Записки IT специалиста

Настраиваем веб-сервер Angie + PHP + MySQL с сертификатами Let's Encrypt и поддержкой HTTP/3

2025-05-14T11:54:40Z

Angie - форк известного веб-сервера nginx, созданный его бывшими разработчиками и преследующий цель стать лучшим nginx чем сам nginx и это не преувеличение. Начавшись как обычный проект импортозамещения Angie сегодня не только предоставляет все возможности nginx, но и предоставляет ряд новых функций и возможностей. А для пользователей, которым просто нужен веб-сервер Angie может предложить достаточно большой выбор готовых модулей в репозитории, это очень важное преимущество, так как в nginx для добавления тех или иных модулей вам потребуется самостоятельно пересобрать продукт

]]> В данной статье мы будем рассматривать установку Angie в среде последних версий Debian и Ubuntu, они имеют небольшие различия по версиям используемого ПО, но при этом содержат актуальные версии, что позволит развернуть веб-сервер штатными средствами без подключения дополнительных репозиториев, кроме репозитория Angie. Набор используемого ПО на момент написания статьи таков:

Debian 12: Angie 1.9.0, PHP 8.2, MariaDB 10.11 LTS
Ubuntu 24.04 LTS: Angie 1.9.0, PHP 8.3, MySQL 8.0 LTS / MariaDB 10.11 LTS

Все команды, если не указано иного, следует выполнять с правами суперпользователя root или через sudo.

В качестве примера имени сайта мы будем использовать:

site.example
www.site.example

Их следует заменить на реальное доменное имя, которое вы будете использовать.

Установка и настройка веб-сервера Angie

Прежде всего установим некоторые утилиты, которые будут необходимы нам для подключения репозитория Angie:

apt install ca-certificates curl

Затем скачаем открытый ключ для проверки подлинности пакетов в репозитории:

curl -o /etc/apt/trusted.gpg.d/angie-signing.gpg https://angie.software/keys/angie-signing.gpg

И подключим сам репозиторий:

echo "deb https://download.angie.software/angie/$(. /etc/os-release && echo "$ID/$VERSION_ID $VERSION_CODENAME") main" > /etc/apt/sources.list.d/angie.list

Данное выражение универсально и подходит для всех поддерживаемых выпусков Debian и Ubuntu. Ознакомиться со списком поддерживаемых версий можно на официальной странице.

Затем обновим список пакетов и установим веб-сервер Angie:

apt update
apt install angie

После чего установим дополнительные модули для поддержки современных алгоритмов сжатия brotli и zstd:

apt install angie-module-brotli angie-module-zstd

Перейдем к настройке, для этого откроем основной конфигурационный файл /etc/angie/angie.conf, все опции перечислены в порядке их следования в файле. Сразу изменим пользователя, от имени которого будет работать веб-сервер на стандартного для DEB-систем:

user www-data;

Сразу после строки:

pid /run/angie.pid;

Добавим строки для подключения установленных модулей:

load_module modules/ngx_http_brotli_filter_module.so;
load_module modules/ngx_http_brotli_static_module.so;
load_module modules/ngx_http_zstd_filter_module.so;
load_module modules/ngx_http_zstd_static_module.so;

Далее, ниже строки:

access_log  /var/log/angie/access.log  main;

Размещаем опции задающие таймауты и разрешающие сброс соединения по таймауту:

client_header_timeout 30;
 client_body_timeout 30;
 reset_timedout_connection on;

Ниже укажем максимальный размер тела запроса клиента и буфер для чтения заголовка запроса. Имейте ввиду, что размер тела запроса ограничивает максимальный размер файла, который сможет загрузить веб-сервер:

client_max_body_size 32m;
client_body_buffer_size 128k;

Затем приведем к следующему виду опции, которые разрешают передачу файлов и оптимизируют этот процесс:

sendfile on;
 tcp_nopush on;

И укажем таймаут для постоянных (keep-alive) соединений. С одной стороны они позволяют повысить производительность протокола HTTP/1.1, с другой - впустую потребляют ресурсы сервера, поэтому следует найти некоторую золотую середину, оптимальными значениями будет 30-90 сек:

 keepalive_timeout  65;

Теперь перейдем к настройкам сжатия. Почему это важно? Скорость ответа сервера является важным параметром поведенческих факторов, который учитывается поисковыми системами, а также повышает отзывчивость сайта для пользователя, позволяя в несколько раз уменьшить размер передаваемой по сети информации. В конфигурации уже имеется блок для GZIP сжатия, это самый старый и наименее эффективный метод сжатия, но он обладает наилучшей совместимостью, так как поддерживается практически всеми браузерами, включая устаревшие. Поэтому не следует игнорировать его настройку.

Приведем опции ниже к следующему виду:

gzip on;
 gzip_disable "msie6";
 gzip_proxied any;
 gzip_min_length 256;
 gzip_comp_level 4;

Следующей опцией укажем MIME-типы данных, которые подлежат сжатию, список не является исчерпывающим, вы можете добавить него свои типы данных, или исключить те, которые сжимать не считаете нужным:

gzip_types text/plain text/css application/json application/javascript application/x-javascript text/xml 
application/xml application/xml+rss text/javascript application/atom+xml application/rdf+xml image/svg+xml;

На что здесь следует обратить внимание? Прежде всего на опцию gzip_min_length, которая указывает минимальный размер ответа подлежащий шифрованию, по умолчанию он имеет значение 20 байт, мы увеличили его до 256 чтобы исключить излишнюю нагрузку на шифрование коротких ответов, если у вас слабое оборудование или преимущественно статическое содержимое, то можно увеличить это значение до 1024. Опция gzip_comp_level задает степень сжатия, чем она выше - тем эффективнее сжатие, но выше нагрузка на оборудование, поэтому для динамического сжатия лучше выбирать средние уровни компрессии.

Ниже добавим блок для сжатия методом Brotli, это алгоритм сжатия без потери данных, представленный в 2015 году и на 20-25% превосходящий по степени сжатия Gzip при той же скорости сжатия и распаковки. Данный алгоритм поддерживается практически всеми современными браузерами, включая достаточно старые их версии.

brotli on;
 brotli_min_length 256;
 brotli_comp_level 6;
 brotli_types text/plain text/css application/json application/javascript application/x-javascript text/xml 
application/xml application/xml+rss text/javascript application/atom+xml application/rdf+xml image/svg+xml;

Здесь все аналогично настройкам секции для gzip, поэтому все что было сказано выше одинаково применимо и здесь.

И, наконец, добавим поддержку наиболее современного и эффективного алгоритма сжатия zstd, который обеспечивает более высокую скорость сжатия и распаковки при таком же или более высоком уровне сжатия. Поддержка zstd присутствует во всех последних версиях браузеров и позволяет сделать работу с сайтом наиболее быстрой и эффективной:

zstd on;
 zstd_min_length 256;
 zstd_comp_level 3;
 zstd_types text/plain text/css application/json application/javascript application/x-javascript text/xml
application/xml application/xml+rss text/javascript application/atom+xml application/rdf+xml image/svg+xml;

Но что будет, если браузер посетителя не поддерживает какой-то из указанных нами алгоритмов? Ничего страшного, потому что выбор доступного алгоритма сжатия сервером происходит на основании специального заголовка Accept-Encoding, передаваемого клиентом, в котором он указывает поддерживаемые им алгоритмы. При наличии нескольких поддерживаемых методов они применяются в следующем порядке: zstd -> brotly -> gzip.

Сохраним конфигурационный файл и проверим его синтаксис командой:

angie -t

Если ошибок не обнаружено, то перезапустим веб-сервер для применения настроек:

angie -s reload

Теперь наберем в браузере доменное имя или IP-адрес сервера и мы увидим стандартную заглушку Angie.

Теперь проверим работу алгоритмов сжатия, для этого отправим запрос с явным указанием поддерживаемого метода в заголовке, для указания методов используйте: gzip, br и zstd:

curl -I example.com -H "Accept-Encoding: br"

В ответе вы должны получить строку с указанием используемого алгоритма:

Content-Encoding: br

Также можете проверить приоритет выбора методов сжатия, указав сразу несколько доступных, например:

curl -I example.com -H "Accept-Encoding: br zstd gzip"

Если все сделано правильно, то будет выбираться наиболее эффективный алгоритм согласно указанному выше приоритету.

Все это время мы говорили о динамическом сжатии, но также можно настроить и статическое сжатие, когда веб-сервер будет отдавать заранее сжатые файлы. Это разумно сделать для редко изменяемых элементов: шрифтов, стилей, скриптов и т.п., которые можно заранее сжать с высокой степенью компрессии и тем самым значительно повысить скорость отдачи без увеличения нагрузки на оборудование.

Для этого добавьте в соответствующие секции опции:

brotli_static on;
zstd_static on;

Теперь, при запросе файла веб-сервер проверить наличие рядом с ним сжатых версий с расширениями .br или .zst. Если такой файл будет найден, то он будет отдан веб-сервером вместо несжатого оригинала. Статическое сжатие имеет приоритет перед динамическим, а алгоритм zstd также имеет приоритет над Brotli.

Как получить сжатые файлы? Для этого воспользуемся консольными версиями архиваторов, zstd обычно установлен в современных дистрибутивах по умолчанию, а для Brotli выполните:

apt install brotli

После чего для сжатия достаточно выполнить:

brotli -9 myfile

или

zstd -19 myfile

В обоих случаях указаны максимальные степени сжатия, однако на практике следует выполнить проверку и, возможно, выбрать более низкий уровень компрессии, который будет давать приемлемую степень сжатия, чтобы уменьшить нагрузку на клиентские устройства.

Создание и настройка виртуальных хостов

По умолчанию Angie хранит конфигурации виртуальных хостов в директории /etc/angie/http.d, на наш взгляд это не очень удобно и поэтому мы вернемся к приятной в среде DEB-систем схеме, когда конфигурации виртуальных узлов хранятся в отдельной директории sites-available, а для подключения на них делаются символические ссылки в директорию sites-enabled. Поэтому сразу создадим нужные директории в папке с конфигурационными файлами веб-сервера. Третьей директорией мы добавили папку для шаблонов конфигурации, куда будем выносить общие блоки настроек виртуальных хостов, например, настройки шифрования или работы с PHP-FPM.

mkdir /etc/angie/sites-available
mkdir /etc/angie/sites-enabled
mkdir /etc/angie/templates

Откроем основной конфигурационный файл /etc/angie/angie.conf и после строки:

include /etc/angie/http.d/*.conf;

Добавим:

include /etc/angie/sites-enabled/*.conf;

Теперь создадим описание виртуального хоста для нашего сайта и сразу откроем его на редактирование, мы будем использовать для этого встроенный редактор nano, если вам больше нравится встроенный редактор mc, то замените в команде nano на mcedit:

nano /etc/angie/sites-available/site.example.conf

И внесем в него следующие строки:

server {
    listen 80;
    server_name site.example;

    charset utf-8;
    root /var/www/site.example;
    index index.html;

    access_log /var/log/angie/site.example_access.log;
    error_log /var/log/angie/site.example_error.log;
}

server {
    listen 80; 
    server_name www.site.example;
    return 301 http://site.example$request_uri;
}

В данном случае мы описываем размещение основного домена site.example и делаем на него постоянное перенаправление с www.site.example.

Затем создадим указанную в конфигурации директорию виртуального хоста и сделаем ее владельцем веб-сервер:

mkdir -p /var/www/site.example
chown -R www-data:www-data /var/www/site.example

Теперь создадим на него символическую ссылку в директорию с активными сайтами:

ln -s /etc/angie/sites-available/site.example.conf /etc/angie/sites-enabled/

Для проверки работы сразу создадим индексный файл:

echo "TEST PAGE
" > /var/www/site.example/index.html

Теперь проверим синтаксис и перезапустим веб-сервер:

angie -t 
angie -s reload

Если все сделано правильно, то набрав в адресной строке имя сайта мы увидим созданную нами тестовую страницу.

При необходимости вы можете создать аналогичным образом дополнительные виртуальные хосты.

Получение сертификатов Let's Encrypt и настройка HTTP/3

В Angie для получения сертификатов используется собственный ACME-клиент настройкой которого мы сейчас и займемся. В секцию http конфигурационного файла /etc/angie/angie.conf внесем следующие строки:

http {
...

resolver 127.0.0.53;
acme_client example https://acme-v02.api.letsencrypt.org/directory;

Опция resolver указывает на DNS-сервер для разрешения имен, в нашем случае это локальная служба systemd-resolve, если вы ее не используете, то можете указать любой иной DNS-сервер, например, 8.8.8.8. Опция acme_client указывает имя экземпляра клиента (example) и адрес сервера Let's Encrypt с которым он будет работать. Для каждого виртуального хоста потребуется создать собственный ACME-клиент, который будет управлять сертификатами только этого хоста.

Теперь откроем файл виртуального хоста /etc/angie/sites-available/site.example.conf и добавим в него секцию:

server {
    listen 443 quic reuseport;
    listen 443 ssl;
    http2 on;

    server_name site.example www.site.example;

    charset utf-8;
    root /var/www/site.example;
    index index.html index.php;

    access_log /var/log/angie/site.example_access.log;
    error_log /var/log/angie/site.example_error.log;  

    acme example;
    ssl_certificate $acme_cert_example;
    ssl_certificate_key $acme_cert_key_example;

    location / {
        add_header Alt-Svc 'h3=":443"; ma=86400';
    }
 }

Данная конфигурация включает поддержку протоколов HTTP/2 и HTTP/3, а также автоматическое получение сертификатов Let's Encrypt при помощи экземпляра ACME-клиента example. Снова проверим конфигурацию и перезапустим сервер

angie -t 
angie -s reload

Теперь обратимся к сайту явно указав протокол HTTPS, если все сделано правильно, то вы увидите валидный сертификат и защищенное соединение.

