Технология бездисковой (сетевой) загрузки

cat > /etc/dhcp/dhcpd.conf <<EOF
# DHCP-опция 93 — Client System Architecture.
# Используется PXE-машинами для указания архитектуры загрузки.
#
# Примеры:
#   00:00 — BIOS / Legacy PXE
#   00:07 — UEFI x86_64
#
# По этой опции ниже выбирается загрузочный файл:
#   undionly.kpxe — для Legacy BIOS
#   ipxe.efi      — для UEFI
option arch code 93 = unsigned integer 16;


# ------------------------------------------------------------------------------
# Пользовательские DHCP-опции для Dynamic Diskless Loader / Termidesk
# ------------------------------------------------------------------------------

# DHCP-опция 224.
# Адрес Termidesk-сервера.
option termidesk-server code 224 = text;

# DHCP-опция 225.
# Версия API Termidesk-сервера.
option termidesk-api-version code 225 = text;

# DHCP-опция 226.
# Адрес Syslog-сервера.
option syslog-server code 226 = text;


# ------------------------------------------------------------------------------
# Пространство опций iPXE
# ------------------------------------------------------------------------------

# Объявление отдельного пространства DHCP-опций для iPXE.
option space ipxe;

# iPXE-опция 176 — no-pxedhcp.
#
# Значение 1 запрещает iPXE выполнять дополнительный PXE-DHCP-запрос.
option ipxe.no-pxedhcp code 176 = unsigned integer 8;


# ------------------------------------------------------------------------------
# Общие настройки DHCP-сервера
# ------------------------------------------------------------------------------

# Время аренды IP-адреса по умолчанию.
default-lease-time 600;

# Максимальное время аренды IP-адреса.
max-lease-time 7200;

# Отключение динамических DNS-обновлений.
ddns-update-style none;

# DHCP-сервер считается авторитетным для этой сети.
authoritative;


# ------------------------------------------------------------------------------
# Подсеть 172.16.0.0/24
# ------------------------------------------------------------------------------

subnet 172.16.0.0 netmask 255.255.255.0 {

    # --------------------------------------------------------------------------
    # Статические DHCP-привязки
    # --------------------------------------------------------------------------

    # Узел iSCSI-сервера с MAC-адресом 52:54:00:74:6d:a5 всегда будет получать
    # IP-адрес 172.16.0.2.
    host termidesk-iscsi-server {
        hardware ethernet 52:54:00:74:6d:a5;
        fixed-address 172.16.0.2;
    }


    # --------------------------------------------------------------------------
    # Основные сетевые параметры
    # --------------------------------------------------------------------------

    # Шлюз по умолчанию для машин этой подсети.
    option routers 172.16.0.1;

    # Маска подсети.
    option subnet-mask 255.255.255.0;

    # DNS-сервер для клиентов.
    #
    # Он должен уметь разрешать имена, например:
    #   termidesk.local
    #   main.local
    option domain-name-servers 172.16.0.1;

    # DNS-домен для машин.
    #
    # Например, короткое имя:
    #   termidesk
    #
    # может быть дополнено до:
    #   termidesk.local
    option domain-name "local";

    # Динамический диапазон адресов.
    #
    # DHCP-сервер будет выдавать машинам адреса:
    #   172.16.0.10 - 172.16.0.100
    range 172.16.0.10 172.16.0.100;

    # MTU интерфейса.
    #
    # 1400 может быть полезен для туннелей, VPN, overlay-сетей
    # или проблем с фрагментацией.
    option interface-mtu 1400;

    # Время аренды IP-адреса именно для этой подсети.
    default-lease-time 600;

    # Максимальное время аренды именно для этой подсети.
    max-lease-time 1800;


    # --------------------------------------------------------------------------
    # Параметры iPXE
    # --------------------------------------------------------------------------

    # Отключает дополнительный PXE-DHCP-запрос со стороны iPXE.
    #
    # Это делает загрузку предсказуемее, если все нужные параметры
    # отдаёт этот DHCP-сервер.
    option ipxe.no-pxedhcp 1;


    # --------------------------------------------------------------------------
    # Параметры Dynamic Diskless Loader / Termidesk
    # --------------------------------------------------------------------------

