redhat:guacamole-redhat:start

This is an old revision of the document!


Guacamole with partially Podman / CentOS 8

Das Guacamole Projekt ist eine HTML5 Remote-Access Applikation, die als zentrale Verwaltungskonsole entfernter Computer verwendet werden kann. Unterstützt werden derzeit die Protokolle VNC, RDP, SSH wie auch Telnet.

Hier, für eine Installation von Guacamole auf CentOS 7

Alternative zu guacamole: Installation von Glyptodon Enterprise (Webpage) oder https://www.os-js.org/

Die folgende Installation wurde für Red Hat / CentOS 8 geschrieben.

Um einen funktionierenden Betrieb von Guacamole zu gewährleisten, werden zu Beginn erst einmal alle von Guacamole benötigten Packete installiert:

# yum install epel-release -y
# yum update -y
# yum install @container-tools -y

# yum install mariadb-server wget java-11-openjdk-devel -y

Direkt nach der Installation der Packete, wird als erstes die lokale MySQL Datenbank abgesichert.


Generieren eines neuen MaiaDB-Root Passwortes:

# openssl rand -base64 30 > /root/.mariadb-root-pw && cat /root/.mariadb-root-pw

Tb/qprITSryJDHEp29XHr7/IuxMxZhGke/LZXEEJ

# systemctl enable mariadb.service --now
# mysql_secure_installation

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: ******************************
Re-enter new password: ******************************
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

All done!


Zum Schluss der Vorbereitungen werden noch die Guacamole Kern-Komponenten heruntergeladen sowie der MySQL Connector zum herstellen der Guacamole Datenbankverbindung installiert.

# cd /tmp

# wget https://www.blackgate.org/guac/guacamole-auth-jdbc-1.0.0.tar.gz
# wget https://www.blackgate.org/guac/guacamole-auth-duo-1.0.0.tar.gz

##DOWNLOAD JUST ONE VERSION, HARDENED BY MICHAEL OR ORIGINAL VERSION:##
# wget https://www.blackgate.org/guac/guacamole-1.0.0.war
# wget https://www.blackgate.org/guac/guacamole-1.0.0_hardened.war

##MYSQL CONNECTOR
# yum install https://dev.mysql.com/get/Downloads/Connector-J/mysql-connector-java-8.0.19-1.el8.noarch.rpm

# useradd -m -U -d /opt/tomcat -s /bin/false tomcat

# VERSION=9.0.30
# wget https://www-eu.apache.org/dist/tomcat/tomcat-9/v${VERSION}/bin/apache-tomcat-${VERSION}.tar.gz -P /tmp

# tar -xf /tmp/apache-tomcat-${VERSION}.tar.gz -C /opt/tomcat/
# ln -s /opt/tomcat/apache-tomcat-${VERSION} /opt/tomcat/latest
# chown -R tomcat: /opt/tomcat
# sh -c 'chmod +x /opt/tomcat/latest/bin/*.sh'

# mkdir -p /etc/guacamole/extensions
# mkdir /etc/guacamole/lib
# vim /etc/systemd/system/tomcat.service

[Unit]
Description=Tomcat 9 servlet container
After=network.target

[Service]
Type=forking

User=tomcat
Group=tomcat

Environment="JAVA_HOME=/usr/lib/jvm/jre"
Environment="GUACAMOLE_HOME=/etc/guacamole"
Environment="JAVA_OPTS=-Djava.security.egd=file:///dev/urandom"

Environment="CATALINA_BASE=/opt/tomcat/latest"
Environment="CATALINA_HOME=/opt/tomcat/latest"
Environment="CATALINA_PID=/opt/tomcat/latest/temp/tomcat.pid"
Environment="CATALINA_OPTS=-Xms512M -Xmx1024M -server -XX:+UseParallelGC"

ExecStart=/opt/tomcat/latest/bin/startup.sh
ExecStop=/opt/tomcat/latest/bin/shutdown.sh

[Install]
WantedBy=multi-user.target

# systemctl daemon-reload

# systemctl enable --now tomcat
# systemctl status tomcat
#setsebool -P tomcat_can_network_connect_db on

# firewall-cmd --zone=public --add-port=8080/tcp --permanent
#firewall-cmd --reload

# setsebool -P container_manage_cgroup on
# vim /etc/systemd/system/guacamole-guacd-container.service

[Unit]
Description=Guacamole guacd-Container
After=network.target

[Service]
Type=simple
TimeoutStartSec=60s

ExecStartPre=-/usr/bin/podman rm "guacamole-protocol-server"
ExecStart=/usr/bin/podman run --name guacamole-protocol-server --net=host guacamole/guacd