Проверить работу протокола HTTP/3 можно при помощи сервиса https://http3check.net.

Защищенное соединение работает, но это только начало, для нормальной работы нам потребуется его тонкая настройка. Для этого воспользуемся сайтом moz://a SSL Configuration Generator где получим настройки для nginx. После чего создадим отдельный шаблон, чтобы не повторять данные настройки для каждого виртуального хоста:

nano /etc/angie/templates/ssl.conf

В который внесем с некоторыми правками полученное на сайте содержимое, начнем с протоколов и шифров, явно отключив небезопасные протоколы и слабые, устаревшие шифры. В нашем случае оставлена поддержка только TLS 1.2 и TLS 1.3:

ssl_protocols TLSv1.2 TLSv1.3;
 ssl_ecdh_curve X25519:prime256v1:secp384r1;
 ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;
 ssl_prefer_server_ciphers off;

Ниже укажем путь к файлу параметров Диффи-Хеллмана:

ssl_dhparam /etc/angie/dhparam.pem;

Настройки SSL-сессии:

ssl_session_timeout 1d;
 ssl_session_cache shared:MozSSL:10m;

Что касается настроек OCSP Stapling, которые присутствуют в генераторе и могут быть приведены в иных инструкциях, в т.ч. наших, то их следует проигнорировать, так как Let's Encrypt полностью отключает эту технологию летом 2025 года.

Сохраняем файл шаблона и в самый конец секции server виртуального хоста добавляем:

include /etc/angie/templates/ssl.conf;

Не забываем сгенерировать файл параметров Диффи-Хеллмана (делается один раз):

openssl dhparam -out /etc/angie/dhparam.pem 2048

После чего приведем остальные секции виртуального хоста к виду:

server {
 listen 80; 
 server_name site.example;
 return 301 https://site.example$request_uri;
}

server {
 listen 80; 
 server_name www.site.example;
 return 301 https://site.example$request_uri;
}

Это обеспечит нам перенаправление всех незащищенных запросов на защищенную версию сайта. Снова проверяем конфигурацию и перезапускаем веб-сервер:

angie -t 
angie -s reload

Если вам нужны сертификаты, то ACME-клиент Angie хранит их по пути:

/var/lib/angie/acme/

Где acme_name - имя экземпляра ACME-клиента.

Теперь вам следует внимательно проверить работу защищенной версии сайта, особенно если вы переносите готовый сайт и убедиться что у вас нигде нет незащищенного содержимого и все работает корректно. После чего следует включить технологию HSTS, которая препятствует атакам на понижение защиты. В нашем случае браузер в случае успешного соединения с сайтом по HTTPS будет в течении двух лет автоматически переходить на защищенную версию, даже если мы явно укажем в адресной строке протокол HTTP. Для этого приведите к следующему виду секцию:

location / {
    add_header Alt-Svc 'h3=":443"; ma=86400';
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
 }

Проверить настройки SSL можно на сайте https://www.ssllabs.com, если вы нигде не допустили ошибок, то ваш сайт должен получить оценку A+.

Таким образом мы успешно настроили веб-сервер с автоматическим получением сертификатов и поддержкой всех современных технологий.

Настройка сайта по умолчанию для блокирования несуществующих доменов

Использование TLS-шифрования имеет одну особенность: если мы обратимся к веб-серверу по IP-адресу или по доменному имени, которое указывает на веб-сервер, но не обслуживается им (или не имеет HTTPS-версии), то будет показан сайт, сертификат которого указан первым в конфигурации веб-сервера.

Такое поведение может быть нежелательным, так как позволяет раскрыть обслуживаемый сайт просто обратившись по имени или ввести пользователя в заблуждение. Поэтому настроим сайт по умолчанию, который будет блокировать все запросы к несуществующим доменам как в HTTP, так и в HTTPS версиях.

Для HTTPS нам понадобится сертификат, можно использовать любой существующий, но это позволит раскрыть реальный обслуживаемый сайт, поэтому выпустим для этих целей самоподписанный сроком на 10 лет:

openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/angie/angie.key -out /etc/angie/angie.crt

Затем откроем /etc/angie/http.d/default.conf и заменим его содержимое на следующее:

server {
    listen 80 default_server;
    listen 443 default_server ssl;
    server_name _;
    ssl_certificate /etc/angie/angie.crt;
    ssl_certificate_key /etc/angie/angie.key;
    ssl_reject_handshake on;
    return 444;
}

После чего следует перезапустить веб-сервер. Теперь он будет сбрасывать все соединения к необслуживаемым доменам или по IP-адресу.

Установка и настройка PHP-FPM

Angie является чистым веб-сервером и не умеет обрабатывать динамическое содержимое, в то время как современные сайты требуют поддержки скриптовых языков, наиболее популярный из которых PHP. Для работы с ним мы будем использовать протокол FastCGI и популярный менеджер процессов PHP-FPM. Для его установки выполним:

apt install php-fpm

PHP-FPM работает как служба и для управления ею используйте:

systemctl start|stop|restart|status php8.х-fpm

Обратите внимание, что при работе с PHP-FPM нужно указывать точную версию интерпретатора, в Debian 12 это 8.2, а в Ubuntu 24.04 - 8.3.

Для настройки откроем файл /etc/php/8.x/fpm/php.ini и приведем в нем к следующему виду опцию:

cgi.fix_pathinfo=0

Это закроет возможную уязвимость в обработке php-запросов.

Также найдем и изменим следующие параметры, отвечающие за максимальный размер передаваемого на сервер пакета данных и размера загружаемого файла. Обратите внимание, что эти значения не должны превышать аналогичное ограничение в конфигурации Angie:

post_max_size = 32M
upload_max_filesize = 32M

Сохраним изменения и перезагрузим сервис:

systemctl restart php8.х-fpm

Для расширения возможностей PHP используются модули, скажем, для работы с графикой может потребоваться модуль GD или ImageMagick, для модулей используют следующий шаблон имен пакетов: php-<имя модуля>, например:

apt install php-gd php-imagick php-mcrypt

После установка модулей необходимо также перезапустить PHP-FPM. Необходимые модули и их имена вы можете узнать из документации к используемому веб-приложению.

Теперь создадим шаблон для работы Angie с PHP-FPM:

nano /etc/angie/templates/php-fpm.conf

Внесем в него следующее содержимое:

location ~ \.php$ {
    fastcgi_pass unix:/run/php/php8.x-fpm.sock;
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
}

Данная секция предписывает использовать для обработки PHP-файлов Fast-CGI шлюз через UNIX-сокет, что является наиболее производительным способом соединения.

Ниже укажем параметры кеширования для статического содержимого:

location ~* \.(gif|jpeg|jpg|png)$ {
    expires 30d;
}

Указанные в данной локации типы файлов будут кешироваться на стороне браузера в течении 30 дней исключая их повторную загрузку. Указанный список является открытым, вы можете дополнить или изменить его по своему усмотрению.

Сохраним указанный файл, а в конце основной секции server конфигурационного файла /etc/angie/sites-available/site.example.conf добавим строку:

include /etc/angie/templates/php-fpm.conf;

Сохраним изменения и перезапустим веб-сервер.

Для проверки работы PHP создадим тестовый файл:

nano /var/www/site.examlpe/test.php

И внесем в него следующие строки:

    phpinfo();
?>

Сохраним файл и обратимся по адресу https://site.examlpe/test.php, если все сделано правильно, то вы увидите страницу с информацией о PHP.

Данная страница содержит много информации о применяемой версии PHP и установленных плагинах, поэтому после проверки файл test.php следует обязательно удалить.

Установка MySQL / MariaDB

Сервер баз данных третий неотъемлемый компонент классического веб-сервера и один из первых по важности, так как именно в базе данных хранится основная пользовательская информация сайта. В современных версиях Debian и Ubuntu используются разные варианты СУБД: MariaDB и MySQL, которые являются совместимыми и принципиально разницы какую из них использовать нет, тем более что в репозиториях содержатся последние LTS-версии обоих СУБД.

Для Debian безальтернативно используется MariaDB и ее можно установить командой:

apt install mariadb-server

В Ubuntu мы можем выбирать между МariaDB и MySQL, для установки последнего используйте команду:

apt install mysql-server

Вне зависимости от того, какой именно сервер вы поставили, для дальнейшего управления службой можете использовать один и тот же набор команд:

systemctl start|stop|restart|status mysql

После установки сервера СУБД запустите специальный скрипт для установки рекомендуемых мер безопасности:

mysql_secure_installation

В результате его выполнения вам будет задано несколько вопросов, на которые отвечаем положительно, а также предложено будет выбрать сложность пароля.

Установим модуль для работы с PHP:

apt install php-mysql

Для повседневной работы с СУБД крайне не рекомендуется использовать учетную запись суперпользователя, поэтому заведем отдельных пользователей. В идеале для каждого виртуального хоста следует завести своего пользователя, т.к. учетные данные часто хранятся в настройках веб-приложений открытым текстом и компрометация веб-приложения может привести к компрометации всего сервера.

Перейдем в командную строку MySQL с правами суперпользователя:

mysql -u root

Создадим нового пользователя и разрешим ему вход по паролю:

CREATE USER 'example'@'localhost' IDENTIFIED BY 'Pa$$word_1';

В данном случае мы создали пользователя example с паролем Pa$$word_1.

Отберем у него права на чужие базы:

GRANT USAGE ON *.* TO 'example'@'localhost';

И выдадим полные права на базы шаблоном имени example_<имя базы>, что позволит автоматически устанавливать права просто создав базу с нужным именем.

GRANT ALL PRIVILEGES ON `example\_%`.* TO 'example'@'localhost';

Обратите внимание, что шаблон оборачивается символами грависа (`), который находится на клавише с русской буквой Ё.

Перезагрузим привилегии:

FLUSH PRIVILEGES;

И выйдем из консоли MySQL:

QUIT;

На этом настройка сервера СУБД закончена.

Установка phpMyAdmin

phpMyAdmin - удобное веб-приложение для управления серверами баз данных MySQL или MariaDB, ставший стандартом де-факто и мы не видим причин отказываться от его использования. Тем более что его установка предельно проста:

apt install phpmyadmin

После установки создадим еще один шаблон для Angie:

nano /etc/angie/templates/phpmyadmin.conf

И внесем в него следующий текст:

location /phpmyadmin {
     root /usr/share/;
     index index.php;

    location ~ ^/phpmyadmin/(.+\.php)$ {
         try_files $uri =404;
         root /usr/share/;
         fastcgi_pass unix:/run/php/php8.x-fpm.sock; 
         fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
         include fastcgi_params;
     }
 
     location ~* ^/phpmyadmin/(.+\.(jpg|jpeg|gif|css|png|js|ico|html|xml|txt))$ {
         root /usr/share/;
     }
}

Сохраним шаблон и добавим в конец основной секции server конфигурации виртуального хоста строку:

include /etc/angie/templates/phpmyadmin.conf;

Обратите внимание, что не нужно добавлять этот шаблон для всех виртуальных хостов, достаточно подключить к одному, основному. Доступные для управления базы зависят исключительно от прав пользователя, а не виртуального хоста к которому подключен phpMyAdmin.

Перезапустим веб-сервер и наберем в адресной строке https://site.examlpe/phpmyadmin, для входа используйте учетные данные пользователя созданного нами на этапе установки SQL-сервера, в нашем случае это example. В результате у вас откроется веб-интерфейс утилиты с правами только на базы указанного пользователя.

На этом настройка веб-сервера Angie с сертификатами Let's Encrypt и поддержкой HTTP/3 закончена. В нашем распоряжении быстрый и современный сервер с поддержкой всех актуальных технологий.

РОСА ФРЕШ 13 - когда нет цели, а есть только путь

2025-04-16T18:29:53Z

В последний день зимы, 28 февраля без лишнего шума был выпущен релиз новой операционной системы РОСА ФРЕШ 13 на базе платформы rosa13, это первое крупное обновление за последние 4 года, все предыдущие выпуски строились на базе платформы 2021.x. Выпущенная система в первую очередь адресуется энтузиастам и не рекомендуется для продуктивных сред, но это отличный повод посмотреть куда пришла РОСА и что ждать в коммерческих дистрибутивах, а также понять куда вообще движется данная платформа, которая является наследником легендарной Mandriva.

]]> Коротко напомним историю этого дистрибутива, которая началась с покупки российскими владельцами активов обанкротившейся французской компании - владельца дистрибутива Mandriva. Данный дистрибутив в представлении не нуждается и в свое время его популярность была крайне высока. Разработка была полностью выведена в Россию и на базе Mandriva был создан отечественный дистрибутив ROSA, сегодня владельцем дистрибутива является компания НТЦ ИТ РОСА. Более подробно почитать об истории развития и прошлых выпусках ROSA можно в наших материалах, настоятельно рекомендуем их прочесть, чтобы лучше понять, о чем мы будем вести речь:

ROSA Linux - продолжаем знакомиться с российскими ОС
ROSA Fresh Desktop 12 - если честно, то уже и не ждали...
ROSA Fresh Desktop 12 Gnome - для тех, кому хочется свежести

Первоначально ROSA рассматривалась как крайне серьезный игрок на рынке импортозамещения, особенно с учетом того, что это был полностью российский дистрибутив без заимствования чужой пакетной базы, до этого этим мог похвастаться только Альт. И все перспективы занять свое место под солнцем у ROSA были. Первые дистрибутивы были достаточно самобытны и самодостаточны, предоставляя вместе со стандартным набором ПО собственные инструменты и утилиты, имели собственный, унаследованный от Mandriva стиль. Но разработчики явно не потянули полноценную разработку и очень скоро покинули большую тройку рынка отечественных ОС уступив место РЕД ОС, Альту и Астре.

