ajout rvp2-fw

README.md

@@ -1,6 +1,6 @@
 # gsb2023
 
-2023-02-01 ps 
+2023-02-02 ps
 
 Environnement et playbooks ansible pour le projet GSB 2023
 
@@ -53,15 +53,15 @@ On utilsera le script (bash) **mkvm** ou (PowerShell) **mkvm.ps1** pour créeer
 
 ```shell
 gsb2023>
-cd pre
+cd scripts
 $ mkvm -r s-adm
 
 ```
 
 ### Machine s-adm
-  * créer la machine virtuelle **s-adm** avec **mkvm * comme décrit plus haut.
+  * créer la machine virtuelle **s-adm** avec **mkvm** comme décrit plus haut.
-  * utiliser le script de renommage comme suit --> bash chname [nouveau_nom_de_machine] puis redémarrer
+  * utiliser le script de renommage comme suit --> `bash chname <nouveau_nom_de_machine>` , puis redémarrer
-  * utiliser le script s-adm-start --> bash s-adm-start, redémarrer
+  * utiliser le script **s-adm-start** : `bash s-adm-start` , puis redémarrer
   * ou sinon :
 ```shell
     mkdir -p tools/ansible ; cd tools/ansible
@@ -79,9 +79,9 @@ $ mkvm -r s-adm
 ### Pour chaque machine
 
   - créer la machine avec **mkvm -r**, les cartes réseau sont paramétrées par **mkvm** selon les spécifications 
-  - utiliser le script de renommage comme suit --> bash chname [nouveau_nom_de_machine]
+  - utiliser le script de renommage comme suit : `bash chname <nouveau_nom_de_machine>`
   - redémarrer
-  - utiliser le script gsb-start --> bash gsb-start
+  - utiliser le script **gsb-start** : `bash gsb-start`
   - ou sinon:
 ```shell
 mkdir -p tools/ansible ; cd tools/ansible
@@ -94,3 +94,16 @@ bash pull-config
 ```
   - redémarrer
   - **Remarque** : une machine doit avoir été redémarrée pour prendre en charge la nouvelle configuration
+
+
+## Les tests
+
+Il peuvent êtres mis en oeuvre avec **goss** de la façon suivante : chaque machine installée  dispose d'un fichier de test ad-hoc portant le nom de la machine elle-même (machine.yml).
+
+```
+cd tools/ansible/gsb2023
+bash agoss # lance le test portant le nom de la machine 
+```
+
+`bash agoss -f tap` permet de lancer le test avec le détail d'exécution
+

goss/s-elk.yaml

@@ -0,0 +1,26 @@
+port:
+  tcp:5044:
+    listening: true
+    ip:
+    - 0.0.0.0
+  tcp:5601:
+    listening: true
+    ip:
+    - 0.0.0.0
+  tcp:9200:
+    listening: true
+    ip:
+    - 0.0.0.0
+service:
+  docker:
+    enabled: true
+    running: true
+interface:
+  enp0s3:
+    exists: true
+    addrs:
+    - 192.168.99.11/24
+  enp0s8:
+    exists: true
+    addrs:
+    - 172.16.0.11/24

pre/inst-depl

@@ -45,7 +45,9 @@ str6="curl -L https://github.com/aelsabbahy/goss/releases/download/${GOSSVER}/go
 #str8="wget -nc 'https://gestsup.fr/index.php?page=download&channel=stable&version=${GESTSUPREL}&type=gestsup' -O gestsup_${GESTSUPREL}.zip"
 str8="wget -nc 'https://gestsup.fr/index.php?page=download&channel=stable&version=3.2.30&type=gestsup' -O gestsup_3.2.30.zip"
 
-ELKREL=8.6.0
+
+#METRICBEAT ET FILEBEAT
+ELKREL=8.5.3
 str81="wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-${ELKREL}-amd64.deb"
 
 str82="wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-${ELKREL}-windows-x86_64.zip"

r-vp1-fw.yml

@@ -0,0 +1,13 @@
+---
+- hosts: localhost
+  connection: local
+
+  vars:
+   - ip1: 192.168.0.51
+   - remip: 192.168.0.52
+   - mynet: 192.168.1.0
+   - remnet: 172.16.128.0
+
+  roles:
+   - fw-ferm
+   

r-vp1.yml

@@ -12,10 +12,8 @@
    - base
    - goss
 #   - snmp-agent
-#   - firewall-vpn-r
    - post
    - wireguard-r
-   - fw-ferm
    - ssh-cli
    - syslog-cli
    

r-vp2-fw.yml

@@ -0,0 +1,12 @@
+---
+- hosts: localhost
+  connection: local
+
+  vars:
+   - ip1: 192.168.0.52
+   - remip: 192.168.0.51
+   - mynet: 172.16.128.0
+   - remnet: 192.168.1.0
+
+  roles:
+   - fw-ferm

r-vp2.yml

@@ -15,10 +15,7 @@
    - dns-agence
    - ssh-root-access
 #   - snmp-agent
-#   - firewall-vpn-l
    - wireguard-l
-#   - x509-l
+   - post
-   - fw-ferm
    - ssh-cli
    - syslog-cli
-   - post

roles/dns-ag-cs/files/named.conf.options

@@ -1,23 +0,0 @@
-// 0.2 - putconf - vendredi 12 avril 2013, 08:54:33 (UTC+0200)
-
-options {
-        directory "/var/cache/bind";
-
-        // If there is a firewall between you and nameservers you want
-        // to talk to, you may need to fix the firewall to allow multiple
-        // ports to talk.  See http://www.kb.cert.org/vuls/id/800113
-
-        // If your ISP provided one or more IP addresses for stable
-        // nameservers, you probably want to use them as forwarders.
