midas/ssh-jumphost
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
f8d80d3334d8e0d720e477505ee49edf030b1770
ssh-jumphost/ansible/roles/guacd/tasks/main.yml
Midas Wollinger f8d80d3334 fix 5
2026-08-20 00:08:35 +02:00

221 lines
8.3 KiB
YAML
Raw Blame History

---
# guacd + FreeRDP als reine Protokoll-Engine fuer RDP (Konzept 3/4.3).
# Laeuft ausschliesslich lokal gebunden, kein Netzwerkzugriff von aussen.
#
# guacd gibt es fuer Debian (Bookworm und aelter) als apt-Paket bislang NICHT
# (nur Ubuntu paketiert es ueber die "universe"-Komponente). Daher wird guacd
# hier gemaess der offiziellen Apache-Guacamole-Doku
# ("Installing Guacamole natively") aus dem Quellcode gebaut. Nur das
# RDP-Plugin wird aktiviert (FreeRDP-Dev-Header vorhanden, kein VNC/Telnet),
# passend zum reinen RDP-Einsatzzweck dieses Jumphosts.
#
# FreeRDP-Paketname und Build-Quelle haengen vom Ziel-OS ab:
#
# - Debian 12 (bookworm): liefert nur FreeRDP2 (freerdp2-dev). Dafuer wird
# der offizielle guacamole-server-1.5.5-Release-Tarball gebaut (stabil,
# Checksum-verifiziert).
#
# - Debian 13 (trixie): liefert nur FreeRDP3 (freerdp3-dev), und zwar bereits
# Version 3.15 -- das ist NEUER als das, wogegen der letzte offizielle
# guacamole-server-Release (1.6.0) geschrieben wurde. Der 1.6.0-Tarball
# baut gegen trixies FreeRDP3 nicht (u.a. entfernter "->input"-Member auf
# rdpFreerdp, s. https://issues.apache.org/jira/browse/GUACAMOLE-2146 und
# diverse Debian-13-Install-Guides, die genau das bestaetigen). Es gibt
# noch KEIN Release mit funktionierender FreeRDP-3.15-Unterstuetzung.
# Daher wird hier stattdessen der guacamole-server-"main"-Branch (git,
# Standard-Branch des apache/guacamole-server-Repos) gebaut, in der
# Hoffnung/Annahme, dass dort bereits Anpassungen an neuere
# FreeRDP-3.x-APIs eingeflossen sind.
#
# ACHTUNG: Das ist AUSDRUECKLICH KEIN von Apache Guacamole empfohlener Weg
# (Doku: "please not a non-release version from git") -- kein stabiler
# Versions-Tag, keine Checksum-Verifikation moeglich, kann durch Aenderungen
# an "main" jederzeit brechen oder unerwartetes Verhalten zeigen. Sobald
# ein Guacamole-Release mit getesteter FreeRDP-3.15-Unterstuetzung
# erscheint, sollte per group_vars auf einen festen Tag zurueckgestellt
# werden (guacd_version: "x.y.z" erzwingt den Release-Tarball-Pfad, auch
# auf Debian 13). guacd_git_ref erlaubt es, statt "main" einen anderen
# Branch/Tag/Commit zu bauen.
- name: FreeRDP-Paket, Build-Modus (Release-Tag vs. git-main) und Version anhand der Distribution bestimmen
ansible.builtin.set_fact:
_guacd_freerdp_pkg: >-
{{ guacd_freerdp_dev_package
if (guacd_freerdp_dev_package | default('', true) | length > 0)
else ('freerdp3-dev'
if (ansible_distribution == 'Debian' and ansible_distribution_major_version | int >= 13)
else 'freerdp2-dev') }}
_guacd_build_mode: >-
{{ 'release'
if (guacd_version | default('', true) | length > 0)
else ('git'
if (ansible_distribution == 'Debian' and ansible_distribution_major_version | int >= 13)
else 'release') }}
_guacd_version: "{{ guacd_version if (guacd_version | default('', true) | length > 0) else '1.5.5' }}"
_guacd_git_ref: "{{ guacd_git_ref | default('main') }}"
- name: Build-Abhaengigkeiten fuer guacd installieren
ansible.builtin.apt:
name:
- build-essential
- libcairo2-dev
- libjpeg62-turbo-dev
- libpng-dev
- libtool-bin
- uuid-dev
- libpango1.0-dev
- libssl-dev
- "{{ _guacd_freerdp_pkg }}"
- pkg-config
- wget
- ca-certificates
- git
- autoconf
- automake
- libtool
state: present
update_cache: true
- name: Dedizierten guacd-User anlegen (frueher vom Debian/Ubuntu-Paket erledigt)
ansible.builtin.user:
name: guacd
system: true
shell: /usr/sbin/nologin
create_home: false
- name: Vorhandene guacd-Installation pruefen
ansible.builtin.stat:
path: /usr/local/sbin/guacd
register: _guacd_bin
# --- Release-Tarball-Pfad (Debian 12 / expliziter Versions-Override) -------
- name: Installierte guacd-Version ermitteln (Release-Pfad)
ansible.builtin.command: /usr/local/sbin/guacd -v
register: _guacd_installed_version
changed_when: false
