[Memo2007][EPA]EPA サーバ構築作業ログ(村上, 森川, 佐々木)(070809-16)
EPA サーバ 2007/08/09-10,13,15-16 の作業ログ
作業者: 村上 真也, 森川 靖大, 佐々木 洋平
作業環境の構築
管理者アカウントの委譲
ika の root 権限を高橋⇒村上に委譲する.
高橋さんのアカウントの削除
# userdel -r yot
作業用アカウントの作成.
# adduser --uid 40001 mondo1 # 村上用 # adduser --uid 40002 mondo2 # 森川用 # adduser --uid 40003 mondo3 # 佐々木用
APT の設定
/etc/apt/source.list を以下のように変更
deb ftp://ftp.jp.debian.org/debian etch main contrib non-free deb-src ftp://ftp.jp.debian.org/debian etch main contrib non-free deb http://security.debian.org/ etch/updates main contrib non-free deb-src http://security.debian.org/ etch/updates main contrib non-free deb http://ftp.jp.debian.org/debian-jp sarge-jp main contrib non-free deb-src http://ftp.jp.debian.org/debian-jp sarge-jp main contrib non-free deb http://www.gfd-dennou.org/arch/cc-env/Linux/debian-dennou stable/ deb-src http://www.gfd-dennou.org/arch/cc-env/Linux/debian-dennou stable/
sudo のインストールと設定.
# apt-get update # apt-get install sudo # visudo mondo1 ALL=(ALL) ALL mondo2 ALL=(ALL) ALL
ssh のインストールと設定.
ssh サーバのインストール
# apt-get install openssh-server
デフォルトの設定のうちに, 村上, 森川, 佐々木の手元の公開鍵を mondo?/.ssh/authorized_keys に置く.
ssh サーバの設定を変更する. 公開鍵認証を有効にし (これがデフォルト), パスワード認証と PAM を無効にする. また root ログインを無効にする.
# vi /etc/ssh/sshd_config
PermitRootLogin no
:
PasswordAuthentication no
:
UsePAM no
最後に ssh デーモンのリスタート
# /etc/init.d/ssh restart
システムの文字コードの設定
デフォルトでは UTF な文字コードにしか対応していないため, 文字コードとして EUC にも対応する.
# vi /etc/locale.gen ja_JP.EUC-JP EUC-JP
以下のコマンドで言語設定をシステムに反映
# locale-gen
ntpdate による時刻の修正
ntpdate によって時刻を修正.
# apt-get install ntpdate # ntpdate time-nw.nist.gov 9 Aug 15:26:14 ntpdate[5405]: step time server 131.107.1.10 offset -32381.882822 sec
inetd に関するセキュリティ対策
inetd に関して, 不要なサービスを削除
# vi /etc/inetd.conf 現段階では全ての行をコメントアウト # /etc/init.d/openbsd-inetd restart Restarting internet superserver: inetdNot starting internet superserver: no services enabled.
作業者の準備
作業者が各自で .bashrc なり .emacs なりを導入.
以降, 作業中にぽちぽちとインストールしたソフトウェア
- gcc
- make
- libc6-dev
- binutils
- cpp
- tcsh zsh
- screen
- emacs21 (emacs21-nox ではなく emacs21-x をインストールすること).
- ng-common ng-cjk
- tree
- psmisc
- libssl-dev
- openssl
- libgdbm-dev
以降, 作業中にぽちぽちと削除したパッケージ
- anthy libanthy0
- dhcp3-client dhcp3-common
- im-switch jfbterm
- libdns22
- nfs-common
- portmap
- uim uim-common uim-fep uim-utils libuim3
apache 2.2 のインストールと設定
apache 2.2 のビルド
ソースからインストールする. インストール先は apache2 のデフォルト である /usr/local/apache2 とする. この場合, configure へ --prefix の必要は無い. apache-ssl を動作させたいため --enable-ssl を, DSO (Dynamic shared object: 動的共有オブジェクト) を使用したいため --enable-so をオプションとして指定した.
# cd /usr/local/src # wget http://www.meisei-u.ac.jp/mirror/apache/httpd/httpd-2.2.4.tar.gz # tar xvfz httpd-2.2.4.tar.gz # cd httpd-2.2.4 # ./configure --enable-ssl --enable-so
configure の結果は config.log や build/config_vars.mk を参照のこと.
apache 2.2 のビルドとインストール
# make # make install
/usr/local/apache2 以下にファイルがあることを確認する.
apache 2.2 のバイナリファイルへのパス
/usr/local/apache2/bin へパスを通す. 編集するファイルは /etc/profile と /etc/csh.cshrc, /etc/zsh/zshenv の 3 つ
# vi /etc/profile
if [ "`id -u`" -eq 0 ]; then
PATH="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/apache2/bin"
else
PATH="/usr/local/bin:/usr/bin:/bin:/usr/games:/usr/local/apache2/bin"
fi
# vi /etc/csh.cshrc
set path = (/sbin /bin /usr/sbin /usr/bin /usr/local/apache2/sbin /usr/local/apache2/bin $HOME/bin)
# vi /etc/zsh/zshenv
if [[ -z "$PATH" || "$PATH" == "/bin:/usr/bin" ]]
then
export PATH="/usr/local/bin:/usr/bin:/bin:/usr/games:/usr/local/apache2/bin"
fi
apache 2.2 の設定
設定ファイルは httpd 用が /usr/local/apache2/conf/httpd.conf, httpd-ssl 用が /usr/local/apache2/conf/extra/httpd-ssl.conf である. これを編集する.
オリジナルとの diff は以下の通り.
----------------------------------------
+++ httpd.conf 2007-08-09 17:55:54.000000000 +0900
@@ -61,8 +61,8 @@
# It is usually good practice to create a dedicated user and group for
# running httpd, as with most system services.
#
-User daemon
-Group daemon
+User www-data
+Group www-data
</IfModule>
# 'Main' server configuration
@@ -81,8 +81,8 @@
# ServerAdmin: Your address, where problems with the server should be
# e-mailed. This address appears on some server-generated pages, such
# as error documents. e.g. admin@your-domain.com
-#
-ServerAdmin you@example.com
+
+ServerAdmin kobe-s3all_at_gfd-dennou.org
#
# ServerName gives the name and port that the server uses to identify itself.
@@ -91,7 +91,7 @@
#
# If your host doesn't have a registered DNS name, enter its IP address here.
#
-#ServerName www.example.com:80
+ServerName www.ahs.scitec.kobe-u.ac.jp:80
#
# DocumentRoot: The directory out of which you will serve your
@@ -112,7 +112,7 @@
Options FollowSymLinks
AllowOverride None
Order deny,allow
- Deny from all
+# Deny from all
</Directory>
#
@@ -160,7 +160,7 @@
# is requested.
#
<IfModule dir_module>
- DirectoryIndex index.html
+ DirectoryIndex index.html index.htm index.htm.en index.html.en index.htm.ja index.html.ja
</IfModule>
#
@@ -180,7 +180,7 @@
# logged here. If you *do* define an error logfile for a <VirtualHost>
# container, that host's errors will be logged there and not here.
#
-ErrorLog logs/error_log
+ErrorLog /var/log/httpd-error.log
#
# LogLevel: Control the number of messages logged to the error_log.
@@ -209,13 +209,13 @@
# define per-<VirtualHost> access logfiles, transactions will be
# logged therein and *not* in this file.
#
- CustomLog logs/access_log common
+ #CustomLog logs/access_log common
#
# If you prefer a logfile with access, agent, and referer information
# (Combined Logfile Format) you can use the following directive.
#
- #CustomLog logs/access_log combined
+ CustomLog /var/log/httpd-access.log combined
</IfModule>
<IfModule alias_module>
@@ -376,7 +376,7 @@
#Include conf/extra/httpd-languages.conf
# User home directories
-#Include conf/extra/httpd-userdir.conf
+Include conf/extra/httpd-userdir.conf
# Real-time info on requests and configuration
#Include conf/extra/httpd-info.conf
@@ -390,11 +390,10 @@
# Distributed authoring and versioning (WebDAV)
#Include conf/extra/httpd-dav.conf
-# Various default settings
#Include conf/extra/httpd-default.conf
# Secure (SSL/TLS) connections
-#Include conf/extra/httpd-ssl.conf
+Include conf/extra/httpd-ssl.conf
#
# Note: The following must must be present to support
# starting without SSL on platforms with no /dev/random equivalent
----------------------------------------
+++ extra/httpd-ssl.conf 2007-08-09 18:56:37.000000000 +0900 @@ -75,10 +75,10 @@ # General setup for the virtual host DocumentRoot "/usr/local/apache2/htdocs" -ServerName www.example.com:443 -ServerAdmin you@example.com -ErrorLog /usr/local/apache2/logs/error_log -TransferLog /usr/local/apache2/logs/access_log +ServerName www.ahs.scitec.kobe-u.ac.jp:443 +ServerAdmin kobe-s3all_at_gfd-dennou.org +ErrorLog /var/log/httpd-ssl-error.log +TransferLog /var/log/httpd-ssl-access.log # SSL Engine Switch: # Enable/Disable SSL for this virtual host.