Уже после выпуска ROSA 12 стало ясно, что ничего хорошего дистрибутив не ждет, самобытные черты быстро терялись, а сама система все больше начинала походить на очередной RHEL-совместимый дистрибутив. И вот перед нами новый выпуск - РОСА 13, теперь именно так, по-русски, но скажется ли смена названия на самом дистрибутиве? Появится ли в нем что-то новое, будут ли исправлены недочеты прошлых выпусков?

По факту разработчики еще при выпуске 12-й версии признались, что не тянут самостоятельную разработку вещей и отказались от многого наследства Mandriva в пользу стандартных для RHEL подсистем, а что-то и вовсе позаимствовали у Mageia - независимого форка Mandriva, который все это время развивался самостоятельно.

Но хватит слов, давайте перейдем к знакомству. Установка производится при помощи стандартного для RHEL инсталлятора Anaconda, достаточно простого и удобного, реализующего современный подход к установке - когда сначала собираем все настройки, а только потом устанавливаем. Какая-либо собственная индивидуализация инсталлятора отсутствует, слайдов тоже не завезли. Собственно, так было и в прошлом выпуске, так что ничего нового.

Экран входа в систему уже показывает некоторые попытки индивидуализации, во всяком случае это уже не стандартный экран из стандартной поставки KDE.

Внешний вид - важная составляющая любого дистрибутива, это понятно всем отечественным разработчикам, разве что кроме Альта, и РЕД ОС и Астра проделали большую работу по улучшению графической составляющей, здесь же представлена единственная светлая тема РОСА и выглядит она достаточно неоднозначно. Век плоских одноцветных тем уходит в прошлое еще с начала 20-х, но здесь решили иначе. По факту просто очень много синего и бледно-синего, какие-либо акценты в интерфейсе отсутствуют, но сделано все достаточно аккуратно, ну кроме некоторых старых приложений, которые просто выглядят в этом интерфейсе чужеродно (обратите внимание на "светофор" с обновлениями справа внизу).

Сказать, что дизайн плохой - мы не скажем, но его явно следовало сделать более ярким, добавив кроме синего еще какие-нибудь акцентные цвета. Хорошим примером может служить РЕД ОС, в ней акцентный цвет красный, в интерфейсе тоже достаточно красного, но это не единственный цвет интерфейса. Здесь же фактически все сливается, все одного цвета. С обоями тоже решили сэкономить, фирменные обои представлены в единственном экземпляре, в светлом и темном вариантах, второе достаточно странно, учитывая отсутствие темной темы.

Ну да ладно, стиль какой-никакой есть, но стоит нам начать работу, как все это тут же ломается, причем все запущенные нами приложения входят в состав предустановленных. Libre Office - запускается со стандартной темой KDE - Breeze, GIMP использует тему ROSA, но почему-то устаревший набор значков, которые смотрятся в современном плоском интерфейсе абсолютно устаревшими и чужеродными. При этом для Libre Office есть тема ROSA 5 и на нее можно быстро переключиться, как и включить современные плоские значки в GIMP. Почему этого нельзя было сделать сразу?

А вот видеоредактор Kdenlive стартует сразу в темной теме, хотя для него тоже есть тема РОСА. Такой подход на корню уничтожает единый визуальный стиль и делает дистрибутив не единой и стройной системой, а разрозненным набором разношерстного ПО.

А вот выбор медиаплеера вообще вводит в недоумение, ну разве больше нет никаких альтернатив? Зачем тащить в стандартную поставку то, что выглядит как ископаемое из 90-х? И абсолютно не вписывается в используемую концепцию дизайна?

Почему мы уделяем этому столько времени? Да потому, что встречают по одежке. Тем более что дистрибутив позиционируется как домашний. А что ожидает типичный домашний пользователь? Что хотя бы из коробки все будет выглядеть в одном стиле или хотя бы сильно не выбиваться, он хочет поставить систему и работать с ней, а не подбирать софт и настраивать внешний вид. Плюс такой подход не создает впечатления целостности дистрибутива, а вызывает острое ощущение недоделанности.

Идем дальше, но не забываем, что дистрибутив позиционируется как домашний. Система обновлений, по сути, обычный текстовый скрипт, с обычным выводом. В целом просто, понятно и какого-то отторжения не вызывает, но в 2025 году от домашнего дистрибутива ожидаешь чего-то более современного. Можно было бы просто какой-нибудь прогресс-бар на форме нарисовать или что-то еще придумать. Но разработчикам этого не надо.

Магазина приложений нет, вместо него предлагается допотопная dnfdragora, которая окончательно устарела еще лет 10-15 назад. И ладно бы это был дистрибутив для рабочих станций, не предполагающий домашнего использования и подразумевающий наличие администратора, но нет, пользователь должен страдать. Также нет никакой поддержки Snap и Flatpak, нет, все это, конечно, можно и руками поставить, но зачем?

Вообще данный подход очень сильно удивляет, складывается впечатление, что разработчики не понимают требования целевой аудитории, либо представляют ее неправильно. Магазин приложений - это давно уже норма жизни, особенно в Linux, где софт распространяется централизованно через репозитории или Ftatpak и Snap-пакеты. Где приложения четко отделены от библиотек и плагинов, где есть нормальный поиск по наименованию и т.д. и т.п. Тем более что в KDE есть стандартные средства для всего этого, ничего и придумывать не надо.

При этом отметим, что ни одного собственного приложения РОСА в составе установленного ПО нет. Хотя еще в составе платформы R11 они были и выполнены были весьма неплохо. Но теперь от них полностью отказались, что полностью укладывается в озвученные разработчиками принципы: зачем тянуть что-то свое, когда все уже придумали до нас, возьмем готовое.

Но даже взять готовое выходит как-то не очень. Встроенный медиаплеер Haruna и самый обычный MP4 файл из закромов родины. Не хватает кодеков? Да мне как-то все равно, я хочу просто посмотреть фильм, а не превозмогать очередные сложности, тем более что VLC на этой же системе никаких проблем с данным файлом не испытывает.

Дальше мы хотели заглянуть под капот, а потом подумали и решили, что в данном случае это не имеет особого смысла, ну что мы напишем нового? Версию ядра и KDE? Схему разметки? Требовательность к ресурсам? Тут все плюс-минус все как у всех. Берем любой современный дистрибутив с KDE и получаем плюс-минус все тоже самое.

Зато куда интереснее посмотреть, как наш отечественный дистрибутив будет работать с отечественным ПО, например, с 1С:Предприятие. А никак, 1С:Предприятие устанавливается, но не запускается. Ситуация для новых дистрибутивов стандартная, и это лечится, причем лечится достаточно несложно. Но мы помним, что РОСА - это самобытный дистрибутив на базе Mandriva, а следовательно готовые рецепты нам не помогут. Может быть, что-то подскажет документация, а где она? А ее нет, официальная вики лежит. В общем, дорогие пользователи, развлекайтесь как хотите.

Учитывая низкую степень популярности и распространенности РОСЫ материалов в сети по ней практически нет, как запустить 1С мы нашли на официальном форуме, но не в виде рабочего решения, а в виде набора предположений и домыслов, но благо опыт работы с 1С:Предприятие имеется, и она все-таки запустилась. Там же мы узнали, что вики не лежит, вики удалена, а вместо нее сделана новая вики, которая пока состоит из одной единственной страницы.

Фактически документации у нас нет, вся информация только на форуме, активность которого тоже не велика. Может быть, у пользователей коммерческих дистрибутивов поддержка будет лучше, а может и нет. В тоже время у того же РЕД ОС официальная документация в открытом виде содержит описание всех возможных ошибок при установке 1С и способы их обхода. Ну и заметим то, что РОСЫ нет в официально поддерживаемых 1С:Предприятием операционных системах.

Не будем дальше о грустном, лучше давайте посмотрим на версию РОСА 13 с GNOME, если вы читали наши прошлые обзоры, то должны помнить, что кастомизация GNOME в ROSA 12 нам понравилась, посмотрим, что изменилось с тех пор. Сама оболочка встречает нас уже привычным синим стилем, но здесь разработчики не смогли или не сумели сделать синим абсолютно все, поэтому смотрится такой стиль гораздо лучше, чем в дистрибутиве с KDE.

Стартовое меню сделано по мобильному принципу с группировкой значков на одном экране, это достаточно удобно, все предустановленные приложения уже сгруппированы, пользоваться удобно. Повторим, что на наш взгляд это одна из лучших кастомизаций GNOME, который из коробки обладает весьма и весьма непонятной и запутанной эргономикой.

Но есть и непонятные моменты, сетка программ внутри группы жестко ограничена как 3х3 значка. Зачем и почему? Ведь даже FHD экран позволяет разместить гораздо больше значков, не говоря о 2К или 4К мониторах.

Кстати, в дистрибутиве на основе GNOME мы нашли единственное приложение марки РОСА - Rosa Image Writer, утилиту для записи образов на флешку, причем очень неплохую утилиту. По сути, это все, что осталось от самостоятельной разработки и скорее всего тоже будет предано забвению.

В общем, GNOME у РОСЫ сделан хорошо, внешне он получился даже лучше, чем KDE, возможно потому, что здесь не получилось залить все синим. Но если мы начинаем запускать встроенные приложения, то все это благолепие тут же разбивается о суровую реальность. Внешний вид у приложений - кто в лес, кто по дрова. Хотя все их можно быстро привести к единообразию прямо здесь, не отходя от кассы, просто переключив стили оформления в настройках. Почему это не было сделано сразу - загадка, зато налицо наплевательский подход - и так сойдет!

В остальном все то, что было сказано о версии с KDE справедливо и для выпуска с GNOME.

Выводы

То, что РОСА не сумела закрепиться на рынке отечественных ОС - это факт, хотя все возможности у нее для этого были. Но увы, разработчики не справились со свалившимся на них наследством, не смогли развить его, много еще чего не смогли. А главное - не сумели правильно позиционировать систему. Поэтому мы на протяжении последних версий наблюдаем практически полный отказ от технологий Mandriva и замену их на стандартные RHEL механизмы. С точки зрения унификации может это и хорошо, но в случае с РОСА - это просто окончательно закапывает дистрибутив.

И дело тут не в том, что тащить наследство Mandriva дорого и неэффективно, Альт же вон тащит свой APT-RPM и многое другое, да еще умудряется подавать это как преимущества. Тут дело в другом. Любой дистрибутив должен создавать для пользователя некоторые ценности и давать некоторые преимущества. Чтобы сразу было понятно, ради чего я делаю этот выбор, что для меня действительно важно, а на что я готов закрыть глаза.

РОСА не дает ответа ни на один этот вопрос. Начнем с домашнего пользователя, вот что его должно заставить сделать выбор в пользу именно этого дистрибутива? Неаккуратный дизайн, когда даже на идущих в коробке приложениях не удосужились настроить единую тему? Отсутствие современных систем управления пакетами? Минимум документации и неактивное сообщество? А оно ему надо? Вот зачем ему РОСА?

Если же мы возьмем администратора, который решил присмотреться к этому семейству ОС и возможно сделать выбор в пользу коммерческих систем, то здесь вопросов будет еще больше. Начнем с того, что РОСА - это полностью самостоятельная платформа, это не RHEL и не DEB-based, т.е. опыт работы с этими системами тут не поможет или поможет частично. Документации нет. Удобства нет. Будущее туманно. И зачем ему это надо? Чтобы потом героически преодолевать проблемы, которых в других системах просто нет, или они изучены и задокументированы. А ведь операционная система - это не офисный пакет или браузер, не понравилось - поменял. Это серьезный выбор на годы.

А сейчас РОСА видится нам как тот самурай, у которого нет цели - есть только путь. Складывается впечатление, что разработчики сами не понимают кто их целевая аудитория и какие ценности им нужно предоставить, вместо этого продолжая плыть по течению и выпуская новую версию дистрибутива просто потому, что нужно что-то выпустить.

В заключение хотелось бы написать что-то хорошее, но, к сожалению, мы так и не смогли придумать что. Нет, хорошие решения в РОСЕ есть, но сам дистрибутив вызывает только один вопрос - зачем? И ответа на него мы найти не можем.

Настраиваем Proxmox Backup Server в режиме удаленного хранилища (Remote)

2025-04-05T18:48:22Z

В современном мире, с постоянно растущими объемами информации резервные копии являются важным элементом инфраструктуры и залогом ее устойчивости. Также они стали отдельным объектом атак и интереса злоумышленников, поэтому очень важно иметь более одной резервной копии и хранить второй экземпляр в отдельной физической локации. И если мы говорим о виртуальной инфраструктуре Proxmox, то самое время познакомиться со штатной возможностью Proxmox Backup Server - работой в режиме удаленного хранилища.

]]> Резервное копирование виртуальных сред сопряжено с рядом ограничений и компромиссов. В первую очередь это достаточно большие объемы данных, а также требуемая глубина копирования и возможность быстрого восстановления. Все это требует держать сервер резервного копирования рядом с инфраструктурой, соединённым быстрыми каналами связи. В тоже время по соображениям безопасности копии крайне желательно хранить на удаленной площадке. И не только потому, что в случае серьёзной аварии, например, пожара или затопления мы можем потерять как рабочие, так и резервные копии, но и потому, что бекапы сегодня являются отдельной мишенью интереса злоумышленников, наравне с рабочими данными.