    # Адрес Termidesk-сервера.
    #
    # Передаётся машине РМ через DHCP-опцию 224.
    #
    # Так как указано DNS-имя termidesk.local,
    # машине нужен рабочий DNS-сервер 172.16.0.1.
    option termidesk-server "termidesk.local";

    # Версия API Termidesk.
    #
    # Передаётся клиенту через DHCP-опцию 225.
    option termidesk-api-version "7.0";

    # Адрес syslog-сервера.
    #
    # Вариант с DNS-именем:
    #   option syslog-server "main.local";
    #
    # Вариант с IP-адресом надёжнее на ранней стадии загрузки,
    # потому что не зависит от DNS.
    #option syslog-server "main.local";
    option syslog-server "172.16.0.1";


    # --------------------------------------------------------------------------
    # Выбор загрузочного файла по архитектуре PXE-машины РМ
    # --------------------------------------------------------------------------

    # Если машина РМ сообщила архитектуру 00:00,
    # значит это Legacy BIOS / обычный PXE.
    #
    # Для него отдаём undionly.kpxe.
    if option arch = 00:00 {
        filename "undionly.kpxe";

    # Все остальные архитектуры считаем UEFI.
    #
    # Для UEFI отдаём ipxe.efi.
    } else {
        filename "ipxe.efi";
    }


    # --------------------------------------------------------------------------
    # Список DHCP-опций, которые нужно отдать iPXE-машине РМ
    # --------------------------------------------------------------------------

    # Проверяем, что машина РМ уже является iPXE.
    #
    # Обычно первый этап:
    #   PXE firmware -> получает undionly.kpxe или ipxe.efi
    #
    # Второй этап:
    #   iPXE -> снова делает DHCP-запрос с user-class = "iPXE"
    #
    # В этом блоке явно указываем, какие DHCP-опции iPXE должен запросить
    # и получить от DHCP-сервера.
    #if exists user-class and option user-class = "iPXE" {
        option dhcp-parameter-request-list
            1,    # subnet-mask
                  # Маска подсети.

            3,    # routers
                  # Шлюз по умолчанию.

            6,    # domain-name-servers
                  # DNS-серверы.

            15,   # domain-name
                  # DNS-домен, например local.

            26,   # interface-mtu
                  # MTU интерфейса.

            66,   # tftp-server-name
                  # Имя или IP-адрес TFTP-сервера.

            67,   # bootfile-name
                  # Имя загрузочного файла.

            224,  # termidesk-server
                  # Пользовательская опция с адресом сервера Termidesk.

            225,  # termidesk-api-version
                  # Пользовательская опция с версией API Termidesk.

            226;  # syslog-server
                  # Пользовательская опция с адресом syslog-сервера.
    #}


    # --------------------------------------------------------------------------
    # TFTP/PXE параметры
    # --------------------------------------------------------------------------

    # IP-адрес next-server.
    #
    # Для PXE это сервер, с которого машина РМ должна забирать загрузочный файл.
    # Обычно это TFTP-сервер.
    next-server 172.16.0.1;

    # DHCP-опция 66 — tftp-server-name.
    #
    # Явно сообщает машине РМ адрес TFTP-сервера.
    option tftp-server-name "172.16.0.1";
}
EOF

echo 'INTERFACESv4="enp5s0"' > /etc/default/isc-dhcp-server

cat > /etc/unbound/unbound.conf.d/diskless.conf <<EOF
# ------------------------------------------------------------------------------
# Основной блок настроек DNS-сервера Unbound
# ------------------------------------------------------------------------------

server:

    # IP-адрес, на котором Unbound будет слушать DNS-запросы.
    #
    # В данном случае DNS-сервер доступен только на интерфейсе/адресе:
    #   172.16.0.1
    #
    # Это хорошо для изолированной загрузочной сети 172.16.0.0/24.
    interface: 172.16.0.1

    # Порт DNS-сервера.
    #
    # Стандартный DNS-порт:
    #   53
    port: 53


    # --------------------------------------------------------------------------
    # Доступ к DNS-серверу
    # --------------------------------------------------------------------------

