en da nb nb en en da da da en en en fr nb en en en en en da en en en en en nn da da da da da da da da da da da tr da es da da fr fr de en en da mn da en da fr da en da nl es en en da en da da da da da de es pl es fi es en da en en en es da en da en en en en en en en da en es da da en es da da es da fr sv en en es da en en en da da en en da da da en en en da en da da da en da en en da da en en en en da en en da da en en en da fr ca da en en en de zh zh en en en ca en en en en en en de zh zh en en en ca da en da da en en en nb en en de en da en da en en en nb en nb en et et en en en en en en en en nb en en en en sv fr de hbs_lat fr fr fr sv en en en en en en en en en en de en en en en en en en en es en en pl en en de en en de en da tr cv en da
Et par noter på at få PaloAlto Networks MineMeld til til at starte på Debian 10.
Men da, det er lavet til Debian-9 kommer man ikke langt, derfør skal nedstående rettes før ovenstående virker :-)
1) tilføj sudo til debian minimal, incl en bruger, dette er nødvendig såfremt starter fra en basic Debian netinst installation
2) Certificaterne på Git virker ikke med nginx, så der skal lige et par nye ind.
3) Lav sådan at ansible understøtter Debian-10
Change line til Debian 10 : infrastructure_include: Debian-10
Guacamole - 1.1.0 - bedre og bedre...
For noget tid siden skrev jeg om guacamole, siden da har jeg brugt det en del, og der er kommet nogle gode opdateringer.
Støreste problem, som jeg dog som tekniker kan leve med, var mangle på dansk tastatur i RDP, dette er løst nu, blot husk at sæt det op på connectionen.
Hvis man vælger at benytte "guac-install.sh" scriptet som er nemt og hurtigt, skal man huske at den forventer at man køre det som sudo og gør man det ikke går den i stå da ldconfig ikke kan findes.
køre man  guac-install.sh --totp , får man fra sekundt 1 af mfa på admin kontoen, og husker man at give de bruger man oprettet lov til at skifte deres eget pw, kommer det også på dem...
En anden ting, er at man kan få NLA til at virke med RDS, dette kræver dog at man udfylder authentication felterne når man opsætter en ny host, til gængæld skal man ikke nedgrader RDP sikkerheden på klienten i baggrunden som jeg gjort i første omgang,  laver man ldap integration med guacamole, kan man få det første logon, til at løbe hele vejen igennen, sådan det nærmest bliver dynamisk sso logon, agtigt.
beskrivelse af ldap kan ses her: https://github.com/Zer0CoolX/guacamole-install-rhel/wiki/LDAP-or-LDAPS-Authentication
Den helt korte og hurtige sekvens for at installer guacamole
hent sudo og git ned, det er bland de første commandoer som skal benyttes
apt-get install sudo git
Se at ens bruger er del af sudoers
Log ud og ind igen, såfremt man er forbundet via putty
Opret mappe til at køre installationen fra
Se at git har hentet filerne ned
Gør installations scriptet eksikverbar
Start installatinen, og besvar spørgsmål som kommer, hvilket primært at omkring mysql kodeord.
Opleves nedestående fejl, skyldes path ikker er på plads og man ikke har kørt kommandoen som sudo
./guac-install.sh: line 440: ldconfig: command not found
betyder at man ikke har kør det som sudo
ryd op i mappen
og køre igen, hvor det huskes at benytte sudo
Exim4 - DKIM til flere domainer.
For noget tid siden fik jeg beskyttet mine domainer med Dmarc, en forholdvis let opgave, dog betød dette at jeg begyndte at løbe i nogle udfordringer i forhold til forenings arbejde, hvor vi benytter One.com som maillist distributions knud.
Efter Dmarc var kommet på plads, blev mine email der via mail listen hos One.com skulle videre til "gmail" afvise, jeg kunne sandsynligvis løse dette med at gå fra -all til ~all i min spf record, eller jeg kunne opsætte DKIM, noget jeg har haft planer om i noget tid.
Mit udgangs punkt blev beskrivelsen her: https://www.obstance.com/ubuntu/dkim-on-multiple-domains-with-exim4/ dog med nogle ændringer og naturligvis Exim dokumentationen her: https://www.exim.org/exim-html-current/doc/html/spec_html/ch-dkim_and_spf.html
Jeg benytter 2048 i mine certifiater og jeg benytter ikke default selector.