Поэтому оптимальной стратегией будет размешать основной рабочий сервер в составе инфраструктуры, что позволит быстро выполнять резервное копирование или восстановление. а на удаленной площадке держать резервный сервер, который будет синхронизироваться с основным по отдельному расписанию. Это позволит иметь две независимые копии, что существенно повысит безопасность и устойчивость вашей инфраструктуры.

Такая возможность штатно присутствует в Proxmox Backup Server и называется Remote, она позволяет синхронизировать хранилища (Datastore) локального экземпляра с удаленным экземпляром Proxmox Backup Server и проводить синхронизацию между ними. При этом никакой особой настройки сервера не требуется, любой локальный экземпляр Proxmox Backup Server может выступать удаленным хранилищем для другого сервера и наоборот. Скажем если у вас есть сервера резервного копирования в офисе и филиале, то вы можете настроить их так, что каждый их них будет использовать своего партнера как удаленный сервер, все упирается только в наличие места в хранилище.

Если вы не знакомы с Proxmox Backup Server и не устанавливали, и не настраивали его ранее, то советуем предварительно ознакомиться с нашей статьей:

Установка и настройка Proxmox Backup Server

Далее мы будем подразумевать, что сервера у вас установлены и настроены. Режим удаленного хранилища работает по принципу синхронизации хранилищ (Datastore), при этом настройки локального и удаленного хранилища могут различаться, например, разной глубиной хранения, разной частотой верификации и т.д. и т.п. Также можно выбирать ведущую роль, инициировать синхронизацию может как основной, так и удаленный сервер. Это позволяет достаточно гибко организовать данный процесс в зависимости от требований безопасности и удобства администрирования.

Настройка удаленного хранилища с ведущим основным сервером

Наиболее простой, но менее безопасный способ, так как основной сервер имеет доступ к удаленному хранилищу и в случае его компрометации злоумышленники могут получить туда доступ. В тоже время он наиболее удобен для администрирования, так как все настройки делаются в одном месте и вам не нужен административный доступ к удаленному серверу.

Настройка удаленного сервера

Прежде всего создадим на удаленном сервере отдельное хранилище, для этого перейдите в раздел Datastore - Add Datastore, этот процесс ничем не отличается от создания локального хранилища. Что касается настроек, то их следует указать либо как в основном хранилище, либо изменить по собственному усмотрению, как мы уже говорили выше, вы можете сократить или увеличить количество хранимых копий, в зависимости от вашей политики резервного копирования и доступного дискового пространства. Также мы советуем выбирать название хранилища таким образом, чтобы сразу было понятно, что это удаленная копия. Например, мы используем префикс remote.

Затем нам нужно создать нового пользователя, который будет иметь доступ к этому хранилищу, мы крайне не рекомендуем использовать для этого уже существующих пользователей и тем более суперпользователя root. Для этого перейдите в Configuration - Access Control - User Management, после чего укажите желаемое имя пользователя и его пароль.

Затем здесь же переходим на вкладку Permissions и выдаем созданному пользователю права DatastoreAdmin для созданного хранилища (хранилищ). В зависимости от политик безопасности вы можете использовать как отдельных пользователей для каждого хранилища, так и одного для всех, но соблюдая условие, что удаленный пользователь не имеет прав к локальным хранилищам.

На этом настройка удаленного сервера закончена.

Настройка локального сервера

На локальном сервере переходим в раздел Configuration - Remotes и подключаем удаленное хранилище. В поле Remote ID указываем желаемое имя хранилища, а в поле Auth ID - имя пользователя для доступа к нему, ниже указываем адрес сервера и пароль, также нам потребуется отпечаток сертификата удаленного сервера (Fingerprint), его можно получить на главной странице веб-интерфейса (Dashboard).

Напоминаем, что подключаете вы не удаленный сервер, а только набор хранилищ, доступные указанному при подключении пользователю и если хранилищ и пользователей у вас несколько, то необходимо добавить в этом разделе несколько записей.

После чего переходим в локальное хранилище, которое мы хотим синхронизировать и переходим на закладку Sync Jobs, там по кнопке Add доступно два варианта: Pull Sync Job - получить с удаленного сервера и Push Sync Job - отправить на удаленный сервер. Выбираем последний вариант. В открывшемся окне выбираем удаленный набор хранилищ - Target Remote и указываем доступное хранилище Target Datastore на удаленном сервере. Затем в поле Sync Schedule указываем расписание обмена и ограничение скорости Rate Limit, мы настоятельно советуем не пропускать эту настройку, если вы не хотите, чтобы синхронизация полностью положила вам внешний канал.

Отдельно коснемся настройки Remove vanished - при ее включении в удаленном хранилище также будут удаляться копии, которые отсутствуют в локальном. Может показаться, что это хорошая идея, но на самом деле лучше настроить отдельное задание очистки удаленного хранилища, так как если по какой-то причине вы или кто-то еще удалит все локальные копии, то они также будут удалены и в удаленном хранилище.

Настройка удаленного хранилища с ведущим удаленным сервером

С точки зрения безопасности данная схема является предпочтительной, так как локальный сервер не имеет никакого доступа к удаленному и даже при его компрометации удаленному набору резервных копий ничего не угрожает, но требует наличия административного доступа к обоим серверам.

Настройка локального сервера

Настройка локального сервера как таковая не требуется, разве что вы хотите ограничить права доступа, для того чтобы получать копии с удаленного сервера вам не нужно право записи и поэтому можно создать пользователей, ограниченных в правах только чтением.

В этом случае их настройка аналогична подобной для удаленного сервера: на каждое хранилище / группу хранилищ нам потребуется пользователь с правами не ниже, чем DatastoreReader. Это серьезно увеличивает безопасность, так как при возможной компрометации удаленного сервера ваши локальные копии не смогут быть удалены, в отличии от доступа с ролью DatastoreAdmin.

Настройка удаленного сервера

Точно также переходим в Configuration - Remotes и подключаем удаленный набор хранилищ с локального сервера. Все настройки аналогичны настройке локального сервера в прошлом сценарии, только теперь нам потребуется отпечаток сертификата локального сервера.

После чего создаем хранилище для синхронизации с хранилищем локального сервера. Никаких пользователей создавать не нужно, равно как и устанавливать на хранилище какие-то права. После создания хранилища переходим на закладку Sync Jobs - Add - Add Pull Sync Job и заполняем поля аналогично прошлому сценарию: в Source Remote указываем удаленный набор хранилищ и конкретное хранилище для синхронизации - Source Datastore. В Sync Sсhedule указываем расписание, а в Rate Limit - лимит скорости канала, остальные опции оставляем без изменений.

На этом настройка удаленного сервера окончена.

В заключение хотелось бы заметить, что первичная синхронизация подразумевает большой объем передаваемых данных и поэтому, если есть такая возможность, ее желательно выполнить, разместив оба сервера в одной сети, а только потом разнести по разным локациям.

Обновлено! Нормативное регулирование Wi-Fi в Российской Федерации

2025-03-25T20:33:12Z

Серьезно обновлена, дополнена и актуализирована статья:

Нормативное регулирование Wi-Fi в Российской Федерации

Дополнен и актуализирован раздел по 5 ГГц, добавлены разделы 6 ГГц и 60 ГГц

Устанавливаем и настраиваем ПУСК - Панель Управления Сервисами и Компонентами для 1С:Предприятие

2025-01-25T18:35:39Z

Для администрирования серверов 1С:Предприятие традиционно используется одноименная MMC-оснастка, что достаточно неудобно по многим причинам, которых мы коснемся ниже. Альтернативой является использование сервера администрирования RAS, недостатком которого является отсутствие графической оболочки. Поэтому многие сторонние разработчики представили собственные решения работающие на базе RAS, одно из них ПУСК - серьезный продукт, существующий уже несколько лет и включенный в реестр отечественного ПО.

]]> Перед тем, как переходить к основной теме данной статьи рассмотрим штатные инструменты с их плюсами и минусами. Начнем с MMC-оснастки Администрирование серверов 1С Предприятия, уже сам факт использования MMC указывает на то, что это продукт исключительно для платформы Windows, а если учесть, что под капотом используются COM-соединения, то перспектив увидеть кроссплатформенное решение здесь нет. Также Поэтому для оснастки мы выделим два основных минуса:

Работает только под Windows
Работает только с одной версией платформы одновременно

Второй недостаток проистекает от использования COM-соединения, которое требует чтобы версии COM-коннектора и платформы сервера совпадали, поэтому если у вас в эксплуатации несколько серверов 1С:Предприятие с разными версиями платформы то вас ожидает постоянная суета с перерегистрацией компоненты для работы с нужным сервером.

Понимая тупиковый путь развития оснастки фирма 1С разработала кроссплатформенный сервер администрирования RAS, который является частью сервера 1С:Предприятие, но RAS - это сетевая консольная служба и для работы с ней требуется клиент. Штатный клиент в поставке 1С - также полностью консольное приложение и говорить о каком-либо удобстве повседневной работы здесь нельзя.

Справедливости ради следует сказать, что для работы с RAS существует стандартная обработка доступная в любой информационной базе, но она достаточно ограничена по возможностям и требует установки на машину администратора экземпляра платформы 1С:Предприятие, что требует выделение клиентской лицензии.

Все это учли разработчики компании ИТ-Экспертиза и создали веб-приложение, работающее через сервер администрирования RAS и предоставляющий администратору практически все возможности стандартной оснастки с максимально повторяющим оригинальный инструмент поведением. Проект развивается с 2022 года и в настоящий момент включен в реестр отечественного ПО.

В чем плюсы такого решения? Это удобно, кроссплатформенно, может быть использовано в рамках импортозамещения. А формат веб-приложения позволяет работать с продуктом из любого места и любой платформы, был бы браузер.

Мы будем устанавливать ПУСК на выделенный виртуальный сервер под управлением DEB-based дистрибутивов, в нашем случае это будет Ubuntu 24.04 LTS, но вы можете использовать любой актуальный дистрибутив на базе Debian. Все приведенные ниже команды должны запускаться от имени суперпользователя root или через sudo, если не указано иного.

Установка Java JDK

Для нормальной работы ПУСК нам понадобится виртуальная машина JAVA версии не ниже 17 и здесь у нас есть несколько вариантов ее получения. В данном случае мы будем устанавливать именно версию 17.

Начнем с оригинальной версии Java от Oracle, ее можно скачать со следующей страницы:

JDK Development Kit 17.0.14 downloads

Для скачивания данного продукта вам понадобится зарубежный IP-адрес и учетная запись Oracle, других ограничений нет, с указанной страницы скачиваем DEB-пакет, на момент написания статьи это был jdk-17.0.14_linux-x64_bin.deb.

Следующий вариант, который мы использовали, это Liberica JDK, которую долгое время использовало и продолжает использовать сама фирма 1С. Скачать нужную версию Java можно отсюда:

Download Liberica JDK

Никаких ограничений на данной странице нет, просто качаем DEB-пакет нужной версии под Linux.

И наконец тем, кому нужен продукт из реестра отечественного ПО или желающим использовать только отечественные продукты следует обратить внимание на Axiom JDK, продукт Axiom Standard JDK бесплатен, однако предоставляется по запросу, получить его можно на официальном сайте:

Axiom JDK 17.0.14+10, LTS, Latest

Здесь нас также интересует DEB-пакет.

Будем считать, что вы скачали один из указанных выше пакетов и разместили его на сервере в домашней директории пользователя. В нашем случае это будет Liberica JDK. Подключаемся на сервер и повышаем права до суперпользователя, в Ubuntu для этого выполните:

sudo -s

В Debian

su -

Затем перейдем в домашнюю директорию и установим пакет:

cd ~
apt install ./jdk-17.0.14_linux-x64_bin.deb

Обратите внимание, что в последней команде используется имя скачанного пакета и в вашем случае оно может быть иным.

На этом установка Java JDK окончена.

Установка ПУСК

Прежде всего скачаем последний актуальны пакет ПУСК со страницы:

Панель Управления Сервисами и Компонентами (ПУСК)

На момент написания статьи это версия 1.1.62 от 22.08.2024.

Затем нам понадобится набор Java-библиотек для работы с RAS, которые можно получить здесь:

Программный Java-интерфейс для административного сервера

Вам следует скачать java-api для версий платформы 8.3.11 и старше.

Оба архива также следует передать на сервер в домашнюю папку пользователя.

Установку начнем с распаковки архива с самим ПУСК, сам продукт будет размещаться в /opt, поэтому выполним:

cd ~
tar -xzvf ite-pusk-1.1.62.tar.gz -C /opt

Теперь займемся java-библиотеками от 1С, разработчики зачем-то запаковали их в несколько вложенных архивов, поэтому придется поработать:

unzip java-api-8.3.11.zip
cd java-api-8.3.11/
unzip java-api-1.6.7.zip
cd java-api-1.6.7/
unzip com._1c.v8.ibis.admin-1.6.7.zip
cd com._1c.v8.ibis.admin-1.6.7/
cp -r lib /opt/pusk

Последняя команда скопирует нужные библиотеки в директорию установки ПУСК.

После чего перейдем в каталог ПУСК и выполним его установку:

cd /opt/pusk/
./ite-pusk-linux.sh install

Теперь пробуем запустить панель:

systemctl start ite-pusk

После чего набираем в браузере адрес сервера и порт 8080, в нашем случае это 192.168.72.99:8080 и убеждаемся что веб-панель загрузилась. Убедившись в этом можно добавить сервис в автозагрузку:

systemctl enable ite-pusk

На этом установка панели управления ПУСК закончена, но прежде чем подключать к ней сервера 1С нужно выполнить некоторые подготовительные действия на их стороне.