-        // Uncomment the following block, and insert the addresses replacing
-        // the all-0's placeholder.
-
-        forwarders {
-                172.16.0.1;
-
-         };
-
-        auth-nxdomain no;    # conform to RFC1035
-        listen-on-v6 { any; };
-};
-

roles/dns-ag-cs/handlers/main.yml

@@ -1,4 +0,0 @@
----
-  - name: restart bind9
-    service: name=bind9 state=restarted
-

roles/dns-ag-cs/tasks/main.yml

@@ -1,11 +0,0 @@
----
-
-- name: Installation bind9
-  apt:  name=bind9 state=present update_cache=yes
-
-- name: Copie named.conf.options
-  copy: src=named.conf.options dest=/etc/bind
-  notify:
-    - restart bind9
-
-

roles/elk/tasks/main.yml

@@ -22,6 +22,6 @@
       replace: 'xpack.license.self_generated.type: basic'
      
   - name: Execution du fichier docker-compose.yml
-    shell: docker-compose up -d
+    shell: docker compose up -d
     args:
       chdir: /root/elk

roles/filebeat-cli/defaults/main.yml

@@ -0,0 +1 @@
+BEATVER: "8.5.3"

roles/filebeat-cli/handlers/main.yml

@@ -1,4 +1,4 @@
-- name: start filebeat
+- name: restart filebeat
   service:
     name: filebeat
     state: started

roles/filebeat-cli/tasks/main.yml

@@ -1,12 +1,12 @@
 ---
 - name: Récupération de filebeat
   get_url:
-    url: http://s-adm.gsb.adm/gsbstore/filebeat-7.16.3-amd64.deb
+    url: http://s-adm.gsb.adm/gsbstore/filebeat-${BEATVAR}-amd64.deb
     dest: /tmp/
 
 - name: Installation de filebeat
   apt:
-    deb: /tmp/filebeat-7.16.3-amd64.deb
+    deb: /tmp/filebeat-${BEATVEAR}-amd64.deb
 
 - name: Changement du fichier de conf
   copy:
@@ -15,9 +15,9 @@
 
 - name: Configuration de filebeat
   shell: filebeat modules enable system  
-  notify: start filebeat
+  notify: restart filebeat
  
 - name: Lancement de la configuration de filebeat
   shell: filebeat setup -e
-  notify: start filebeat
+  notify: restart filebeat
 

roles/fog/README.md

@@ -0,0 +1,16 @@
+# Fog
+
+Ce rôle permet l'installation et la modification de Fog.
+
+
+## Fog, c'est quoi ?
+
+
+Fog permet le déploiement d'images disque tel que Windows ou bien Linux en utilisant PXE (Preboot Execution Environment).
+
+
+## Comment l'installer ?
+
+
+Avant toute chose, lancer le fichier goss de s-fog ( présent dans gsb2023/goss/s-fog.yaml ) pour vérifier que la configuration réseau est correct et opérationnel. Une fois l'installation principale effectuée, il faut lancer le playbook ansible s-fog.yaml.