----------------------------------------
ログローテートの設定
/etc/logrotate.conf を編集して圧縮オプションを追加する． (compressのコ メントアウトを外す).
/etc/logrotate.d/ 以下に apache2 というファイルを置き, 以下の 内容を書き込む.
/var/log/httpd-access.log {
missingok
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-error.log {
missingok
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-ssl-access.log {
missingok
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-ssl-error.log {
missingok
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
httpd-ssl 用の証明書の作成
openssl の設定を変更
# vi /etc/ssl/openssl.cnf [usr_cert] セクションの nsCertType=server のコメントを外す [v3_ca] セクションの nsCertType=sslCA,emailCA のコメントを外す.
証明書を作成する.
# cd /usr/local/apache2/conf # /usr/lib/ssl/misc/CA.sh -newca CA certificate filename: (空で Enter) Enter PEM pass phrase: (適当な文字列入力. 後で消す) Country Name (2 letter code): JP State or Province Name [Some-State]: Hyogo Locality Name (eg, city) []: Kobe Organization Name (eg, company): Kobe University Organizational Unit Name: EPA lab. Common Name: www.ahs.scitec.kobe-u.ac.jp Email Address: kobe-s3all_at_gfd-dennou.org A challenge password: (空で Enter) A optional company name: (空で Enter) Enter pass phrase for ./demoCA/private/./cakey.pem: (適当な文字列入力. 後で消す)
パスフレーズを消す. 問われるパスフレーズには空文字を与える.
# openssl rsa -in ./demoCA/private/cakey.pem -out ./demoCA/private/cakey.pem
証明書の作成.
# openssl x509 -in ./demoCA/cacert.pem -out ./demoCA/server.crt
ブラウザに登録されるバイナリ DER フォーマットで記述された ファイルの作成.
# openssl x509 -inform pem -in ./demoCA/cacert.pem -outform der -out ./demoCA/ca.der
これらの作業により, server.crt と ca.der が作成される. server.key は demoCA/private/cakey.pem からコピーする.
# cp demoCA/private/cakey.pem ./server.key
補足事項
ロード済みモジュールの表示.
以下のように httpd コマンドに -M オプションをつけて実行することで, 静的にロードされたモジュールと動的にロードされたモジュールの両方が 表示される.
$ ./httpd -M
apache2 に関する参考資料
- 平衡点 -- equilibrium point -- > [comp][debian] apache2 + sslCommentsAdd Star
- http://d.hatena.ne.jp/sasakyh/searchdiary?word=apache2+ssl&.submit=%B8%A1%BA%F7&type=detail
- EP WWW サーバ構築ログ (ログローテートに関して)
- http://www.ep.sci.hokudai.ac.jp/~epwww/dvlop/apache.html
- apxsでapacheにモジュールを追加する
- http://kazmax.zpp.jp/apache/apache3.html
- ＠IT > Linux Square > Apacheの基本インストール
- http://www.atmarkit.co.jp/flinux/rensai/apache03/apache03e.html
- ＠IT > Linux Square > Apache 2.2でWebサイトをパフォーマンスアップ！
- http://www.atmarkit.co.jp/flinux/special/apache22/apache01.html
- SSL-Webサーバー-CA公開カギを準備する
- http://safe-linux.homeip.net/web/linux-ssl_web-07.html
- OpenSSLでの自己認証局(CA)と自己証明書の作成
- http://park15.wakwak.com/~unixlife/practical/openssl.html
- apache2.2 インストール
- http://kazmax.zpp.jp/apache/apache.html
qpopper
qpopper のダウンロード
# cd /usr/local/src # wget ftp://ftp.qualcomm.com/eudora/servers/unix/popper/qpopper4.0.9.tar.gz
qpopper のためのユーザ作成
qpopper を動作させるためのユーザとして, pop を作成する.
# adduser --system --ingroup mail --no-create-home --shell /bin/false --disabled-password --home /nonexistent pop
passwd ファイルに pop ユーザに関する情報を書き込む. 下記の例では UID は 104, GID は 8 となっているが, その部分はインストール時の状況による.
# vipw pop:x:104:8:Post Office Owner:/nonexistent:/bin/false
qpopper のビルド
# ./configure --prefix=/usr/local/qpopper \ --enable-apop=/usr/local/qpopper/pop.auth \ --enable-popuid=pop \ --enable-shy \ --enable-nonauth-file=/usr/local/qpopper/popusers \ --without-pam --with-gdbm \ --enable-home-dir-mail=Mailbox
APOP のみにしたいため, popper/Makefile を編集し, OS_DEFS の行を 以下のように変更します.
OS_DEFS = -DLINUX -DUNIX -DAPOP_ONLY
ビルドします.
# make
qpopper のインストール
qpopper の Makefile はディレクトリの作成を行ってくれないため, 自前で箱は用意した後に make install する.
# mkdir -p /usr/local/qpopper/man/man8 # mkdir -p /usr/local/qpopper/sbin # make install
qpopper を inetd に登録.
# vi /etc/inetd.conf pop3 stream tcp nowait root /usr/local/qpopper/sbin/popper popper -s
qpopper を起動
# /etc/init.d/openbsd-inetd start
qpopper のバイナリファイルへのパス
/usr/local/qpopper/sbin へパスを通す. 編集するファイルは /etc/profile と /etc/csh.cshrc, /etc/zsh/zshenv の 3 つ
# vi /etc/profile
if [ "`id -u`" -eq 0 ]; then
PATH="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/apache2/bin:/usr/local/qpopper/sbin"
else
PATH="/usr/local/bin:/usr/bin:/bin:/usr/games:/usr/local/apache2/bin:/usr/local/qpopper/sbin"
fi
# vi /etc/csh.cshrc
set path = (/sbin /bin /usr/sbin /usr/bin /usr/local/apache2/sbin /usr/local/apache2/bin /usr/local/qpopper/sbin $HOME/bin)
# vi /etc/zsh/zshenv
if [[ -z "$PATH" || "$PATH" == "/bin:/usr/bin" ]]
then
export PATH="/usr/local/bin:/usr/bin:/bin:/usr/games:/usr/local/apache2/bin:/usr/local/qpopper/sbin"
fi
apache2 と qpopper に関する残り作業
apache2, qpopper の man へパスを通す
/etc/manpath.configに以下を追記する.
MANDATORY_MANPATH /usr/local/apache2/man MANDATORY_MANPATH /usr/local/qpopper/man MANPATH_MAP /usr/local/apache2/bin /usr/local/apache2/man MANPATH_MAP /usr/local/qpopper/sbin /usr/local/qpopper/man MANDB_MAP /usr/local/apache2/man /usr/local/apache2/man MANDB_MAP /usr/local/qpopper/man /usr/local/qpopper/man
manが見れるかどうか確認.
# man apachectl
apache2 の起動スクリプトを用意する
電能サーバに入っているapacheの起動スクリプト (Debianのapacheパッケージに含まれる/etc/init.d/apache) をikaの/etc/initd./apache2にコピーする. パーミッションはroot:rootにしておく. 中身をapachectlを使うように書き換える.
