Почтовый, файловый и VPN-сервер на NixOS

Kirill Zholnay 2 августа 2020

Коллеги, готов ответить на вопросы, смело задавайте!

Самый главный вопрос - если вы знакомы с линуксом в целом и знаете о Nix, то почему бы самому не написать конфиг?

Kirill Zholnay 2 августа 2020

Я руковожу сейчас айтишниками, мне некогда.

И нет IT-шника, который этим займется по месту?

Kirill Zholnay 3 августа 2020

Айтишников полно, но им бизнес ЗП платит, я не могу их месяц выдернуть из текущих дел. Это скорее side-project, который я и сам развивать могу, но нужно сначала разобраться как следует, сделать чтобы работало, а потом улучшать.

Сам,  то я тоже потыкал, но уперся в херню, типа как завернуть весь трафик в VPN и сматчить этот с синтаксисом настройки NixOS. Вот мой текущий конфиг и он работает, дальше методом проб и ошибок доробатывать:

[root@nixos:~]# cat /etc/nixos/configuration.nix
{ stdenv, lib, config, pkgs, ... }: {
imports = [
./hardware-configuration.nix
./networking.nix # generated at runtime by nixos-infect
];

boot.cleanTmpDir = true;
boot.loader.grub.device = "/dev/sda";
networking.hostName = "nixos";
time.timeZone = "Europe/Kiev";
i18n.defaultLocale = "ru_UA.UTF-8";
networking.firewall.allowPing = true;
networking.firewall.allowedTCPPorts = [ 22 443 64738 ];
networking.firewall.allowedUDPPorts = [ 443 64738 ];
services.openssh.enable = true;
services.openssh.passwordAuthentication = false;
users.users.root.openssh.authorizedKeys.keys = [
"ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIJtaGuDFcHrOrTMtXV9Rc1fkKUdvMDbMWSURkAxJHPGw user@uhn"
];
environment.systemPackages = with pkgs; [
htop
vim
murmur
ocserv
];
system.autoUpgrade.enable = true;
system.autoUpgrade.allowReboot = true;
services.murmur.enable = true;
systemd.services.murmur.preStart = "sleep 5";
systemd.services.murmur.serviceConfig.Restart = lib.mkForce "on-failure";
services.murmur.bandwidth = 128000;
services.murmur.hostName = "voice.example.org";
nix.gc.automatic = true;
nix.gc.dates = "03:15";
services.ocserv.enable = true;
services.ocserv.config = ''
auth = "pam"
tcp-port = 443
udp-port = 443
isolate-workers = true
ipv4-network = 192.168.5.254
ipv4-netmask = 255.255.255.0
dns = 8.8.8.8
route = 192.168.5.0/255.255.255.0
socket-file = /run/ocserv-socket
server-cert = /etc/ssl/certs/server-cert.pem
server-key = /etc/ssl/certs/server-key.pem
ca-cert = /etc/ssl/certs/ca.pem
device = vpns
'';
users.users.mobile = {
isNormalUser = false;
description = "VPN user";
hashedPassword = "$6$76HpSEDM/msV3RQ$u210J3Bp6aYMfa6KRkDmsAbC1XcR2nz1Unvx6LReErUXffJGKWzzy4TyLiTn4vazTwsYRaJvi2nzYlHTwbul0.";
};
networking.nat.enable = true;
networking.nat.externalInterface = "eth0";
networking.nat.internalInterfaces = [ "vpns0" ];
networking.nat.internalIPs = [ "192.168.5.0/24" ];
networking.firewall.trustedInterfaces = [ "lo" "vpns0" ];
}

Я ставку делать не буду, но вот чтобы быть в курсе того, что нынче требуют люди, могу попробовать. Получится оценим бюджет в пределах вашего, а нет так нет. Я пойму где-то день на 5-й. Остальное можно и в лс.

Kirill Zholnay 3 августа 2020

В том-то и проблема. Что риски высокие, взять проект и не выполнить. А мне вроде как и неудобно за незавыполенный проект платить. Потрогайте, может, уверенность в руках почувствуете, понравится. Я подожду еще

За незавершенный я и денег брать не буду. Я говорю о том, что в случае реализации проекта все будет в рамках бюджета. А трогать мне тут придется с самого нуля, что мне собственно всегда нравилось.

Kirill Zholnay 5 августа 2020

Вот даже инструкция свежая для Nextcloud https://jacobneplokh.com/how-to-setup-nextcloud-on-nixos

system.autoUpgrade.enable = true;
system.autoUpgrade.allowReboot = true;

ВЫ серьезно надеетесь, что не будет проблем после обновления? :)

Kirill Zholnay 7 августа 2020

А чего ему ломаться? Зависимостей никаких, подключил стрим small - это частые, но минорные апдейтый с хотфикасми. Если обновление не прошло, или goss не смог провести тест, система откатится на предыдущее рабочее состояние

Понятно, желаю удачи верить в надежность:)

Kirill Zholnay 8 августа 2020

Уважаемые коллеги, огромное спасибо за уделенное время. Я выбрал исполнителя.

Честно говоря, не ожидал такого количества окликов. Думал, что на freelancehunt могут только вордпрессы разворачивать ) Я рад, что ошибался!
Надеюсь, с теми кто успел потрогать NixOS мы поработаем в будущих проектах.