交大資訊系計中

CSMAIL Installation Guide

hhyou — Thu, 14 Aug 2008 05:03:45 +0000

Step 1. 安裝基本系統

FreeBSD Installation.

Step 2. Install Apache server

# cd /usr/ports/www/apache2 ; make install clean

Step 3. Install PHP

# cd /usr/ports/lang/php5 ; make install clean
(這裡記得要選 apache2 的支援)
# cd /usr/ports/lang/php5-extensions ; make install clean

Step 4. Install Webmail(s)

# cd /usr/ports/www/horde ; make WITH_PHP5=yes WITH_APACHE2=yes WITH_MAGICK=yes install clean
# cd /usr/ports/mail/imp ; make install clean

Step 5. Install a new X.509 certificate

# cd /etc/ssl ; ./gen.req

Step 6. Configure Apache server

# vi /usr/local/etc/apache2/httpd.conf

修改 ServerName, ServerAdmin

#
# Dynamic Shared Object (DSO) Support
#
[skip]

+ LoadModule php5_module libexec/apache2/libphp5.so

#
# DirectoryIndex: sets the file that Apache will serve if a directory
# is requested

.
- DirectoryIndex index.htm index.html
+ DirectoryIndex index.php index.htm index.html

#
# If the AddEncoding directives above are commented-out, then you
# probably should define those extensions to indicate media types:
#
AddType application/x-compress .Z
AddType application/x-gzip .gz .tgz

+ AddType application/x-httpd-php .php .phtml
+ AddType application/x-httpd-php-source .phps

# vi /usr/local/etc/apache2/ssl.conf

修改 ServerName, ServerAdmin, SSLCertificateFile, SSLCertificateKeyFile

Step 7. Start Apache server

# apachectl startssl

Step 8. Configure Horde

# rm -f /usr/local/www/data ; mkdir /usr/local/www/data
# cd /usr/local/www/data ; ln -s ../horde .

用 Browser 開 https://mail.cs.nctu.edu.tw/horde , 設定 database server 為 mysql.cs.nctu.edu.tw 參照 Horde Documentation、IMP Documentation 、Nag Documantation 、Turba Documentation 作設定。修改 /usr/local/www/horde/imp/config/servers.php，將預設的 mail domain 改成 cs.nctu.edu.tw
[edit]
Test Horde-IMP with Browser

Appendix: gen.CA & gen.req

#!/bin/sh
#
# gen.CA
# Generate CA certificate
# 2002/11/28 wkwu@csie.nctu.edu.tw
#
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
#
PREFIX=/etc/ssl
CANAME=$1
#
OPENSSL=/usr/bin/openssl
SSL_CFG=$PREFIX/openssl.cnf
CA_KEY=$PREFIX/private/${CANAME}-CA.key
CA_CRT=$PREFIX/certs/${CANAME}-CA.crt
CA_REQ=$PREFIX/req/${CANAME}-CA.req
DAYS=7035

if [ $# -lt 1 ]; then
echo “”
echo “Usage: gen.CA hostname” ; echo “”
echo “ eg: gen.CA cschiu” ; echo “”
exit 2
fi

if [ -f $CA_CRT ] ; then
echo “”
echo “$CA_CRT already exist! Do you want to continue?”
echo “[ENTER to accept] [Ctrl+C to quit]”
read NO_USE
fi

trap “quit()” 1 2 3 14 15

$OPENSSL genrsa -des3 -out $CA_KEY 2048
$OPENSSL req -new -key $CA_KEY -out $CA_REQ

$OPENSSL x509 -req -days $DAYS -md5 -extfile $SSL_CFG -extensions v3_ca \
-signkey $CA_KEY -in $CA_REQ -out $CA_CRT

echo “The new CA certificate is at $CA_CRT”

quit () {
echo “See you next time. byebye!”
exit 1
}

#!/bin/sh
#
# gen.req
# Generate certificate request of CSIE hosts
# 2003/05/05 wkwu@csie.nctu.edu.tw
#
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
#
PREFIX=/etc/ssl
CANAME=cs
#
SSL_CFG=$PREFIX/openssl.cnf
CA_KEY=$PREFIX/private/${CANAME}-CA.key
CA_CRT=$PREFIX/certs/${CANAME}-CA.crt
CA_SRL=$PREFIX/${CANAME}_ca.srl
NEW_REQ=$PREFIX/req/$1.req
NEW_CRT=$PREFIX/certs/$1.crt
NEW_KEY=$PREFIX/private/$1.key
DAYS=3650