ランレベルごとにapache2の動作を設定する.
# update-rc.d apache2 defaults
ikaを再起動して, 起動時にapacheが起動することを確認する.
qpopper の動作チェック
まず APOP で使用するパスワードを設定する.
$ popauth Changing only APOP password for mondo1. New password: (パスワードを入力) Retype new password: (パスワードを入力)
次にメールを自分 (ここでは mondo1) 宛に送る.
$ sudo -s # mail mondo1 Subject: test aaaaa (CTRL+D) Cc:
メールがホームディレクトリ以下のメールスプールにあるかどうかをチェック.
# ls -l /home/mondo1/Mailbox -rw-rw---- 1 mondo1 mondo1 653 Aug 10 11:18 /home/mondo1/Mailbox
ただし, この時点でサーバの MTA が qmail 以外である場合, メールスプールが /var/mail/mondo1 である可能性がある. その場合は qpopper のテストのため, 以下のようにメールを上記ファイルへ コピーしてから受信テストを行うこと.
# cp /var/mail/mondo1 /home/mondo1/Mailbox
/home/mondo1/Mailbox が存在していることを確認したら, これを別の適当な ホスト (ここでは村上のデスクトップマシン) で ika からメールを APOP で 受け取れるように設定する. 受け取れたら OK.
qmail 1.03 のインストール
参照: EP サーバ構築ドキュメント: qmail によるメールサーバ構築
- qmailのインストール (glib に関するパッチを配布)
- http://www.stackasterisk.jp/tech/systemConstruction/qmail01_04.jsp
- qmail の起動と停止
- http://www.monyo.com/technical/unix/solaris/qmail/
ソースの取得とコンパイル
ディレクトリを作成する
# mkdir /var/qmail
ユーザ・グループの追加
# groupadd -g 200 nofiles # adduser --system --ingroup nofiles --home /var/qmail/alias alias # adduser --system --ingroup nofiles --home /var/qmail qmaild # adduser --system --ingroup nofiles --home /var/qmail qmaill # adduser --system --ingroup nofiles --home /var/qmail qmailp # groupadd -g 201 qmail # adduser --system --ingroup qmail --home /var/qmail qmailq # adduser --system --ingroup qmail --home /var/qmail qmailr # adduser --system --ingroup qmail --home /var/qmail qmails
ソース, glib 2.3.1以降用のパッチの取得と展開
# cd /usr/local/src # wget ftp://ftp.ep.sci.hokudai.ac.jp/pub/mail/qmail/qmail-1.03.tar.gz # tar xvfz qmail-1.03.tar.gz # wget http://www.stackasterisk.jp/tech/systemConstruction/qmail01/qmail-glibc.patch # wget http://www.ksknet.net/sample/qmail-date-localtime.patch
さらに, qmail-localに対するパッチ (参考: http://www.ornl.gov/its/archives/mailing-lists/qmail/2000/10/msg00696.html)を用意.
# cd qmail-1.0.3
パッチ当てとコンパイル, チェックなど
# patch < ../qmail-glibc.patch # patch -p1 < ../qmail-date-localtime.patch # patch < ../qmail-local.patch # make # make man # make setup # make check
エラーが出なければOK.
設定
# ./config
このスクリプトは, DNSを使って制御ファイルに以下の情報を書く.
/var/qmail/control/defaultdomain ahs.scitec.kobe-u.ac.jp
/var/qmail/control/locals localhost
ika.ahs.scitec.kobe-u.ac.jp
/var/qmail/control/me ika.ahs.scitec.kobe-u.ac.jp
/var/qmail/control/plusdomain ac.jp
/var/qmail/control/rcpthosts localhost
ika.ahs.scitec.kobe-u.ac.jp
正しく上の情報が書かれていることをcat(1)で確認. 例:
# cat /var/qmail/control/me ika.ahs.scitec.kobe-u.ac.jp
MXが向いている場合には以下のようにする.
# echo ahs.scitec.kobe-u.ac.jp >> /var/qmail/control/locals # echo ahs.scitec.kobe-u.ac.jp >> /var/qmail/control/rcpthosts # echo ahs.scitec.kobe-u.ac.jp >> /var/qmail/control/defalthost # echo ika.ahs.scitec.kobe-u.ac.jp >> /var/qmail/control/defalthost # chmod 644 /var/qmail/control/defaulthost # echo 10000000 >> /var/qmail/control/databytes # chmod 644 /var/qmail/control/databytes
これらの情報は qmail-showctl(8) で確認できる.
システムのメールアドレスの転送先を設定する.
root宛のメールをフォワードする先にいまのところ適当な アドレスがないので, 暫定的にkobe-s3allに送ることにしておく.
# cd /var/qmail/alias # echo '&kobe-s3all@gfd-dennou.org' > .qmail-root # echo '&root' > .qmail-postmaster # echo '&root' > .qmail-mailer-daemon # echo '&root' > .qmail-bin # echo '&root' > .qmail-daemon # echo '&root' > .qmail-games # echo '&root' > .qmail-ingres # echo '&root' > .qmail-nobody # echo '&root' > .qmail-sys # echo '&root' > .qmail-uucp # echo '&root' > .qmail-mail # chmod 644 .qmail-*
バイナリファイルとmanへのパスを通す
/var/qmail/binにパスを通す. 編集するファイルは /etc/profile, /etc/csh.cshrc, /etc/zsh/zshenv の3つ. 上記の qpopper, apache のパスを通したのと同様に追加する.
manへのパスも, 先ほどと同様にする. /etc/manpath.config に以下を追加.
MANDATORY_MANPATH /var/qmail/man MANPATH_MAP /var/qmail/bin /var/qmail/man MANDB_MAP /var/qmail/man /var/qmail/man
メールの配送先を設定
/etc/profileに以下を追記
MAIL="$HOME/Mailbox" MAILDROP="$HOME/Mailbox" export MAIL MAILDROP
/etc/csh.cshrcに以下を追記
setenv MAIL $HOME/Mailbox setenv MAILDROP $HOME/Mailbox
/etc/zsh/zshenvに以下を追記
export MAIL="$HOME/Mailbox" export MAILDROP="$HOME/Mailbox"
qmailを起動する
# cp /var/qmail/boot/home /var/qmail/rc
Debian の qmail パッケージから起動スクリプトを持って来て, 大幅に書き換 え, /etc/init.d/qmail に置く.
# update-rc.d qmail defaults
これで, それぞれのランレベルでスクリプトへのリンクが生成される.
qmailを起動する.
# /etc/init.d/qmail start
qmail による配送テスト
qmail-1.03: 配送テスト に従い, 配送テスト (ローカル配送, リモート送り出しテスト) を行う.
[テスト 1] ローカル配送テスト part1
自分に送ってみる. hoge は自分のユーザ名に変え, 以下のコマンドを実行する. ~hoge/Mailbox にメールが送られることを確認.
$ echo to: hoge | /var/qmail/bin/qmail-inject
[テスト 2] ローカル配送テスト part2
存在しない宛先に送ってみる. バウンスメールが~hoge/Mailbox に送られてく るのなら OK.
$ echo to: nonexistent | /var/qmail/bin/qmail-inject
ここで, ヘッダのタイムゾーンが -0000ではなくて+0900になっていることを確認しておく. そうなっていないときには, qmail-date-localtime.patchが正しく当たっていない可能性がある.
[テスト 3] リモート送り出しテスト
他のホスト上のアカウントへ送ってみる. 届いていれば OK . 届かなければ, /var/log/syslog を参照して原因を追求する.
$ echo to: hoge@gfd-dennou-org | /var/qmail/bin/qmail-inject
sendmail の「置き換え」
qmail 1.03: sendmailをqmailへ置き換える, および qmail 1.03: sendmailをシステムから削除する方法 に従う.
ただし, sendmail ではなく, exim がインストールされている場合は, exim を無効にする.
exim のブートスクリプトは, /etc/init.d/exim4 で, これに /etc/rc[2-5].d/S20exim, /etc/rc{1,6}.d/K20exim からリンクが張られてい る. これを無効にする.