+Il faudra se rendre dans le dossier **fog** pour lancer le script **installfog.sh** ( fog/bin/ ). La configuration sera déjà établie via le fichier **.fogsettings**

roles/fog/files/fogsettings

@@ -0,0 +1,46 @@
+## Start of FOG Settings
+## Created by the FOG Installer
+## Find more information about this file in the FOG Project wiki:
+##     https://wiki.fogproject.org/wiki/index.php?title=.fogsettings
+## Version: 1.5.9
+## Install time: jeu. 26 janv. 2023 11:41:05
+ipaddress='172.16.64.16'
+copybackold='0'
+interface='enp0s9'
+submask='255.255.255.0'
+hostname='s-fog.gsb.lan'
+routeraddress='192.168.99.99'
+plainrouter='192.168.99.99'
+dnsaddress='172.16.0.1'
+username='fogproject'
+password='/7ElC1OHrP47EN2w59xl'
+osid='2'
+osname='Debian'
+dodhcp='y'
+bldhcp='1'
+dhcpd='isc-dhcp-server'
+blexports='1'
+installtype='N'
+snmysqluser='fogmaster'
+snmysqlpass='HHO5vSGqFiHE_9d2lja3'
+snmysqlhost='localhost'
+mysqldbname='fog'
+installlang='0'
+storageLocation='/images'
+fogupdateloaded=1
+docroot='/var/www/html/'
+webroot='/fog/'
+caCreated='yes'
+httpproto='http'
+startrange='172.16.64.10'
+endrange='172.16.64.254'
+bootfilename='undionly.kpxe'
+packages='apache2 bc build-essential cpp curl g++ gawk gcc genisoimage git gzip htmldoc isc-dhcp-server isolinux lftp libapache2-mod-php7.4 libc6 libcurl4 li>
+noTftpBuild=''
+sslpath='/opt/fog/snapins/ssl/'
+backupPath='/home/'
+armsupport='0'
+php_ver='7.4'
+php_verAdds='-7.4'
+sslprivkey='/opt/fog/snapins/ssl//.srvprivate.key'
+## End of FOG Settings

roles/fog/tasks/main.yml

@@ -1,11 +1,15 @@
 ---
+- name: creation d'un repertoire fog
+  file:
+    path: /root/tools/fog
+    state: directory
+
 - name: recuperation de l'archive d'installation fog sur git
   git:
     repo: https://gitea.lyc-lecastel.fr/gadmin/fog.git
     dest: /root/tools/fog/
     clone: yes
     update: yes
-    force: yes
 
 - name: Modification fichier bash (desac UDPCast)
   ansible.builtin.lineinfile:
@@ -13,3 +17,10 @@
     regexp: '^configureUDPCast\(\).*'
     line: "configureUDPCast() {\nreturn"
     backup: yes
+
+- name: fichier config fogsettings
+  command: "cp /root/tools/ansible/roles/fog/files/fogsettings /opt/fog/"
+
+- name: fichier fogsettings en .fogsettings
+command: "mv /opt/fog/fogsettings /opt/fog/.fogsettings"
+

roles/fw-ferm/files/ferm.conf.r-vp1

@@ -4,7 +4,7 @@
 
 @def $DEV_PRIVATE = enp0s8;
 @def $DEV_WORLD = enp0s9;
-
+@def $DEV_VPN= wg0;
 @def $NET_PRIVATE = 172.16.0.0/24;
 
 table filter {
@@ -33,23 +33,24 @@ table filter {
         # we provide DNS and SMTP services for the internal net
         interface $DEV_PRIVATE saddr $NET_PRIVATE {
             proto (udp tcp) dport domain ACCEPT;
-            proto udp dport bootps ACCEPT;            
+            proto udp dport bootps ACCEPT;
-        }
-
-        # interface réseau 
-        interface $DEV_WORLD {
-            
         }
+        # interface réseau
 
         # the rest is dropped by the above policy
     }#FIN INPUT
 
     # outgoing connections are not limited
-    chain OUTPUT policy ACCEPT;
+    chain OUTPUT {
+        policy ACCEPT;
+#	interface $DEV_VPN proto ssh dport 22 ACCEPT;
+
+    }#FIN OUTPUT
 
     chain FORWARD {
         policy ACCEPT;
 
+        proto icmp icmp-type echo-request ACCEPT;
         # connection tracking
         mod state state INVALID DROP;
         mod state state (ESTABLISHED RELATED) ACCEPT;

roles/fw-ferm/files/ferm.conf.r-vp2

@@ -4,7 +4,7 @@
 
 @def $DEV_PRIVATE = enp0s9;
 @def $DEV_WORLD = enp0s8;
-
+@def $DEV_VPN= wg0;
 @def $NET_PRIVATE = 172.16.0.0/24;
 
 table filter {
@@ -34,7 +34,12 @@ table filter {
             proto (udp tcp) dport domain ACCEPT;
             proto udp dport bootps ACCEPT;
         }
-
+        interface $DEV_VPN{
+        # respond to ping
+        proto icmp icmp-type echo-request ACCEPT;
+        # disallow ssh
+        saddr proto tcp dport ssh ACCEPT;
+        }
         # interface réseau
         interface $DEV_WORLD {
 
@@ -44,8 +49,14 @@ table filter {
     }#FIN INPUT
 
     # outgoing connections are not limited
-    chain OUTPUT policy ACCEPT;
+    chain OUTPUT {policy ACCEPT;
-
+        interface $DEV_VPN{
+        # allow ssh
+        daddr proto tcp dport ssh DROP;
+        # respond to ping
+        proto icmp icmp-type echo-request ACCEPT;
+        }
+}
     chain FORWARD {
         policy ACCEPT;
 

roles/fw-ferm/files/iptables.test.r-vp1

@@ -0,0 +1,43 @@
+# Définir la politique par défaut
+iptables -P INPUT DROP
+iptables -P OUTPUT ACCEPT
+iptables -P FORWARD ACCEPT
+
+# Autoriser le trafic pour le VPN
+iptables -A INPUT -p udp --dport 51820 -j ACCEPT
+
