В данной инструкции описан процесс обновления AxelNAC 0.9.0 и 0.9.1 до версии 1.0.0, процесс проверки обновления конфигурационных файлов, а также приведен список ошибок, которые могут появиться в процессе обновления.

Заметки к обновлению

tar -xvf docker-anac-update.tar -C /

tar -xvf iptables-netflow_2.5.1.orig.tar.gz -C /dir_to_arch/ipt-netflow-2.5.1

cd /dir_to_arch/ipt-netflow-2.5.1
./configure
make all install

Некритические ошибки

Во время установки обновления могут возникнуть ошибки, которые не являются критическими и которые можно пропустить.

Man DB

Служба Man DB может быть удалена на сервере.

DELETE MAN-DB
mv: cannot stat '/usr/bin/mandb': No such file or directory
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
E: Unable to locate package man-db

my.cnf is broken

update-alternatives: warning: forcing reinstallation of alternative /etc/mysql/mariadb.cnf because link group my.cnf is broken
update-alternatives: warning: not replacing /etc/mysql/my.cnf with a link
Selecting previously unselected package mariadb-server-10.5.

Samba

Please ignore the following error about deb-systemd-helper not finding those services.
(samba-ad-dc.service masked)
Failed to preset unit: Unit file /etc/systemd/system/samba-ad-dc.service is masked.
/usr/bin/deb-systemd-helper: error: systemctl preset failed on samba-ad-dc.service: No such file or directory
nmbd.service is a disabled or a static unit not running, not starting it.
samba-ad-dc.service is a disabled or a static unit not running, not starting it.
smbd.service is a disabled or a static unit not running, not starting it.

Загрузка пакетов

>> ждем....идет распаковка и загрузка docker img !!!
6e0e62c618c6: Loading layer [==================================================>]  487.6MB/487.6MB
Loaded image: tacacs-main:latest
b8ea65c52bac: Loading layer [==================================================>]  497.9MB/497.9MB
Loaded image: tacacs-ui:latest

Скрипты для обновления AxelNAC

В данном разделе представлены скрипты для обновления AxelNAC до версии 1.0.0:

• Скрипт для локального обновления;
• Скрипт для обновления базы данных TACACS+;
• Скрипт для выполнения синхронизации файлов Win-Agent.

Необходимые правки для источников

/etc/apt/sources.list

В данном файле необходимо закомментировать все строчки, кроме последней, последняя строчка должна обязательно иметь окончание "bullseye main":

...
#deb https://deb.debian.org/debian bullseye-backports main
#deb-src https://deb.debian.org/debian bullseye-backports main
#deb http://10.31.202.12:8081/repository/anac-deb-proxy/ bullseye main contrib
#deb http://10.31.202.12:8081/repository/anac-deb-proxy-sec/ bullseye-security main contrib
deb [trusted=yes] file:/srv/anac-repo/ bullseye main

/etc/apt/sources.list.d//anac.list

В данном файле необходимо закомментировать все строчки:

#deb http://10.31.202.12:8081/repository/anac-apt/ bullseye main
#deb http://10.31.202.12:8081/repository/anac-release/ bullseye main

Файлы, изменяемые при обновлении

При выполнении обновления будут внесены изменения в следующие файлы:

• /usr/local/pf/conf/adminroles.conf;
• /usr/local/pf/conf/authentication.conf;
• /usr/local/pf/conf/httpd.conf.d/httpd.aaa.tt;
• /usr/local/pf/conf/radiusd/radiusd.conf;
• /usr/local/pf/conf/radiusd/rest.conf.

Win-Agent

При установке обновленной версии из OVA- или ISO-сборки агент инициализации Win-Agent появится только после перезапуска обновляемого хоста.

Обновление базы данных TACACS+

Для обновления базы данных TACACS+ выполните следующие команды:

#!bin/bash
cd /usr/local/pf/db/
mysql -u root -p tgui < tacacs-update-to-1.0.0.sql

Обновление AxelNAC

Для того, чтобы выполнить обновление AxelNAC до версии 1.0.0, необходимо выполнить следующие действия:

Шаг 1. Перенесите пакет обновления и скрипт для него на все узлы кластера в раздел /srv/.

