Некоторые читатели моего блога интересуются почему я пишу в основном о FreeBSD и мало уделяю внимания Linux. Видимо пришло время рассказать чем мне так нравится FreeBSD на серверах. Данная статья не коим образом не умаляет достоинств Linux систем, я лишь попытаюсь изложить некоторые моменты, которые, возможно, кому-то помогут определиться с выбором ОС для своего сервера.

Первой системой, доставшейся мне "в наследство" от прежнего сиcадмина была Red Hat 6. В то время я ещё совершенно не был знаком ни с Linux, ни тем более с FreeBSD. Вернее знания мои заканчивались пробной установкой какого-то дистрибутива Linux на десктоп... а тут сразу рабочий сервер завода в полное распоряжение и крутись как знаешь.

читать полностью →

Не так давно нужно было объединить 2 сети - обеспечить видимость серверов. Как-то до этого времени задач по маршрутизации не стояло. Эта небольшая статья о том как сделать статическую маршрутизацию на FreeBSD. Пример сети возьмем из хендбука:

RouterA - наш компьютер с FreeBSD, он же является маршрутизатором в Интернет. Его маршрут по умолчанию для связи с внешним миром 10.0.0.1. Собственно на его примере и покажу настройку маршрутизации.

RouterB в качестве шлюза использует 192.168.1.1, что видно из схемы.

Для начала посмотрим таблицу маршрутизации на RouterA (команда netstat -nr):

% netstat -nr
Routing tables
Internet:
Destination        Gateway         Flags    Refs      Use  Netif  Expire
default            10.0.0.1        UGS         0    49378    xl0
127.0.0.1          127.0.0.1       UH          0        6    lo0
10.0.0/24          link#1          UC          0        0    xl0
192.168.1/24       link#2          UC          0        0    xl1

читать полностью →

Сегодня речь пойдет о NAT, а точнее о kernel nat (IPFIREWALL_NAT). На новом сервере решил опробовать свеженькую FreeBSD 8 для организации выхода в интернет.

Изначально о встроенном в ядро NAT не помышлял и cделал по старинке, использую демон NATD. Всё замечательно заработало, однако при запуске сервера в реальную работу вылезло одно не приятное "но".

При подключении по SSH на сервер наблюдались жуткие тормоза программ, использующих псевдографику, например MC прорисовывал панельки в течение минуты! Такая же ситуация наблюдалась и в sysinstall. Медленный заход в MC мог наблюдаться например, если не правильно указаны или не верно настроены DNS адреса, но здесь был не тот случай, да и характер прорисовки экрана иной. Причем локально с консоли всё работало шустро. Выяснилось, что при отключении NATD скорость работы по SSH восстанавливается.

Честно говоря природу данного явления так и не выяснил. Зато решил опробовать встроенный в ядро NAT (эта возможность появилась начиная c 7 версии FreeBSD).

читать полностью →

О настройке PPP соединения в FreeBSD я уже писал на страницах блога - настройка ADSL PPPoE соединения в FreeBSD. Данная статья во многом её повторяет и создана с одной лишь целью - помощь в подключении к новому региональному провайдеру Мега-НН.

Впрочем, подойдет и для любого другого провайдера, предоставляющего доступ к Интернет посредством PPPoE-соединения по имени и паролю.

Для начала следует привести файл /etc/ppp/ppp.conf к такому виду:

default:
  set log Phase tun command
megann:
  set device PPPoE:msk0
  set authname ISP_login
  set authkey ISP_password
  set dial
  set login
  enable dns
  add default HISADDR

читать полностью →

В новогодние праздники настраивал очередной сервер на FreeBSD. В этот раз уже на 8-ой стабильной ветке этой системы... как же быстро бежит время... Но речь не об этом. Т.к. времени было достаточно, решил в качестве бонуса заказчику установить web-интерфейс для работы с почтовым сервером внутри предприятия.

Итак, требуется подключить к установленой ОС FreeBSD дополнительный жесткий диск, будь то, для резервного копирования важной информации, либо, как в моём случае, сделать файл-сервер на SAMBA. Хоть и можно задействовать квоты в SAMBA, но уж лучше пусть расшареные ресурсы живут физически на отдельном винте. Так спокойнее.

Производимые действия не зависят от версии FreeBSD. У меня, на момент написания статьи, была установлена ветка 8.1.