when: _guacd_bin.stat.exists and _guacd_build_mode == 'release'
- name: guacamole-server Quellcode-Tarball herunterladen
ansible.builtin.get_url:
url: "https://archive.apache.org/dist/guacamole/{{ _guacd_version }}/source/guacamole-server-{{ _guacd_version }}.tar.gz"
dest: "/usr/local/src/guacamole-server-{{ _guacd_version }}.tar.gz"
checksum: "sha256:https://archive.apache.org/dist/guacamole/{{ _guacd_version }}/source/guacamole-server-{{ _guacd_version }}.tar.gz.sha256"
mode: "0644"
when: >-
_guacd_build_mode == 'release' and
((not _guacd_bin.stat.exists) or (_guacd_version not in (_guacd_installed_version.stdout | default(''))))
- name: guacamole-server Tarball entpacken
ansible.builtin.unarchive:
src: "/usr/local/src/guacamole-server-{{ _guacd_version }}.tar.gz"
dest: /usr/local/src
remote_src: true
creates: "/usr/local/src/guacamole-server-{{ _guacd_version }}/configure"
when: >-
_guacd_build_mode == 'release' and
((not _guacd_bin.stat.exists) or (_guacd_version not in (_guacd_installed_version.stdout | default(''))))
- name: Feststellen, ob (Neu-)Build noetig ist (Release-Pfad)
ansible.builtin.set_fact:
_guacd_build_needed: "{{ (not _guacd_bin.stat.exists) or (_guacd_version not in (_guacd_installed_version.stdout | default(''))) }}"
_guacd_src_dir: "/usr/local/src/guacamole-server-{{ _guacd_version }}"
when: _guacd_build_mode == 'release'
# --- git-main-Pfad (Debian 13, s. Warnhinweis oben) -------------------------
- name: guacamole-server-Quellcode (git {{ _guacd_git_ref }}) holen/aktualisieren
ansible.builtin.git:
repo: https://github.com/apache/guacamole-server.git
dest: /usr/local/src/guacamole-server-git
version: "{{ _guacd_git_ref }}"
force: true
register: _guacd_git
when: _guacd_build_mode == 'git'
- name: Feststellen, ob (Neu-)Build noetig ist (git-Pfad)
ansible.builtin.set_fact:
_guacd_build_needed: "{{ (not _guacd_bin.stat.exists) or _guacd_git.changed }}"
_guacd_src_dir: /usr/local/src/guacamole-server-git
when: _guacd_build_mode == 'git'
- name: Build-System aus configure.ac generieren (autoreconf, nur git-Pfad)
ansible.builtin.command:
cmd: autoreconf -fi
chdir: "{{ _guacd_src_dir }}"
when: _guacd_build_mode == 'git' and _guacd_build_needed
# --- Gemeinsame Build-Schritte (beide Pfade) --------------------------------
- name: guacamole-server konfigurieren (nur RDP-Plugin, kein VNC/Telnet/guacenc)
ansible.builtin.command:
cmd: >-
./configure --with-systemd-dir=/etc/systemd/system
--disable-guacenc --disable-guaclog
chdir: "{{ _guacd_src_dir }}"
when: _guacd_build_needed
- name: guacamole-server kompilieren
ansible.builtin.command:
cmd: "make -j{{ ansible_processor_vcpus | default(2) }}"
chdir: "{{ _guacd_src_dir }}"
when: _guacd_build_needed
changed_when: true
- name: guacamole-server installieren (make install)
ansible.builtin.command:
cmd: make install
chdir: "{{ _guacd_src_dir }}"
when: _guacd_build_needed
notify:
- reload systemd
- restart guacd
- name: Shared-Library-Cache aktualisieren (ldconfig)
ansible.builtin.command: ldconfig
when: _guacd_build_needed
changed_when: false
- name: guacd nur an localhost binden
ansible.builtin.lineinfile:
path: /etc/guacamole/guacd.conf
regexp: '^bind_host'
line: "bind_host = 127.0.0.1"
create: true
notify: restart guacd
- name: guacd-Port setzen
ansible.builtin.lineinfile:
path: /etc/guacamole/guacd.conf
regexp: '^bind_port'
line: "bind_port = {{ guacd_port }}"
create: true
notify: restart guacd
- name: RDP-Laufwerksumleitungs-Verzeichnisse anlegen (Filetransfer, Konzept 4.3)
ansible.builtin.file:
path: "/var/lib/jumphost/rdp-drives"
state: directory
owner: guacd
group: guacd
mode: "0750"
- name: Override-Verzeichnis fuer guacd-Unit anlegen
ansible.builtin.file:
path: /etc/systemd/system/guacd.service.d
state: directory
owner: root
group: root
mode: "0755"
- name: Gehaertete systemd-Unit fuer guacd ausrollen (Override)
ansible.builtin.template:
src: guacd.service.j2
dest: /etc/systemd/system/guacd.service.d/override.conf
owner: root
group: root
mode: "0644"
notify:
- reload systemd
- restart guacd
Reference in New Issue View Git Blame Copy Permalink