Шаг 2. Подготовьте скрипт обновления базы данных TACACS+ — tacacs-update-to-1.0.0.sql и перенесите его на мастер-узел кластера.

Шаг 3. Выполните создание снапшотов текущего состояния каждого из узлов кластера, чтобы избежать потери данных кластера. Выключение каждой следующей виртуальной машины происходит только после полного восстановления предыдущей.

Шаг 4. Выполните на мастер-узле обновление базы данных mariadb с помощью следующей команды:

mysql -u root -p tgui < tacacs-update-to-1.0.0.sql

Шаг 5. Выведите узел из кластера.

Шаг 5.1. Отключите службу cluster_check. Для этого перейдите в раздел Конфигурация → Настройки системы → Основные настройки → Обслуживание и нажмите на переключатель слева от имени службы.

Шаг 5.2. Для отключения узла также необходимо выполнить перезапуск службы pfcron. Для этого нажмите на имя сервиса в левом верхнем углу страницы и в выпадающем списке выберите Перезапустить все по очереди.

Шаг 5.3. Отключите обновляемый узел от кластера, выполнив на нем следующие команды:

/usr/local/pf/bin/cluster/node <ИМЯ_ХОСТА_УЗЛА1> disable
/usr/local/pf/bin/cluster/node <ИМЯ_ХОСТА_УЗЛА2> disable
...

Шаг 5.4. Чтобы остальные узлы не пытались вернуть обновляемый узел в кластер, выполните на них следующую команду:

/usr/local/pf/bin/cluster/node <ИМЯ_ХОСТА_ОБНОВЛЯЕМОГО_УЗЛА> disable

Шаг 5.5. На обновляемом узле перезапустите службу mariadb:

systemctl restart packetfence-mariadb

Шаг 6. Выполните скрипт local-upgrade.sh для старта локального обновления:

cd /srv
bash local-upgrade.sh
#согласиться с установкой AxelNAC
    AxelNAC version 1.0.0 will be installed? Continue [y/n]: Y
#согласиться с установкой новых файлов конфигурации, если таковые имеются

При успешном обновлении будут отображены сообщения:

AxelNAC version 1.0.0 installed successfully

dpkg: warning: downgrading freeradius-common from 3.2.1+git to 3.2.1+0011+103139+ccd36a96+ci1
(Reading database ... 162983 files and directories currently installed.)
Preparing to unpack .../freeradius-common_3.2.1+0011+103139+ccd36a96+ci1_all.deb ...
Unpacking freeradius-common (3.2.1+0011+103139+ccd36a96+ci1) over (3.2.1+git) ...
Setting up freeradius-common (3.2.1+0011+103139+ccd36a96+ci1) ...

При возникновении ошибки будет выведено сообщение с причиной ее возникновения и результатом исправления. Например, при несоответствии версий RADIUS, будет выведено следующее сообщение:

ipt_NETFLOW.ko:
Running module version sanity check.Original moduleNo original module exists within this kernelInstallationInstalling to /lib/modules/5.10.0-28-amd64/updates/dkms/depmod...DKMS: install completed.
Building initial module for 5.10.0-33-amd64
Error! Bad return status for module build on kernel: 5.10.0-33-amd64 (x86_64)
Consult /var/lib/dkms/ipt-netflow/2.5.1/build/make.log for more information.
dpkg: error processing package iptables-netflow-dkms (--configure):
 installed iptables-netflow-dkms package post-installation script subprocess returned error exit status 10
dpkg: dependency problems prevent configuration of axelnac:
 axelnac depends on iptables-netflow-dkms; however:
  Package iptables-netflow-dkms is not configured yet.dpkg: error processing package axelnac (--configure):
 dependency problems - leaving unconfigured
Errors were encountered while processing:
 iptables-netflow-dkms 

Шаг 7. Убедитесь, что пакет обновлений установился и конфигурационные файлы обновились. Процесс проверки приведен в разделе ниже.

Шаг 8. Восстановите обновляемый узел в кластере, выполнив следующие команды:

/usr/local/pf/bin/cluster/node <ИМЯ_ХОСТА_УЗЛА1> enable
/usr/local/pf/bin/cluster/node <ИМЯ_ХОСТА_УЗЛА2> enable
...

