Sommaire
Mission : 17 au 28 novembre 2015 à Port-au-Prince
Dates
|
- Départ de Montréal : mardi 17 novembre à 9h30 -- arrivée PaP à 13h50 (Air Canada vol 1814)
Départ de Port-au-Prince : samedi 28 novembre à 16h15 (American AirLine vol 201) -- Miami 18h26-20h04 (AA, vol 1465)-- arrivée Montréal à 23h38
Objectifs principaux
- restructuration de l’infrastructure technique (réduction/optimisation du nombre de serveurs, mutualisation de certains services vers le central)
- on passera de 4 à 2 serveurs (voire 1 serveur)
- le service de partage de fichiers se fera via nuage.auf.org
- mise en place d'un dispositif d'accès distant
- analyse/résolution des difficultés/soucis techniques récurrents
- entretiens de recrutement d'un technicien
NB :
il faudra prévoir de travailler les samedi et dimanche de la mission afin de procéder à la mise en production de la nouvelle infrastructure (arrêts et redémarrages des serveurs) sans perturber les collègues et les abonnés.
informer les abonnés des changements à venir (ils n'auront plus d'espace de stockage sur les machines) et les mesures d'accompagnement (à préciser et mettre en place)
prévoir la fermeture du CNF le Jour 1 à partir de 14h (une heure plus tôt que d'habitude) : modification à apporter aux postes et au serveur.
Les sauvegardes :
- Il n'y aura aucune sauvegarde des postes public (CNF), cf NB 2 ci-dessus
Les postes du personnel seront sauvegardés vers un espace disque sur super-bc via Déjà-Dup (installé par défaut sur nos postes).
- Ce qui donne, au passage, une grande autonomie au personnel sur leurs données et les besoins restaurations en cas de nécessité.
- Du coup, on n'a plus besoin du serveur de sauvegarde
- [Faire une sauvegarde des clés de chiffrement]
- La sauvegarde des serveurs se fera vers Montréal (OVH) durant la nuit (aucun impact pour les utilisateurs le jour)
Travaux préliminaires
- Par LBM :
- configuré et tester Déjà-Dup sur son poste
- Par NM (à Montréal) :
- procéder aux achats de matériel
serveur :
- installer Debian Jessie (firmeware-nonfree) + Libvirt/qemu + config de la VM gw.ht.auf (cf photo plus bas) sur les nouveaux disques achetés
- transfert de la VM pfsense
- conversion/transfert du CT voip
configuration du kvm-ip et du pcu
- préparation suppression du NFS
- postes du personnel (migration des partages dans nuage.auf.org)
- [LBM] installer client owncloud 2.0 sur les postes du personnel
- cocher option confirmation pour le téléchargement de dossier/fichier de plus de [10Mo ?]
[NM/LBM] transférer dans nuage.auf.org les dossiers partagés (coordonner avec PatrickHétu)
[PatrickHétu] création du partage AUF-partage-BC avec un admin principal et des sous dossiers (droits à gérer par l'admin)
- [LBM] désactiver autofs (exit 0 dans /etc/default/autofs)
- [LBM] au passage, check list :
- TB : activation de la synchro imap et des contacts
- home : chiffré ?
- [LBM] installer client owncloud 2.0 sur les postes du personnel
- postes du CNF
- NM : valider procédure de bascule
- fonctionnement avec des comptes type "invité" : profil dans /home/tmp/[username], shell particulier (cf compte guest d'Ubuntu)
- création des homedir : activer pam-mkhomedir
- nettoyage des homedir : cron de nettoyage des tmp : ajouter /home/tmp/*, [garder 7jours ???]