+# Autoriser les connexions établies et connexes
+iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
+
+# Autoriser les connexions sur l'interface loopback
+iptables -A INPUT -i lo -j ACCEPT
+
+# Autoriser les requêtes ping
+iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
+
+# Autoriser les connexions SSH depuis le réseau privé et depuis certains hôtes internet
+iptables -A INPUT -p tcp -s 172.16.0.0/24,81.209.165.42 --dport ssh -j ACCEPT
+
+# Autoriser les connexions DNS et SMTP sur l'interface privée
+iptables -A INPUT -i enp0s9 -s 172.16.0.0/24 -p udp --dport domain -j ACCEPT
+iptables -A INPUT -i enp0s9 -s 172.16.0.0/24 -p tcp --dport domain -j ACCEPT
+iptables -A INPUT -i enp0s9 -s 172.16.0.0/24 -p udp --dport bootps -j ACCEPT
+
+# Autoriser les requêtes ping sur l'interface VPN
+iptables -A INPUT -i wg0 -p icmp --icmp-type echo-request -j ACCEPT
+
+# Interdire les connexions SSH sur l'interface VPN
+iptables -A INPUT -i wg0 -s 0.0.0.0/0 -p tcp --dport ssh -j DROP
+
+# Interdire les connexions SSH sortantes sur l'interface VPN
+iptables -A OUTPUT -o wg0 -d 0.0.0.0/0 -p tcp --dport ssh -j DROP
+
+# Autoriser le trafic sur l'interface publique
+iptables -A INPUT -i enp0s8 -j ACCEPT
+
+# Autoriser les connexions depuis l'interface privée vers l'interface publique ou une autre interface privée
+iptables -A FORWARD -i enp0s9 -o enp0s8 -j ACCEPT
+iptables -A FORWARD -i enp0s9 -o enp0s9 -j ACCEPT
+
+# Interdire toutes les autres connexions de forwarding
+iptables -A FORWARD -j DROP

roles/fw-ferm/files/iptables.test.r-vp2

@@ -0,0 +1,50 @@
+# Politique par défaut : DROP
+iptables -P INPUT DROP
+iptables -P FORWARD ACCEPT
+iptables -P OUTPUT ACCEPT
+
+# Autoriser les connexions VPN entrantes
+iptables -A INPUT -p udp --dport 51820 -j ACCEPT
+
+# Autoriser les connexions établies et apparentées
+iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
+
+# Autoriser les connexions depuis l'interface locale
+iptables -A INPUT -i lo -j ACCEPT
+
+# Autoriser les requêtes ping
+iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
+
+# Autoriser les connexions SSH depuis le réseau privé et depuis certains hôtes Internet
+iptables -A INPUT -s 172.16.0.0/24 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
+iptables -A INPUT -s 81.209.165.42 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
+
+# Autoriser les connexions DNS et SMTP depuis le réseau privé
+iptables -A INPUT -i enp0s8 -s 172.16.0.0/24 -p udp --dport 53 -j ACCEPT
+iptables -A INPUT -i enp0s8 -s 172.16.0.0/24 -p tcp --dport 53 -j ACCEPT
+iptables -A INPUT -i enp0s8 -s 172.16.0.0/24 -p udp --dport 67 -j ACCEPT
+
+# Autoriser le trafic sortant
+iptables -A OUTPUT -j ACCEPT
+
+# Autoriser les requêtes ping sortantes
+iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
+
+# Autoriser les connexions SSH sortantes
+iptables -A OUTPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
+
+# Autoriser les connexions VPN sortantes
+iptables -A FORWARD -i wg0 -o enp0s9 -j ACCEPT
+iptables -A FORWARD -i enp0s9 -o wg0 -j ACCEPT
+
+# Interdire les connexions SSH entrantes depuis l'interface VPN
+iptables -A FORWARD -i wg0 -p tcp --dport 22 -j DROP
+
+# Autoriser les connexions SSH sortantes vers l'interface VPN
+iptables -A FORWARD -o wg0 -p tcp --dport 22 -j ACCEPT
+
+# Autoriser les connexions établies et apparentées
+iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
+
+# Autoriser le trafic depuis le réseau privé
+iptables -A FORWARD -i enp0s8 -o enp0s9 -j ACCEPT

roles/goss/defaults/main.yml

@@ -1,3 +1,2 @@
 depl_url: "http://s-adm.gsb.adm/gsbstore"
 depl_goss: "goss"
-

roles/goss/tasks/main.yml

@@ -1,5 +1,4 @@
 ---
-
 - name: goss binary exists
   stat: path=/usr/local/bin/goss
   register: gossbin
@@ -18,4 +17,3 @@
     mode: 0755
     remote_src: yes
   when: gossbin.stat.exists == false and ansible_hostname == "s-adm"
-

roles/lb-web/tasks/main.yml

@@ -13,16 +13,3 @@
   apt:
     name: nfs-common
     state: present
-
-- name: montage nfs pour word press
-  blockinfile:
-    path: /etc/fstab
-    block: |
-      192.168.102.253:/home/wordpress /var/www/html nfs soft,timeo=5,intr,rsize=8192,wsize=8192,wsize=8192 0 0
-
-      #- name: monte export wordpress
-      #  ansible.posix.mount:
-      #    path: /var/www/html
-      #    state: mounted
-      #    fstype: nfs
-      #    src: 192.168.102.253:/exports/wordpress

roles/metricbeat-cli/defaults/main.yml

@@ -0,0 +1 @@
+BEATVER: "8.5.3"

roles/metricbeat-cli/handlers/main.yml

@@ -1,5 +1,5 @@
-- name: start metricbeat
+- name: restart metricbeat
   service:
     name: metricbeat
-    state: started
+    state: restarted
     enabled: yes

roles/metricbeat-cli/tasks/main.yml