# chmod 000 /etc/init.d/exim4 # mv /etc/init.d/exim4 /etc/init.d/exim4.bak # update-rc.d exim4 remove
cron から exim が呼び出される処理を無効にする. /etc/cron.daily/exim4-base の先頭の方に次の行を書き足す. 3 行目の [と! の間にはスペースがあることに注意. 詰めて書いてはいけない (man [(1)).
#!/bin/sh # by Yasuhiro MORIKAWA, 2007-08-10. We need not exim. if [ ! -f /etc/exim.conf ]; then exit 0 fi
これで, /etc/cron.daily/eximは, /etc/exim.confが存在しない場合には何も せず終了するようになる.
そして, sendmailを置き換える.
# chmod 000 /usr/lib/sendmail # chmod 000 /usr/sbin/sendmail # mv /usr/lib/sendmail /usr/lib/sendmail.bak # mv /usr/sbin/sendmail /usr/sbin/sendmail.bak # ln -s /var/qmail/bin/sendmail /usr/lib/sendmail # ln -s /var/qmail/bin/sendmail /usr/sbin/sendmail
次のコマンドでexim4関係のパッケージをholdして, 更新されないようにする.
# echo exim4 hold | dpkg --set-selections # echo exim4-base hold | dpkg --set-selections # echo exim4-config hold | dpkg --set-selections # echo exim4-daemon-light hold | dpkg --set-selections
Debian パッケージの枠組で cron と exim4 (MTA なら何でもよい) は依存関 係があるので, exim4 を消してしまうと cron が利用するメールサーバが Debian パッケージの枠組内では存在しないと認識されてしまう. そのため, exim4 を消さずにあえて残している.
smtp(仮)
後で tcpserver をインストールするので, 最終的にこの設定は不要にな る. とりえあず受信テストのために以下のように inetd を設定する.
/etc/inetd.confに以下を追加.
smtp stream tcp nowait qmaild /var/qmail/bin/tcp-env tcp-env /var/qmail/bin/qmail-smtpd
/etc/inetd.confを読み直させるために次を実行する.
# /etc/init.d/openbsd-inetd restart
テストには他のホストから自分のメールアドレスに宛てて送ってみる. 参考: <URL:http://man.qmail.jp/jinstall/test.receive.html>
tcpserver のインストール
smtp サービスを提供する上で, tcpserver 越しに qmail-smtpd を動かすため, tcpserver をインストールする.
テストのために記述していた/etc/inetdのsmtpで始まる行をコメントアウトする. そして, inetdを再起動.
# /etc/inet.d/openbsd-inetd restart
smtp ポートを listen しているプログラムがないことを確認する.
# netstat -l
アーカイブの取得と展開, パッチ当てとmake
参考: <URL:http://cyberam.dip.jp/linux_server/mail/qmail_main.html>
# wget http://tools.qmail.jp/ucspi-tcp/ucspi-tcp-0.88.tar.gz # wget http://qmail.org/moni.csi.hu/pub/glibc-2.3.1/ucspi-tcp-0.88.errno.patch # tar xfz ucspi-tcp-0.88.tar.gz # cd ucspi-tcp-0.88 # patch -p1 < ../ucspi-tcp-0.88.errno.patch
インストール先を /usr/local/ucspi-tcp に変更. conf-home の一行目を /usr/local/ucspi-tcp に書き換える.
# make # make setup check
パスを変更
/etc/prifile, /etc/csh.cshrc, /etc/zsh/zshenvにucspi-tcpバイナリへの パス /usr/local/ucspi-tcp/bin をこれまでと同様にして追加する.
tcpserver の起動テスト
使いかたは
# tcpserver
とすると出力される. 詳しくは <URL:http://cr.yp.to/ucspi-tcp/tcpserver.html> に書いてある.
qmaildのUID, nofilesのGIDを確認.
$ id qmaild uid=106(qmaild) gid=200(nofiles) groups=200(nofiles)
以下を実行し, tcpserverを起動.
# tcpserver -u xxxx -g yyyy 0 smtp /var/qmail/bin/qmail-smtpd &
ここで, xxxx は qmaild の UID, yyyy は nofiles の GID である.
メール受信テストをsmtp(仮)のところでやったようにやってみる.
tcpserver 起動スクリプト作成
起動スクリプトを /etc/init.d/tcpserver に作成する. 中身は tcpserver 起動スクリプト を参照のこと.
# cd /etc/init.d/ # touch tcpserver # chown root:root tcpserver # chmod 755 tcpserver # vi tcpserver
編集後, update-rc.d スクリプトでランレベルごとの設定を 行う.
# update-rc.d tcpserver defaults
tcpserver によるホスト制限設定
smtp 中継を許可するホストを指定する. <URL:http://man.qmail.jp/faq/faq5.html#5.4.> を参考にホストリストファイル tcp.smtp を作成し, そのファイルを 元に CDB データベースファイルを作成する.
今回は /usr/local/ucspi-tcp 以下に etc ディレクトリを作成し, その 中にこれらのファイルを作成する.
# mkdir /usr/local/ucspi-tcp/etc # cd /usr/local/ucspi-tcp/etc
tcp.smtp を書く. 例えば, 133.30.109.XX という IP アドレスのホスト からの smtp 中継を許可するためには, この 1 行目のように書く. 2 行目の 127. はローカルホストを指す. これは常に書くこと.
133.30.109.XX:allow,RELAYCLIENT="" 127.:allow,RELAYCLIENT=""
次に以下のコマンドを実行する. tcp.smtp を元に tcp.smtp.cdb ができる.
# tcprules tcp.smtp.cdb tcp.smtp.tmp < tcp.smtp
tcpserver 起動スクリプト /etc/init.d/tcpserver の起動行は以下のように 編集しなおす (複数行で表示されるかもしれないが, 1 行で書くこと).
/usr/local/bin/tcpserver -v -x /usr/local/ucspi-tcp/etc/tcp.smtp.cdb -u xxxx -g yyyy 0 smtp /var/qmail/bin/qmail-smtpd 2>&1 | /var/qmail/bin/splogger smtpd 3 &
xxxx は qmaild の UID. yyyy は nofiles の GID である.
修正された起動スクリプトは tcpserver 起動スクリプト修正版 においてある
追加された部分を説明すると -x /usr/local/ucspi-tcp/etc/tcp.smtp.cdb はデー タベースファイル /usr/local/ucspi-tcp/etc/tcp.smtp.cdb を参照させるための 設定である. また, 接続の記録を取るために -v オプションと splogger へ の受け渡しが記述されている.
tcpserver によるホスト制限確認
tcpserver プロセスを再起動する.
# /etc/init.d/tcpserver restart
先ほど /usr/local/ucspi-tcp/etc/tcp.smtp に書いた IP アドレス (ここでは, 133.30.109.XX) を持つパソコンから telnet でアクセスし, メールサーバ以外のホストへのメール送信を試みる. (下記のコマンドについては <URL:http://man.qmail.jp/jinstall/test.receive.html> 参照). プロンプト入力時には, 左端に '>' を記してある. 実際には表示されない.
% telnet ika.ahs.scitec.kobe-u.ac.jp 25 Trying 133.30.109.XX... Connected to ika.ahs.scitec.kobe-u.ac.jp. Escape character is '^]'. 220 ika.ahs.scitec.kobe-u.ac.jp ESMTP > helo dude 250 domain > mail <mondo@ahs.scitec.kobe-u.ac.jp> 250 ok > rcpt <hogehoge@gfd-dennou.org> # <- 実在のアドレスへ 250 ok > data 354 go ahead > Subject: testing > > This is a test. > . 250 ok 812345679 qp 12345 > quit 221 domain Connection closed by foreign host. %
このメールが届くことを確認すること. 次に, /usr/local/ucspi-tcp/etc/tcp.smtp に記述されていない他のホストから同様 の作業を行う. この際には rcpt <hogehoge@gfd-dennou.org> を入力した段階で
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)
というエラーメッセージが返り, メールの送信を拒絶されるはずである. そう ならない場合, ホスト制限がうまく動作していないことになるため, tcpserver によるホスト制限設定? から作業をやり直し, ホスト制限 が行われていることを確認すること.
tcpserver ホスト制御データベース更新スクリプト作成
tcprules などのコマンドを覚えておくのは面倒なので, /usr/local/ucspi-tcp/etc/ 以下に更新スクリプト を作成した.