ExecReload=-/usr/bin/podman stop "guacamole-protocol-server"
ExecReload=-/usr/bin/podman rm "guacamole-protocol-server"

ExecStop=-/usr/bin/podman stop "guacamole-protocol-server"
Restart=always
RestartSec=30

[Install]
WantedBy=multi-user.target

# systemctl daemon-reload

# systemctl start guacamole-guacd-container.service
# systemctl enable guacamole-guacd-container.service

# systemctl status guacamole-guacd-container.service
# netstat -tulpn

In diesem Schritt wird mit dem DB-root Benutzer auf den MySQL Server verbunden und die Datenbank Guacamole erstellt und abgefüllt. Weiter wird aus Security Grünen einen eigenen Benutzer dazu erstellt, welcher ausschliesslich auf die Guacamole DB berechtigt wird. So wird verhindert, dass dieser Benutzer Veränderungen an der Server eigenen DB Struktur vornehmen kann.

# mysql -u root --password=$(cat /root/.mariadb-root-pw)
CREATE DATABASE guacamole_db1;
CREATE USER 'guacamole'@'localhost' IDENTIFIED BY 'v2gjMrY/2XmgJwhNE56scymqTiC337XkVKOHtYw9';
GRANT SELECT,INSERT,UPDATE,DELETE ON guacamole_db1.* TO 'guacamole'@'localhost';
FLUSH PRIVILEGES;
quit

Hier wird das Guacamole DB Authentifizierungs-Tool jdbc entpackt, in die Installation integriert und anschliessend die Datenbank abgefüllt. Zum Schluss wird dann noch der offizielle MySQL Connector driver ebenfalls mit einbezogen.

# tar -xvf guacamole-auth-jdbc-1.0.0.tar.gz
# cd guacamole-auth-jdbc-1.0.0/mysql/

# cp guacamole-auth-jdbc-mysql-1.0.0.jar /etc/guacamole/extensions/
# cat schema/*.sql | mysql -u root --password=$(cat /root/.mariadb-root-pw) guacamole_db1
# cd ../..

# ln -s /usr/share/java/mysql-connector-java.jar /etc/guacamole/lib/

Nun kann der Web-Client (das User Interface) von Guacamole auf dem System eingerichtet werden. Hierzu wird das selbst-entpackende *.war File welches den Client beinhaltet ins Webverzeichnis von Tomcat 9 verlinkt.

# cp guacamole-1.0.0.war /etc/guacamole/guacamole.war
# ln -s /etc/guacamole/guacamole.war /opt/tomcat/latest/webapps/
# mkdir /opt/tomcat/latest/.guacamole
# touch /etc/guacamole/guacamole.properties

# ln -s /etc/guacamole/guacamole.properties /opt/tomcat/latest/.guacamole/
# ln -s /usr/share/java/mysql-connector-java.jar /etc/guacamole/lib/

Befüllen der Haupt-Konfigurationsdatei von Guacamole. Alle Änderungen die hier hineingeschrieben werden, überschreiben lediglich den default Wert von Guacamole.

# vim /etc/guacamole/guacamole.properties

# MySQL properties
mysql-hostname: localhost
mysql-port: 3306
mysql-database: guacamole_db1
mysql-username: guacamole
mysql-password: v2gjMrY/2XmgJwhNE56scymqTiC337XkVKOHtYw9


Folgende SELinux Boolean muss für die Kommunikation zwischen Guacamole und der Datenbank aktiviert werden:

# setsebool -P tomcat_can_network_connect_db on

Zum Schluss, wird noch den Autostart der Services aktiviert und das System anschliessend neugestartet!

# systemctl enable tomcat.service --now (oder restart!)
# firewall-cmd --zone=public --add-port=8080/tcp --permanent
# firewall-cmd --reload

# systemctl reboot

Der Server sollte nun unter folgendem Link erreichbar sein: http://your_IP:8080/guacamole

Für weitere Details, Hilfestellungen: Offizielles Guacamole Manual

ACHTUNG: Das Standard Passwort von Guacamole muss unbedingt noch geändert werden!

  • Username: guacadmin
  • Passwort: guacadmin

Um auf die neue Version von Guacamole zu upgraden, kann eigentlich wie oben bei der Neuinstallation vorgegangen werden. Es wird jedoch empfohlen, das Upgrade wie unten in den einzelnen Schritten beschrieben durchzuführen; Um auch alle gespeicherten Verbindungen und User zu erhalten, braucht es nämlich trotzdem die einte oder andere kleine Abänderung.

WICHTIG: Ein grosser unterschied besteht darin, dass der gesammte DB Create Part übersprungen wird und anstelle von diesem Abschnittes hier die Schritte aus dem Punkt MySQL-DB Upgrade durchgeführt werden.