@@ -1,12 +1,12 @@
 ---
 - name: Récupération de metricbeat
   get_url:
-    url: http://s-adm.gsb.adm/gsbstore/metricbeat-7.16.3-amd64.deb
+    url: http://s-adm.gsb.adm/gsbstore/metricbeat-${BEATVER}-amd64.deb
     dest: /tmp/
 
 - name: Installation de metricbeat
   apt:
-    deb: /tmp/metricbeat-7.16.3-amd64.deb
+    deb: /tmp/metricbeat-${BEATVER}-amd64.deb
 
 - name: Changement du fichier de conf
   copy:
@@ -15,9 +15,9 @@
 
 - name: Configuration de metricbeat
   shell: metricbeat modules enable system  
-  notify: start metricbeat
+  notify: restart metricbeat
  
 - name: Lancement de la configuration de metricbeat
   shell: metricbeat setup -e
-  notify: start metricbeat
+  notify: restart metricbeat
 

roles/nagios/files/cfg/localhost.cfg

@@ -26,6 +26,7 @@ define host {
     host_name               localhost
     alias                   localhost
     address                 127.0.0.1
+    parents		    r-int
 }
 
 

roles/nagios/files/cfg/s-adm.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-adm
         alias                   debian-servers
         address                 192.168.99.99
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-appli.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-appli
         alias                   debian-servers
         address                 172.16.0.3
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-backup.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-backup
         alias                   serveur proxy
         address                 172.16.0.4
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-fog.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-fog
         alias                   serveur proxy
         address                 172.16.0.16
+	parents			r-int
         }
 
 

roles/nagios/files/cfg/s-infra.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-infra
         alias                   debian-servers
         address                 172.16.0.1
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-itil.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-itil
         alias                   serveur proxy
         address                 172.16.0.9
+	parents			r-int
         }
 
 

roles/nagios/files/cfg/s-nxc.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-nxc
         alias                   debian-servers
         address                 172.16.0.7
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-proxy.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-proxy
         alias                   serveur proxy
         address                 172.16.0.2
+	parents			r-int
         }
 
 

roles/nagios/files/cfg/s-win.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-win
         alias                   serveur proxy
         address                 172.16.0.6
+	parents			r-int
         }
 
 

roles/peertube-k3s/tasks/main.yml

@@ -0,0 +1,23 @@
+---
+  - name: mise a jour de resolv.conf...
+    copy:
+      src: /root/tools/ansible/gsb2023/roles/peertube/files/resolv.conf
+      dest: /etc/
+      mode: '0644'
+        
+  - name: installation de docker...
+    shell: curl https://releases.rancher.com/install-docker/20.10.sh | sh
+
+  - name: attente de l'installation...
+    wait_for:
+      timeout: 30
+      host: localhost
+
+  - name: installation de k3s...
+    shell: curl -sfL https://get.k3s.io | sh -s - --docker
+
+  - name: mise a jour de resolv.conf...
+    copy:
+      src: /root/tools/ansible/gsb2023/roles/peertube/files/resolv.conf
+      dest: /etc/
+      mode: '0644'

roles/peertube/files/resolv.conf

@@ -0,0 +1 @@
+nameserver 192.168.99.99

roles/peertube/files/values.yaml

@@ -0,0 +1,139 @@
+replicaCount: 1
+image:
+  repository: chocobozzz/peertube
+  pullPolicy: IfNotPresent
+  tag: "v5.0.1-bullseye"
+
+imagePullSecrets: []
+nameOverride: ""
+fullnameOverride: ""
+
+serviceAccount:
+  create: false
+  annotations: {}
+  name: ""
+podAnnotations: {}
+podSecurityContext: {}
+securityContext: {}
+
+service:
+  type: ClusterIP
+  port: 9000
+  nginxPort: 9001
+
+## default config for postgresql should work, but feel free to modify it if required.
+# must stay consistent with peertube configuration, otherwise peertube will crash
+postgresql:
+  enabled: true
+  primary:
+    persistence:
+      enabled: true
+      existingClaim: "pvc-postgres"
+  global:
+    postgresql:
+      auth:
+        postgrePassword: "admin"
+        username: "user"
+        password: "user"
+        database: "peertube"
+
+## the main list of variables tha will be applied in the peertube container
+# any error or misconfiguration will make peertube crash.
