/lib/dhcpd 192.168.38.1(ro,async,no_root_squash,no_subtree_check,nohide)

    Copy to Clipboard Toggle word wrap

17. NFS サーバーをリロードします。

    # exportfs -rva

    Copy to Clipboard Toggle word wrap

18. ファイアウォールで Satellite Server 向けの DHCP omapi ポート 7911 を設定します。

    # firewall-cmd --add-port="7911/tcp" \
    && firewall-cmd --permanent --add-port="7911/tcp"

    Copy to Clipboard Toggle word wrap

19. 必要な場合は、ファイアウォールで NFS への外部アクセスを設定します。

    クライアントは NFSv3 を使用して設定されます。

    • firewalld デーモンの NFS サービスを使用してファイアウォールを設定します。

      # firewall-cmd --zone public --add-service mountd \
      && firewall-cmd --zone public --add-service rpc-bind \
      && firewall-cmd --zone public --add-service nfs \
      && firewall-cmd --permanent --zone public --add-service mountd \
      && firewall-cmd --permanent --zone public --add-service rpc-bind \
      && firewall-cmd --permanent --zone public --add-service nfs

      Copy to Clipboard Toggle word wrap

Satellite Server の設定

1. NFS クライアントをインストールします。

   # yum install nfs-utils

   Copy to Clipboard Toggle word wrap

2. NFS 用の DHCP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/etc/dhcp /mnt/nfs/var/lib/dhcpd

   Copy to Clipboard Toggle word wrap

3. ファイルの所有者を変更します。

   # chown -R foreman-proxy /mnt/nfs

   Copy to Clipboard Toggle word wrap

4. NFS サーバーとの通信と RPC 通信パスを検証します。

   # showmount -e your_DHCP_server_FQDN
   # rpcinfo -p your_DHCP_server_FQDN

   Copy to Clipboard Toggle word wrap

5. /etc/fstab ファイルに以下の行を追加します。

   your_DHCP_server_FQDN:/exports/etc/dhcp /mnt/nfs/etc/dhcp nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcp_etc_t:s0" 0 0
   
   your_DHCP_server_FQDN:/exports/var/lib/dhcpd /mnt/nfs/var/lib/dhcpd nfs
   ro,vers=3,auto,nosharecache,context="system_u:object_r:dhcpd_state_t:s0" 0 0

   Copy to Clipboard Toggle word wrap

6. /etc/fstab 上のファイルシステムをマウントします。

   # mount -a

   Copy to Clipboard Toggle word wrap

7. 関連するファイルを読み取ります。

   # su foreman-proxy -s /bin/bash
   bash-4.2$ cat /mnt/nfs/etc/dhcp/dhcpd.conf
   bash-4.2$ cat /mnt/nfs/var/lib/dhcpd/dhcpd.leases
   bash-4.2$ exit

   Copy to Clipboard Toggle word wrap

8. satellite-installer スクリプトを実行して、以下の永続的な変更を /etc/foreman-proxy/settings.d/dhcp.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-dhcp=true \
   --foreman-proxy-dhcp-provider=remote_isc \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-config /mnt/nfs/etc/dhcp/dhcpd.conf \
   --foreman-proxy-plugin-dhcp-remote-isc-dhcp-leases /mnt/nfs/var/lib/dhcpd/dhcpd.leases \
   --foreman-proxy-plugin-dhcp-remote-isc-key-name=omapi_key \
   --foreman-proxy-plugin-dhcp-remote-isc-key-secret=jNSE5YI3H1A8Oj/tkV4...A2ZOHb6zv315CkNAY7DMYYCj48Umw== \
   --foreman-proxy-plugin-dhcp-remote-isc-omapi-port=7911 \
   --enable-foreman-proxy-plugin-dhcp-remote-isc \
   --foreman-proxy-dhcp-server=your_DHCP_server_FQDN

