Bog BOS: Установка CentOS 5.1 x86_64 (внутренний экран)

Назначение: внешний экран между DMZ и внутренними сегментами (2), а также каналы между территориями. Устанавливал на SuperMicro SuperServer 5015M-MT+ (шасси SC813MFT-300C, материнская плата SuperMicro PDSMi+, обязательно поправить настройки BIOS ) с CD-ROM, ядро 2.6.18-53.el5, gcc 4.1.2, glibc-2.5. Intel XEON 3040 (Core 2 Duo), 1.86 MHz, шина - 1066 MHz, L1 - 32KB, L2 - 2048K. Память - 2x1024 MB, ECC, DDR2-667. Дисковая подсистема: ICH7-R - PATA TEAC CD-ROM, 4 канала SATA (2 штуки: Seagate ES 250GB, ST3250820NS, ; оставшиеся каналы и боксы зарезервированы), CD-ROM (TEAC CD-224E-N, /dev/hdb, на этом сервере нет DVD-ROM!). Дополнительно установлена четырёхпортовая сетевая карта Intel Pro/1000 GT QUAD port (без PXE), в результате набортные интерфейсы имеют номера eth4 (левый, PCI BEV: IBA GE Slot 0D00 v1228), eth5 (правый, PCI BEV: IBA GE Slot 0E00 v1230).

Программа установки anaconda позволяет выбрать устройство загрузки, метод установки и параметры установки и ядра, в данном случае загружаемся с CD-ROM.

memtest (в этой версии не забыли положить на диск с архитектурой x86_64)

загружаемся с CD-ROM и жмем Enter (графический режим)

тестирование CD, если устанавливаемся с этого диска в первый раз

распознается ATI ES1000

монитор опознать не удалось из-за KVM, поэтому anaconda перешла в текстовый режим

по нажатию Ctrl-Alt-F2 можно сразу попасть в bash (Alt-F7 обратно)

язык установки - russian

раскладка - russian (Shift+Shift, ru, redhat-config-network)

разбиение диска вручную (RAID-1 над соответствующими разделами sda и sdb)

md0, /boot, ext3, 102MB MB
md1, swap, 2000 MB
md2, /, остальное

GRUB CentOS-5 x86_64 с корневой системой в /dev/md2 на /dev/md0 (/dev/sda? в kickstart.cfg записывается ----location=partition) без пароля, конфигурационный файл /boot/grub/grub.conf

настройка сети вручную (/etc/sysconfig/network-scripts/ifcfg-eth?, redhat-config-network)

eth4 - поднимать при загрузке, без IPv6; имя, IP адрес, маску, шлюз, DNS задать статически
eth0 - не поднимать
eth1 - не поднимать
eth2 - не поднимать
eth3 - не поднимать
eth5 - не поднимать

временная зона - Europe/Moscow (время в CMOS хранить в UTC, не забыть поменять в BIOS, redhat-config-date или timeconfig)

установка пароля для root

установка - сервер, уточнить выбор

выбираем пакеты (в текстовом режиме только упрощённый одноуровневый выбор групп пакетов, нет возможности минимальной установки):

Редакторы
Текстовые средства интернет
Средства разработки
Системные средства

молча добавляются пакеты, от которых зависят выбранные нами (их можно посмотреть на одном из виртуальных терминалов)

создание файловых систем

установка пакетов: 554 пакета, 1.6 ГБ, журнал в /root/install.log и /root/install.log.syslog, образец для kickstart в /root/anaconda-ks.cfg, 5 минут

если есть время, то дождаться завершения синхронизации soft RAID (mdadm --misc --query --detail /dev/md? или /proc/mdstat)

первая загрузка свежеустановленной системы: продолжения настройки в текстовом режиме (упрощённый вариант, оставшийся с прошлых времён)

режим аутентификации (md5, shadow и т.д.)
включить сетевой экран с дыркой для ssh (system-config-securitylevel-tui)
SELinux в полном режиме
настройка сети (дубль?)
настройка сервисов действует только на текущий уровень init, сделать потом

если мы не любим prelink, то самое время настроить /etc/sysconfig/prelink, пока он не сделал кишмиш из исполняемых файлов, так что потом невозможно использовать программы типа tripware; если опоздал, то вписать PRELINKING=no в /etc/sysconfig/prelink и при следующем запуске он всё откатит

useradd -n -c описание -m -r -g sys -u любимый-uid имя

passwd имя

полноценная настройка ssh (/etc/ssh/sshd_config, ~/.ssh, /etc/sysconfig/sshd), дальнейшая настройка производится удалённо (в здешней серверной холодно!)