- /home/tmp : partition séparée si possible ou activer quota disque (pour ne pas que les usagers bousillent toute la partition /)
- vérifier le miroir
- vérifier/maj configs preseed local
- NM : valider procédure de bascule
- postes du personnel (migration des partages dans nuage.auf.org)
Planning et compte-rendu
Quand |
Quoi |
Qui |
Compte-rendu au jour le jour |
Jour 1 : mercredi 18 |
[Matinée] : |
NM/LBM/Direction |
* NB : ce jour est férié en Haïti. Nous avons donc travaillé juste une demie-journée |
[Après-midi] NB : Il faudra fermer le CNF à compter de 14h |
NM/LBM |
* NFS désactivé sur les postes |
|
Jour 2 : jeudi 19 |
[Matinée] |
NM |
* Arrivée au bureau : 8h45 |
* installation du KVM-IP et du PCU (installation dans le rack et connexion aux serveurs |
LBM |
Reporté au week-end |
|
[Après-midi] |
NM |
Juste changé l'IP du KVM. Le PCU n'est pas encore installé, sera fait le week-end. |
|
* installation du client owncloud 2.0 sur les postes du personnel (activer le filtre de limitation de téléchargement selon la taille) |
LBM |
* Config owncloud : OK |
|
[Fin de journée - 15h] * lancer le transfert des données des partages NFS dans nuage.auf.org |
LBM |
* Déjà fait par NM depuis Montréal |
|
Jour 3 : vendredi 20 |
* suite de la configuration des services parefeu, de la gestion des 2 liens Internet et de l'accès au RPV AUF |
NM |
Plutôt attardé sur la résolution des soucis de bridges. Heureusement la grosse expérience de ProgFou a permis de débloquer la situation rapidement (cf les échanges plus bas) |
* finalisation de la VM pfsense (reconfiguration des interfaces réseaux) |
LBM |
Fait par NM |
|
* finalisation et mise en service de la Voip |
LBM |
Début de la conversion du CT asterisk18 en vm voip ... A FINALISER |
|
* configuration des sauvegardes hors site (Duplicity) des serveurs |
LBM |
Reste le cas des VM (comment faire ???) |
|
Jour 4 - samedi 21 |
* on récupère (offline) un des disques du RAID de super-bc pour le mettre sur super-bc-secours |
NM/LBM |
* Finalisation des règles de filtrage |
Jour 5 - dimanche 22 |
* La journée commence super bien : |
||
Jour 6 - lundi 23 |
* gestion des éventuels soucis découlant des changements effectués |
NM/LBM |
Journée principalement consacrée aux entretiens de sélection pour le poste de tech bureautique. |
Jour 7 - mardi 24 |
* suite assistance |
NM |
* Finalement ni le captif, ni ipesecd n'étaient réglé |
* retrait et mise au rencart des serveurs inutilisés (old vz-bc, backup, boukman) |
LBM |
||
Jour 8 - mercredi 25 |
* mise à jour de la documentation globale (mise à jour du wiki) |
NM |
* Le câblage étant terminé (enfin, presque), je fais du ménage dans la salle, brasse les câbles dans la baie. Je perd encore du temps à brancher les câbles du rack serveur car le bon monsieur n'a pas identifié les prises et manifestement ne les a pas correctement serti, mais aussi parce que notre serveur qu'on pensait up, n'avait pas démarré ! |
* réunion de synthèse avec la Direction |
NM/LBM/Direction |
||
Jour 9 - jeudi 26 |
Entretiens et tests de recrutement d'un technicien |
NM/LBM/JPM |
* On commence la matinée par établir une todo-list pour LBM : vérifier les câblages, brancher/corriger ce qu'il faut, installer Trusty sur les postes du CNF |
Jour 10 - vendredi 27 |
* Je re-essais, refais plusieurs trucs sans succès. Après quelques recherches sur Internet, je trouve une doc qui explique comment faire ; malheureusement, je n'ai plus de temps pour tout ça. Je décide de ramener le serveur à Montréal. Surtout que mon cher ami Beethoven n'a plus ou pas confiance en cette machine ; je sens que tout les prétextes seront bons pour tout mettre sur le dos de cette machine en cas de soucis. |