Установка сервера администрирования 1С в виде службы на платформе Windows

Чтобы управлять сервером на базе Windows нам потребуется установить и запустить на нем сервер администрирования RAS, для этого воспользуемся BAT-файлом install_ras.cmd, в который внесем следующее содержимое:

@echo off
rem %1 - полный номер версии 1С:Предприятия
rem %2 - имя сервера (с портом агента 1540)
rem %3 - порт RAS (1545)
chcp 1251
set SrvUserName=LocalSystem
set SrvUserPwd=""
set Agent=%2
set RASPort=%3
set SrvcName="ras %Agent%"
set BinPath="\"C:\Program Files\1cv8\%1\bin\ras.exe\" cluster --service --port=%RASPort% %Agent%"
set Description="1C:8.3 RAS %1 %Agent%"
sc stop %SrvcName%
sc delete %SrvcName%
sc create %SrvcName% binPath= %BinPath% start= auto obj= %SrvUserName% password= %SrvUserPwd% displayname= %Description% depend= Dnscache/Tcpip/lanmanworkstation/lanmanserver

После чего запустим командную строку от имени администратора и выполним:

install_ras.cmd 8.3.25.1501 localhost:1540 1545

Также не забудьте разрешить входящие подключения на порт TCP 1545 в брандмауэре.

Чтобы удалить регистрацию службы RAS создайте еще один пакетный файл uninstall_ras.cmd с содержимым:

@echo off
rem %1 -имя сервера (с портом агента 1540)
chcp 1251
set Agent=%1
set SrvcName="ras %Agent%"
sc stop %SrvcName%
sc delete %SrvcName%

Для остановки и удаления службы выполните в консоли с правами администратора:

uninstall_ras.cmd localhost:1540

После удаления службы RAS не забудьте перезагрузить сервер.

Установка сервера администрирования 1С в виде службы на платформе Linux

Возможно вы удивитесь, но в Linux все делается гораздо проще. Прежде всего сделаем символическую ссылку на systemd-юнит RAS:

systemctl link /opt/1cv8/x86_64/8.3.25.1501/ras-8.3.25.1501.service

Затем добавим службу в автозагрузку и запустим ее:

systemctl enable --now ras-8.3.25.1501

Для удаления службы выполните:

systemctl disable --now ras-8.3.25.1501

Приведенная выше команда остановит службу и выключит ее из автозагрузки.

Обратите внимание, что в командах используется полный номер платформы.

Подключение серверов 1С:Предприятие в ПУСК

Снова возвращаемся в веб-интерфейс ПУСК, который можно найти по адресу сервера и порту 8080, в нашем случае это 192.168.72.99:8080, после чего переходим в раздел Подключения и нажимаем кнопку Добавить. После чего заполняем поля: Описание - пишем все что угодно, главное, чтобы по нему можно было однозначно понять какой именно сервер перед нами. Ниже в разделе Сервер администрирования 1С (ras) выбираем Уже запущен и указываем адрес нашего сервера 1С:Предприятие. Порт, если вы использовали стандартный 1545 менять не нужно.

Аналогичным образом подключаем остальные сервера. Платформа сервера не имеет значения, главное чтобы на нем была запущена служба RAS.

После добавления сервера мы можем начинать работать с ним. На верхнем уровне нас ждет довольно информативная панель статистики. Мы можем сразу увидеть количество соединений к кластеру по типу клиентов и количество выданных лицензий и их номера. Это очень удобно, особенно если вам нужно быстро оценить текущий расход лицензий в разрезе приобретенных комплектов. В остальном рабочее пространство повторяет собой оснастку MMC как по внешнему виду, так и по поведению (насколько это максимально возможно).

В целом ПУСК производит приятное впечатление и если вы привыкли работать со стандартной оснасткой, то без проблем освоите и новый инструмент.

Дополнительная SSL и парольная защита

Как вы уже могли заменить панель не содержит никаких средств защиты или аутентификации, а значит ею может воспользоваться любой, кто правильно наберет адрес. При этом без всякой дополнительной проверки панель позволяет выполнять деструктивные действия, например, полное удаление информационной базы, включая удаление базы данных на сервере СУБД. Поэтому просто так оставлять подобное положение дел нельзя.

Поэтому добавим SSL-шифрование и аутентификацию по паролю, для этих целей мы будем использовать веб-сервер Caddy в режиме обратного прокси. Почему именно Caddy? Потому что он быстр и прост, а также обеспечивает надежное шифрование с использованием самых современных стандартов в автоматическом режиме.

Но сначала внесем некоторые изменения в работу панели ПУСК, в частности ограничим ее работу только на localhost, для этого перейдем в директорию /opt/pusk/data и скопируем файл примера конфигурации:

cd /opt/pusk/data
cp application.properties.sample application.properties

Затем откроем файл /opt/pusk/data/application.properties и ниже опции:

server.port=${PORT:8080}

Добавим:

server.address=127.0.0.1

Перезапустим панель:

systemctl restart ite-pusk

И убедимся что снаружи она недоступна, но работает на адресе 127.0.0.1, для этого выполните команду:

ss -tpln | grep 8080

Если все сделано правильно, то в выводе вы увидите строку:

LISTEN 0 100 [::ffff:127.0.0.1]:8080 *:* users:(("java",pid=844,fd=18))

Теперь установим веб-сервер Caddy:

apt install caddy

Затем сформируем хеш пароля при помощи команды:

caddy hash-password

После ее запуска вам потребуется два раза ввести пароль и вы получите строку хеша к нему, сохраните ее.

Так как мы используем SSL шифрование, то правила хорошего тона требуют использования доменного имени, поэтому мы советуем завести на локальном DNS сопоставление локального FQDN адресу сервера, в нашем случае мы выбрали имя pusk.example.com, но на всякий случай сохранили и возможность входа по IP-адресу 192.168.72.99. В качестве имени для входа мы будем использовать имя pusk.

Откроем на редактирование файл /etc/caddy/Caddyfile и приведем его содержимое к следующему виду:

pusk.example.com 192.168.72.99 {
    basicauth {
         pusk 
     }
    tls internal
    file_server
    reverse_proxy 127.0.0.1:8080
}

Обратите внимание, что отступы в файле формируются сугубо при помощи табуляции и следует использовать два - четыре - шесть и т.д. отступов, в противном случае вы получите предупреждение о некорректном форматировании конфигурационного файла.

Коротко пройдемся по опциям:

basicauth - предписывает использовать базовую аутентификацию (Basic Auth), ниже указываем логин - pusk и хеш пароля полученный на предыдущем шаге.

Важно! Начиная с версии Caddy 2.8.0 и новее вместо опции basicauth следует использовать basic_auth

tls internal - указывает на использование самоподписанного сертификата
reverse_proxy 127.0.0.1:8080 - указываем адрес службы, на которую мы проксируем запросы, в нашем случае это запущенная панель ПУСК

Сохраняем конфигурацию и перезапускаем веб-сервер:

systemctl reload caddy

После чего убеждаемся, что панель доступна теперь только по защищенному соединению и для доступа к ней вам потребуется пройти аутентификацию. Теперь для доступа к панели просто указываем имя домена или IP-адрес без указания порта.

Известные проблемы

Большинство задач по обслуживанию сервера 1С:Предприятие выполняется без необходимости аутентификации в информационных базах, но ряд задач, например, установки блокировки начала сеансов или блокировки регламентных заданий такую аутентификацию требуют. После чего ПУСК будет пытаться выполнить аутентификацию с указанными учетными данными в каждую из информационных баз кластера. На скриншоте ниже зеленым цветом обозначены базы в которых аутентификация выполнена и серым в которых она не прошла.

При этом во всех современных релизах конфигураций включена блокировка по ошибочному вводу учетных данных, по умолчанию допускается три попытки ввода и блокировка на 5 минут. Таким образом, если у вас в кластере есть базы с одинаковым именем административного пользователя, обычно Администратор и разными паролями, то после входа в одну из них остальные окажутся перманентно заблокированными. Данная ошибка была выявлена еще на этапе бета-тестирования в 2022 году, но, к сожалению, до сих пор не исправлена.

Какие обходные пути у этой проблемы? Их несколько:

Установить одинаковые пароли для административной учетной записи во всех базах
Переименовать административную учетную запись в каждой базе с использованием уникального имени
Выключить контроль попыток ввода пароля

Чтобы реализовать последний сценарий откройте информационную базу в разделе Администрирование - Настройки пользователей и прав, затем перейдите в Настройки входа и на закладке Дополнительные снимите флаг Количество попыток ввода пароля до блокировки. В более старых релизах снять этот флаг не представляется возможным, в этом случае укажите количество попыток равными нулю.

Какой из этих способов использовать - смотрите сами, также можно их комбинировать для разных информационных баз.

И все таки, не смотря на некоторые недостатки, ПУСК остается удобным инструментом для консолидированного управления вашими серверами 1С:Предприятие из единого места и с использованием любой платформы.

История кнопки и меню "Пуск". Продолжение

2025-01-12T20:28:53Z

Кнопка "Пуск" равно как одноименное меню, впервые появившись в 1995 году стали символами не только Windows, но и персонального компьютера в целом, задав на долгие годы тон в развитии пользовательских интерфейсов. В этом году Пуск будет праздновать тридцатилетний юбилей и поэтому мы решили выпустить продолжение нашей статьи десятилетней давности и посмотреть, что изменилось после выхода Windows 10 и Windows 11, какие вершины были достигнуты и какие неоднозначные решения приняты. Ну и в целом понять как и куда мы пришли.

]]> Краткое предисловие

Чтобы полностью окунуться в историю кнопки и меню "Пуск" мы советуем прочитать нашу предыдущую статью в которой мы рассмотрели предысторию и историю данной кнопки и меню начиная с Windows 95 и заканчивая Windows 8 с ее неоднозначными решениями.

История кнопки и меню "Пуск"

Поэтому начнем мы с того, на чем закончили предыдущую статью. В Windows 8 разработчики решили решительно порвать со всем старым и ворваться на рынок мобильных систем, предоставив для этого единую платформу на базе Windows. Получилось ожидаемо плохо, больше всего пострадали пользователи Windows, у которых сначала отобрали и кнопку "Пуск" и одноименное меню, заменив полноэкранным плиточным недоразумением, потом, в Windows 8.1 кнопку вернули, но вела она на тот же плиточный экран.

В общем, пользователи новшества не оценили и Windows 8 вполне может побороться за второе месте в рейтинге самых неудачных ОС от Microsoft после лидирующего в этом списке Windows Vista, хотя именно Vista принесла нам новое меню и новые возможности панели задач, которые потом были развиты в Windows 7, завоевавшей любовь и признание пользователей по всему миру.

Ворваться на мобильный рынок у Microsoft не получилось, даже наоборот, но это отдельная и весьма печальная история, мы же продолжим рассматривать настольные ОС. Так скоро стало понятно, что концепция общей для всех устройств системы не выстрелила и на десктопе пользователи предпочитают использовать десктопные приложения игнорируя все "современные" потуги Microsoft.

Поэтому оказалось, что хоронить классические приложения и классический рабочий стол рано и начался процесс переосмысления концепции рабочего пространства с учетом полученного опыта. Тем более, что окружающий мир в очередной раз изменился, выросли как диагонали, так и разрешения и классический интерфейс зачастую смотрелся слишком мелким. Стало понятно, что плитки в общем-то и неплохи, только надо найти правильное их сочетание с привычной рабочей моделью.

В итоге решили вернуться к старому доброму двустворчатому меню, левая часть которого осталась без особых изменений, а в правой поместили плитки, в первых прототипах Windows 10 это выглядело как будто к классическому меню просто пристыковали кусок плиточного интерфейса.

Несмотря на неказистый первоначальный вид идея оказалась стоящий и дальнейшее развитие меню пошло именно в этом направлении.

Windows 10 Threshold

Первый релиз Windows 10 получивший номер версии 15.07 был выпущен 29.07.2015 и был более похож на публичную бета-версию, да и по сути так оно и было. В какой-то момент в Microsoft решили, что степень готовности системы достаточна для ее публичного выпуска и сформировали на основании текущего среза релиз. Но уже осенью, 10.11.2015 вышел следующий релиз 15.11, исправлявший многие детские болезни. Оба выпуска имели кодовое обозначение Threshold, публичного наименования первого выпуска не было, а второе получило простое и незамысловатое November Update (Ноябрьское обновление).

Новая система получила новое меню и новую панель задач. Идею первых прототипов довели до ума и прилично усовершенствовали. Теперь в левой части меню у нас был список часто используемых программ, ниже область переходов, позволяющая получить доступ к размещениям данных, приложению Параметры и выключению компьютера, для доступа ко всем программам нужно было нажать на самую нижнюю плитку. Правую часть меню занимали плитки, по умолчанию предлагалось два блока 3*3 плитки, заполненные самыми полезными, по мнению Microsoft, программами.

Фактически все вернулось на круги своя, к классической концепции меню Пуск, только в современном его прочтении и хотя система все еще сильно напоминает Windows 8, тупиковость идей последней в отказе от Рабочего стола осознана и эксперимент было решено свернуть. Но свернуть - не значит полностью отвергнуть, удачные находки, те же плитки, решено было оставить. На скриншоте мы видим плитки двух размеров: средние и широкие. Еще были мелкие, размером в 1/4 средней плитки и большие, занимавшие площадь четырех средних плиток, что давало широкие возможности по кастомизации плиточной части меню.

При нажатии на кнопку все программы появлялся список всех установленных программ отсортированных по алфавиту. его отображение тоже сильно напоминало Windows 8, каждая иконка располагается на небольшой плитке. Также нет единого стиля размещения программ (как такового его нет до сих пор), какие-то программы собраны в отдельные папки, а какие-то равномерно размазаны по меню Пуск.