Полагаю, что HDD физически уже подключен. FreeBSD предоставляет нам простой инструмент, известный Вам по установке системе. В консоли запускаем sysinstall, далее заходим в Configure, запускаем Fdisk.

Многие владельцы нетбуков (ноутов) возможно столкнулись с неработающим встроенным микрофоном в Skype в Linux. В моём случае это было проблемой как на Ubuntu, так и на свежем MeeGO.

Для начала расскажу как установить Skype на MeeGO. Для начала запускаем терминал.

Заходим в директорию, куда хотите скачать rpm-пакет Skype:

cd директория_загрузки

Скачиваем rpm-пакет Skype:

wget http://www.skype.com/go/getskype-linux-beta-fc10

Устанавливаем Skype:

sudo yum localinstall skype-2.1.0.81-fc10.i586.rpm --nogpgcheck

Skype теперь установлен. Осталось запустить встроенный микрофон. В этом нам поможет утилита pavucontrol. Если таковой нет в системе устанавливаем:

sudo yum install pavucontrol

Теперь в настройках микрофона выставляем уровень громкости одного из каналов в ноль, а другой соотвественно как Вам нужно. После этой процедуры вас услышат.

Долгие ожидания новой версии Ubuntu 10.10 Netbook Edition закончились разочарованием. И в первую очередь в этом виноваты тормоза новой оболочки Unity. Сюда же стоит записать и корявость глобального меню на данном этапе. Конечно будут исправления, и кое-что уже стало лучше работать, но ощущение недоработанности новой версии Ubuntu угнетает...

Не Ubuntu единым жив нетбук. Решил поискать, что же предлагается из альтернатив на нетбуки на данный момент. Выбор остановился на новом (ну уж совсем пока новом) совместном детище Intel, Nokia и The Linux Foundation - MeeGo

Честно говоря привлекла внимание заточенность данной ОС под процессоры Atom, обещанная высочайчайшая скорость работы и совершенно не изъезженный интерфейс. На данной момент можно скачать версию MeeGo v1.0 for Netbooks. В середине ноября должна выйти новая версия операционной системы MeeGo с индексом 1.1, чего и буду ждать с нетерпением.

Система поставилась, что называется "с лёту", сразу подключил Wi-Fi, пробный серфинг с Google Chrome Browser поразил своей быстротой. Интерфейс MeeGo на голову выше того, что предлагается в новой версии Ubuntu, выглядит очень стильно и современно. Причем всё это хозяйство действительно не тормозит и не вызывает негативных эмоций. В общем по дизайну ставлю системе 10 из 10.

Решение установить на нетбук второй системой Ubuntu 10.04 пришло практически сразу с покупкой самого нетбука. Windows 7 Starter более-менее уже настроил для работы, но хочется чего-то большего, уж очень он урезаный. Да и сравнить производительность тоже не помешает.

Сказано - сделано. Благо дистрибутив (образ диска) Ubuntu 10.04 i386 уже был скачан.

Понадобится нам флешка, имеющая не менее 2Gb свободного пространства на борту, во всяком случае так на сайте ubuntu значится. На самом деле занято оказывается 700 Mb. Вероятно остальное место нужно для тех, кто захочет использовать флешку как LiveCD. Процесс создания загрузочной флешки очень прост. Будем полагать, что создаете вы её из Windows. Потребуется скачать и установить маленькую программу Universal USB Installer.

читать полностью →

Задача - требуется контролировать переписку определенных сотрудников (официальная версия - создать backup почтовой переписки с возможностью последующего просмотра). Другими словами необходимо, чтобы при отправке письма пользователем (например, user@mydomain.ru), доставлял его почту как обычно адресату, а также дублировал это письмо в определенный ящик (например, big_brother@mydomain.ru).

На первый взгляд задача довольно не простая, но как оказалось - всё довольно легко реализуется. Имеем - операционная система FreeBSD и почтовый сервер на базе Postfix. Вот какие возможности для решения этой задачи предоставляет нам Postfix:

• always_bcc = address

Доставляет копии ВСЕХ сообщений (входящих и исходящих) на указанный адрес (поддерживается с Postfix v.2.1). Например, указав в /usr/local/etc/postfix/mail.cf строку always_bcc = backup@mydomain.ru можно сделать полный бэкап всей почты на адрес backup@mydomain.ru, вот только не повезет тому, кто это всё разгребать будет.