/usr/local/ucspi-tcp/etc/tcp.smtp を更新後は
/usr/local/ucspi-tcp/etc/tcp_smtp_update.sh update
でデータベースファイルが更新され, tcpserver プロセスが再起動する.
cron によるデイリーレポート送信.
- cron を利用し, cron で実行された結果をメールで受け取る
- とりあえずメールを受け取るユーザは現在の EPA サーバ管理人
以下のファイルを作成. 詳しくはファイルを参照のこと.
- /etc/cron.daily/df
- /etc/cron.daily/uptime
- /etc/cron.daily/netstat
- /etc/cron.daily/loginfail
- /etc/cron.daily/tcpserver
- /etc/cron.weekly/apt
/etc/crontab を以下のように変更
SHELL=/bin/sh PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin #MAILTO=epadvlop@tide.ahs.scitec.kobe-u.ac.jp # m h dom mon dow user command 17 * * * * root cd / && run-parts --report /etc/cron.hourly 25 6 * * * root cd / && run-parts --report /etc/cron.daily |mail -s "`hostname -f` daily run outputs" epadvlop@tide.ahs.scitec.kobe-u.ac.jp 47 6 * * 7 root cd / && run-parts --report /etc/cron.weekly |mail -s "`hostname -f` weekly run outputs" epadvlop@tide.ahs.scitec.kobe-u.ac.jp 52 6 1 * * root cd / && run-parts --report /etc/cron.monthly |mail -s "`hostname -f` monthly run outputs" epadvlop@tide.ahs.scitec.kobe-u.ac.jp #
ezmlm のインストール
ezmlm とパッチダウンロードと展開
取得元や最新バージョンについては ezmlm オリジナル を参照のこと.
# cd /usr/local/src # wget http://cr.yp.to/software/ezmlm-0.53.tar.gz # tar xfvz ezmlm-0.53.tar.gz
ezmlm のパッチあてとビルド
まず, 2.3.1 以降の glibc 上で動くため, というのと log.h を使用するよう, パッチを当てる. パッチは ezmlm パッチ から入手する. パッチは /usr/local/src 以下に置く.
# cd ezmlm-0.53/ # patch <../ezmlm-glib-log.patch
バイナリファイルのインストール先はこれまでのやり方にあわせ, /usr/local/ezmlm/bin 以下としたいので, conf-bin を以下のように 書き換える.
# vi conf-bin /usr/local/ezmlm/bin
man のインストール先も以下のように変更する.
# vi conf-man /usr/local/ezmlm/man
これらのインストール先ディレクトリである /usr/local/ezmlm は先に作って おく必要があるので手動で作成する.
# mkdir /usr/local/ezmlm
conf-qmail に記述されているディレクトリが qmail のソースの取得とコンパイル? で qmail がインストール されているディレクトリと一致していることを確認.
# cat conf-qmail /var/qmail # ls /var/qmail alias/ bin/ boot/ control/ doc/ man/ queue/ rc* users/
確認が終わったら, make でバイナリを, make man でマニュアルをビルドし, make setup でインストールする.
# make # make man # make setup
ezmlm バイナリと man へパスを通す
/usr/local/ezmlm/bin にパスを通す. 編集するファイルは /etc/profile, /etc/csh.cshrc, /etc/zsh/zshenv の3つ. 上記の qpopper, apache のパスを通したのと同様に追加する.
manへのパスも, 先ほどと同様にする. /etc/manpath.config に以下を追加.
MANDATORY_MANPATH /usr/local/ezmlm/man MANPATH_MAP /usr/local/ezmlm/bin /usr/local/ezmlm/man MANDB_MAP /usr/local/ezmlm/man /usr/local/ezmlm/man
ezmlm のテスト
メーリングリスト (ML) を作成する. 詳細は ezmlm-make の man (日本語訳) 参 照. ここでは, mondo2 ユーザで, mondo2-testlist というメーリングリスト を作成する.
$ mkdir ~mondo2/ezmlm-test $ ezmlm-make ~mondo2/ezmlm-test/testlist ~/.qmail-testlist mondo2-testlist ika.ahs.scitec.kobe-u.ac.jp
このコマンドにより, ~mondo2/ezmlm-test/testlist が作成される.
次に作成した ML に ML 主催者が手動で購読者を追加する. 詳細は ezmlm-sub の man (日本語訳) 参照.
$ ezmlm-sub ~mondo2/ezmlm-test/testlist mondo2@ika.ahs.scitec.kobe-u.ac.jp
登録が終了したら ML へ投稿してみる. 先程登録したアドレスへ届くか確かめる.
$ echo Subject:Ezmlm_Test | qmail-inject mondo2-testlist@ika.ahs.scitec.kobe-u.ac.jp
次に ML の自動処理コマンドを確かめる. 自動処理コマンドの詳細は <URL:http://mlm.qmail.jp/ezmlm/chart.html> を見よ. 始めに投稿アーカイブから 記事を取り出すコマンドを試す. 記事が送られてくるかを確認する. ep ドメ インの MX が張られていない場合は /var/qmail/control/defaulthost をホス ト名までいれたドメイン (フルドメイン) にする必要がある.
$ qmail-inject mondo2-testlist-get.1@ika.ahs.scitec.kobe-u.ac.jp < /dev/null
次に ML 参加者による自動登録抹消を試す. 確認メールが送られてくるのでそ の指示に従い登録抹消する. ep ドメインの MX が張られていない場合 /var/qmail/control/defaulthost をホスト名までいれたドメイン (フルドメ イン) にする必要がある.
$ qmail-inject username-testlist-unsubscribe@ika.ahs.scitec.kobe-u.ac.jp < /dev/null
登録を抹消できたかどうかの確認は ML 登録アドレス一覧を見る. 詳細は ezmlm-list の man (日本語訳) を見よ.
$ ezmlm-list ~/testlist
ezmlm-idx のインストール
ezmlm-idx のダウンロード
バージョン 0.40 の ezmlm-idx をダウンロードする. 最新版として既に 6.0.0 まで出ているらしいが ( <URL:http://www.ezmlm.org/archive/> 参照 ), Web にインストールドキュメントがあまり出回っていないため, 0.40 を使ってしまう.
# /usr/local/src # wget http://www.ezmlm.org/archive/0.40/ezmlm-idx-0.40.tar.gz
ezmlm のソースコードへのパッチあて
以下の ezmlm-0.53 は ezmlm のパッチあてとビルド? で使用された ディレクトリであることを想定している. 特に conf-bin や conf-man などが 変更されているため, 既に ezmlm-0.53 を削除してしまっている場合は上記 のビルド前の設定を行うこと.
# tar xfvz ezmlm-idx-0.40.tar.gz # cp -r ezmlm-0.53 ezmlm-0.53-patched_by_idx # mv ezmlm-idx-0.40/* ezmlm-0.53-patched_by_idx/ # rmdir ezmlm-idx-0.40 # cd ezmlm-0.53-patched_by_idx/ # patch < idx.patch
crontab のありかを調べる.
$ which crontab /usr/bin/crontab
/usr/bin にあれば先へ進む. 違う場所にある場合は conf-cron にありかを書 き込む.
MySQL (解説は <URL:http://www.mysql.com/> もしくは 日本語マニュアル ) を使う か否かを決定. ここでは使わないこととして先に進む. 使う場合にはこの段 階でやるべき作業がある.
$ make clean $ make; make man $ make jp
最後の行は使用言語を選ぶものである. jp は日本語を意味する. これによっ て自動管理要請に ezmlm が応えてユーザに送る文言 (詳細) が日本語になる.
ビルド後の ezmlm-idx の動作テスト
一時的にユーザ eztest を作成し (テスト後すぐ削除する), ezmlm-idx のコ マンドバイナリ群が実行できるか確かめる (ezmlm-test コマンド). ezmlm-test を実行する前に ezmlm-idx のコマンドバイナリ群にパスが通って いるかを確認されたい.