Но все исправляет плиточная часть меню, здесь мы можем разместить все что нам надо, при этом размеры меню можно произвольно менять, просто перетаскивая его мышью. Так для FHD экранов можно растянуть меню таким образом, что в нем получится закрепить 4 блока по 3 плитки по горизонтали и 2 блока по 3 плитки по вертикали, плюс еще одна, которая будет видна без прокрутки. Итого 84 плитки стандартного размера, что вполне достаточно, чтобы разместить все нужные программы и даже не очень нужные и совсем-совсем не нужные, если задействовать мелкие плитки, которых на месте стандартной плитки можно разместить целых четыре.

Кстати, если вам ну совсем никак не нравятся плитки, то вы могли просто их открепить от начального экрана и сделать вот так:

Панель задач тоже подверглась некоторому переосмыслению, боковая панель Windows 8 плавно превратилась в панель уведомлений, но в целом это все та же привычная панель, разве что более современная, так, например, аналоговые часы и довольно мелкий календарик Windows 7 были заменены крупным и удобным виджетом. И это не прихоть, к выходу Windows 10 FHD стал основным типом мониторов, а на подходе уже были 2K и 4K, что требовало пересмотра интерфейса в сторону его лучшей масштабируемости.

Настроек в классической части меню "кот наплакал", что и немудрено, большинство из них переместилось в новое приложение Параметры. Если честно, то это беда всех выпусков Windows 10, когда настройки были раскиданы по двум местам: классической Панели управления и современным Параметрам, более-менее задачу консолидации настроек в единственном месте решили только в Windows 11.

Поиск также остался частью возможностей меню, теперь можно было просто открыть Пуск и начать набирать первые буквы названия программы или перейти в это же место нажав кнопку поиска на панели задач.

В выпуске 15.11 количество и состав плиток по умолчанию изменился, при этом меню формировалось динамически, в зависимости от языка и местоположения системы и если в английском варианте все выглядело достаточно прилично, то в русской редакции плитки оказались разбросаны как попало.

В остальном каких-либо значимых изменений не было, но важен оказался сам факт возвращения меню Пуск и классического рабочего стола в новую ОС, что позволило Windows 10 вновь завоевать популярность пользователей.

Windows 10 Redstone

Следующее крупное семейство Windows 10, включающее в себя выпуски от 1607 до 1809 с которого и началось знакомство подавляющего большинства пользователей с новой системой. К выпуску 1607 система была серьезно доработана и перешла в стабильное состояние а также обрела привычный и теперь уже классический вид.

На первый взгляд может показаться, что ничего особо не изменилось, но это не так. Во-первых список установленных программ теперь представлен в левой части меню сразу, не нужно дополнительно никуда нажимать, только прокручивай. Область переходов убрали, слева остались только кнопки перехода к профилю, параметрам и управлению питания, хотя туда же можно добавить ссылки на стандартные папки Документы, Загрузки, Видео и т.д.

В панели задач кнопка панели уведомлений заняла крайнее правое положение, теперь ее не нужно искать, достаточно направить мышь в нижний правый угол, что вполне логично и удобно. К часа добавился простой календарик, куда мы можем добавлять события и получать соответствующие уведомления. Да, это не полноценный планировщик, но позволяет не забыть, что сегодня вечером у вас блины у тещи, а не пиво с друзьями в ближайшем баре.

В параметрах поиска теперь стали показываться не только найденные приложения, но и связанные с ними настройки.

В течении всего трехлетнего существования линейки Redstone революционных изменений в меню не было, но были эволюционные. Если мы посмотрим на меню выпуска 18.09 то увидим кроме иного набора плиток сразу включенные переходы в расположения Документы и Изображения.

Также серьезно был доработан поиск, теперь в результатах поиска кроме самих программ предлагается гораздо больше связанных с запросом настроек и можно сразу отсюда выполнить поиск в интернете, а также при наведении на программу справа появляется ее описание и целый набор доступных действий. Здесь можно как запустить программу, в т.ч. и с повышенными правами, но также перейти к ее расположению, добавить на панель задач или начальный экран.

В целом семейство Redstone сформировало законченный образ новой операционной системы, здесь же оформились ее основные черты, характерные именно для Windows 10. Этот же период совпал с бурным ростом пользовательской базы и именно с такой системой познакомились многие новые пользователи.

Windows 10 1903 и новее

Начиная с выпуска 1903 в Microsoft отказались от разделения выпусков на отдельные семейства и перешли к непрерывной разработке с единой кодовой базой, а все функции новых выпусков с обновлениями доставлялись и в старые, поэтому переход с одной редакции на другую фактически представлял собой некий тумблер, который просто включал при перезагрузке отключенную функциональность и настраивал ее.

Каких либо революционных изменений меню Пуск и панели управления не произошло, на первый взгляд все тоже самое, но не совсем. В дизайне был применен новый стиль Fluent Design, который добавил теней, размытия, прозрачности и полутонов. Даже на скриншоте ниже можно заметить, что картинка стала мягче и более приятна глазу. Также обращают на себя внимание новые, более легкие и светлые обои по умолчанию. Впервые появилась возможность группировать плитки простым перетаскиванем их друг на друга как в мобильных интерфейсах, обратите внимание на блок приложений Office в середине верхнего ряда.

Но главная особенность этого выпуска - светлая тема дизайна. Это был огромный шаг вперед, до этого пользователям приходилось довольствоваться темным, достаточно мрачным и тяжеловесным интерфейсом, теперь же появился выбор, да и темная тема стала более мягкой.

При этом произошел отказ от простых цветов к оттенкам и полутонам, несложно заметить, что цвет меню зависит как от низлежащей картинки, так и выбранного в настройках основного цвета (по умолчанию синий). Получилось достаточно неплохо, также подобным образом были разбавлены многие одноцветные экраны, например приложения Параметры.

Поиск также привели к общему стилю системы, в темной теме теперь и страница поиска темная, кроме того по умолчанию на панели задач появилась строка поиска, но ее можно заменить как на кнопку поиска, так и совсем убрать.

Следующее крупное изменение внешнего вида меню Пуск произошло в выпуске 20H2, здесь решили отказаться от последнего пережитка Windows 8 - цветной подложки плиток и монохромных иконок. Теперь в темном варианте темы плитки стали серыми, за редким исключением, скажем плиток Office или карточного набора игр. Также пропало основание в виде цветной плитки у программ в списке слева.

В светлой теме плитки также стали светлыми, что добавило системе единообразия и более спокойного и выдержанного визуального стиля, без обилия ярких красок.

Но подождите, скажет внимательный читатель, вы говорили об отказе от одноцветных иконок, но здесь они по прежнему одноцветные, да это так и не только в 20H2, но и более поздних выпусках. Но чтобы это исправить нужно всего лишь дождаться обновления этих приложений, но есть одна тонкость, они обновляются не через Windows Update, а через магазин Windows Store, кстати мы можем зайти в него и ускорить этот процесс.

После чего у вас появятся красивые разноцветные иконки приложений. Также с обновлениями изменится и настройка рабочего стола, вместо стандартных обоев автоматически появятся красивые фотографии из раздела Windows Интересное. Такая настройка будет автоматически применена ко всем поддерживаемым ОС, включая и Windows 11.

Таким образом интерфейс системы и меню Пуск начиная с 20H2 пришли к современному виду и более не изменялись. Без преувеличения можно назвать данный вариант меню Пуск одним из самых лучших и удобных. Реализована система доступа к программам в один клик - просто нажимаем на Пуск и либо выбираем их из плиток на начальном экране, либо в списке слева.

Поиск ищет по запросу не только программы, но и параметры, а также предлагает результаты из интернета. И все это достаточно гибко настраивается, панель задач можно прикрепить к любой стороне экрана, а плитки в меню Пуск настроить по собственному усмотрению, либо полностью отказаться от них.

Windows 11

Мобильные системы можно назвать современным проклятием Microsoft, именно после попытки объединить мобильную и настольную платформу возник Windows 8, но правильных выводов из ситуации сделано не было. В 2020 году появилась информация о разработке новой мобильной системы Windows 10 X, а в магазине даже можно было скачать ее эмулятор для разработчиков. Ничего не напоминает?

А дальше классика жанра: мобильная система так и не вышла, но стали анонсировать новое большое обновление Windows 10 с новым дизайном, которое плавно перешло в выпуск новой настольной ОС Windows 11 осенью 2021 года. Новая система унаследовала дизайн Windows 10 X (действительно, не пропадать же добру) и после развитого, удобного и гибко настраиваемого меню Пуск предшественницы новые решения не вызвали ничего кроме глухого недоумения. Нет, на первый взгляд дизайн довольно свежий и современный, но это пока не начать им пользоваться.

Что мы видим? А видим мы сетку 6*3, т.е. новое меню Пуск может содержать только 18 приложений, что катастрофически мало. Зато внизу немногим меньше места занимает бестолковый и бесполезный блок Рекомендуем. Почему бестолковый? Потому что "рекомендует" он тупо последние открытые документы и никакого способа изменить поведение этого блока нет. Кроме того, он может показывать совсем нежелательные вещи, например, личные финансовые или медицинские документы, что может доставить неудобства, если компьютер общего пользования и за него могут сесть ваши друзья или родственники.

Про концепцию доступа в один клик, которая была реализована в Windows 10 речи также не идет, теперь вам нужно нажать на кнопку Все приложения и перейти на отдельный экран, который выглядит весьма убого, демонстрируя много свободного, ничем не занятого места.

Все, что как-то смягчает ситуацию - это поиск, он столь же мощный и удобный, как говорится - единственное, что не сумели сломать.

Изменения претерпели и Проводник и Панель задач. И все изменения неоднозначные, где-то сделали лучше, а где-то совсем наоборот. Группировка блоков панели задач - однозначный плюс, но из календарика убрали быстрый переход к планировщику. Нет, вы по прежнему можете планировать события и создавать уведомления, но для этого вам придется запустить отдельное приложение Календарь. И подобных примеров очень много.

Настройки? Забудьте это слово, здесь их решительно нет. Все что вы можете - это переместить кнопку и меню из центра к левому краю, сделав интерфейс более походим на классический. Ну и так, настроить видимость отдельных кнопок. Сама панель "гвоздями прибита" к нижнему краю экрана, переместить ее невозможно, хотя это было доступно во всех версиях Windows, начиная с Windows 95.

Еще одна тема, в которой Microsoft бросает из крайности в крайность - это виджеты. Впервые они появились в Windows Vista, где их можно было располагать сугубо в пределах панели виджетов у правого края экрана, в Window 7 появилась возможность произвольно их размещать на экране, но в Windows 8 и Windows 10 от них по непонятным причинам отказались. Теперь новая реинкарнация, теперь в виде мини-приложений на отдельной панели, вызываемых отдельной кнопкой. Только вот смысла в них исчезающе мало, чтобы посмотреть погоду или новости вместо панели мини-приложений проще и эффективнее открыть браузер.

После Windows 10 подобные ограничений вызывали только недоумение и глухое недовольство, это был не очередной провал, но достаточно близко к этому. Но переигрывать - это не в стиле Microsoft, хотя кое какие выводы они сделали и в следующем выпуске Windows 11 22H2 серьезно подтянули возможности меню Пуск. Теперь мы можем выбрать что хотим больше видеть: приложения или рекомендации.

Теперь стало возможным закрепить в меню Пуск уже 24 приложения, также добавили возможность группировки перетаскиванием, что сделало меню более-менее приемлемым для повседневного использования.

Появились контекстные меню настройки, а при правом клике на Панель задач вернули возможность запустить Диспетчер задач.

Кардинально эти доработки ситуацию не изменили, меню Пуск и Панель задач в Windows 11 как были, так и остаются убогими и ограниченными, но хотя бы стали более-менее, если не удобными, то не вызывающими неудобств при использовании. Хотя назвать Windows 11 полностью провальной и неудобной нельзя, в ней были существенно доработаны многие стандартные приложения, много улучшений в интерфейсе, те же вкладки в Проводнике или новое контекстное меню, более простое и не перегруженное.

Однако на этом развитие пользовательского интерфейса Windows 11 остановилось, выпуски 23H2 и 24H2 не принесли ничего нового. Почему? Тут два варианта. Возможно разработчики посчитали, что достигли определенного уровня совершенства, либо в очередной раз осознали тупиковость этого пути и готовят нам в новой версии ОС что-то новое, или хорошо забытое старое. Ну что же, поживем - увидим.

Настраиваем веб-сервер Caddy + PHP + MySQL с сертификатами Let's Encrypt

2025-01-11T16:49:32Z

Веб-сервер Caddy сравнительно молодой и новый игрок на рынке веб-серверов, первый выпуск был опубликован в 2015 году, а используемая сейчас вторая версия вышла в 2020 году. Caddy написан на Go и активно развивается, в его основе лежат современные подходы к реализации веб-серверов, а именно простота и защищенность. В отличие от других веб-серверов Caddy из коробки рассчитан на работу с HTTPS и имеет интеграцию с Let's Encrypt, позволяя автоматически получать и продлять сертификаты, а также он весьма прост в настройке, в чем мы скоро убедимся.

]]> Итак, зачем вам нужено именно Caddy и что такого он дает по сравнению с Apache или Nginx? Как мы уже сказали выше - простоту и безопасность. Вам не нужно настраивать параметры шифрования и использования протоколов, Caddy все сделает из коробки, причем наилучшим образом, с использованием самых современных технологий. Да и сама конфигурация предельно проста, вам нужно задать минимум опций для получения рабочего сервера, но при этом вы можете достаточно гибко управлять им, переопределяя необходимые параметры.