if [ $# -lt 1 ]; then
echo “”
echo “Usage: gen.req hostname” ; echo “”
echo “ eg: gen.req www” ; echo “”
exit 2
fi

if [ -f $NEW_CRT ] ; then
echo “”
echo “$NEW_CRT already exist! Do you want to continue?”
echo “[ENTER to accept] [Ctrl+C to quit]”
read NO_USE
fi

trap “quit()” 1 2 3 14 15

openssl genrsa -out $NEW_KEY 1024
openssl req -new -key $NEW_KEY -out $NEW_REQ

openssl x509 -req -days $DAYS -md5 -extfile $SSL_CFG -extensions v3_req \
-CA $CA_CRT -CAkey $CA_KEY -CAserial $CA_SRL -CAcreateserial \
-in $NEW_REQ -out $NEW_CRT

echo “The new certificate of $1 is at $NEW_CRT!”

HP DesignJet 800 繪圖機使用方法

Rascov — Thu, 14 Aug 2008 04:08:32 +0000

# 本篇備份自CMS

如果有人要來列印，請先請示團長或大總管。
機器的電源開關在左下角藍色圓圓的按鈕。
這台機器在 \\hydra\dj800，只要是 Administrators 群組的人都可以列印，如果不能列印的話，記得先把自己加入到安全分頁裡面，讓自己可以用印表機。
如果要列印的是 Powerpoint 檔:
1. 先檢查繪圖機裡面的滾筒紙放的是 A1 還是 A0 的。
  1. 如果是 A0 的紙，而你要印 A1 的 ppt，那記得要直印, 旋轉 90 度, 選 A1 的紙
  2. 如果是 A1 的紙，而你要印 A1 的 ppt，那記得要直印
  3. 記得 “配合紙張調整大小” 要打勾。
如果要列印的是 Excel 檔: 要調整 “縮放比例”，直到預覽列印時得到適當的比例。
如果要列印的是其他檔案: (Word, pdf, etc…)，記得 “配合紙張調整大小” 要打勾。
如果沒紙了，找團長。

MySQL架構以及安裝方法

silin — Thu, 14 Aug 2008 03:06:57 +0000

MySQL Master: cswproxy
MySQL Slave: csws1, csws2, csduty

Installation Step
# cd /usr/ports/databases/mysql41-server ; make install clean
# ln -s /mysql /var/db/mysql ; chown mysql:mysql /mysql (請把 /mysql 代換成存放資料庫的實體目錄)
# echo “mysql_enable=”YES” >> /etc/rc.conf
# /usr/local/etc/rc.d/mysql-server.sh start
# mysqladmin -u root password ‘資料庫的root密碼’

OpenLDAP Upgrade

skli — Wed, 06 Aug 2008 13:21:09 +0000

OpenLDAP 升級 (by jtwang)

現況說明：

目前系計中有三台主要的LDAP Server，其中有
1. cshome：為LDAP Master，別名為 ldapmaster.cs.nctu.edu.tw
2. csmailgate：為LDAP Slave，別名為 ldap.cs.nctu.edu.tw
3. csduty：為LDAP Slave，別名與csmailgate的別名相同。

cshome每天都會把資料庫文字備份到/net/etc_backup/cshome裡面。

一般情況之下，儘可能保持三台Server的版本相同，避免出現版本不相同而不相容的情事。
升級並不需要有任何特定順序，惟注意升級Master時，會附掛replication server，若是重建
cshome的bdb時，需特別注意相關問題。

升級ldap的時候，一定要保持冷靜，因為除非兩個系統(csmailgate, csduty)都爛掉了，這樣才
會變成很嚴重的問題；即使兩台都爛了，只要第三台沒爛，那資料就一定有救，所以不要
太緊張，但是一定要謹慎。

第一步驟，以文字資料備份資料庫

# ldapsearch -x -d ‘cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw’ -W > csdb.ldif

接下來打入密碼，密碼在cshome上面的 /usr/local/adm/bin/fixldap或是/usr/local/adm/bin/syncpasswd。

第二步驟，檢查備份資料完整性

目前來說系計中的LDAP資料筆數大約是3000~4000筆之間，用

# vi csdb.ldif

按下G，可以看到輸出的資料筆數。

往上捲動看幾個一般使用者，檢查他們是否都有userPassword以及NTLMpasswd之類的欄位。

第三步驟，開始升級，在這個地方我們比較不建議使用portupgrade openldap23-server，而是

# cd /usr/ports/net/openldap23-client

# make

# cd /usr/ports/net/openldap23-server

# make

# sudo /usr/local/etc/rc.d/slapd stop

# sudo /usr/local/etc/rc.d/slurpd stop

# make -DFORCE_PKG_REGISTER reinstall

# sudo /usr/local/etc/rc.d/slapd start

# sudo /usr/local/etc/rc.d/slurpd start #如果這台是cshome的話

# if [ `HOSTNAME` = ‘cshome’ ] then

> /usr/local/etc/rc.d/slurp start

因為這樣的動作可以確保OpenLDAP Server的downtime最短，而portupgrade的好處是自動化，
但是它卻不會幫你重新啟動ldap server (而是直接停掉)