настроить файловые системы с помощью tune2fs -m 1 (резервировать 1% вместо 5%) или -r 25000 (100 MB)

подождать пока пройдет updatedb или запустить вручную (в этой версии нельзя вставлять DAILY_UPDATE=yes в /etc/updatedb.conf)

импортировать ключи в rpm (rpm --import /etc/pki/rpm-gpg/...)

из-за ограничений текстового режима установки было поставлено лишнее: выкинуть cscope, diffstat, doxygen, gcc-gfortran, NetworkManager, bluez-utils, irda-utils, ksh, nano, nfs-utils, pam-smb, pcmciautils, rp-pppoe, wireless-tools, ypbind, yum-updatesd, bluez-gnome, bluez-hcidump, zisofs-tools, zsh, autofs, dogtail, samba-client, samba-common, xorg-x11-server-Xvfb

обновиться через yum и заодно установить забытые wireshark, xterm, arptables_jf, arpwatch, iptraf, lslk, lsscsi, mc, net-snmp-utils, nmap, sysstat

убедиться, что ненужные сервисы xinetd выключены ("disable = yes"), перезагрузить xinetd при необходимости (service xinetd reload)

настройка sendmail (vi /etc/aliases; newaliases; vi /etc/mail/sendmail.cf (Smart)), тестирование отправки почты

обеспечение автоматического извещения об обновлениях с помощью yum (/root/bin/check-update.sh в crontab)

добавить /usr/local/lib в /etc/ld.so.conf.d/local и сделать ldconfig

sensors-detect предлагает загрузить модули i2c-i801, i2c-isa, w83781d, lm92, eeprom, w83627hf (в rc.local)

sensors-detect предлагает добавить в /etc/modprobe.conf

# I2C module options
alias char-major-89 i2c-dev
options w83781d ignore=0,0x2d

sensors по-прежнему показывает какую-то чушь

пришлось ставить утилиту от производителя

настройка извещения о перегреве (/usr/local/sbin/temperature_control.sh)

убрать сервисы, которые не нужны (LANG= chkconfig --list|grep :on; chkconfig --level 12345 имя-сервиса off; service имя-сервиса stop)

avahi-daemon
cups
lm_sensors (не работает)
lvm2-monitor
netfs
pcscd (нет оборудования)
portmap
xfs (сервер шрифтов при удалённом запуске не нужен)

проверить лишние порты с помощью: lsof -i -n

настроить grub на обоих дисках (anaconda иногда "забывает" один из них) /sbin/grub --no-floppy --batch << EOF
device (hd0) /dev/sdb
root (hd0,0)
setup (hd0)
quit
EOF
/sbin/grub --no-floppy --batch << EOF
device (hd0) /dev/sda
root (hd0,0)
setup (hd0)
quit
EOF

настройка клиентского варианта syslog и перезапуск

настройка синхронизации времени NTP (клиентский вариант)

установить пакет ntp
в /etc/sysconfig/ntpd поменять SYNC_HWCLOCK=yes
настроить /etc/ntp.conf (список серверов и права доступа, без сбора статистики)
service ntpd start
chkconfig --level 345 ntpd on
через некоторое время проверить с помощью ntpstat

настройка резервирования данных (bacula)

настройка сети в /etc/rc.local

дополнительные маршруты
ip -6 addr flush dev eth?
echo 600 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_close
echo 600 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_close_wait
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 > /proc/sys/net/ipv4/conf/eth?/forwarding

настроить iptables в режиме экрана

перезагрузиться, если обновлялось ядро

apcupsd

arpwatch

разбор останков предыдущей системы, смотрим, что мы ещё забыли восстановить: пакеты iperf, netperf

поднять каналы между территориями и протестировать

канал VPN (PPP over SSH)

snort

настроить yum на местный репозитарий, когда он появится

Карта сайта

News

Автора!

Bog BOS: Установка CentOS 5.1 x86_64 (внутренний экран)