   Copy to Clipboard Toggle word wrap

9. foreman-proxy サービスを再起動します。

   # systemctl restart foreman-proxy

   Copy to Clipboard Toggle word wrap
10. Satellite Server Web インターフェースにログインします。
11. インフラストラクチャー > Capsules に移動します。適切な Capsule Server を見つけ、アクション ドロップダウンリストから 更新 を選択します。この結果、DHCP 機能が現れます。
12. DHCP サービスに適切なサブネットとドメインを関連付けます。

Satellite Server での外部 TFTP の設定

1. TFTP サーバーをインストールし、有効にします。

   # yum install tftp-server syslinux

   Copy to Clipboard Toggle word wrap

2. tftp.socket ユニットを有効にし、アクティベートします。

   # systemctl enable tftp.socket
   # systemctl start tftp.socket

   Copy to Clipboard Toggle word wrap

3. PXELinux 環境を設定します。

   # mkdir -p /var/lib/tftpboot/{boot,pxelinux.cfg}
   # cp /usr/share/syslinux/{pxelinux.0,menu.c32,chain.c32} \
   /var/lib/tftpboot/

   Copy to Clipboard Toggle word wrap

4. SELinux ファイルコンテキストを復元します。

   # restorecon -RvF /var/lib/tftpboot/

   Copy to Clipboard Toggle word wrap

5. NFS を使用してエクスポートする TFTP ディレクトリーを作成します。

   # mkdir -p /exports/var/lib/tftpboot

   Copy to Clipboard Toggle word wrap

6. 新しく作成されたマウントポイントを /etc/fstab ファイルに追加します。

   /var/lib/tftpboot /exports/var/lib/tftpboot none bind,auto 0 0

   Copy to Clipboard Toggle word wrap

7. /etc/fstab のファイルシステムをマウントします。

   # mount -a

   Copy to Clipboard Toggle word wrap

8. /etc/exports に以下の行があることを確認します。

   /exports 192.168.38.1(rw,async,no_root_squash,fsid=0,no_subtree_check)

   Copy to Clipboard Toggle word wrap

   /exports/var/lib/tftpboot 192.168.38.1(rw,async,no_root_squash,no_subtree_check,nohide)

   Copy to Clipboard Toggle word wrap

   最初の行は DHCP 設定に共通で、このシステムで以前の手順を完了すると作成されます。

9. NFS サーバーをリロードします。

   # exportfs -rva

   Copy to Clipboard Toggle word wrap

1. NFS を準備するために TFTP ディレクトリーを作成します。

   # mkdir -p /mnt/nfs/var/lib/tftpboot

   Copy to Clipboard Toggle word wrap

2. /etc/fstab ファイルで以下の行を追加します。

   192.168.38.2:/exports/var/lib/tftpboot /mnt/nfs/var/lib/tftpboot nfs rw,vers=3,auto,nosharecache,context="system_u:object_r:tftpdir_rw_t:s0" 0 0

   Copy to Clipboard Toggle word wrap

3. /etc/fstab のファイルシステムをマウントします。

   # mount -a

   Copy to Clipboard Toggle word wrap

4. satellite-installer スクリプトを実行して、以下の永続的な変更を /etc/foreman-proxy/settings.d/tftp.yml ファイルに加えます。

   # satellite-installer --foreman-proxy-tftp=true \
   --foreman-proxy-tftp-root /mnt/nfs/var/lib/tftpboot

   Copy to Clipboard Toggle word wrap

5. DHCP サービスとは異なるサーバーで TFTP サービスを実行している場合は、tftp_servername 設定をそのサーバーの FQDN または IP アドレスで更新します。

   # satellite-installer --foreman-proxy-tftp-servername=new_FQDN

   Copy to Clipboard Toggle word wrap

   この結果、すべての設定ファイルが新しい値で更新されます。

6. Satellite Server Web インターフェースにログインします。
7. インフラストラクチャー > Capsules に移動します。適切な Capsule Server を見つけ、アクション ドロップダウンリストから 更新 を選択します。この結果、TFTP 機能が現れます。
8. TFTP サービスに適切なサブネットとドメインを関連付けます。