К недостаткам можно отнести недостаточное количество материалов на русском языке и плохое знание синтаксиса Caddy со стороны нейросетей, которые довольно популярны в последнее время. Но если вы имеете опыт работы с другими веб-серверами и владеете английским со словарем, то официальной документации вполне достаточно, тем более что она изобилует примерами.

Для установки мы будем использовать последние версии популярных систем Debian 12 и Ubuntu 24.04 LTS, принципиального отличия они не имеют и содержат актуальные версии, что позволит развернуть веб-сервер штатными средствами без подключения дополнительных репозиториев. Набор используемого ПО таков:

Debian 12: Caddy 2.6, PHP 8.2, MariaDB 10.11 LTS
Ubuntu 24.04 LTS: Caddy 2.6, PHP 8.3, MySQL 8.0 LTS

Все команды, если не указано иного, следует выполнять с правами суперпользователя root или через sudo.

В качестве примера имени сайта мы будем использовать:

site.example
www.site.example

Их следует заменить на реальное доменное имя, которое вы будете использовать.

Установка и базовая настройка веб-сервера Caddy

Установка сервера производится одной простой командой:

apt install caddy

Теперь если набрать в адресной строке браузера адрес веб-сервера, то вы увидите стандартную страницу-заглушку, это обозначает, что веб-сервер установлен и работает.

Кстати, данная страница содержит краткую инструкцию по запуску веб-сервера, это все, что достаточно выполнить для получения работающего и безопасного современного сайта. Просто? Очень просто. Но мы выполним более тонкую настройку.

Внутренний формат конфигурации веб-сервера хранится в формате JSON и ей можно управлять онлайн через REST API, также доступен и более классический формат настройки через файл конфигурации, для этого используется конфигурационный файл /etc/caddy/Caddyfile. Он уже содержит пример конфигурации и нам следует его только откорректировать. Обратите внимание, что отступы в файле формируются сугубо при помощи табуляции и следует использовать два - четыре - шесть и т.д. отступов, в противном случае вы получите предупреждение о некорректном форматировании конфигурационного файла.

Итак, откроем на редактирование конфигурационный файл и заменим в нем :80 на адрес нашего сайта:

site.example {

Подобная запись обозначает, что для сайта будет автоматически получен сертификат Let's Encrypt при использовании существующего домена или самоподписанный для несуществующих доменов. Теперь укажем путь к корневой директории сайта:

root * /var/www/site.example

Следующий параметр включает для виртуального хоста отдачу статики:

file_server

В целом этого уже достаточно для работы, но мы добавим еще несколько опций, прежде всего включим сжатие, причем предлагать будем не только классический zip, но и современный zstd, форматы перечислены в порядке предпочтения и согласовываются с клиентом.

encode zstd gzip

Также укажем параметры логирования:

log {
     output file /var/log/caddy/site.example.log
     format console
 }

Затем ниже последней закрывающей фигурной скобки добавим еще один виртуальный хост для сайта с www, который мы будем переправлять на основной сайт:

www.site.example {
     redir https://site.example{uri}
}

Перезапускаем веб-сервер командой:

systemctl reload caddy

Теперь создадим указанные в конфигурации папки:

mkdir -p mkdir /var/www/site.example

И сделаем их владельцем веб-сервер:

chown -R www-data:www-data /var/www/

В корневую директорию сайта добавим индексный файл:

nano /var/www/site.example/index.html

И внесем в него следующее содержимое:

OK!

Теперь заходим на наш сайт, мы будем автоматически направлены на HTTPS версию и можем убедиться, что сайт получил сертификат от Let's Encrypt, а также использует (при поддержке со стороны браузера) TLS 1.3 и HTTP/3.

На этом настройка веб-сервера Caddy закончена, если проверить его на ssllabs.com, то получим рейтинг А. Если вы хотите получить рейтинг A+, то следует добавить страницам сайта заголовок, который включит HSTS (HTTP Strict Transport Security) - механизм принудительно включающий соединение с сайтом по HTTPS, если ранее такое соединение уже было установлено. Технически это не обязательно, так как Caddy автоматически пересылает все HTTP запросы на HTTPS версию сайта, но если вы хотите рейтинг A+ (скажем, сдаете сайт заказчику), то в секцию виртуального хоста добавьте:

header {
      Strict-Transport-Security max-age=31536000;
 }

После чего перезапустите веб-сервер.

Просто? Просто и быстро. В этом основное преимущество Caddy, вам не нужны километры строк в конфигурации, все современные технологии вы получаете из коробки. Единственный минус - совместимость со старыми системами, так как Caddy автоматически отключает устаревшие протоколы и шифры.

Установка и настройка PHP-FPM

Для работы с динамическим содержимым нам потребуется поддержка PHP, скриптового языка, на котором написано большинство современных систем управления контентом (CMS), также называемых движками сайтов. Caddy не имеет собственного менеджера процессов, поэтому мы будем использовать для этой цели PHP-FPM. Установим его:

apt install php-fpm

Затем перейдем в /etc/php/8.3/fpm/php.ini (обратите внимание, что в пути следует указать версию установленного PHP) и откорректируем некоторые параметры. Прежде всего найдем, раскомментируем и приведем к следующему виду опцию:

cgi.fix_pathinfo=0

Затем установим максимальный размер отправляемого запроса:

post_max_size = 32M

И максимальный размер загружаемого файла, он должен быть меньше или равен размеру отправляемого запроса:

upload_max_filesize = 30M

Сохраняем изменения и перезапускаем службу (также на забывайте про номер версии):

systemctl restart php8.3-fpm

Для работы с PHP добавим виртуальному хосту в Caddyfile следующие опции:

php_fastcgi unix//run/php/php-fpm.sock

Сохраняем изменения и перезапускаем веб-сервер:

systemctl reload caddy

Для проверки работы PHP создадим специальный файл:

nano /var/www/site.examlpe/info.php

И внесем в него следующий текст:

   phpinfo();
?>

Если теперь в адресной строке браузера набрать site.example/info.php то увидим стандартную страницу с информацией о PHP, его настройках и установленных модулях.

Модули предназначены для расширения возможностей PHP и их необходимый набор следует уточнять в требованиях вашего веб-приложения, мы же установим набор самых часто используемых и необходимых:

apt install php-mbstring php-zip php-gd php-json php-curl php-imagick php-mysql php-intl

На этом установка и настройка PHP-FPM закончена.

Установка MySQL / MariaDB

Для Debian это будет команда:

apt install mariadb-server

А для Ubuntu:

apt install mysql-server

В дальнейшем в обоих системах для управления можно использовать один и тот же набор команд:

systemctl start | stop | restart | status mysql

Вне зависимости от того, какую именно версию СУБД вы используете.

После установки сервера баз данных следует выполнить скрипт, который выполнит рекомендуемые настройки безопасности установленного экземпляра сервера:

mysql_secure_installation

В нем положительно отвечаем на все вопросы, кроме смены пароля суперпользователя СУБД root, в текущем режиме установки учетная запись root не имеет пароля и поддерживает вход исключительно через UNIX-сокет, поэтому не следует ее включать.

Теперь выполним некоторые настройки самого сервера СУБД, для этого перейдем в командную строку MySQL в режиме суперпользователя:

mysql -u root

В первую очередь создадим пользователей СУБД и разрешим им вход по паролю:

CREATE USER 'andrey'@'localhost' IDENTIFIED BY 'Pa$$word_1';

После чего отберем у него права на чужие базы:

GRANT USAGE ON *.* TO 'andrey'@'localhost';

А затем выдадим полные права на все базы с шаблоном имени andrey_<имя базы>, что позволит автоматически устанавливать права просто создав базу с нужным именем.

GRANT ALL PRIVILEGES ON `andrey\_%`.* TO 'andrey'@'localhost';

Обратите внимание, что шаблон оборачивается символами грависа (`), который находится на клавише с русской буквой Ё.

Перезагрузим привилегии:

FLUSH PRIVILEGES;

И выйдем из консоли MySQL:

QUIT;

На этом настройка сервера СУБД закончена.

Установка phpMyAdmin

phpMyAdmin - удобное веб-приложение для управления СУБД MySQL / MariaDB и, по сути, стандарт де-факто среди таких приложений, его использование для повседневной работы с СУБД повышает общее удобство, по сравнению с консолью и поэтому мы не видим причин отказывать от его использования.

Для его установки используйте команду:

apt install phpmyadmin

После чего добавьте виртуальному хосту в Caddyfile следующие настройки:

root /phpmyadmin/* /usr/share/phpmyadmin

redir /phpmyadmin /phpmyadmin/ permanent
uri /phpmyadmin/* strip_prefix /phpmyadmin

Которые обеспечат правильное направление всех запросов с адресом /phpmyadmin к нужной корневой директории веб-приложения.

Перезапускаем веб-сервер:

systemctl reload caddy

И переходим по адресу site.example/phpmyadmin:

На этом настройка веб-сервера на базе Caddy + PHP + MySQL с сертификатами Let's Encrypt закончена.

Linux Mint - пожалуй, лучший Linux для начинающих

2024-12-19T20:40:09Z

Каждый раз, когда возникает речь о дистрибутиве для начинающих пользователей Linux вспоминают Mint, также он постоянно занимает топ в рейтинге DistroWatch, но, по стечению обстоятельств, так и не удосужился обзора на нашем сайте. Поэтому мы решили исправить это досадное упущение и рассмотреть новый выпуск Mint 22 Wilma, вышедший этим летом и постараться понять, почему именно Mint называют лучшим дистрибутивом для новичков. А заодно рассмотрим оболочку рабочего стола Cinnamon, разработанную специально для Linux Mint и без которой этот дистрибутив трудно представить.

]]> Linux Mint появился в далеком 2006 году как еще один дистрибутив на базе Ubuntu целью которого было предоставление "современной, элегантной и удобной операционной системы, которая одновременно является мощной и простой в использовании". С тех пор система прошла множество изменений и в настоящий момент использует двухлетний релизный цикл используя в качестве основы только LTS версии Ubuntu.

Но это не просто еще один дистрибутив, система имеет ряд отличий от исходного дистрибутива и предлагает по умолчанию собственную среду рабочего стола - Cinnamon. Это оболочка на базе рабочего стола GNOME, которая в отличие от своего родителя использует классический подход в построении интерфейса системы и простоты его использования.

Номера дистрибутивов состоят из целых чисел и присваиваются последовательно, без привязки к году выпуска, поэтому Mint 22 - это просто 22-й выпуск дистрибутива и никак не привязан к 2022 году, кроме этого каждый дистрибутив имеет кодовое наименование состоящее из женского имени на новую букву, данный дистрибутив имеет собственное имя Wilma.

На этом краткую теоретическую часть закончим и перейдем к практическому знакомству, начнем с процесса установки. Он несложен, в качестве инсталлятора используется известный открытый проект Calamares, известный нам по другим дистрибутивам. Сам же инсталляционный диск традиционно загружается в Live-режиме, что дает возможность оценить совместимость системы с оборудованием еще до ее установки.

Процесс установки построен в современном стиле: сначала собираем все ответы на вопросы, потом устанавливаем систему. Постоянно сидеть перед монитором и отвечать на вопросы не нужно, можно пойти пить кофе или посмотреть слайды, которые рассказывают об основных достоинствах системы.

Установка не занимает много времени и после перезагрузки нас встречает достаточно стильное окно входа в систему. А мы помним, что встречают у нас "по одежке" и с этим у Linux Mint и Cinnamom все в порядке.

После входа в систему нас встречает окно с заголовком Добро пожаловать, но в отличие от других систем оно максимально сконцентрировано на самых важных первоначальных действиях, начиная от кастомизации. И не нужно смеяться, очень и очень многие пользователи первым делом именно кастомизируют систему. Затем предлагается настроить резервное копирование в виде снимков Timeshift, установить драйвера и выполнить обновление системы. При этом не надо лезть в настройки, что-то искать - все находится прямо перед глазами.

А теперь посмотрим на саму оболочку Cinnamon и файловый менеджер Nemo, на первый взгляд все просто, классическая организация рабочего пространства, в которой легко разберется любой пользователь. Приложения сгруппированы по группам, слева узкая полоска избранного внизу которого кнопки управления питания, здесь же есть доступ к параметрам, расположениям и последним файлам. Файловый менеджер также прост и привычен, ничего лишнего, все по делу.

Но это только первый взгляд, на самом деле Cinnamon очень гибкая оболочка, в которой буквально каждый элемент можно изменить под себя, для этого предназначены Cinnamon Spices (специи), которые представляют собой наборы расширений, затрагивающие различные элементы оболочки. В Spices входят пять основных разделов: Темы, ну тут все понятно, Действия - расширения пунктов контекстного меню файлового менеджера, Десклеты - мини-приложения рабочего стола.

Апплеты предназначены для расширения возможности панели задач, а Расширения добавляют новые функции для самой оболочки. Для каждой "специи" есть отдельный раздел в настройках в котором можно не только управлять уже установленными дополнениями, но и скачать и установить нужные из официального репозитория в котором на сегодня находятся 456 дополнений.

Все это позволяет быстро и просто нарастить возможности системы и добавить в нее необходимые именно вам функции или возможности. Причем делается это очень просто и доступно даже обычному пользователю, никаких сложных или заумных настроек там нет.

Вообще, внимание к мелочам прослеживается повсюду, причем именно к тем мелочам, которые важны для начинающих. Допустим вы набрали в терминале команду требующую повышения прав, Mint не будет вам говорить, что прав недостаточно, он просто автоматически запустит ее через sudo и попросит вас ввести пароль.

