redhat:guacamole-redhat:start

This is an old revision of the document!


Guacamole with partially Podman / CentOS 8

Das Guacamole Projekt ist eine HTML5 Remote-Access Applikation, die als zentrale Verwaltungskonsole entfernter Computer verwendet werden kann. Unterstützt werden derzeit die Protokolle VNC, RDP, SSH wie auch Telnet.

Hier, für eine Installation von Guacamole auf CentOS 7

Alternative zu guacamole: Installation von Glyptodon Enterprise (Webpage) oder https://www.os-js.org/

Die folgende Installation wurde für Red Hat / CentOS 8 geschrieben.

Um einen funktionierenden Betrieb von Guacamole zu gewährleisten, werden zu Beginn erst einmal alle von Guacamole benötigten Packete installiert:

# yum install epel-release -y
# yum update -y
# yum install @container-tools -y

# yum install mariadb-server wget java-11-openjdk-devel -y

Direkt nach der Installation der Packete, wird als erstes die lokale MySQL Datenbank abgesichert.


Generieren eines neuen MaiaDB-Root Passwortes:

# openssl rand -base64 30 > /root/.mariadb-root-pw && cat /root/.mariadb-root-pw

Tb/qprITSryJDHEp29XHr7/IuxMxZhGke/LZXEEJ

# systemctl enable mariadb.service --now
# mysql_secure_installation

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: ******************************
Re-enter new password: ******************************
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

All done!


Zum Schluss der Vorbereitungen werden noch die Guacamole Kern-Komponenten heruntergeladen sowie der MySQL Connector zum herstellen der Guacamole Datenbankverbindung installiert.

# cd /tmp

# wget https://www.blackgate.org/guac/guacamole-auth-jdbc-1.0.0.tar.gz
# wget https://www.blackgate.org/guac/guacamole-auth-duo-1.0.0.tar.gz

##DOWNLOAD JUST ONE VERSION, HARDENED BY MICHAEL OR ORIGINAL VERSION:##
# wget https://www.blackgate.org/guac/guacamole-1.0.0.war
# wget https://www.blackgate.org/guac/guacamole-1.0.0_hardened.war

##MYSQL CONNECTOR
# yum install https://dev.mysql.com/get/Downloads/Connector-J/mysql-connector-java-8.0.19-1.el8.noarch.rpm

# useradd -m -U -d /opt/tomcat -s /bin/false tomcat

# VERSION=9.0.30
# wget https://www-eu.apache.org/dist/tomcat/tomcat-9/v${VERSION}/bin/apache-tomcat-${VERSION}.tar.gz -P /tmp

# tar -xf /tmp/apache-tomcat-${VERSION}.tar.gz -C /opt/tomcat/
# ln -s /opt/tomcat/apache-tomcat-${VERSION} /opt/tomcat/latest
# chown -R tomcat: /opt/tomcat
# sh -c 'chmod +x /opt/tomcat/latest/bin/*.sh'

# mkdir -p /etc/guacamole/extensions
# mkdir /etc/guacamole/lib
# vim /etc/systemd/system/tomcat.service

[Unit]
Description=Tomcat 9 servlet container
After=network.target

[Service]
Type=forking

User=tomcat
Group=tomcat

Environment="JAVA_HOME=/usr/lib/jvm/jre"
Environment="GUACAMOLE_HOME=/etc/guacamole"
Environment="JAVA_OPTS=-Djava.security.egd=file:///dev/urandom"

Environment="CATALINA_BASE=/opt/tomcat/latest"
Environment="CATALINA_HOME=/opt/tomcat/latest"
Environment="CATALINA_PID=/opt/tomcat/latest/temp/tomcat.pid"
Environment="CATALINA_OPTS=-Xms512M -Xmx1024M -server -XX:+UseParallelGC"

ExecStart=/opt/tomcat/latest/bin/startup.sh
ExecStop=/opt/tomcat/latest/bin/shutdown.sh

[Install]
WantedBy=multi-user.target

# systemctl daemon-reload

# systemctl enable --now tomcat
# systemctl status tomcat
#setsebool -P tomcat_can_network_connect_db on

# firewall-cmd --zone=public --add-port=8080/tcp --permanent
#firewall-cmd --reload

# setsebool -P container_manage_cgroup on
# vim /etc/systemd/system/guacamole-guacd-container.service

[Unit]
Description=Guacamole guacd-Container
After=network.target

[Service]
Type=simple
TimeoutStartSec=60s

ExecStartPre=-/usr/bin/podman rm "guacamole-protocol-server"
ExecStart=/usr/bin/podman run --name guacamole-protocol-server --net=host guacamole/guacd

ExecReload=-/usr/bin/podman stop "guacamole-protocol-server"
ExecReload=-/usr/bin/podman rm "guacamole-protocol-server"

ExecStop=-/usr/bin/podman stop "guacamole-protocol-server"
Restart=always
RestartSec=30

[Install]
WantedBy=multi-user.target

# systemctl daemon-reload

# systemctl start guacamole-guacd-container.service
# systemctl enable guacamole-guacd-container.service

# systemctl status guacamole-guacd-container.service
# netstat -tulpn

In diesem Schritt wird mit dem DB-root Benutzer auf den MySQL Server verbunden und die Datenbank Guacamole erstellt und abgefüllt. Weiter wird aus Security Grünen einen eigenen Benutzer dazu erstellt, welcher ausschliesslich auf die Guacamole DB berechtigt wird. So wird verhindert, dass dieser Benutzer Veränderungen an der Server eigenen DB Struktur vornehmen kann.