FIXME

Vor dem Beginn werden erstmals die zwei Haupt-Services die Guacamole auszeichnen gestoppt.

# systemctl stop tomcat.service
# systemctl stop guacd

Ist dies erledigt, kann man mit dem Upgrade eigentlich sofort beginnen.. Will man noch seine DB-Credentials nachschauen, kann man dies im guacamole.properties tun.

# cat /etc/guacamole/guacamole.properties

mysql-hostname: localhost
mysql-port: 3306
mysql-database: xxxxxxxxx
mysql-username: xxxxxxxxx
mysql-password: xxxxxxxxx

Asl erstes, werden die alten Dateien / Verzeichnisse gelöscht, welche nicht mehr von der neuen Guacamole Version unterstützt, gebraucht werden:

# rm -rf /etc/guacamole/extensions/*
# rm -f /var/lib/tomcat/webapps/guacamole.war
# rm -rf /var/lib/tomcat/webapps/guacamole
# rm -f /etc/guacamole/guacamole.war

Zum durchführen des Upgrades, wird nun weiter folgendermassen vorgegangen:

  1. Herunterladen der neuen Versionen (Server, WebClient, jdbc und falls gebraucht duo)
    # cd ~/build
    
    # wget https://www.blackgate.org/guac/guacamole-server-0.9.1x.tar.gz
    # wget https://www.blackgate.org/guac/guacamole-auth-jdbc-0.9.1x.tar.gz
    
    ##DOWNLOAD JUST ONE VERSION, HARDENED BY MICHAEL OR ORIGINAL VERSION:##
    # wget https://www.blackgate.org/guac/guacamole-0.9.1x.war
    # wget https://www.blackgate.org/guac/guacamole-0.9.1x_hardened.war
    
    # wget https://www.blackgate.org/guac/guacamole-auth-duo-0.9.1x.tar.gz
  2. Entpacken des Server Sourcecodes und der Extentions
    # tar -xvf guacamole-server-0.9.1x.tar.gz
    # tar -xvf guacamole-auth-jdbc-0.9.1x.tar.gz
    
    # tar -xvf guacamole-auth-duo-0.9.1x.tar.gz
  3. Server kompilieren und installieren.
    # cd guacamole-server-0.9.1x/
    
    # ./configure --with-init-dir=/etc/init.d
    # make
    # make install
    
    # cd ..
  4. Neue Versionen der Erweiterungen, aus den Source Ordnern in /ect/guacamole/extension kopieren! (z.B. auth-jdbc & auth-duo)
     # cd guacamole-auth-jdbc-0.9.1x/mysql/
    
    # cp guacamole-auth-jdbc-mysql-0.9.1x.jar /etc/guacamole/extensions/
    # cd ../..
    
    # cp guacamole-auth-duo-0.9.1x/guacamole-auth-duo-0.9.1x.jar /etc/guacamole/extensions/
  5. Neuer WebClient nach /etc/guacamole/ kopieren und Symlinks erneuern. ACHTUNG: Nur eine Version kopieren!
    ##COPY JUST ONE VERSION, SAME YOU DESIDED ABOVE!: (HARDENED BY MICHAEL OR ORIGINAL VERSION)## 
    
    # cp guacamole-0.9.1x_hardened.war /etc/guacamole/guacamole.war
    # cp guacamole-0.9.1x.war /etc/guacamole/guacamole.war
    
    # ln -s /etc/guacamole/guacamole.war /var/lib/tomcat/webapps/
  6. Falls nötig, DB-Upgrade durchführen. Ansonsten Dienste (wie ganz unten beschrieben) wieder starten.

Um nun (falls Nötig → wenn Files vorhanden) das MySQL Upgrade durchzuführen, muss wie folgt vorgehen werden:

# cd guacamole-auth-jdbc-0.9.1x/mysql/schema/upgrade

# cat upgrade-pre-0.9.1x.sql | mysql -u root --password=$(cat /root/.mariadb-root-pw) guacamole

ACHTUNG: Wenn zwei db Aktualisierungen notwendig sind; z.B. beim Upgrade von Guacamole 0.9.13 auf 0.9.15, muss die DB IMMER zuerst auf die erste vorherige Version in dem Fall 0.9.14 upgedated werden, noch bevor, schlussendlich auf die neuste Release Version 0.9.15 aktualisiert werden kann!

Nach dem erfolgreichen Upgrade, kann der Guacamole Server (nach einem daemon-reload) sowie der Tomcat Webserver anschliessend wieder gestartet werden!

# systemctl daemon-reload

# systemctl start tomcat.service
  • redhat/guacamole-redhat/start.1579791152.txt.gz
  • Last modified: 2020/01/23 14:52
  • by michael