Step 1) oprette korrekte mapper
Step 2) opret keys
openssl genrsa -out mxbox.dk.pem 2048
openssl rsa -in mxbox.dk.pem -pubout > mxbox.dk.pub
Step 3) sæt korrekt permissions på keys
chown -R Debian-exim:Debian-exim /etc/exim4/dkim/
Derefter skal exim config filen ændres, jeg køre med split så hos mig var det
og indsæt i toppen
DKIM_PRIVATE_KEY = ${if exists{DKIM_FILE}{DKIM_FILE}{0}}
Dkim selector er vigtigt at bide mærke i, da dette er den DNS TXT record som det public certificat skal ligges ind i.
Opret txt record. gw2019._domainkey.mxbox.dk
Text: v=DKIM1; p=MIGfMA0GCSqGS....... stregnen fra  mxbox.dk.pub certificatet der blev oprettet i step 2)
test DNS opsætningen efter 5 minutter i hos dmarcian:  https://dmarcian.com/dkim-inspector/?domain=mxbox.dk&selector=gw2019
det er for at sikre der ikke er nogle typo  eller c&p fejl.
opdater exim  config. med
Send en email til f.eks en gratis gmail konto og se at DKIM er blevet valideret korrekt.
echo "This is a123123123" | mail -r This email address is being protected from spambots. You need JavaScript enabled to view it. This email address is being protected from spambots. You need JavaScript enabled to view it.
Herefter skulle dkim gerne køre korrekt. :-) husk at forny selector nøglen 1 gang årligt ;-)
Ovenstående bør naturligvis løbes igennem for alle de domains en gateways sender emails ud på vegne af.
Guacamole - what ?
Et af mine senste små projekter har være at lave en linux baseret RDS løsnig. JA, linux service som agere som RDS server :-)
Projektet er baseret på Guacamole og projekt sitet findes her: https://guacamole.apache.org/
Det virker super fint, men kræver at man ændre nogle sikkerhed indstillinger på windows 10 før RDP.
Kort info om hvad konsekvensen af overnståene ændring giver kan læses her:
Ældre RDP kiienter ( windows 7 / server 2008R2 ser udtil at virke ude problemer )
Men ellers Guacamole er en fin lille java web-service hosted på en jboss motor.
Installationen er nem, jeg fulgte blot den samme som findes på debians Wiki : https://wiki.debian.org/Guacamole men brugte seneste pakker på siden.
Login page, hvor brugen godt kan styres fra en ldap f.eks ad i følge dokumentationen.
Efterfølgende kommer man en til landing sted, hvor de maskiner som man har rettigheder til en kan tilgåes fra.
Her under er der en RDP til en windows 10 klient ( jump station) og en ssh til en linux boks.
Selve windows 10 logon via browser
What not to like ?
Hvis der ikke er mfa på siden, vil jeg nok have at folk skal køre ind igennem nogle "jump" stations, sådan det er 2 sæt credentials som skal crackes før data kan tilgåes.
Mit test har jeg en Haproxy foran, guacamole serveren og et Lets encrypt  SSL certificat.
Debian Haproxy 1.7 noter
Har lige haft gang i en Lille opgraderings opgave af en HAproxy, som benyttes primært til at redirect web trafik.
Version 1.7 skal man bruge "Bind" dvs:
Stats kan forsat findes ved at tilgå uri http://minipaddresse:1936/haproxy?stats
En anden til som tog mig lidt tid var brug af ssl i frontend.
Version 1.5 havde jeg hvor rappidssl mappen var lå under /etc/ssl/private
bind *:443 name https ssl crt rappidssl/
Version 1.7 er skal root path til /etc/ssl/private defineres med ( certifiate flyttede jeg ned i private mappen, da jeg også benytter Letsencrypt certs )
bind 172.16.222.85:443 ssl crt /etc/ssl/private
Standard http port 80 frontend er der ikke sket såmeget ved.
#redir sitemutrunSSL fra http til https
redirect scheme https code 301 if { hdr_end(host) -i sitemustrunSSL } !{ ssl_fc }
#Fanger letsencrypt challenge og smider det til standalone backend port 1080 for verification.
acl letsencrypt_check path_beg /.well-known/acme-challenge/
use_backend letsencrypt_backend if letsencrypt_check
#http-request set-header Host letsencrypt.request