第四步驟，檢查資料庫正常運作

# ps auxwww | grep slapd

如果有process的話，那麼就有機會是好的，可以接下來做第五個步驟的測試，如果沒有的話；
那麼可能就需要做第六步驟的還原了。不確定的話，可以再重新把slapd重新啟動一次。

第五步驟，再次確認資料庫正常運作

# ldapsearch -x -H ldaps://HOSTNAME ‘(uid=jtwang)’

HOSTNAME的部份填入相對應的hostname，有可能是csduty、csmailgate、cshome
確定HOSTNAME的部份相當重要。

如果真的有查到資料，恭喜你，你的資料庫已經成功的升級了，可以省略本文件以下的內容。

第六步驟，還原資料庫

如果你的slapd開起來之後沒多久就死掉，或者是根本就開不起來，建議你可以先使用

# /usr/local/libexec/slapd -D 255

啟動slapd來看錯誤訊息，如果發現是無可捥救的錯誤訊息的話，那就可以把資料庫砍了

# sudo mv /var/db/openldap-data /var/db/openldap-data-`date ….`

# sudo mkdir /var/db/openldap-data

# sudo chmod 700 /var/db/openldap-data

# sudo chown ldap:ldap /var/db/openldap-data

# sudo /usr/local/etc/rc.d/slapd start

然後把原本的資料倒回去

基本上，你要確定倒出的資料前兩筆一定要是

Dn: cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw
……

Dn: cn=cs,dc=nctu,dc=edu,dc=tw
……

接下來再

# ldapadd -D “cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw” -H ldaps://HOSTNAME -W -f csdb.ldif

一定要注意，-H 那一段一定要加，以免倒錯機器。

理論上你會看到一大堆add entry …. “uid=UID,ou=People,dc=cs,dc=nctu,dc=edu,dc=tw” 之類的，一直到結束。
如果可以安然的執行到結束而且沒有錯誤訊息的話，那麼恭喜你，你的升級動作有驚無險的完成了。
可以省略以下的文件。

如果又冒出錯誤訊息，那麼你的升級之路還沒結束…

第N-1步驟，檢查你的錯誤訊息

如果錯誤訊息是syntax error或是什麼value之類的，則詢問一下之前的maintainer或問你自己是不是有修改過
schema，可能是之前可以接受的資料類型，而現在不支援了。

第N步驟，Google it

把它找出問題發現的原因，並解決它。

LDAP Slave Setting

skli — Wed, 06 Aug 2008 13:12:41 +0000

系計中的 LDAP Slave 為 csduty 和 csmailgate

Step 1

在要跑 LDAP slave 的機器上安裝 openldap-server，版本要和 LDAP master相同。
例如：master 和 slave 都裝 openldap23-server。

Step 2

編輯 slapd.conf，在 FreeBSD 中路徑為 /usr/local/etc/openldap/slapd.conf，其實可以
直接從舊的 LDAP slave 複製過來。slapd.conf 大部分的內容和 LDAP master 的設定
相同，以下只列出不同的地方。

以 csduty 的 slapd.conf 為例。

1. 每台機器有自己的 cert 和 key。

TLSCertificateFile /etc/ssl/certs/csduty.crt
TLSCertificateKeyFile /etc/ssl/private/csduty.key

2. LDAP slave 沒有 replogfile 和 replica 設定。

3. LDAP slave 要加上以下設定

updatedn “cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw”
updateref ldaps://cshome.cs.nctu.edu.tw

Step 3

chown ldap:ldap slpad.conf
chmod 600 slapd.conf

Step 4

複製 nis.schema , samba.schema , cs.schema , sudo.schema 到新機器上。

複製 cert 和 key 到新機器上，也可以從 csmail 抓這兩個檔案。

chown -R root:ldap /etc/ssl/private
chmod 750 /etc/ssl/private

Step 5

在 LDAP slave 新建資料庫，方法同 LDAP master 的 Step 6 和 Step 7。

Step 6

/var/db/openldap-data 的處理同 LDAP master 的 Step 8。
在 LDAP slave 中不用管 /var/db/openldap-slurp。