# chmod 755 ezmlm-test # adduser --uid 50000 eztest # su eztest $ ./ezmlm-test testing ezmlm-idx: ezmlm-idx-0.40 Using FQDN host name: ika.ahs.scitec.kobe-u.ac.jp ezmlm-make (1/2): OK Using RDBMS support: No. testing for qmail: >=1.02 ezmlm-reject: OK ezmlm-[un|is]sub[n]: OK ezmlm-send (1/2): OK ezmlm-tstdig: OK ezmlm-weed: OK ezmlm-make (2/2): OK ezmlm-clean (1/2): removed mod queue entry 3 that wasn't due
上記のように正常に実行されることが確認されたら, exit する.
$ exit
ここで su eztest と行ったが sudo コマンドを用いる場合はデフォルトでは 環境変数 $HOME がログインしたユーザとなったままとなり正しく実行されな いので -H オプションをつけて実行する.
ezmlm-idx のリビルド
MySQL を使わない場合は以下を実行する (使う場合には異なる作業が要る).
# make std # make
以下を実行して ezmlm-idx のコマンドバイナリを /usr/local/ezmlm/bin 以 下にコピーする.
# make setup
インストール後の ezmlm-idx の動作テスト
インストールされた ezmlm-test を実行する. /usr/local/ezmlm/bin/ 以下のコマンドバイナリ群にパスが通っているか も同時に確認する.
# su eztest $ source /etc/profile # bash の場合 $ echo $PATH .... /usr/local/ezmlm/bin # <- ここにパスが通っていることを確認 $ /usr/local/src/ezmlm-0.53-patched_by_idx $ ./ezmlm-test testing ezmlm-idx: ezmlm-idx-0.40 Using FQDN host name: ika.ahs.scitec.kobe-u.ac.jp ezmlm-make (1/2): OK Using RDBMS support: No. testing for qmail: >=1.02 ezmlm-reject: OK ezmlm-[un|is]sub[n]: OK ezmlm-send (1/2): OK ezmlm-tstdig: OK ezmlm-weed: OK ezmlm-make (2/2): OK ezmlm-clean (1/2): removed mod queue entry 3 that wasn't due $ exit # userdel -r eztest # groupdel eztest # rm -r ~eztest/
X のインストール, X window system (input method 等の) の設定
X のインストールと設定
# apt-get install xorg
モニターの表示解像度を選択させられるので, 1280x1024以下の組合せを全てチェック.
モニターの大まかなスペック
- 水平周波数
- デジタル 24.8 - 80 kHz
- アナログ 31 - 60 kHz
- 垂直周波数
- デジタル 50 - 75 Hz
- アナログ 59 - 61 Hz
- VGA Text時 69-71 Hz
- 解像度 1280ドット 1024ライン
詳しくは, マニュアルに記載されている. 特に気にしなくても, 起動すること には起動する.
ユーザーで以下のコマンドを実行して, Xが起動することを確認.
$ startx
ターミナルが一つだけでるので, そこで
$ exit
と入力するとXが落ちる.
AIGLX: DRI not capableとかなんとかエラーが出た場合は, Moduleセクション のLoad "glx"をコメントアウトすると正常に起動した.
Xfce4のインストール
# apt-get install xfce4
Xfce4を使って起動するときは, (startx(1)ではなく)startxfce4(1)を用いる.
デフォルトではメニューのターミナルからはuxtermというのが起動されるが, 日本語がきちんと表示できないので, 変更する.
# apt-get install rxvt-ml
これで krxvt がインストールされる. Xfce のメニューの, Xfce →設定→メ ニューエディターから, ターミナルを選んで, 右クリックして Edit entry を 選び, コマンドを krxvt に書き換え, 変更を保存する.
firefoxのインストール
# apt-get install firefox
uim, anthyのインストール
# apt-get install anthy anthy-el uim uim-anthy
参考: <URL:http://anthy.sourceforge.jp/cgi-bin/hikija/hiki.cgi?InstallUim>
起動スクリプトを用意.
# cp /etc/xdg/xfce4/xinitrc ~/.config/xfce4/xinitrc
~/.config/xfce4/xinitrc の
# Run xfce4-session if installed
とある行の手前に
----ここから---- GTK_IM_MODULE=uim ; export GTK_IM_MODULE uim-xim & XMODIFIERS=@im=uim ; export XMODIFIERS ----ここまで----
を追記.
Xを起動するときは, startxfce4(1)によって実行する. (もしかすると, uim-im-switcher-gtkを実行する必要があるかもしれない. )
firefoxを起動し, 検索ウィンドウで日本字が入力できるかどうかを試す. 日 本字入力モードにするには, [半角/全角]キーを押せば良い.
神戸版 gate-toroku-system の作成
電脳サーバから, 最新版の gate-toroku-system をダウンロードし, これを神戸版 gate-toroku-system の初版として cvsroot を作成する.
必要なソフトウェアのインストール
# apt-get install cvs # apt-get install kcc # apt-get install qkc # apt-get install libjcode-pm-perl
電脳サーバからのダウンロード
CVS に関する環境変数を指定後, cvs checkout で最新版を取得する.
$ export CVSROOT=:ext:www.gfd-dennou.org:/GFD_Dennou_Club/dc-arch/gate/cvsroot $ export CVS_RSH=ssh $ cvs checkout -r dennou gate-toroku-system
余分なファイルの削除, 文字コードの修正
新たに cvsroot を作成するため, gate-toroku-system 内の余計なディレクトリ やファイルを削除する. ls -aR でディレクトリ内のファイルを眺め, 不要なドットファイルなども削除しておくこと.
$ cd gate-toroku-system $ rm -frv `find -name CVS`
また, 文字コードは 1 種類に統一したいため, kcc で文字コードのチェックを行う. 今回は EUC に統一することを考えているので, 異なるものがある場合には qkc で変更すること.
$ kcc -c `find -name '*'`
:
./make-smtppasswd/Makefile: ASCII
./make-smtppasswd/gate-make-smtppasswd.PL: 7-bit JIS [ESC$B, ESC(B]
./user-status/gate-user-status.PL: EUC
./user-status/Makefile: ASCII
$ qkc -e -u ./make-smtppasswd/gate-make-smtppasswd.PL
gate ユーザの作成
CVS リポジトリは /home/gate 以下に作成するため, gate ユーザを以下のように 作成する.
# adduser --uid 500 --disabled-password gate
フルネームには "Administrator of gate-toroku-system" を入力する.
CVS リポジトリの作成
# su gate $ umask 002 $ cd $ cvs -d /home/gate/cvsroot init
グループ書き込み許可の設定
上記で umask などの設定をおこなったものの, s ビットを立てるなど, パーミッションの設定が必要となる. また cvs init コマンドで 作成したディレクトリやファイルの中にはグループ書き込み権限が 無いものもあるので, 以下で設定する.
リポジトリ cvsroot パーミッションの設定
cvsroot 以下で作成されるファイル, ディレクトリのグループを gate にするため, cvsroot に s ビットを立て, 書き込み権限を 与える. 念のためにグループも gate に設定する.
$ chmod g+s cvsroot $ chmod g+w cvsroot $ chgrp gate cvsroot
管理用ディレクトリ CVSROOT 内のパーミッションの設定
cvsroot が作成されれば, そのリポジトリに関する CVS の動作を 制御する CVSROOT ディレクトリも作成されているはずである.
このディレクトリ, およびそれ以下の特定のファイルに関して グループの変更と書き込み権限変更をおこなう.
グループを gate とし, グループに書き込み権限を与える. (これは少しアンセキュアな方針かもしれない. よりセキュアな 方法として, 代表的な管理者 1 人にのみ書き込み権限を与える という方針もあり得るだろう).
$ cd cvsroot $ chgrp gate CVSROOT $ chmod g+s CVSROOT $ chmod g+w CVSROOT
CVSROOT 以下にある history, val-tags にグループ書き込み権限 を与える. (グループは既に gate であると仮定している).