• sender_bcc_maps = type:table и recipient_bcc_maps = type:table

Таблицы соответствия отправителя/получателя с адресами доставки копий сообщений (функция доступна в Postfix 2.1 и выше.) То что нам и нужно.

Рассмотрим 2 варианта реализации - на основе файлов (индексированных карт hash) и базы данных MySQL.

читать полностью →

Вам надоело бесконтрольно пускать юзеров на любые сайты и позволять им качать что ни попадя? Или раздражают рекламные баннеры? А может и то и другое? В общем, сегодня речь пойдет о высокопроизводительном контент-фильтре для Squid или по-другому редиректоре - Rejik.

Проект не сказать чтобы очень резво развивается, но является на мой взгляд довольно стабильным и законченым решением, с продуманной и простой настройкой, возможностью создания индивидуальных правил, поддерживающий регулярные выражения и т.д.

Squid, наверное самый популярный на сегодня прокси-сервер, позволяет использовать внешнюю программу редиректор для фильтрации запросов клиентов. Принцип действия редиректора таков: любой запрос клиентского браузера поступает на прокси-сервер, где данные о запросе передаются на стандартный вход редиректора. Редиректор анализирует поступившие данные и при соблюдении соответствующих условий перенаправляет на требуемый ресурс.

читать полностью →

В предыдущих статьях на тему OpenVPN я рассказывал как настроить openVPN сервер и клиентов для него с использованием личных сертификатов пользователей. Остался не раскрытым вопрос, что делать в случае если требуется отказать какому-либо клиенту в доступе по его сертификату. Причины могут разными - закрытый ключ, связанный с сертификатом скомпрометирован или украден, пользователь забыл пароль на ключ, либо просто хотите прекратить доступ данного человека в вашу сеть. Решением этой задачи является создание списка отзыва сертификатов (Certificate Revocation List - CRL), в котором перечисляются отозванные вами клиентские сертификаты и руководствуясь которым сервер будет отклонять запросы.

В качестве примера, отзовём сертификат пользователя client2. Пример будет для Linux/BSD/Unix.

cd /usr/local/etc/openvpn
. ./vars
./revoke-full client2

читать полностью →

Перед Вами, мои уважаемые читатели, второй вариант данного поста, т.к. первый благополучно был утерян, за что отдельное спасибо можно сказать электрикам с их нестабильным напряжением в электросети. Правда отсюда, в очередной раз, делаем вывод о необходимости периодически сохраняться. Ну да речь не об этом...

Любой Unix администратор знает о таком замечательном и авторитетном прокси-сервере, как Squid. Да и любители продуктов от Мелкомягких наверняка о нём наслышаны, вот только сегодня поговорим о другом, но не менее интересном продукте отечественного разработчика - свободном сервере 3proxy.

Возможно, первый вопрос, который сразу напрашивается у специалистов - чем меня не устраивает Squid? Всем устраивает, но есть один существенный недостаток - он до сих пор не научился писать логи напрямую в базы данных, например MySQL. А в том проекте, с которым пришлось работать, данное требование было определяющим.

На моё счастье, в сети наткнулся на сайт разработчика (Vladimir Dubrovin), известного под ником 3APA3A - http://3proxy.ru. Возможности этого маленького прокси-сервера просто впечатляют - лимиты на пользователей и группы, порт-мапперы, ограничения скорости, SOCKS, различные ACL и конечно же ведение журналов работы через ODBC. Для покорителей окон есть версия под Windows, сам не пробовал, однако на форуме разработчика широко обсуждается этот вариант. Кроме того вы полностью можете изменить формат создаваемых логов, так чтобы их можно было "скармливать" вашему любимому лог-анализатору.

Единственное чего не хватает - кэширования, вот чего нет, того нет... Поэтому пришлось использовать связку 3proxy + Squid, в качестве кеша и подключенного к нему удобного редиректора Rejik, для блокировки нежелательного контента (уже готовится статья на эту тему). Такая связка успешно работает уже более 3-х лет и спокойно "тянет" 300+ пользователей на довольно скромной машине под FreeBSD 6.3.

Данная статья не затрагивала практических вопросов установки и настройки - поэтому отправляю вас прямиком на сайт разработчика в раздел документации.