Step 7

編輯 /etc/rc.conf，加入

# ldap
slapd_enable=”YES”
slapd_flags=’-h “ldapi://%2fvar%2frun%2fopenldap%2fldapi/ ldaps://0.0.0.0/”‘
slapd_sockets=”/var/run/openldap/ldapi”

Step 8

修改 LDAP master 的 slapd.conf，加上 replica 設定。

例如：新增csduty為 LDAP slave。

replica uri=ldaps://csduty.cs.nctu.edu.tw:636
binddn=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw”
bindmethod=simple credentials=NCTUCScenter

重新啟動 LDAP master 的 slapd
/usr/local/etc/rc.d/slapd restart

Step 9

啟動 slapd
/usr/local/etc/rc.d/slapd start

LDAP Master Setting

skli — Wed, 06 Aug 2008 13:07:15 +0000

系計中的 LDAP master 為 cshome

Step 1

在要跑 LDAP master 的機器上安裝 openldap-server。
不同版本在設定上有一點點差異，這裡以 openldap23-server (2.3.x 版本) 為例。
在 FreeBSD 的 ports 目錄為 /usr/ports/net/openldap23-server/。

Step 2

編輯 slapd.conf，在 FreeBSD 中路徑為 /usr/local/etc/openldap/slapd.conf，其實可以
直接從舊的 LDAP master 複製過來。以下為 cshome 的 slapd.conf 設定。

include /usr/local/etc/openldap/schema/core.schema
include /usr/local/etc/openldap/schema/cosine.schema
include /usr/local/etc/openldap/schema/misc.schema
include /usr/local/etc/openldap/schema/inetorgperson.schema
include /usr/local/etc/openldap/schema/openldap.schema
include /usr/local/etc/openldap/nis.schema
include /usr/local/etc/openldap/schema/samba.schema
include /usr/local/etc/openldap/schema/cs.schema
include /usr/local/etc/openldap/schema/sudo.schema

TLSCipherSuite HIGH:MEDIUM:+SSLv2
TLSCertificateFile /etc/ssl/certs/ldapmaster.crt
TLSCertificateKeyFile /etc/ssl/private/ldapmaster.key
TLSVerifyClient try

##
# replications
##
replogfile /var/db/openldap-slurp/replog

pidfile /var/run/openldap/slapd.pid
argsfile /var/run/openldap/slapd.args

modulepath      /usr/local/libexec/openldap
moduleload      back_bdb
moduleload      back_ldap
moduleload      back_ldbm
#moduleload     back_passwd
#moduleload     back_shell

access to attrs=userPassword
        by self write
        by anonymous auth
        by dn.base=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw” write
        by * none

access to attrs=SambaLMPassword,SambaNTPassword,sudoPassword
        by self write
        by dn.base=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw” write
        by * none

access to *
        by self write
        by users read
        by anonymous read
        by dn.base=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw” write
        by * none
#######################################################################
# BDB database definitions
#######################################################################

database        bdb
suffix          “dc=cs,dc=nctu,dc=edu,dc=tw”
rootdn          “cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw”

rootpw {SSHA}

directory /var/db/openldap-data

sizelimit 10000

checkpoint 128 15

#set_flags DB_LOG_AUTOREMOVE
#set_lg_max 10485760

index   default         sub
index   cn,sn,uid,displayName   pres,sub,eq
index   uidNumber,gidNumber     eq
index   memberUid       pres,eq
index   objectClass     pres,eq
index   sambaSID              eq,sub
index   sambaPrimaryGroupSID   eq
index   sambaDomainName        eq
index   sambaGroupType,sambaSIDList eq
index   csid    pres,sub,eq
index   chineseName,englishName pres,sub,eq

##
# replications
##
replica uri=ldaps://csduty.cs.nctu.edu.tw:636
binddn=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw”
bindmethod=simple credentials=NCTUCScenter

replica uri=ldaps://csmailgate.cs.nctu.edu.tw:636
binddn=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw”
bindmethod=simple credentials=NCTUCScenter

replica uri=ldaps://csns2.cs.nctu.edu.tw:636
binddn=”cn=Manager,dc=cs,dc=nctu,dc=edu,dc=tw”
bindmethod=simple credentials=NCTUCScenter

重點說明：

(1) include schema中的 nis.schema 是修改過的版本，原版的 nis.schema 在 schema 目錄
下，cs.schema是系上自己的 schema。

(2) TLS設定中的 TLSCertificateFile 和 TLSCertificateKeyFile 是這台機器的憑證和 key，
每台機器不同。例如：在csduty上，就要設為 csduty.crt 和 csduty.key。