なお, history とはこのリポジトリ以下のプロジェクトに対して 行なわれた checkout, commit, rtag, update, release を記録 しているファイルである. cvs history コマンドで見ることが出来る. (動作の詳細は cvs history -x コマンドを参照のこと). ここではグループ gate で開発することを念頭に置くため, グループに書き込み権限を与えておく.
$ cd CVSROOT $ chmod g+w history
val-tags は検索を高速化するために, 有効なタグ名をキャッシュ しているファイルである. GATE プロジェクトではタグも使用するので, これにもグループ書き込み権限を与える.
$ chmod g+w val-tags
gate-toroku-system プロジェクト開始
gate-toroku-system ディレクトリ内に移動し, cvs import でプロジェクトを 開始する.
# su gate $ umask 002 $ cd gate-toroku-system $ export CVSROOT=/home/gate/cvsroot $ cvs import -m "gate-toroku-system" gate-toroku-system gate Initial
プロジェクトのパーミッションの確認
プロジェクトのディレクトリのパーミッションを確認しておく.
$ ls -l /home/gate/cvsroot drwxrwsr-x 3 gate gate 4096 2007-08-15 17:18 CVSROOT drwxrwsr-x 39 gate gate 4096 2007-08-15 17:44 gate-toroku-system
上記のようにグループが gate で権限が rws の場合は問題ない. もしそうで ないのなら, 以下のコマンドでグループとパーミッションを変更すること.
$ chgrp gate gate-toroku-system $ chmod g+s gate-toroku-system $ chmod g+w gate-toroku-system
なお, もしも gate-toroku-system が上記のようなパーミッションになってい なかった場合, それよりも下層ディレクトリのパーミッションもそれと同様な 可能性がある. それらに関してもグループとパーミッションを設定すること. 調べるには以下のコマンドが便利であろう.
$ cd /home/gate/cvsroot/gate-toroku-system $ ls -dl `find -type d`
- プロジェクト以下にある「ファイル」に関しては (グループは gate
である必要があるが) パーミッションは
-r--r--r--で問題ない. cvs コマンドを介せば, 正しく commit, add, remove などが可能である.
CVS リポジトリのカスタマイズ
<URL:http://www.gfd-dennou.org/library/cc-env/cvs/> を参考に, 以下の作業を行う. 作業手順に関しては以下を参照のこと.
- cvs リポジトリのカスタマイズ
- commit をメール通知する設定
- バイナリファイルを安全に登録するために
- euc のファイルのみ登録するには
- commit メッセージを euc のみに
なお, メール通知の際の宛先は epadvlop@tide.ahs.scitec.kobe-u.ac.jp とし, ファイルの文字コードは EUC とする.
gate-toroku-system のインストール
必要なソフトウェアのインストール
まず, gate に必要なパッケージをインストールします. 以下の 2 行を /etc/apt/sources.list に加えてください.
deb http://www.gfd-dennou.org/arch/cc-env/Linux/debian-dennou stable/ deb-src http://www.gfd-dennou.org/arch/cc-env/Linux/debian-dennou stable/
その後, 以下のコマンドで, 必要なパッケージをインストールします.
# apt-get update # apt-get install perl-suid libjcode-perl rsync wget htroff cvs
インストール時, cvs のリポジトリの位置を問われるが, 空文字を与える.
作業用アカウントの作成
今回は既に gate-toroku-system ソースの置き場として作成済みだが, 本来はこの段階で, gate-toroku-system 管理アカウント gate を作成する. ユーザ ID は 1 -- 999 の間(システムユーザ領域)に設定する.
この時, フルネームを入力しなくてはならない. 「Administrator of gate-toroku-system」など, gate の管理用ユーザだとい うことが分かるものがよいだろう.
gate グループに gate 管理者を加える. 現段階では, 森川, 村上, 佐々木 の 3 名 (mondo1, mondo2, mondo3) を加えておく.
# vigr gate:x:500:mondo1, mondo2, mondo3 # vigr -s gate:!::500:mondo1, mondo2, mondo3
gate ユーザへのメールの転送
/home/gate/.qmail に gate 管理者のメールアドレスを書き込む.
- 注意
- 電子メールアドレスの前に & をつける.
- 空白, 空行をいれない.
gate-toroku-system のソースを取得
# su gate $ cd $ cvs -d /home/gate/cvsroot/ checkout gate-toroku-system
gate-toroku-system の設定ファイルを編集
gate-toroku-system 内の以下のファイルを適宜編集する.
- gate-sys.conf [設定後]
- include/gate.conf [設定後]
- include/gate-user.conf [設定後]
- include/gate-ip.conf (IP 管理をする場合のみ)
- include/gate-local.pl [設定後]
gate-toroku-system の表紙ページを編集
gate-toroku-system/html 内の HTML ファイルについて, 変更があれば編集する.
gate-toroku-system CGI を動作させるための apache2 設定
以下では CGI の動作に関して, apache2 の設定について確認すべき点を挙げ る. 場合によっては gate-sys.conf や gate.conf ファイルを編集せねばなら ない. 今回は apache2 をソースからコンパイルしたので, apache2 の設定ファ イルは /usr/local/apache2/conf/httpd.conf である.
apache を動作させるユーザ, グループ
httpd.conf においては apache がどのユーザ, グループの権限で動作する かは「 User 」 および「 Group 」で指定される.
User www-data Group www-data
この「 User 」, 「 Group 」に指定されているユーザ, グループが gate.conf における $CGIUSER に指定されているユーザと 一致しなくてはな らない. 相違している場合はどちらかを変更すること.
$CGIUSER = "www-data";
gate システム用 CGI 置き場
httpd.conf 内の「 ScriptAlias 」において以下のように指定されると, /usr/local/apache2/cgi-bin/ に置かれた CGI が HTTP 的に /cgi-bin/ と することで呼び出されることを示す.
ScriptAlias /cgi-bin/ "/usr/local/apache2/cgi-bin/"
本来は, この「 ScriptAlias 」の下線部分と gate-sys.conf における $CGIBINDIR にて指定されるディレクトリが一致しなければならない. ただ し, 今回はインストール先は /usr/local/gate/lib/cgi-bin とし, そこに置かれたファイルのシンボリックリンクを /usr/local/apache2/cgi-bin/ に置くこととする.
$BASEDIR = '/usr/local/gate'; # Debian 化されたら /usr $CGIBINDIR = "$BASEDIR/lib/cgi-bin";
/usr/local/apache2/cgi-bin/ の CGI が動作するために
/usr/local/apache2/cgi-bin/ 以下の CGI が動作するために, httpd.conf で以下のように記述する.
<Directory "/usr/local/apache2/cgi-bin/"> AllowOverride AuthConfig Limit Options ExecCGI FollowSymLinks IncludesNoExec </Directory>設定後に apache2 を再起動する.
デバッグ用ディレクトリの作成
gate-toroku-system でデバッグを行うためのディレクトリとして ~gate/gate_test_dir を作成しておく.
# su gate $ mkdir ~gate/gate_test_dir
make とインストール
# su gate $ cd ~gate/gate-toroku-system/ $ perl ./config.pl $ make $ exit $ sudo -s # cd ~gate/gate-toroku-system # make install
実行ファイルや man 用ファイル, HTML ファイルは /usr/local/gate 以下にインストールされる. 一方, デバッグモードのため, 設定ファイル群は /home/gate/gate_test_dir/etc/gate/ にインストールされる.
(今回は使用しないが IP 管理用の設定ファイルも同様の場所に gate-ip.conf としてインストールされる).
cgi のシンボリックリンク作成
/usr/local/gate/lib/cgi-bin 以下にインストールされた cgi の シンボリックリンクを /usr/local/apache2/cgi-bin 以下に作成する.
# cd /usr/local/apache2/cgi-bin # ln -s ../../gate/lib/cgi-bin/gate-*.cgi .
gate-toroku-system の各スクリプトおよび man へのパスの設定
/usr/local/gate/bin および /usr/local/gate/sbin にパスを通す. 編集するファイルは /etc/profile, /etc/csh.cshrc, /etc/zsh/zshenv の3つ. 上記の qpopper, apache のパスを通したのと同様に追加する.
manへのパスも, 先ほどと同様にする. /etc/manpath.config に以下を追加.