После этого активируйте обновляемый узел на всех остальных узлах с помощью команды:

/usr/local/pf/bin/cluster/node <ИМЯ_ХОСТА_ОБНОВЛЯЕМОГО_УЗЛА> enable

Шаг 9. Отключите режим обслуживания с помощью команды:

/usr/local/pf/bin/cluster/maintenance --deactivate

Шаг 10. Повторите шаги 5-10, кроме шага 8, для обновления остальных узлов. Мастер-узел обновляется последним.

Шаг 11. Выполните конфигурацию параметров базы данных в веб-интерфейсе AxelNAC. Для этого перейдите в раздел Конфигурация → Настройки системы → База данных → Расширенные и установите следующие значения для параметров:

• Размер буферного пула InnoDB: 1024;
• Размер кэша потоков: 50;
• Схема работы: ON;
• Таймаут чтения по сети: 360;
• Таймаут записи по сети: 360;
• Режим Ведущий/Ведомый: OFF.

Шаг 12. Запустите службу cluster_check, которая была отключена в шаге 5.1 и перезапустите службу pfcron с помощью команды:

/usr/local/pf/bin/pfcmd service pfcron restart

Шаг 13. Выполните перезапуск каждого узла последовательно, дождавшись пока все службы восстановятся и будут иметь корректные статусы.

Шаг 14. Проверьте, был ли сгенерирован .exe-файл Windows-агента (данный шаг обязателен также для инсталляцию с помощью OVA-образа):

root@anac-6:~# ls -la /usr/local/pf/html/captive-portal/content/ | grep agent
-rw-r--r-- 1 root root    64018 Nov 12 13:54 AxelNAC-agent.apk
-rwxr-xr-x 1 root root 13466112 Nov 12 13:55 axelnac-windows-agent.exe

Если файл агента не был создан, перейдите в директорию /srv и запустите скрипт создания Windows-агента с помощью следующих команд:

cd /srv
bash create_agent.sh

Шаг 15. Выполните синхронизацию конфигурационных файлов и файла win-agent, запустив скрипт синхронизации на узле, где был сгенерирован .exe-файл Windows-агента (данный шаг обязателен также для инсталляцию с помощью OVA-образа):

bash sync_agent.sh

Шаг 16. На мастер-узле замените и внесите изменения в текущие файлы конфигурации adminroles.conf и authentication.conf. Для этого скопируйте отсутствующие блоки из резервных копий, которые были созданы в шаге 1. Затем перезапустите все службы с помощью следующих команд:

systemctl restart packetfence-config
/usr/local/pf/bin/pfcmd configreload

Проверка обновления конфигурационных файлов

В данном разделе приведены команды для проверки обновления конфигурационных файлов, а также примеры вывода, по которым можно идентифицировать успешное обновление.

База данных

Индексы

В списке индексов, в колонке Column_name должно присутствовать значение start_time:

mysql
use pf;
MariaDB [pf]> show indexes from locationlog;
+-------------+------------+---------------------------------+--------------+---------------+-----------+-------------+----------+--------+------+------------+---------+---------------+
| Table       | Non_unique | Key_name                        | Seq_in_index | Column_name   | Collation | Cardinality | Sub_part | Packed | Null | Index_type | Comment | Index_comment |
+-------------+------------+---------------------------------+--------------+---------------+-----------+-------------+----------+--------+------+------------+---------+---------------+
| locationlog |          0 | PRIMARY                         |            1 | mac           | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
| locationlog |          1 | locationlog_end_time            |            1 | end_time      | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
| locationlog |          1 | locationlog_view_switchport     |            1 | switch        | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
| locationlog |          1 | locationlog_view_switchport     |            2 | port          | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
| locationlog |          1 | locationlog_view_switchport     |            3 | vlan          | A         |           0 |     NULL | NULL   | YES  | BTREE      |         |               |
| locationlog |          1 | locationlog_ssid                |            1 | ssid          | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
| locationlog |          1 | locationlog_session_id_end_time |            1 | session_id    | A         |           0 |     NULL | NULL   | YES  | BTREE      |         |               |
| locationlog |          1 | locationlog_session_id_end_time |            2 | end_time      | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
| locationlog |          1 | locationlog_switch_ip_int       |            1 | switch_ip_int | A         |           0 |     NULL | NULL   | YES  | BTREE      |         |               |
| locationlog |          1 | locationlog_start_time          |            1 | start_time    | A         |           0 |     NULL | NULL   |      | BTREE      |         |               |
+-------------+------------+---------------------------------+--------------+---------------+-----------+-------------+----------+--------+------+------------+---------+---------------+
10 rows in set (0.000 sec)