+peertube:
+  env:
+    dbUser: user # must be consistent with postgresql configuration
+    dbPasswd: user # must be consistent with postgresql configuration
+    dbSsl: false # disabled by default WARNING: ssl connection feature not tested, use at your own risk
+    dbHostname: peertube-postgresql # must be consistent with postgresql configuration
+    webHostname: peertube # must be changed to your local setup
+    secret: b2753b0f37444974de0e81f04815e6a889fcf8960bd203a01b624d8fa8a37683
+    smtpHostname: peertube-mail # must be consistent with mail configuration
+    smtpPort: 587 # must be consistent with mail configuration
+    smtpFrom: noreply@lan.lan # not configured by default, add something meaningfull if you want
+    smtpTls: false # disabled by default WARNING: tls connection feature not tested, use at your own risk
+    smtpDisableStartTls: false # unless crashes related to tls/ssl, this should be unchanged
+    adminEmail: root@localhost.lan # use this if you want peopleto be able to reach you 
+    redisHostname: peertube-redis-master # must be consistent with redis configuration
+    redisAuth: peertube # must be consistent with redis configuration
+  app:
+    userCanRegister: true # control if people can register by themselves
+    rootPasswd: rootroot # CHANGE THIS! the default admin username is 'root' this variable define the password
+## the next section configure at wich quality videos will be transcoded 
+    transcoding360: true
+    transcoding480: true
+    transcoding720: true
+    transcoding1080: false
+    transcoding2160: false
+
+## the configuration of the postfix server called 'mail' here 
+# change these settings if you know what you are doing
+mail:
+  enbled: true
+  config:
+    general:
+      ALLOWED_SENDER_DOMAINS: "yes" 
+      DKIM_AUTOGENERATE: "yes"
+    opendkim:
+      RequireSafeKeys: "no"
+    postfix:
+       smtp_tls_security_level: "secure" # works by default, any other tls level is untested
+  persistence:
+    enabled: false
+  service:
+    port: 587
+
+## the configuration of the redis server
+redis:
+  master:
+    persistence:
+      enabled: true
+      existingClaim: "pvc-redis"
+  replica:
+    persistence:
+      enabled: true
+      existingClaim: "pvc-redis"
+  auth:
+    enbled: true
+    password: "peertube"
+
+## ingress configuration is very specific this part must be configured or else you'll get 503 or 404 errors
+ingress:
+  enabled: false
+  className: ""
+  annotations: 
+    kubernetes.io/ingress.class: nginx
+    nginx.ingress.kubernetes.io/proxy-body-size: 4G # this caps the size of imported videos, if set low this might prevent you from uploading videos
+    # kubernetes.io/tls-acme: "true"
+  hosts:
+    - host: # your domain here
+      paths:
+        - path: /
+          pathType: ImplementationSpecific
+  tls: 
+  #  - secretName: chart-example-tls
+    - hosts:
+      -  # your domain here
+
+resources: {}
+autoscaling:
+  enabled: true
+  minimumReplicas: 3
+  maximumReplicas: 20
+  targetCPUUtilizationPercentage: 90
+  targetMemoryUtilizationPercentage: 75
+  windowSeconds: 120
+  minCPUPercentage: 20
+  minMemoryPercentage: 30
+
+## this section should be configured to match your needs and available ressources
+persistence:
+  enabled: true
+  reclaimPolicy: Retain
+  redisVolumeStorage: 1Gi
+  peertubeVolumeStorage: 5Gi
+  postgresqlVolumeStorage: 1Gi
+  accessMode: ReadWriteOnce 
+
+nodeSelector: {}
+tolerations: []
+affinity: {}

roles/peertube/tasks/main.yml

@@ -0,0 +1,31 @@
+---
+  - name: création du répertoire du dépot peertube...
+    file:
+      path: /root/tools/peertube
+      state: directory
+      mode: '0755'
+
+  - name: clonage du dépot peertube...
+    git:
+      repo: https://github.com/Elam-Monnot/Peertube-helm.git
+      dest: /root/tools/peertube
+      clone: yes
+      force: yes
+
+  - name: copie de values.yaml...
+    copy:
+      src: /root/tools/ansible/gsb2023/roles/peertube/files/values.yaml
+      dest: /root/tools/peertube/helm/
+      mode: '0644'
+
+  - name: installation de helm...
+    shell: curl https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash
+
+  - name: installation de peertube...
+    shell: helm repo add postgresql https://charts.bitnami.com/bitnami && helm repo add redis https://charts.bitnami.com/bitnami && helm repo add mail https://bokysan.github.io/docker-postfix
+
+  - name: exposition du cluster...
+    shell: export KUBECONFIG=/etc/rancher/k3s/k3s.yaml
+
+  - name: lancement du helm chart peertube...
+    shell: helm install --create-namespace -n peertube peertube-gsb /root/tools/peertube/helm

roles/post-lb/README.md

@@ -0,0 +1,7 @@
+# Rôle Post
+
+Le rôle "post" copie la configuration des interfaces des cartes réseaux nécessaires selon la machine sur laquelle on exécute le rôle. Il place cette configuration dans /etc/network/interfaces.