# mysql -u root --password=$(cat /root/.mariadb-root-pw)
CREATE DATABASE guacamole_db1;
CREATE USER 'guacamole'@'localhost' IDENTIFIED BY 'v2gjMrY/2XmgJwhNE56scymqTiC337XkVKOHtYw9';
GRANT SELECT,INSERT,UPDATE,DELETE ON guacamole_db1.* TO 'guacamole'@'localhost';
FLUSH PRIVILEGES;
quit

Hier wird das Guacamole DB Authentifizierungs-Tool jdbc entpackt, in die Installation integriert und anschliessend die Datenbank abgefüllt. Zum Schluss wird dann noch der offizielle MySQL Connector driver ebenfalls mit einbezogen.

# tar -xvf guacamole-auth-jdbc-1.0.0.tar.gz
# cd guacamole-auth-jdbc-1.0.0/mysql/

# cp guacamole-auth-jdbc-mysql-1.0.0.jar /etc/guacamole/extensions/
# cat schema/*.sql | mysql -u root --password=$(cat /root/.mariadb-root-pw) guacamole_db1
# cd ../..

# ln -s /usr/share/java/mysql-connector-java.jar /etc/guacamole/lib/

Nun kann der Web-Client (das User Interface) von Guacamole auf dem System eingerichtet werden. Hierzu wird das selbst-entpackende *.war File welches den Client beinhaltet ins Webverzeichnis von Tomcat 9 verlinkt.

# cp guacamole-1.0.0.war /etc/guacamole/guacamole.war
# ln -s /etc/guacamole/guacamole.war /opt/tomcat/latest/webapps/
# mkdir /opt/tomcat/latest/.guacamole
# touch /etc/guacamole/guacamole.properties

# ln -s /etc/guacamole/guacamole.properties /opt/tomcat/latest/.guacamole/
# ln -s /usr/share/java/mysql-connector-java.jar /etc/guacamole/lib/

Befüllen der Haupt-Konfigurationsdatei von Guacamole. Alle Änderungen die hier hineingeschrieben werden, überschreiben lediglich den default Wert von Guacamole.

# vim /etc/guacamole/guacamole.properties

# MySQL properties
mysql-hostname: localhost
mysql-port: 3306
mysql-database: guacamole_db1
mysql-username: guacamole
mysql-password: v2gjMrY/2XmgJwhNE56scymqTiC337XkVKOHtYw9


Folgende SELinux Boolean muss für die Kommunikation zwischen Guacamole und der Datenbank aktiviert werden:

# setsebool -P tomcat_can_network_connect_db on

Zum Schluss, wird noch den Autostart der Services aktiviert und das System anschliessend neugestartet!

# systemctl enable tomcat.service --now (oder restart!)
# firewall-cmd --zone=public --add-port=8080/tcp --permanent
# firewall-cmd --reload

# systemctl reboot

Der Server sollte nun unter folgendem Link erreichbar sein: http://your_IP:8080/guacamole

Für weitere Details, Hilfestellungen: Offizielles Guacamole Manual

ACHTUNG: Das Standard Passwort von Guacamole muss unbedingt noch geändert werden!

  • Username: guacadmin
  • Passwort: guacadmin

FIXME

Error aus Logfile: /opt/tomcat/latest/logs/catalina.out

09:45:51.118 [http-nio-8080-exec-11] WARN  o.a.g.e.AuthenticationProviderFacade - The "mysql" authentication provider has encountered an internal error which will halt the authentication process. If this is unexpected or you are the developer of this authentication provider, you may wish to enable debug-level logging. If this is expected and you wish to ignore such failures in the future, please set "skip-if-unavailable: mysql" within your guacamole.properties.
09:45:51.118 [http-nio-8080-exec-11] ERROR o.a.g.rest.RESTExceptionMapper - Unexpected internal error:
### Error querying database.  Cause: java.sql.SQLException: The server time zone value 'CEST' is unrecognized or represents more than one time zone. You must configure either the server or JDBC driver (via the 'serverTimezone' configuration property) to use a more specifc time zone value if you want to utilize time zone support.
### The error may exist in org/apache/guacamole/auth/jdbc/user/UserMapper.xml
### The error may involve org.apache.guacamole.auth.jdbc.user.UserMapper.selectOne
### The error occurred while executing a query
### Cause: java.sql.SQLException: The server time zone value 'CEST' is unrecognized or represents more than one time zone. You must configure either the server or JDBC driver (via the 'serverTimezone' configuration property) to use a more specifc time zone value if you want to utilize time zone support.


Lösung: Timezone/Zeitzone des MariaDB/MySQL Servers ändern

  1. Die Standardtabellen für die Zeitzonen des Systems laden:
    # mysql_tzinfo_to_sql /usr/share/zoneinfo | mysql -u root --password=$(cat /root/.mariadb-root-pw) mysql
  2. Anpassen der Zone im Config-file:
    vim /etc/my.cnf.d/mariadb-server.cnf

<sxh bash;># Settings user and group are ignored when systemd is used. # If you need to run mysqld under a different user or group, # customize your systemd unit file for mysqld/mariadb according to the # instructions in http://fedoraproject.org/wiki/Systemd [mysqld] max_allowed_packet=64M datadir=/var/lib/mysql socket=/var/lib/mysql/mysql.sock log-error=/var/log/mariadb/mariadb.log pid-file=/run/mariadb/mariadb.pid

# Timezone default_time_zone=Europe/Zurich <sxh>

  • redhat/guacamole-redhat/start.1588062395.txt.gz
  • Last modified: 2020/04/28 08:26
  • by michael