||
Jour 11 - samedi 28 |
Retour à Montréal |
NM |
* Je plis bagages, direction aéroport international Toussaint Louverture pour Montréal via Miami. |
Schémas de l'infrastructure
Besoin en matériel
- KVM-IP
- PCU
- Disques durs : 4 x 1TB
- Barrettes mémoires (pour auth-nfs et new-vz-bc)
Annexes
Échanges avec JC sur les soucis de bridges
(13:01:51) moussa.nombre@auf.org/3277039268144837733412656: je suis embourbé dans cette histoire d'interfaces/ponts (13:02:39) moussa.nombre@auf.org/3277039268144837733412656: hier nuit, finalement tout était bien, mes interfaces de passerelle fonctionnaient (13:02:54) moussa.nombre@auf.org/3277039268144837733412656: j'y avait accès depuis le lan (13:03:24) moussa.nombre@auf.org/3277039268144837733412656: et là ce matin, j'arrive au bureau, il y a eu panne de courant, tout a rebooté, et pouf plus rien ne marche (13:03:28) moussa.nombre@auf.org/3277039268144837733412656: bizarre (13:04:42) Progfou : ok (13:04:46) moussa.nombre@auf.org/3277039268144837733412656: dès que tu as 1 minute ... (13:04:51) Progfou : donc je dirais : forwarding (13:05:03) Progfou : filtrages sur les bridges (13:05:08) Progfou : rp_filter (13:05:11) Progfou : choses de ce genre (13:06:29) moussa.nombre@auf.org/3277039268144837733412656: root@super-bc:~# cat /etc/sysctl.d/local.conf net.bridge.bridge-nf-call-ip6tables = 0 net.bridge.bridge-nf-call-iptables = 0 net.bridge.bridge-nf-call-arptables = 0 net.ipv6.conf.all.disable_ipv6 = 1 root@super-bc:~# (13:11:17) Progfou : vérifies que c'est effectivement actif (13:11:44) Progfou : car j'avais eu des soucis avec le sysctl -p qui n'appliquait pas mes config' dans /etc/sysctl.d/ (qui est pourtant la bonne place) (13:12:13) Progfou : (vérifier = grep . /proc/sys/net/bridge/bridge-nf-call-*) (13:12:46) moussa.nombre@auf.org/3277039268144837733412656: ah ha ! (13:12:53) moussa.nombre@auf.org/3277039268144837733412656: root@super-bc:~# sysctl -a | grep bridge net.bridge.bridge-nf-call-arptables = 1 net.bridge.bridge-nf-call-ip6tables = 1 net.bridge.bridge-nf-call-iptables = 1 net.bridge.bridge-nf-filter-pppoe-tagged = 0 net.bridge.bridge-nf-filter-vlan-tagged = 0 net.bridge.bridge-nf-pass-vlan-input-dev = 0 root@super-bc:~# grep . /proc/sys/net/bridge/bridge-nf-call-* /proc/sys/net/bridge/bridge-nf-call-arptables:1 /proc/sys/net/bridge/bridge-nf-call-ip6tables:1 /proc/sys/net/bridge/bridge-nf-call-iptables:1 (13:13:19) Progfou : ok (13:13:53) moussa.nombre@auf.org/3277039268144837733412656: faut les déplacer dans le sysctl.conf alors ? ( (13:14:37) Progfou : oui, mets les dans le principal en attendant de comprendre pourquoi ça se fait pas en dessous (13:14:52) Progfou : ou sinon mets des appels sysctl dans ton script firewall (13:15:09) Progfou : ce sera peut-être plus robuste en cas d'upgrade (13:15:32) moussa.nombre@auf.org/3277039268144837733412656: aurais-tu un exemple pour moi ( (13:16:06) Progfou : sysctl -w net.bridge.bridge-nf-call-arptables=1 (13:16:36) Progfou : sysctl -w net/bridge/bridge-nf-call-arptables=1 (13:17:01) Progfou : l'intérêt c'est que tu peux copier-coller depuis un chemin parcouru dans le shell (en retirant juste le préfixe /proc/sys/) (13:21:30) moussa.nombre@auf.org/3277039268144837733412656: comme d'hab : tu es un génie :) (13:21:48) moussa.nombre@auf.org/3277039268144837733412656: ça marche tout de suite :) (13:21:52) moussa.nombre@auf.org/3277039268144837733412656: ouf ouf ouf