SMS-провайдер

mysql
use pf;
MariaDB [pf]> select * from sms_carrier;
+--------+------+-------------------+---------------------+---------------------+-----------------+--------------------+-----------+
| id     | name | email_pattern     | created             | modified            | subject_pattern | body_pattern       | auth_type |
+--------+------+-------------------+---------------------+---------------------+-----------------+--------------------+-----------+
| 100056 | SMSC | send@send.smsc.ru | 2024-10-28 09:15:25 | 2024-10-29 12:26:06 |                 | %l%:%p%::::%s%:%m% |         0 |
+--------+------+-------------------+---------------------+---------------------+-----------------+--------------------+-----------+
1 row in set (0.000 sec)

Версия службы pf

mysql
use pf;
MariaDB [pf]> select * from pf_version;
+--------+---------+---------------------+
| id     | version | created_at          |
+--------+---------+---------------------+
| 786688 | 112.1   | 2024-10-28 09:15:25 |
+--------+---------+---------------------+
1 row in set (0.000 sec)

Создание таблицы токенов аутентификации

mysql
MariaDB [(none)]> use tgui;
Database changed
MariaDB [tgui]> select * from auth_token;
+------------------------------------------------------------------+---------------------+---------------------+---------+
| token                                                            | created_at          | updated_at          | user_id |
+------------------------------------------------------------------+---------------------+---------------------+---------+
|                                                                  |                    |                       |        | 
+------------------------------------------------------------------+---------------------+---------------------+---------+        

Конфигурационные файлы

adminroles.conf

Файл должен содержать следующие значения:

#Роль спонсора
...
[Sponsor]
allowed_actions=set_role,set_access_duration
description=Role for the sponsor
allowed_node_roles=
allowed_roles=guest
allowed_access_levels=NONE
allowed_access_durations=1h
actions=USERS_READ_SPONSORED,USERS_SET_ROLE,USERS_SET_ACCESS_DURATION,USERS_UPDATE,USERS_READ,USERS_CREATE,USERS_DELETE,SECURITY_EVENTS_READ
...
#Роль пользователя TACACS
...
[TACACS_USER]
allowed_roles=
allowed_actions=
allowed_access_levels=
allowed_node_roles=
actions=TACACS_USER,CONFIGURATION_MAIN_READ
description=Group for Tacacs Access
...

authentication.conf

Файл должен содержать следующие значения:

#Конфигурация SMSC-провайдера
...
[sms]
description=SMS-based registration
sms_carriers=100056
type=SMS
create_local_account=no
password_length=8
sms_activation_timeout=10m
dynamic_routing_module=AuthModule
local_account_logins=0
pin_code_length=6
sms_carrier_100056_pass=
sms_carrier_100056_login=
hash_passwords=bcrypt
message=PIN: $pin
local_account_expiration=0s
...

Docker-контейнеры с AxelNAC

docker ps

Crontabs

/etc/cron.d/axelnac
/var/spool/cron/crontab/root

Logrotate FS 

/etc/logrotate.d/fingerbank-collector

Для проверки выполните команду:

logrotate -f /etc/logrotate.d/fingerbank-collector

Ключи и файлы win-agent одинаковые на всех узлах кластера после выполнения синхронизации (шаг 15)

/usr/local/pf/html/captive-portal/content/axelnac-windows-agent.exe
/usr/local/pf/conf/agent_rsa_keys/windows_gpg_private.key
/usr/local/pf/conf/agent_rsa_keys/windows_gpg_private_key.passphrase
/usr/local/pf/conf/agent_rsa_keys/windows_gpg_public.key

Соответствие пакета packetfence-perl

apt -a list packetfence-perl
Listing... Done
packetfence-perl/stable,now 1.2.5 all [installed]

Отсутствие пакета impacket

root@anac:/usr/local/pf/containers# find / -name "impacket"
#в выводе команды должны отсутствовать какие-либо модули после установки обновления или развертывания OVA-образа