Workshopserver

Generelle Infos

VLANs

• 100: Workshopnetz, 172.26.17.1/24 (Lillix-PXE-Boot)
• 200: Users-Netz, 172.26.18.1/23 (Users-Netz, z.B. WLAN)
• 310: Auxiliary-Netz, 172.26.17.1/24 (Anderer Kram, z.B. Event-Infrastruktur für Licht etc.)

Netwerkports

• nic0 (Port 1, ganz rechts): Uplink ins Internet (DHCP)
• nic1 (Port2, mitte): Trunk-Port (vmbr0, default-VLAN mgmt, alle anderen VLANs tagged)
• nic2 (Port 3, ganz links): Workshop-Netz (vmbr1, br-ws, VLAN-ID 100, PXE-Boot)

Firewall

DHCP-Server

Wir nutzen kea als DHCP-Server. Die Config findet man in /etc/kea. Für IPv4 gibt es eine umfangreiche Config die, z.B. im Workshop-Netz Optionen für PXE mitgibt und via DynDNS auch entsprechende DNS-Einträge für die DHCP-Clients setzt.

Wireguard-VPN

Wir bauen ein Wireguard-VPN zur Firewall im Rechenzentrum auf. rz-sp-fw-01 hat hierbei die IP 192.168.126.1 und der Workshopserver 192.168.126.101. Via systemd-networkd werden bestimmte Subnetze durch das VPN geroutet. Die Config ist unter /etc/systemd/network/ auf fw.mgmt.net01.eves.teckids.org zu finden.

Monitoring

Es läuft eine Monitoring-VM auf dem Server. Dort läuft ein Prometheus-Server, der alle relevanten Metriken von Workshopserver, VMs und ggf. Netzwerkhardware die Switches und Access-Points scraped. Der Hostname ist monitoring.mgmt.net01.eves.teckids.org. Über Federation scraped der Prometheus-Server auf monitoring.teckids.org alle Metriken, sodass diese im Grafana sichtbar sind.

Lillix

Auf lillix.mgmt.net01.eves.teckids.org läuft ein nginx und ein tftpd. Unter /srv/lillix bzw. /srv/tftpd liegen alle relevanten Dateien und Images. Der DHCP-Server auf der Firewall announced den PXE-Server per DHCP an die Clients

Inbetriebnahme

Mit unserem Backbone-Switch

• Port 24: Internet-Uplink
• Port 21: Port 1 an Workshopserver
• Port 22: Port 2 an Workshopserver

Restliche Port-Config siehe https://code.teckids.org/teckids/net-config-teckids/src/branch/main/backbone.mgmt.net01.eves.teckids.org?display=source

Login am Backbone-Switch als User admin und Passwort aus dem Vaultwarden: Sysadmin/Netzwerk/backbone.mgmt.net01.eves.teckids.org

Ohne Backbone-Switch

• nic0 (Port 1, ganz rechts): Uplink ins Internet (DHCP)
• nic1 (Port2, mitte): Trunk-Port (vmbr0, default-VLAN mgmt, alle anderen VLANs tagged)
• nic2 (Port 3, ganz links): Workshop-Netz (vmbr1, br-ws, VLAN-ID 100, PXE-Boot)

Festplatte entschlüsseln

• Passwort in Vaultwarden unter Sysadmin/LUKS/virt01.mgmt.net01.eves.teckids.org
• Per SSH
  • Netzwerkkabel (mit DHCP) an Port 1 stecken
  • Via SSH (als Root) auf Port 2222 einloggen und LUKS-PW eingeben
• oder (einfacher): Bildschirm anstecken und PW eingeben

Prüfen ob alles korrekt startet

Nachdem Proxmox gebootet ist einmal prüfen, ob alle relevanten VMs (fw, monitoring, lillix) korrekt gestartet sind und auch einmal schauen, ob der Wireguard-Tunnel hochgekommen ist. Falls nicht, prüfen wieso. Ggf. unter Known Issues schauen (und neue Sachen dort ergänzen). Ggf. auch einmal Updates machen und alles nochmal sauber rebooten.

Known issues

SSH-Key wird nicht akzeptiert

Ggf. ist Dein SSH-Key noch nicht auf den Servern gelandet. Das kann passieren, wenn Du einen neuen SSH-Key hast oder Du neu im Team bist. Bitte jemanden, der schon länger dabei ist, die Keys zu aktualisieren. Hierbei auch an die authorized_keys für Dropbear denken (LUKS-PW-Eingabe via SSH). Generell gilt: Deine SSH-Keys in TIC-Desk müssen aktuell sein, damit sie auf den Systemen landen.

Uhrzeit kaputt

• Mit timedatectl ntp aus und wieder einschalten:
  • timedatectl set-ntp no
  • timedatectl set-ntp yes
• Oder mit timedatectl einmal das Datum korrekt setzen, z.B.:
  • timedatectl set-time '2026-06-16 23:48'
  • Im Anschluss ntp wieder aktivieren!

TLS-Zertifikat lillix.mgmt.net01.eves.teckids.org abgelaufen

• Auf lillix.mgmt.net01.eves.teckids.org per SSH einloggen und Cert neu bestellen:
  • dehydrated -c -a rsa -x
  • ACHTUNG: Hier unbedingt ein RSA-Zertifikat ordern, die Laptops akzeptieren kein anderes…

Workshopserver müde, Workshopserver schlafen

Der Server ist passiv gekühlt. Gerade in warmen Umgebungen geht der gerne mal aus. Hier kann ein kleiner Ventilenti oder ein schattige(re)s Plätzchen Abhilfe schaffen. Ggf. Temperaturgraphen prüfen.