[OUTDATED] Grammm-Setup

OliverTempel

Nach dem rudimentären setup und dem einrichten der IP wurde das Setup über die Shell mittels grammm-setup gestartet.
Hier kommt als erstes die Fehlermeldung, broken pipe nach der Eingabe der DB Verbindung, macht man weiter, schlägt certbot fehl. nginx lässt sich ohne ssl nicht starten.

OliverTempel

Hier das komplette logfile:
`grammm setup was already run.
You can abort or delete all data and setup everything from scratch.
Type 'removealldata' and press enter to continue. Ctrl + c to abort.
If you continue ALL data wil be removed!
removealldata
Mysql database name:
(grammm):
Mysql database host:
(127.0.0.1):
Mysql user name:
(grammm):
Mysql password:

Administration interface password:

Your servers FQDN:
(localhost): mail.homeofus.de
The default mail domain:
(): homeofus.de
X500 organization name:
(): Oliver Tempel - IT auf den Punkt gebracht
Obtain SSL certificate from let's encrypt?
(y/n): y
Please enter SSL hostnames for your server.
Two domains are mandatory:
autodiscover.yourdmain.com
<one-other-name-than-autodiscover>.yourdmain.com
(mail.homeofus.de,autodiscover.homeofus.de,mail.homeofus.de): mail.homeofus.de,autodiscover.homeofus.de,mail.homeofus.de
E-Mail address for certificate warnings from letsencrypt.
Retrieving repository 'base' metadata ..............................................................................................................................................................[error]
Repository 'base' is invalid.
[base|http://ftp.gwdg.de/pub/opensuse/distribution/leap/15.2/repo/oss] Valid metadata not found at specified URL
History:

[|] Error trying to read from 'http://ftp.gwdg.de/pub/opensuse/distribution/leap/15.2/repo/oss'
Download (curl) error for 'http://ftp.gwdg.de/pub/opensuse/distribution/leap/15.2/repo/oss/content':
Error code: Connection failed
Error message: Could not resolve host: ftp.gwdg.de

Please check if the URIs defined for this repository are pointing to a valid repository.
Warning: Skipping repository 'base' because of the above error.
Retrieving repository 'update' metadata ............................................................................................................................................................[error]
Repository 'update' is invalid.
[update|http://ftp.gwdg.de/pub/opensuse/update/leap/15.2/oss] Valid metadata not found at specified URL
History:

[|] Error trying to read from 'http://ftp.gwdg.de/pub/opensuse/update/leap/15.2/oss'
Download (curl) error for 'http://ftp.gwdg.de/pub/opensuse/update/leap/15.2/oss/content':
Error code: Connection failed
Error message: Could not resolve host: ftp.gwdg.de

[|] Error trying to read from 'http://ftp.gwdg.de/pub/opensuse/distribution/leap/15.2/repo/oss'
Download (curl) error for 'http://ftp.gwdg.de/pub/opensuse/distribution/leap/15.2/repo/oss/content':
Error code: Connection failed
Error message: Could not resolve host: ftp.gwdg.de

[|] Error trying to read from 'http://ftp.gwdg.de/pub/opensuse/update/leap/15.2/oss'
Download (curl) error for 'http://ftp.gwdg.de/pub/opensuse/update/leap/15.2/oss/content':
Error code: Connection failed
Error message: Could not resolve host: ftp.gwdg.de

Please check if the URIs defined for this repository are pointing to a valid repository.
Warning: Skipping repository 'update' because of the above error.
Some of the repositories have not been refreshed because of an error.
Loading repository data...
Reading installed packages...
'mariadb' is already installed.
Package 'mariadb' is not available in your repositories. Cannot reinstall, upgrade, or downgrade.
'postfix' is already installed.
Package 'postfix' is not available in your repositories. Cannot reinstall, upgrade, or downgrade.
'cyrus-sasl-saslauthd' is already installed.
Package 'cyrus-sasl-saslauthd' is not available in your repositories. Cannot reinstall, upgrade, or downgrade.
'php-fpm' not found in package names. Trying capabilities.
'php7-fpm' providing 'php-fpm' is already installed.
'cyrus-sasl-plain' not found in package names. Trying capabilities.
No provider of 'cyrus-sasl-plain' found.
mv: cannot stat '/etc/php7/fpm/php-fpm.conf.default': No such file or directory
Creating admin_roles
Creating associations
Creating configs
Creating domains
Creating forwards
Creating groups
Creating hierarchy
Creating members
Creating mlists
Creating options
Creating orgs
Creating specifieds
Creating users
Creating aliases
Creating user_properties
Creating admin_role_permission_relation
Creating admin_user_role_relation
Creating classes
WARNING:root:Request validation is disabled!
WARNING:root:Response validation is disabled!
System admin user not found, creating...
Setting password for user 'admin'
Password updated
Warning: ALREADY_ENABLED: https
success
Warning: ALREADY_ENABLED: 25:tcp
success
Warning: ALREADY_ENABLED: 80:tcp
success
Warning: ALREADY_ENABLED: 110:tcp
success
Warning: ALREADY_ENABLED: 143:tcp
success
Warning: ALREADY_ENABLED: 993:tcp
success
Warning: ALREADY_ENABLED: 8080:tcp
success
Warning: ALREADY_ENABLED: 8443:tcp
success
success
Job for nginx.service failed because the control process exited with error code.
See "systemctl status nginx.service" and "journalctl -xe" for details.
grammm setup is done now.
Login to http://mail.homeofus.de:8080/ with admin
to create your first domain and users`

systemctl status nginx.service:
`● nginx.service - The nginx HTTP and reverse proxy server
Loaded: loaded (/usr/lib/systemd/system/nginx.service; enabled; vendor preset: disabled)
Active: failed (Result: exit-code) since Tue 2021-03-16 09:19:44 CET; 2min 55s ago
Process: 3148 ExecStartPre=/usr/sbin/nginx -t (code=exited, status=1/FAILURE)
Main PID: 2741 (code=exited, status=1/FAILURE)