+
+Ensuite, on copie le fichier "resolv.conf" dans /etc/ lorsque que la machine qui exécute le rôle n'est pas "s-adm", "s-proxy" ou "r-vp2".
+
+Cependant, si la machine qui exécute le rôle est "s-proxy", on copie le fichier "resolv.conf.s-proxy" dans /etc/resolv.conf

roles/post-lb/files/interfaces.s-lb-web1

@@ -0,0 +1,21 @@
+### 0.2 - putconf - jeudi 7 janvier 2016, 16:18:49 (UTC+0100)
+
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# carte n-adm
+allow-hotplug enp0s3
+iface enp0s3 inet static
+	address 192.168.99.101/24
+
+# Réseau n-dmz-lb
+allow-hotplug enp0s8
+iface enp0s8 inet static
+        address 192.168.101.1/24
+
+# réseau n-dmz-db
+allow-hotplug enp0s9
+iface enp0s9 inet static
+        address 192.168.102.1/24
+	post-up mount -o rw 192.168.102.253:/home/wordpress /var/www/html

roles/post-lb/files/interfaces.s-lb-web2

@@ -0,0 +1,21 @@
+### 0.2 - putconf - jeudi 7 janvier 2016, 16:18:49 (UTC+0100)
+
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# carte n-adm
+allow-hotplug enp0s3
+iface enp0s3 inet static
+	address 192.168.99.101/24
+
+# Réseau n-dmz-lb
+allow-hotplug enp0s8
+iface enp0s8 inet static
+        address 192.168.101.1/24
+
+# réseau n-dmz-db
+allow-hotplug enp0s9
+iface enp0s9 inet static
+        address 192.168.102.1/24
+	post-up mount -o rw 192.168.102.253:/home/wordpress /var/www/html

roles/post-lb/files/resolv.conf

@@ -0,0 +1,4 @@
+search gsb.lan
+domain gsb.lan
+nameserver 172.16.0.1
+

roles/post-lb/tasks/main.yml

@@ -0,0 +1,24 @@
+---
+
+
+- name: Copie interfaces
+  copy: src=interfaces.{{ ansible_hostname }} dest=/etc/network/interfaces
+
+- name: Copie resolv.conf
+  copy: src=resolv.conf dest=/etc/
+  when: ansible_hostname != "s-adm" and ansible_hostname != "s-proxy"
+
+- name: pas de chgt resolv.conf pour r-vp2
+  meta: end_play
+  when: ansible_hostname == "r-vp2"
+
+- name: Copie resolv.conf pour s-proxy
+  copy: src=resolv.conf.s-proxy dest=/etc/resolv.conf
+  when: ansible_hostname == "s-proxy"
+
+#- name: Confirm
+#  prompt: "<Entree> pour redemarrer ..."
+
+#- name: Reboot
+#  shell: reboot
+

roles/post/files/interfaces.r-vp1-cs

@@ -1,26 +0,0 @@
-# This file describes the network interfaces available on your system
-# and how to activate them. For more information, see interfaces(5).
-
-# The loopback network interface
-#auto lo
-#iface lo inet loopback
-
-#cote N-adm
-allow-hotplug enp0s3
-iface enp0s3 inet dhcp
-	
-# reseau entre vpn
-allow-hotplug enp0s8
-iface enp0s8 inet static
-	address 192.168.0.51
-	netmask 255.255.255.0
-
-# reseau interne n-linkv
-allow-hotplug enp0s9
-iface enp0s9 inet static
-	address 192.168.1.2
-	netmask 255.255.255.0
-	up route add -net 172.16.128.0/24 gw 192.168.1.2
-	up route add default gw 192.168.1.1
-#	post-up /bin/bash /root/iptables-vpn
-	post-up /etc/init.d/ipsec restart

roles/post/files/interfaces.r-vp2-cs

@@ -1,25 +0,0 @@
-# This file describes the network interfaces available on your system
-# and how to activate them. For more information, see interfaces(5).
-
-# The loopback network interface
-#auto lo
-#iface lo inet loopback
-
-# cote N-adm
-allow-hotplug enp0s3
-iface enp0s3 inet dhcp
-
-# cote Agence
-allow-hotplug enp0s8
-iface enp0s8 inet static
-	address 172.16.128.254
-	netmask 255.255.255.0
-
-# cote VPN
-allow-hotplug enp0s9
-iface enp0s9 inet static
-	address 192.168.0.52
-	netmask 255.255.255.0
-	up route add -net 192.168.1.0/24 gw 172.16.128.254
-#	post-up /bin/bash /root/iptables-vpn
-	post-up /etc/init.d/ipsec restart

roles/post/files/interfaces.s-peertube

@@ -0,0 +1,17 @@
+### 0.1 - putconf - jeudi 30 mars 2023, 8:11:30 (UTC+0100)
+
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# carte n-adm
+allow-hotplug enp0s3
+iface enp0s3 inet static
+	address 192.168.99.120/24
+	gateway 192.168.99.99
+
+# Réseau n-dmz
+allow-hotplug enp0s8
+iface enp0s8 inet static
+        address 192.168.100.20/24
+	post-up systemctl start k3s && sleep 20 && export KUBECONFIG=/etc/rancher/k3s/k3s.yaml

roles/post/tasks/main.yml

@@ -21,4 +21,3 @@
 
 #- name: Reboot
 #  shell: reboot
-

roles/wireguard-r/README.md

@@ -1,19 +1,32 @@
-Procédure d'installation de **r-vp1** et de copie du fichier wg0-b.conf.