Обещаю подготовить в скором времени статью по настройке 3proxy под FreeBSD, основанную на собственном опыты внедрения. Но придется немного набраться терпения, т.к. статья будет довольно объемная, а времени свободного катастрофически не хватает...

Как и было обещано в предыдущей статье, сегодня речь пойдет о GUI оболочке для клиентской части OpenVPN на Windows. Запуск OpenVPN в консольном окне для конечных пользователей, работающих в ОС Windows - это нонсенс. Да и выглядит такое решение мягко говоря не законченным.

Для реализации нащей задачи существует open source проект под GPL лицензией - OpenVPN GUI. Последний стабильный выпуск: 1.0.3 с OpenVPN 2.0.9 (2006-10-17) (Русский выпуск еще не выходил) можно скачать здесь.

После установки OpenVPN GUI в системном трее (область на правой стороне панели задач) можно увидеть пиктограммку, похожую на подключение к сети. С её помощью получаем возможность управлять OpenVPN соединениями, запускать/останавливать туннели VPN, выполнять регистрацию, изменять пароль к ключу и массу других полезных вещей.

читать полностью →

Имеем задачу - организовать безопасный доступ из внешнего мира к внутренней корпоративной сети. Данная статья не претендует на исчерпывающее повествование по данной теме. В ней не раскрываются все возможности и опции настройки OpenVPN - это пример из личной практики, где я берусь описать процесс создания OpenVPN сервера на системе FreeBSD, с возможностью подключения к нему удаленных пользователей (с различных операционных систем: Windows, Linux, MacOS etc.).

За более подробной информацией рекомендуется обратится на сайты разработчиков openvpn.net, www.openvpn.se и man-страницы.

Для начала установим сам OpenVPN из портов:

cd /usr/ports/security/openvpn
make install

Во время установки будет предложено включить PW_SAVE? Данная опция дает возможность чтения текущих паролей из файла. Хотите включайте - хотите нет (сам эту опцию не включаю). Это не самый критичный параметр :)

читать полностью →

Зачем нужно пересобирать ядро (kernel)?

При инсталляции FreeBSD мы сразу же имеем вполне работоспособное ядро. Зачем его переделывать? Дело в том, что это ядро (GENERIC конфигурация) предназначено для того, чтобы система успешно развернулась на "железе" любой конфигурации (из поддерживаемых, конечно). В эту конфигурацию встроена поддержка ВСЕХ типов накопителей (HDD и CD) и БОЛЬШИНСТВА сетевых карт, которые на данный момент поддерживаются FreeBSD. Это вполне логично - вы должны иметь возможность поставить свой Unix и дополнительные программы на тот HDD, который имеется у вас в машине и суметь войти в сеть, какой бы сетевой карточкой вы ни пользовались, хотя на новом железе это далеко не всегда так даже на FreeBSD 7.1 (могу привести кучу примеров тому в подтверждение).

Наряду с этим, в ядро не включены полезные опции, которые обязательно вам понадобятся в дальнейшем, если вы хотите использовать вашу машину в качестве сервера. (Например - поддержка firewall, PPP, VPN и т.п.).

Итак, первым делом обновим или установим дерево портов и исходные коды операционной системы (если их не ставили во время первичной установки FreeBSD). Для поддержания дерева портов в актуальном состоянии, FreeBSD использует утилиту cvsup. Посредством CVSup можно обновлять не только порты, исходные коды в каталоге /usr/src, но и документацию в каталоге /usr/share/doc.

Устанавливаем CVSup:

# cd /usr/ports/net/cvsup-without-gui
# make install clean

Далее создаем sup-файл, в котором описываем: что обновлять, откуда и какую версию использовать. Пример такого можно посмотреть в директории /usr/share/examples/cvsup

читать полностью →

Большинство современных компаний, пользуются сетью Интернет как профессиональной деловой средой, и проблема борьбы с вирусами и особенно СПАМом на данный момент очень актуальна. Вирусы могут уничтожить важную информацию или парализовать работу компании на несколько часов, и это несомненно приводит к финансовым потерям и утрате доверия клиентов и партнеров.

Посмотрим статистику одного моего почтового сервера за месяц (количество почтовых ящиков около 300 штук).

И это с учетом того, что многие сообщение не доходят до АнтиСПАМ фильтра - режутся раньше почтовым сервером. Таким образом защита от спама становится важной частью общей стратегии информационной безопасности компании.