    # Разрешить DNS-запросы с localhost.
    #
    # Нужно, чтобы сам сервер мог обращаться к локальному Unbound:
    #   dig @127.0.0.1 termidesk.local
    access-control: 127.0.0.0/8 allow

    # Разрешить DNS-запросы из загрузочной сети.
    #
    # Машина из подсети 172.16.0.0/24 смогут использовать этот Unbound
    # как DNS-сервер.
    access-control: 172.16.0.0/24 allow


    # --------------------------------------------------------------------------
    # Защита приватных адресов
    # --------------------------------------------------------------------------

    # Запрещает получать приватные адреса 172.16.0.0/24 из внешнего DNS.
    #
    # Это защита от DNS rebinding и мусорных внешних ответов.
    #
    # Важно:
    #   private-address не запрещает локальные записи local-data.
    #
    # Поэтому записи ниже:
    #   termidesk.local -> 172.16.0.2
    #   main.local      -> 172.16.0.1
    #
    # будут работать нормально.
    private-address: 172.16.0.0/24


    # --------------------------------------------------------------------------
    # Локальная DNS-зона
    # --------------------------------------------------------------------------

    # Объявляет локальную DNS-зону local.
    #
    # Точка в конце обязательна:
    #   "local."
    #
    # Тип static означает:
    #   - Unbound сам отвечает за имена внутри зоны local.
    #   - Если имени нет в local-data, Unbound вернёт NXDOMAIN.
    #   - Запросы вида unknown.local не будут пересылаться наружу.
    #
    # Это правильно для внутренней зоны, где все нужные имена
    # должны быть явно описаны.
    local-zone: "local." static


    # --------------------------------------------------------------------------
    # Локальные DNS-записи
    # --------------------------------------------------------------------------

    # DNS-запись для сервера Termidesk.
    #
    # Полное имя:
    #   termidesk.local.
    #
    # IP-адрес:
    #   172.16.0.2
    #
    # В DHCP это имя используется здесь:
    #   option termidesk-server "termidesk.local";
    local-data: "termidesk.local. IN A 172.16.0.2"

    # DNS-запись для основного сервера загрузочной сети.
    #
    # Полное имя:
    #   main.local.
    #
    # IP-адрес:
    #   172.16.0.1
    #
    # Обычно на этом адресе находятся:
    #   - DHCP
    #   - DNS / Unbound
    #   - TFTP
    #   - iSCSI
    #   - syslog
    local-data: "main.local. IN A 172.16.0.1"


# ------------------------------------------------------------------------------
# Пересылка внешних DNS-запросов
# ------------------------------------------------------------------------------

forward-zone:

    # Зона "." означает корневую DNS-зону.
    #
    # То есть все запросы, которые Unbound не обслуживает локально,
    # будут пересылаться на forward-addr ниже.
    #
    # Например:
    #   google.com
    #   debian.org
    #   ntp.org
    name: "."

    # Основной upstream DNS-сервер.
    #
    # В данном случае это скорее роутер или DNS-сервер
    # во внешней сети 192.168.0.0/24 (это только пример).
    forward-addr: 192.168.0.1

    # Резервный внешний DNS-сервер.
    #
    # Будет использоваться, если 192.168.0.1 недоступен
    # или не отвечает.
    forward-addr: 8.8.8.8
EOF

# Прием syslog по UDP/514
module(load="imudp")
input(type="imudp" port="514" ruleset="remote")

# Прием syslog по TCP/514
module(load="imtcp")
input(type="imtcp" port="514" ruleset="remote")

# Шаблон: складывать удаленные журналы по IP-адресу отправителя
template(name="RemoteByIP" type="string"
         string="/var/log/remote/%FROMHOST-IP%/syslog.log")

# Правила для удаленных журналов
ruleset(name="remote") {
    action(
        type="omfile"
        dynaFile="RemoteByIP"
        createDirs="on"
        dirCreateMode="0755"
        fileCreateMode="0644"
    )
    stop
}
EOF

sed -i 's/^TFTP_OPTIONS="--secure"$/TFTP_OPTIONS="--refuse blksize --secure"/' /etc/default/tftpd-hpa