+
+# <p align="center">Procédure d'installation </p>
+  
+de **r-vp1** et de copie du fichier wg0-b.conf.
+
 ***
+## Sur **r-vp1**:
+Attendre la fin de l'installation. Ensuite lancer un serveur http avec python3 pour récuperer le fichier wg0-b.conf sur **r-vp2** . 
 
+### 🛠️ Lancer le script
+```bash
+cd /tools/ansible/gsb2023/Scripts
+```
+```bash
+bash r-vp1-post.sh
+```
+## Sur **r-vp2**:
 
-Depuis **r-vp1** se deplacer dans le repertoire **/tools/ansible/gsb2023** pour executer le playbook:
+Lancer le script r-vp2-post.sh pour récuperer le fichier de configuration et activer l'interface wg0.
-**"ansible-playbook -i localhost, -c local r-vp1.yml"** puis reboot **r-vp1**.
+### 🛠️ Lancer le script
-
+```bash
-
+cd /tools/ansible/gsb2023/Scripts
-Sur **r-vp1**:
+```
-
+```bash
-Attendre la fin de l'installation. Ensuite lancer un serveur http avec python3 pour récuperer le fichier
+bash r-vp2-post.sh
-wg0-b.conf sur **r-vp2** . Lancer le script **r-vp1-post.sh** dans **/tools/ansible/gsb2023/Scripts**.
+```
-
+## Fin
-
-Sur **r-vp2**:
-
-Lancer le script r-vp2-post.sh dans **/tools/ansible/gsb2023/Scripts** pour recuperer wg0-b.conf
-et qui renomme le fichier en **wg0.conf** . Il redémarre et active le service **wg-quick@wg0**.
 
+redemarer les machines
+```bash
+reboot
+```

s-adm.yml

@@ -4,7 +4,6 @@
 
   roles:
     - base
-    - goss
     - s-ssh
     - dnsmasq
     - squid
@@ -12,3 +11,4 @@
     - snmp-agent
     - syslog-cli
     - post
+#    - goss

s-lb-web1.yml

@@ -4,7 +4,7 @@
 
   roles:
     - base
-    - post
+    - post-lb
     - lb-web
     - snmp-agent
     - ssh-cli

s-lb-web2.yml

@@ -4,7 +4,8 @@
 
   roles:
     - base
-    - post
+    - post-lb
     - lb-web
     - snmp-agent
     - ssh-cli
+

s-peertube.yml

@@ -0,0 +1,11 @@
+---
+- hosts: localhost
+  connection: local
+
+  roles:
+    - base
+    - post
+    - snmp-agent
+    - ssh-cli
+    - peertube-k3s
+    - peertube

scripts/addint.s-peertube

@@ -0,0 +1,18 @@
+#!/bin/bash
+nom=s-peertube
+
+# N-adm (enp0s3)
+
+VBoxManage modifyvm $nom --nic1 intnet
+VBoxManage modifyvm $nom --intnet1 "n-adm"
+VBoxManage modifyvm $nom --nictype1 82540EM
+VBoxManage modifyvm $nom --cableconnected1 on
+VBoxManage modifyvm $nom --nicpromisc1 allow-all
+
+# N-dmz (enp0s8)
+
+VBoxManage modifyvm $nom --nic2 intnet
+VBoxManage modifyvm $nom --intnet2 "n-dmz"
+VBoxManage modifyvm $nom --nictype2 82540EM
+VBoxManage modifyvm $nom --cableconnected2 on
+VBoxManage modifyvm $nom --nicpromisc2 allow-all

scripts/mkvm

@@ -110,6 +110,8 @@ elif [[ "${vm}" == "s-lb-bd" ]] ; then
         create_if "${vm}" "n-adm" "n-dmz-db"
 elif [[ "${vm}" == "s-nas" ]] ; then
         create_if "${vm}" "n-adm" "n-dmz-db"
+elif [[ "${vm}" == "s-peertube" ]] ; then
+	./addint.s-peertube
 elif [[ "${vm}" == "r-vp1" ]] ; then
 	./addint.r-vp1
 elif [[ "${vm}" == "r-vp2" ]] ; then

scripts/r-vp2-post.sh

@@ -1,6 +1,6 @@
 #!/bin/bash
 #recuperation du fichier de config
-wget http://r-vp1.gsb.adm:8800/wg0-b.conf
+wget http://r-vp1.gsb.adm:8000/wg0-b.conf
 #renomage fichier et mv
 mv ./wg0-b.conf /etc/wireguard/wg0.conf
 #activation interface wg0