MANDATORY_MANPATH /usr/local/gate/man/ja MANPATH_MAP /usr/local/gate/bin /usr/local/gate/man/ja MANPATH_MAP /usr/local/gate/sbin /usr/local/gate/man/ja MANDB_MAP /usr/local/gate/man/ja /usr/local/gate/man/ja
Web インターフェースのチェック
<URL:https://ika.ahs.scitec.kobe-u.ac.jp/~gate/> にアクセスし, gate 登録システムのインデックスページが見えるかチェックする. また, そのページからリンクされている [個人申請] などに移動し, CGI が動作していることをチェックする.
最初の保証人ユーザ作成
[個人申請] を参照し, 管理グループの代表者のユーザ登録申請を行なう. 保証人は先につくったユーザ"gate"として登録すること.
/home/gate/userdb/pending の下に登録者のデータベースファイル (申請ログ イン名がついたファイル) が生成されているか確認せよ.
申請が受け付けられた後, 承認を経てはじめてアカウントが生成される. そこ で今回行った申請にも承認を行おう. そのために保証人"gate"の登録システム 用パスワードを設定する. gate ユーザの権限で以下のコマンドを実行せよ.
# su gate $ cd $ htpasswd -c ~gate/.gate gate
ここで投入したパスワードを用いてユーザ "gate" として保証人の ( [ユーザ登録承認] を用いる ) を行なう. /home/gate/userdb/stable に承認されたユーザのデータベースファ イルが移動しているか確認せよ.
ただし, gate-sys.conf の $USE_DAEMON が以下のように設定されている場合,
$USE_DAEMON = 1; # 1 がデーモンモード, 0 がクロン
承認時に以下のような警告メッセージが表示される. これは下記の デーモンモードでの運用? で解消されるはずなのでとりあえず ほおっておく.
/usr/local/gate/bin/gate-user-accept: To localhost, connect failed: Connection refused at /usr/local/gate/lib/gate-common.pl line 130.
アカウント生成 (テスト)
/home/gate/userdb の中にあるデータベースファイルをシステムに反映させる には ルートで /usr/local/gate/lib/gate-daily を起動する.
# perl /usr/local/gate/lib/gate-daily
/home/gate/gate_test_dir/etc 内に存在する passwd, group, shadow, sudoers ファイルが更新され, それぞれ .bk を付加した名前の バックアップ ファイルが生成されるはずである. これらの変更点を確認せよ. たとえば /home/gate/gate_test_dir/etc/passwd.bk から /home/gate/gate_test_dir/etc/passwd への変更点は
$ diff -u /home/gate/gate_test_dir/etc/passwd.bk /home/gate/gate_test_dir/etc/passwd
コマンドによって確認できる.
また /home/gate/gate_test_dir/home には /home/gate/userdb 以下に存在す るユーザのディレクトリができているはずなので確認する.
デーモンモードでの運用
ユーザ, ホストのデータベースをシステムに反映させる方法として デーモン モードとクロンモードがある. 以下ではデーモンモードで運用する方法を考え る.
gate-sys.conf の設定
/etc/gate/gate-sys.conf 中の $USE_DAEMON 変数が 1 というのを確かめる.
$USE_DAEMON = 1;
gate-toroku-system 用のポートの作成
/etc/inetd.conf に以下の一行 (長いけど) を付け足す.
gate stream tcp nowait root /usr/sbin/tcpd /usr/local/gate/lib/gate-daily -N
ポート番号の設定
/etc/services に以下の行を付け足す.
gate 8888/tcp # gate-toroku-system
TCP wrappers によるセキュリティ強化
gate ポートは, 登録サーバにせよその他のサーバにせよ, 登録サーバから のアクセスさえ受け付けられればその役目を果たすので 登録サーバからの みアクセスを受けるのが理想的である. TCP wrappers を使用して, アクセ スを登録サーバからのものに限定する.
特に EPA サーバは 1 台での運用なので, 自身からのアクセスのみ許容する.
/etc/hosts.deny の編集
/etc/hosts.deny に以下の一行を追加し, まずは全てのホストからの gate ポートへのアクセスを拒否する.
ALL: PARANOID gate-daily: ALL
/etc/hosts.allow の編集
/etc/hosts.allow に以下の一行を追加し, 登録サーバ自身からの アクセスのみは受け付けるようにする.
gate-daily: 127.0.0.1
/etc/hosts.deny と /etc/hosts.allow の設定に間違いがないことを確認す る.
# tcpdmatch gate-daily <登録サーバ以外のホスト>
結果, access: denied と表示されればアクセスが正常に拒否されている. 次に, 登録サーバ自身からのアクセスは受け付けられているか確認する.
# tcpdmatch gate-daily localhost
結果, access: granted と表示されれば OK.
inetd を再起動
# /etc/init.d/openbsd-inetd restart
確認
CGI からユーザの申請および認証を行う. 認証して数分後に /home/gate/gate_test_dir/ 以下のシステムファイルが更新されておれば OK.
本気モードで動かす
本気モードで動かす際には, 一度ソースで make しなおす必要がある.
$ cd ~gate/gate-toroku-system
$ make clean
$ vi gate-sys.conf
$DEBUG_CONFIG = 1;
を
$DEBUG_CONFIG = 0;
$ perl ./config.pl
$ make
$ sudo -s
# cd ~gate/gate-toroku-system
# make install
gate-toroku-system の動作確認
ika にて以下のコマンドを実行する
# perl /usr/local/gate/lib/gate-daily
以下のファイルが生成されているか確認
- /etc/passwd
- /etc/shadow
- /etc/group
- /etc/sudoers
研究室グループユーザ, 実験実習グループユーザ作成.
それぞれ epalab (仮), itpass を作成する.
apache2 のデフォルトホームページを林研に
/usr/local/apache2/conf/httpd.conf の DocumentRoot を以下のように変更.
DocumentRoot "/home/epalab/public_html"
:
# This should be changed to whatever you set DocumentRoot to.
#
<Directory "/home/epalab/public_html">
:
</Directory>
skk
skk のインストール
# apt-get install dbskkd-cdb ddskk
/etc/inetd.conf の変更
qpopper を呼び出す所を, tcpd 経由で呼び出すように変更
pop3 stream tcp nowait root /usr/sbin/tcpd /usr/local/qpopper/sbin/popper -s
/etc/hosts.allow の変更
ALL: localhost :allow popper: ALL :allow sshd: ALL :allow
/etc/hosts.deny の変更
ALL:ALL
将来的な ToDo
実験実習までに行わないんじゃなかろうかと思われる作業.
バックアップ体制の検討と実装
CNAME 'www.ahs.scitec.kobe-u.ac.jp' の設定
MUA のインストール
Mew を入れておけば良いか?? そもそも使わない??
cron 関連
crontab をもう少しきれいに整形??
言語設定を英語にする.
ログの期間について
ログの保管の期間は 3 ヶ月とする.
システムがデフォルトで持っているログに関しては, /etc/cron.daily/sysklogd, /etc/cron.weekly/sysklogd を編集することで期間を延ばす.
apache は独自のログを出力するため, こちらは独自で対処する必要あり. (EP サーバにその旨のドキュメントがあるはず).
その他, ソースからインストールしたサーバソフトウェアのログ出力先.
- qpopper: mail.log
- qmail: mail.log
- tcpserver: daemon.log
qmailanalog の導入
qmail から出力されるログの統計情報を得るためのソフトウェア. EP サーバのメールドキュメント参照.
gate-toroku-system の CGI から公開鍵を送り込む
gate が内部で .ssh/authorized_key を作成する.
Hiki の導入
現在 AHS サーバで提供しているような Wiki を EPA サーバでも 利用可能にすべく, Wiki クローンである Hiki (http://hikiwiki.org/) をインストールする.
- CVS との連携
- Hiki で管理されるファイルは実質的には CVS で管理
Quota の設定
カーネルの再構築が必要.
Keyword(s):
References:[[EPA2007]2007年度サーバ構築ログ]