Mar 16 09:19:44 localhost systemd[1]: Starting The nginx HTTP and reverse proxy server...
Mar 16 09:19:44 localhost nginx[3148]: nginx: [emerg] cannot load certificate "/etc/grammm/ssl/server-bundle.pem": PEM_read_bio_X509_AUX() failed (SSL: error:0909006C😛EM routines:get_name:no start line>
Mar 16 09:19:44 localhost nginx[3148]: nginx: configuration file /etc/nginx/nginx.conf test failed
Mar 16 09:19:44 localhost systemd[1]: nginx.service: Control process exited, code=exited status=1
Mar 16 09:19:44 localhost systemd[1]: Failed to start The nginx HTTP and reverse proxy server.
Mar 16 09:19:44 localhost systemd[1]: nginx.service: Unit entered failed state.
Mar 16 09:19:44 localhost systemd[1]: nginx.service: Failed with result 'exit-code'.`

OliverTempel

Ich bin jetzt das Protokoll durchgegangen und scheinbar hat der Server beim Neustart die DNS Konfiguration verloren. Das Setup lief nun durch.

mwilliams

Danke für den Report. Alle hier genannten Unzulänglichkeiten hierzu wurden im aktuellen 2021.02.1 Release behoben, inkl. der Möglichkeit, komplett eigenständige CA (durch grammm-setup) zu generieren.

noplan

mwilliams komplett eigenständige CA (durch grammm-setup) zu generieren.

gibt's das auch für self signed
also eine ganz schnelle lösung wenn das cert abgelaufen ist
ein neues drüber zu bügeln und fertig ?

mit

openssl req -x509 -new -nodes -out "${SSL_BUNDLE_T}" -keyout "${SSL_KEY_T}" -subj "/CN=${FQDN}" -addext "subjectAltName = DNS:${FQDN}, DNS:autodiscover.${DOMAIN}"

hat man zwar in /etc/grommunio-common/ssl/ neu erzeugt
problem war das outlook sich noch immer mit einem (dem alten cert gemeldet hat)

zugegeben war auch gemein da das alte zert auf

hostname.domain.aaa

und das neue auf

hostname.domain.bbb

gelaufen ist.

den anderen systemen war der swap gelcihgültig ja haben reboot gebraucht aber dann wars gut
hat auch den outlook dann nicht mehr gejuckt (kein fehler 10) um jetzt die diskussion abzudrehen ja da war möglicherweise was im chache von outlook etc. pp

erst als wir ein neues setup von grommunio drüber gebügelt haben
war der fehler in outlook sofort weg (klar er hat ja auch ein neues self signedim zuge des setup erstellt)

in der doku war nichts auffindbar wo die certs noch überall abgelegt sind ggf hard linked
sollte doch alles in

/etc/grommunio-common/ssl/

wohnen

brNP

WalterH

Soweit ich weis, sind die Zertifikate in: /etc/grommunio-common/ssl/. Der nginx liest die Zertifikat auch von dort, wie man in der Konfig Datei /etc/grommunio-common/nginx/ssl_certficate.conf sieht.
Wenn aber die DNS Domain verändert wurde, von hostname.domain.aaa zu hostname.domain.bbb würde ich mit grep das /etc/nach hostname.domain.aaa durchsuchen und ändern.

noplan

hätte mich jetzt gewundert wenn ich noch was gefunden hätte
übersehen war zu der zeit gut möglich (baseball world series geschuldet)

grep -r hostname.domain.aaa /etc/

liefert mir nur ein paar ~ Einträge ergo altes zeug (nix von certs)

WalterH

Der interne DNS ist auch noch verdächtig, was liefert: ping hostname.domain.aaa ?

noplan

kann ich dir jetzt nicht mehr sagen was der geliefert hat.
ärgerlich ;)

jetzt lieferte der

ping hostname.domain.aaa ---> eine antwort von externen IP (logisch weil der interne was er nicht kennt nach außen gebendarf)

wurde bereits geändert kurzes override

jetzt ping hostname.domain.aaa ---> kommt die interne IP gleich wie bei
ping hostname.domain.bbb

ich glaub ich muss mir das heute noch mal nachbauen ...
denn dann würd ich mir da der hinter dem haProxy wohnt ein script schrieben das mir alle x ein neues self signed cert anlegt und gut is ssl offloading macht ja eh der haProxy mit acme und LE
hab ja eh a bissi zeit denn solange die TASKs nicht gefixt sind komm ich eh nicht weiter

WalterH

Ich habe bei allen Installationen einen Split DNS. D. h. mail.kunde.at liefert extern eine offizielle IP und intern ist es ein CNAME auf den Server mit der internen IP.

noplan

WalterH
ja hier auch aber auf der Kiste (grommunio) etwas anders aufbauen müssen weil das test scenario
so nahe wie möglich am evaluierungs grund liegen muss

sonst ist es exakt genau so gebaut ...
wirst ja sonst schwammerl ....

mwilliams

closing, as grammm-setup is long superseded by grommunio-setup. certificate documentation can be found at https://docs.grommunio.com/admin/administration.html#tls-configuration - more details for docs are in pre-release.