Loteks

Ich möchte einen eigenen gemini server mit geminid betreiben. Leider habe ich keine schöne (kurze) Anleitung gefunden mit der ich einen geminid-Server schnell unter Debian zum laufen bekomme.

Leider existiert zur Zeit kein Debian Paket für geminid, daher muss geminid aus dem Quellen installiert werden.

sudo apt install git libconfig-dev libmagic-dev flex make gcc libssl-dev
cd /usr/src
sudo git clone https://github.com/jovoro/geminid.git
cd geminid
make
mkdir /var/log/geminid
mkdir -p /etc/geminid/certs/
mkdir -p /etc/geminid/keys
mkdir -p /srv/geminid/{loteks,bin}
echo "hello gemini" > /srv/geminid/loteks/index.gmi
echo '// geminid configuration file

// Global configuration
global = {
        serverroot = "/srv/geminid";
        logdir = "/var/log/geminid";
        loglocaltime = true;
        logtimeformat = "[%d/%b/%Y:%H:%M:%S %z]";
        port = 1965;
        ipv6_enable = true;
};

// vHost definitions
vhost = (
        {
                name = "gemini.loteks.de";
                docroot = "loteks";
                accesslog = "loteks_access.log";
                errorlog = "loteks_error.log";
                cert = "/etc/geminid/certs/gemini.loteks.de.pem";
                key = "/etc/geminid/keys/gemini.loteks.de.pem";
                index = "index.gmi";
        }
);' > /etc/geminid/hosts.conf

mkdir cert && cd cert
openssl req -new > server.cert.csr
openssl rsa -in privkey.pem -out server.cert.key
openssl x509 -in server.cert.csr -out server.cert.crt  -req -signkey privkey.pem -days 9000
cat privkey.pem server.cert.crt > pw_gemini.loteks.de.pem
openssl rsa -in pw_gemini.loteks.de.pem -out /etc/geminid/keys/gemini.loteks.de.pem # remove password
cat server.cert.crt > /etc/geminid/certs/gemini.loteks.de.pem
cd ..
./geminid -c /etc/geminid/hosts.conf

Einen neuen Benutzer für gemini anlegen.
Die UserID 32 ist, genau wie die GroupID 32 noch nicht belegt. Da die UserID und GroupoID 33 dem Benutzer www-data gehört, der für den Apache Webserver verwendet wird nutze ich diese.

sudo groupadd --gid 32 -r gemini
sudo useradd --uid 32 --gid 32 --system gemini
sudo cp geminid /srv/geminid/bin/
sudo chown gemini:gemini -R /etc/geminid
sudo chown gemini:gemini -R /srv/geminid

Systemd Dienst anlegen

sudo vi /etc/systemd/system/gemini.service

[Unit]
Description=geminid service
After=network.target
StartLimitIntervalSec=0

[Service]
Type=simple
Restart=always
RestartSec=1
User=gemini
ExecStart=/srv/geminid/bin/geminid -c /etc/geminid/hosts.conf

[Install]
WantedBy=multi-user.target

jetzt muss der Gemini-Dienst nur noch ein Logfile in das es schreiben kann. Am schönsten geht das mit Logrotate.

cat <<EOF | sudo tee -a /etc/logrotate.d/geminid
"/var/log/geminid/loteks_access.log"
"/var/log/geminid/loteks_error.log"
{
  su gemini gemini
  rotate 5
  daily
  notifempty
  compress
  delaycompress
  create 644 gemini gemini
}
EOF
sudo mkdir /var/log/geminid
sudo chown gemini:gemini /var/log/geminid -R
sudo logrotate --force /etc/logrotate.d/geminid

Abschließend muss der neue Service nur noch aktiviert und gestartet werden.

sudo systemctl start gemini.service
sudo systemctl enable gemini.service

Das war es auch schon, jetzt haben wir einen laufenden Gemini-Server

Rsync ist ein wunderbares Werkzeug für für mich, denn was die Datensicherung angeht gehöre ich leider zu den leuten die zu faul sind oder besser ihre Zeit lieber mit anderen Dingen zubringen.
Es Fehlt immer der Passende Zeitpunkt um ein Backup anzulegen und mache es immer erst nach dem Datenverlust.
Das Werkzeug rsync gleicht den Inhalt zweier Verzeichnisse, oder einer Externen Quelle und eines Verzeichnisses, ab.

rsync -uvrh ./Quelle/ ./Ziel/

-u überspringt Dateien die im Ziel neuer sind als in der Quelle
-v erhöht die Geschwätzigkeit, rsync gibt mehr Meldungen aus
-r (recursive) nimmt Unterverzeichnisse mit
-h (human-readable) die Ausgabe soll für Menschen lesbar formatiert werden

iptables -t nat -A PREROUTING -p tcp --dport 1234 -j DNAT --to-destination 10.2.3.4:1235
iptables -t nat -A POSTROUTING -j MASQUERADE

Leite den auf Port 1234 eingehenden Traffic auf einen Dienst um der auf dem Port 1235 auf der IP-Addresse 10.2.3.4 erreichbar ist.
Dies kann notwendig sein wenn ein System den Port 1235 oder die IP-Adresse 10.2.3.4 nicht erreichen kann.

Erläuterung

iptables -t nat -A PREROUTING -p tcp –dport 1234 -j DNAT –to-destination 10.2.3.4:1235
Leitet alle eingehenden TCP Pakete aller Netzwerkkarten von Port 1234 auf den Port 1235 zur IP-Addresse 10.2.3.4 um.
Es kann jeder beliebige Port und jede beliebige IP-Addresse angegeben werden die von dem aktuellen System aus erreichbar ist.

iptables -t nat -A POSTROUTING -j MASQUERADE
Wir setzen MASQUERADE so, dass die IP-Adresse des Verbindungssystems maskiert wird und verwenden stattdessen die Gateway-IP-Adresse. Dies ist erforderlich um die Kommunikation mit dem Gateway und folgend mit dem Client zu ermöglichen.

Wenn der SSH public-key verloren geht oder ein Webservice einen privaten SSH-Schlüssel generiert, ohne den public-key anzubieten kann dieser auch manuell erstellt werden.

Um den public-key vom private-key zu generieren kann der folgende Befehl verwendet werden:

ssh-keygen -y -f ~/.ssh/id_rsa

Die Option -y gibt den public-key zu dem angegenenen private-key aus.
Der public-key kann mit dem Zusatz “> ~/.ssh/id_rsa.pub” in eine Datei umgeleitet werden.

Um den public-key zu prüfen kann dieser mit dem folgenen Aufruf validiert werden.

ssh-keygen -l -f ~/.ssh/id_rsa
2048 SHA256:ILuUR0iuoieWJCdoCEE44rKqMDvYUrVC15lH1mVq8To Kuehnel (RSA)

Die Ausgabe zeigt die Schlüsselgröße im ersten Textblock, anschließend das Format und den Fingerabdruck des öffentlichen Schlüssels, den im Key gespeicherten Namen und am ende, in Klammern, den q
Der Fingerabdruck kann sowohl als MD5 (-E md5) als auch als SHA256 (-E sha256) angezeigt werden.