читать полностью →

Проблема учета использования Internet встает почти перед каждой, даже самой небольшой организацией, особенно, когда интернет не безлимитный, да и оценить насколько сотрудники заняты работой, а не сидят в рабочее время с умным видом в социальных сетях, на музыкальных или порно сайтах, стоит тоже не на последнем месте.

Существует сножество анализаторов журналов прокси-серверов как под Windows, так под *NIX. Squid, на сегодняшний день наиболее гибок из свободных прокси-серверов в настройке и богат по возможностям, хотя и у него есть недостатки. Имея большой опыт организации корпоративного доступа в Интернет, и опробовав разные анализаторы, для себя остановился на двух готовых решениях Free-SA и SARG + одном самописном. Используются для различных решений.

В основном ставлю заказчикам Free-SA. Какие же у него преимущества?

• более внятная архитектура и код (C/HTML/CSS);
• скорость формирования отчетов в 7-20 раз выше по сравнению с SARG (7х — для файла access.log объемом в 50 Мб, 20x — для 1 Гб);
• поддержка различных форматов файлов журналов (Squid, CLF, Postfix, QMail, CommuniGate Pro);
• дополнительные отчеты (в т.ч. для оценки эффективности сервера);
• изменяемые «на-лету» темы оформления. возможность делать свои, при наличии даже начальных знаний CSS

читать полностью →

SSH предоставляет 3 способа аутентификации клиента: по ip адресу клиента(небезопасно), по публичному ключу клиента и стандартный парольный метод. В данной статье рассмотрим аутентификацию удалённого пользователя по ключу с полным запретом доступа по паролю на FreeBSD используя OpenSSH. Публичный ключ пользователя хранится на сервере, секретный ключ у клиента.

Для начала, нужно сгенерировать ключи, используя программу ssh-keygen, например:

ssh-keygen -t rsa #создаст пару ключей RSA длиной 1024 бита.

• -t указывает тип ключа (RSA DSA)
• -f указывает файл, в котором следует сохранить ключи (по умолчанию используются файлы $HOME/.ssh/id_rsa и $HOME/.ssh/id_dsa для ключей rsa и dsa соответственно)
• -b указание длины ключа в битах

ssh-keygen -t rsa -b 2048 -f $HOME/.ssh/id_rsa

Программа запросит ввод пароля для шифрования секретного ключа, для исключения использования ключа посторонними лицами. Данный пароль будет необходимо вводить каждый раз при использовании секретного ключа. Если вам это не нужно, оставьте пароль пустым.

В итоге мы получим пару ключей: один секретный id_rsa (зашифрованный паролем, если уго указывали при создании), а второй публичный с расширением pub(id_rsa.pub).

Публичный ключ необходимо будет скопировать в домашнюю директорию сервера $HOME/.ssh/authorized_keys. только в этом случае сервер будет знать ключ данного пользователя и сможет аутентифицировать его без пароля. Файл authorized_keys может содержать несколько публичных ключей.

читать полностью →

О настройке PPP соединения в FreeBSD написано не мало, но некоторые моменты пришлось додумывать самому. Начну с того, что склоняюсь всё-таки к настройке соединения с интернет на самом ADSL модеме. Здесь есть ряд плюсов, вернее он только один - при разрыве связи или какой-то нестабильной работе, нажать на кнопочку модема может любой не компетентный пользователь. Что, собственно, крайне важно, когда вы единственный человек, который занимается IT в организации...

Но бывают такие случаи, когда нужно, чтобы внешний IP адрес, принадлежал именно компьютеру, являющемуся шлюзом в Internet. Вот и появилась у нас такая программа, ключ которой строго привязывался к IP аресу, т.е. простым пробросом портов на модеме тут проблему не решишь. В итоге ADSL модем пришлось перевести в режим моста.

Пример моего конфига для установления ADSL соединения:

cat /etc/ppp/ppp.conf

# Общие настройки
default:
  set log phase tun command
  set timeout 0
  set redial 10+10-5.3 20
  set reconnect 3 5
# Настройки Вобла-Телеком
VT:
  disable lqr
  deny lqr
  set device PPPoE:vr1:VT
  set authname username
  set authkey password
  set dial
  set login
  add default HISADDR

читать полностью →