(3) replogfile 只會出現在 LDAP master。

(4) access 用來做 access control，為了確保系統安全，請小心設定。

(5) rootpw 存放 ldap root 的密碼，這份文件沒有列出內容。可以透過 ldappasswd 產生，
密碼的明文可以問知道的TA，當然可以直接從舊的 LDAP master 複製過來。

(6) replica 只會出現在 LDAP master，和 LDAP slave 有關。

Step 3

chown ldap:ldap slpad.conf
chmod 600 slapd.conf

Step 4

從舊的 LDAP master 複製 nis.schema , samba.schema , cs.schema , sudo.schema 到新機器上。
路徑請見 slapd.conf 中的設定。

Step 5

從舊的 LDAP master 複製 ldapmaster.crt 和 ldapmaster.key 到新機器上，也可以從 csmail 抓
這兩個檔案。路徑請見 slapd.conf 中的設定。

chown -R root:ldap /etc/ssl/private
chmod 750 /etc/ssl/private 以去除other的權限

Step 6

取得舊 LDAP server 的資料庫。
在舊 LDAP master 上，輸入 /usr/local/sbin/slapcat -l csdb.ldif
其中 csdb.ldif 為LDIF檔，以文字存放dump出來的資料。

檢查資料完整性，csdb.ldif中應該要有3000多筆資料，檢查幾個一般使用者是否都有
userPassword , sambaLMPassword , sambaNTPassword 之類的欄位。

Step 7

建立新 LDAP server 的資料庫。
在新 LDAP master 上，輸入 /usr/local/sbin/slapadd -l csdb.ldif
把 csdb.ldif 中的資料寫入 LDAP 的資料庫。

Step 8

在 /var/db/openldap-data 中加入 DB_CONFIG，內容為
set_flags DB_LOG_AUTOREMOVE
set_lg_max 10485760
這樣可以避免 openldap-data 的 log 太多導致db爆炸。

chown -R ldap:ldap /var/db/openldap-data
chmod 700 /var/db/openldap-data

chown ldap:ldap /var/db/openldap-slurp

Step 9

編輯 /etc/rc.conf，加入

# ldap
slapd_enable=”YES”
slapd_flags=’-h “ldapi://%2fvar%2frun%2fopenldap%2fldapi/ ldaps://0.0.0.0/”‘
slapd_sockets=”/var/run/openldap/ldapi”

slurpd_enable=”YES”

Step 10

啟動 slapd
/usr/local/etc/rc.d/slapd start

啟動 slurpd
/usr/local/etc/rc.d/slurpd start

Other：

啟動 slapd 後，可以用下列方法檢查是否正常運作
1. ps auwx | grep slapd
2. /usr/local/etc/rc.d/slapd status
3. ldapsearch -x -H ldaps://cshome.cs.nctu.edu.tw “uid=xxx”

若 slapd 無法啟動，先跑
/usr/local/libexec/slapd -d 255
看看錯誤訊息，若找不到或是無解，重建資料庫。

啟動 slurpd 後，可以用下列方法檢查是否正常運作
1. ps auwx | grep slurpd
2. /usr/local/etc/rc.d/slurpd status

Solaris OS 10 安裝 pidentd

lhd — Thu, 24 Jul 2008 09:33:49 +0000

使用 inetd 啟動。
由於 pidentd 並無 package for Solaris 10
又用 tarball 裝也必須先做 patch，
詳細流程如下：

1. 抓 source code

ftp://ftp.lysator.liu.se/pub/ident/servers/pidentd-3.0.19.tar.gz

後解開，範例放在 /tmp/pidentd-3.0.19

2. 抓 patch

http://www.vlakno.cz/~rdivacky/pidentd.diff

到 /tmp/pidentd-3.0.19/pidentd.diff
（參考來源:http://www.mydatabasesupport.com/forums/solaris/150506-pident-ident-daemon-not-working-nevada-b62.html）

3. patch 及編譯安裝：

# cd /tmp/pidentd-3.0.19/
# /usr/local/bin/patch -p0 < pidentd.diff
# ./configure –with-des=no
# make && make install
# cp doc/identd.conf /usr/local/etc/

4. 編輯 /etc/services 加上：

ident 113/udp
ident 113/tcp

5. 編輯 /etc/inetd.conf 加上：

ident stream tcp nowait root /usr/local/sbin/identd identd -i

接著匯入：

# inetconv -f

完成囉，在 inetadm 就會看到
enabled online svc:/network/ident/tcp:default