Поэтому даже новичок в среде Mint чувствует себя достаточно комфортно, не говоря уже об опытном пользователе, который просто отмечает тот факт, что система ценит его время и позволяет ему работать более эффективно.

Если заглянуть под капот, то Mint 22 использует пакетную базу Ubuntu 24.04 LTS с ядром 6.8 и оболочку Cinnamon 6.2. На системе с 4 ГБ оперативной памяти работается достаточно комфортно, но следует понимать, что Cinnamon - это форк GNOME и низких системных требований тут быть не может, поэтому 4 ГБ это необходимый минимум.

Установленная система занимает около 17 ГБ, но это значение может быстро вырасти по мере установки ПО, особенно если вы используете не пакеты из репозитория, а Flatpak. Также Linux Mint не использует раздел подкачки, вместо которого создается файл в корневом разделе.

Для управления программным обеспечением Mint предлагает собственный магазин, который использует два источника: репозитории Mint / Ubuntu и Flatpak. В этом проявляется одно из серьезных ее различий с родительской системой: Snap не поддерживается из коробки, вместо него интегрирован Flatpak. Те пакеты, которые в родной системе поставляются как Snap (Firefox, Thunderbird) пересобраны в DEB-пакеты и распространяются из собственного репозитория.

Как мы уже говорили, в системе доступно два источника пакетов и довольно интересно сравнить их предложения, например, попробуем поставить Gimp. Из репозитория нам предлагается версия 2.10.36, объем загрузки скромные 28 МБ и не менее скромные 141 МБ на диске.

А Flatpak загрузит версию 2.10.38 размером 1,2 ГБ и займет целых 3,9 ГБ на диске. Почему? Ну тут мы приходим к самой сущности Flatpak и аналогов - все свое ношу с собой. Но чтобы каждый пакет не таскал за собой различные системные библиотеки, то Flatpak предлагает скачать и установить некоторые метапакеты, которые потом будут использованы и другими приложениями, которым они нужны. Но в любом случае вес приложений Flatpak будет значительно выше приложений из репозитория, так что тут есть над чем подумать.

Для обновления пакетов предлагается отдельная утилита, простая, но отлично делающая свою работу. При этом разработчики не стали бросаться в крайности и доводить утилиту до крайнего упрощения. Опытный пользователь увидит то, что ему надо, а начинающий просто нажмет пару кнопок.

Настроек тоже достаточно и все они рассчитаны на не столь опытного пользователя, скажем можно быстро и просто найти самые быстрые зеркала, а в другом разделе можно буквально одной кнопкой скачать отсутствующие ключи подписей, если вдруг у вас приключилась такая беда.

Сам набор ПО классический, в основном представлен стандартными программами Ubuntu 24.04, однако если вам нужно вы всегда можете загрузить более свежие версии из Flatpak. Офисный пакет - LibreOffice, браузер - Firefox и т.д. и т.п.

С мультимедиа тоже все хорошо, еще при установке можно указать скачивание дополнительных мультимедийных кодеков и проблем с воспроизведением современного медиа у вас не будет. Поддерживаются все стандарты и форматы, включая 2K и 4K, а для просмотра можно использовать стандартные приложения.

Но на этом мультимедийные возможности системы не исчерпываются, для просмотра ТВ-программ предлагается IPTV-плейер собственной разработки Hypnotix, который уже содержит плейлисты с бесплатными ТВ-каналов для множества стран, просто открываем и смотрим.

Для обмена файлами в пределах локальной сети предлагается Warpinator - оригинальное приложение для обмена файлами на платформах Windows, Linux, Android и iOS в пределах локальной сети. Для сетевой настройки и обнаружения используется Zeroconf, поэтому вам достаточно просто установить приложение, после чего оно само найдет соседей для обмена. Обмен тоже очень прост - достаточно перетащить в окно файл или папку. Просто, удобно, кроссплатформенно. При этом файлы не уходят дальше локальной сети, никаких внешних серверов или облачных хранилищ технология не использует.

Параметры системы собраны в едином приложении с одноименным названием. На первый взгляд тут нет ничего нового, но при более подробном рассмотрении мы увидим, что собрано тут все самое необходимое для настройки системы на пользовательском уровне. Нет ни каких-либо непонятных и сложных настроек, не говоря уже о потенциально деструктивных, но есть все то, что может понадобиться обычному пользователю.

Отсюда можно выполнить как сложные настройки системы, так и простые, но не менее важные, например, настроить внешний вид. Изменить можно буквально все, хотим светлую тему в зеленых тонах - пожалуйста.

А можем и настроить перезапуск оболочки при чрезмерном потреблении памяти, причем настройка отлично описана и понятна не только опытному администратору.

Выводы

Linux Mint - пожалуй один из лучших дистрибутивов для начинающих, но целевая аудитория ими не ограничивается. Это простая, понятная, удобная и логичная система на стабильной платформе Ubuntu LTS, но это не просто еще один дистрибутив на базе Ubuntu, а самостоятельная система со своим видением того, что нужно пользователю и своим подходом к развитию.

Среда рабочего стола Cinnamon, базируясь на GNOME, также не следует тенденциям родительской оболочки, а использует технологии GNOME для построения классического рабочего стола, привычного и удобного. А если вам нужно что-то большее, то к вашим услугам обширный набор дополнений Cinnamon Spices, позволяющих серьезно кастомизировать систему именно под свои нужды.

Также система предоставляет множество мелких удобств, например. автоматический запрос пароля sudo при необходимости повышения прав.

Поэтому мы рекомендуем попробовать Mint не только начинающим, а всем пользователям, которым нужна простая система, которую можно просто включить и работать, не отвлекаясь на ее настройки.

Обновлено! Установка HASP License Manager в Linux (Debian / Ubuntu)

2024-12-09T19:48:16Z

Обновили и актуализировали статью Установка HASP License Manager в Linux (Debian / Ubuntu)

Актуализирована информация по необходимым версиям пакетов и приведены прямые ссылки на них.

Установка и настройка сервера лицензирования 1С:Предприятие

2024-11-24T16:23:45Z

Управление лицензиями 1С:Предприятия - задача не простая, особенно если у вас в эксплуатации несколько серверов или используется виртуализация. Основные проблемы - это оптимизация распределения лицензий и привязка лицензий к параметрам оборудования, что создает трудности в виртуальной среде. Облегчить работу и централизовать управление лицензиями вам поможет выделенный сервер лицензирования, как его установить и настроить мы расскажем в этой статье.

]]> Начнем с того, что в официальной документации 1С:Предприятия вы не найдете термина Сервер лицензирования, есть понятие сервиса лицензирования, который может быть назначен любому рабочему серверу кластера серверов 1С:Предприятие. Но существуют некоторые особенности его использования, самая важная из которых заключается в том, что рабочий сервер не имеющих других назначенных сервисов, кроме сервиса лицензирования не требует отдельной серверной лицензии.

Это позволяет выделить для сервиса лицензирования отдельный компьютер или виртуальную машину с постоянными характеристиками оборудования и с его помощью централизованно управлять лицензиями. Неофициально такая система получила название сервера лицензирования, что точно отражает выполняемую роль, но является несколько некорректным с точки зрения официальной терминологии.

Сервис лицензирования имеет важные особенности:

Допускается использование только программных лицензий, HASP ключи не поддерживаются
Сервис лицензирования выдает лицензии только серверам 1С:Предприятие, работа с клиентами не предусматривается
Сервер лицензирования выдает лицензии только в многопользовательском режиме, по одной на каждый открытый сеанс
Не поддерживается 1С:Предприятие Сервер МИНИ и лицензия разработчика

Теперь несколько технических деталей. Так как сервер лицензирования (здесь и далее мы будем подразумевать под этим термином выделенный сервер с ролью сервиса лицензирования) является рабочим сервером кластера, то версия платформы должна совпадать с остальными серверами кластера. Один сервер лицензирования может обслуживать несколько кластеров, для этого он включается в каждый кластер как рабочий сервер и обслуживается отдельно. При разных версиях платформ в разных кластерах вам также потребуется установить на сервере лицензирования несколько экземпляров платформы.

Важно! Локальная серверная лицензия позволяет запускать на отдельном узле неограниченное количество экземпляров кластера 1С:Предприятия, при использовании выделенного сервера лицензирования каждый экземпляр кластера потребует отдельной серверной лицензии.

Поэтому к решению о выносе сервиса лицензирования на отдельный узел относиться надо взвешенно, учитывая все за и против.

Что касается вычислительных ресурсов, то рекомендуется ПК или виртуальная машина имеющая не менее двух ядер процессора и 2 - 4 ГБ оперативной памяти. В качестве платформы можно использовать как Windows, так и Linux, по нашему опыту не рекомендуем на платформе Windows выделять менее 4 ГБ памяти.

Установка платформы 1С:Предприятие для сервера лицензирования на платформе Windows

Установка платформы для Windows особых сложностей не вызывает, но так как мы устанавливаем платформу для специализированного решения, то имеет смысл убрать все лишнее, для этого на странице выбора компонентов оставьте единственный пункт Сервер 1С:Предприятия 8, больше ничего нам не нужно.

Также на странице установки сервера выберите создание пользователя USR1CV8 и укажите для него пароль, пароль должен соответствовать требованиям к паролям Windows.

Остальные параметры установки используются по умолчанию.

Установка платформы 1С:Предприятие для сервера лицензирования на платформе Linux

Для установки на платформе Linux мы будем использовать единый дистрибутив, будем считать что он скачан и распакован в текущую директорию. Все указанные ниже команды выполняются от имени суперпользователя root или через sudo. Обратите внимание, что в командах указывается номер платформы, измените его на свое значение.

Установим экземпляр сервера:

./setup-full-8.3.25.1336-x86_64.run --mode unattended --enable-components server

Добавим службу в автозагрузку:

systemctl link /opt/1cv8/x86_64/8.3.25.1336/srv1cv8-8.3.25.1336@.service
systemctl enable srv1cv8-8.3.25.1336@

И запустим ее:

systemctl start srv1cv8-8.3.25.1336@default

На этом установка сервера на платформе Linux закончена.

Настройка разрешения имен

Все сервера 1С в кластере взаимодействуют друг с другом по именам хостов (плоским или FQDN), поэтому для правильной работы следует обеспечить разрешение имен. Лучше всего использовать для этого локальный DNS-сервер, в его отсутствие необходимые записи нужно добавить в файл hosts на каждом сервере, в Windows он располагается в:

C:\Windows\System32\Drivers\etc\hosts

В Linux:

/etc/hosts

Каждый из серверов должен иметь в этом файле записи с именами и адресами остальных серверов, в противном случае нормальная работа не гарантируется.

Пример записи:

192.168.3.110 ubnt-1c-dev 
192.168.3.112 ubnt-1c-lic

В нашем случае это адреса и имена центрального сервера кластера и сервера лицензирования, в вашем случае они, естественно, будут иными.

Перенос сервиса лицензирования на отдельный сервер

Переходим на рабочий компьютер с установленной оснасткой Администрирование серверов 1С Предприятия и подключаем к ней наш сервер лицензирования, потом переходим в Кластеры - Локальный кластер и удаляем его через меню правой кнопки мыши.

Теперь переходим в рабочий кластер и разворачиваем до раздела Рабочие серверы, через меню ПКМ выбираем Создать - Рабочий сервер:

Если вы не меняли стандартные порты, то вам нужно заполнить всего два поля: Описание сервера - где можете указать все что угодно и Компьютер, в котором укажите имя сервера лицензирования, но не его IP-адрес.

После чего разворачиваем добавленный нами сервер лицензирования в разделе Рабочие серверы до пункта Требования назначения функциональности и создаем новое Требование:

Далее выберите Объект требования - Сервис лицензирования, Тип требования - Назначать:

Затем добавьте еще одно требование: Объект требования - Любой объект требования, Тип требования - Не назначать. Таким образом мы закрепим за данным рабочим сервером только сервис лицензирования и ничего более.

Затем при помощи меню ПКМ - Повысить приоритет требования переместите требование функциональности Сервиса лицензирования на самый верх списка.

Теперь осталось только применить изменения, для этого щелкните правой кнопкой по пункту Локальный кластер и выберите Применить требования назначения функциональности (полное):

Теперь у вас есть отдельный сервер лицензирования в составе кластера, вы можете как перенести на него все свои лицензии, так и использовать в смешанном варианте, рабочий сервер будет искать лицензии на сервере лицензирования после того, как не найдет свободной локальной лицензии. При переносе учтите, что перед повторной активацией лицензий следует удалить текущие файлы программной лицензии на сервере.

В Windows их следует искать в одном из следующих расположений:

%LOCALAPPDATA%\1C\1cv8\conf
%ALLUSERSPROFILE%\1C\1cv8\conf
%ALLUSERSPROFILE%\1C\licenses
%ProgramData%\1C\licenses

Для платформы Linux:

/opt/1cv8/conf
~/.1cv8/conf
/var/1C/licenses

Для современных версий платформ обычно используются последние из приведенных местоположений.

Чтобы активировать лицензию именно на сервере лицензирования в окне активации нажмите ссылку Дополнительно и укажите имя сервера лицензирования и порт (если отличается от стандартного):

На этом установка и настройка выделенного сервера лицензирования для 1С:Предприятие завершена.

Установка MikroTik RouterOS на VDS/VPS

2024-11-17T18:38:13Z

Cloud Hosted Router - специальный продукт компании Mikrotik позволяющий установить MikroTik RouterOS практически на любую виртуальную машину. Однако не все хостеры позволяют загружать собственные образы, но это не страшно, RouterOS можно поставить на любой VPS с Linux, о чем мы и расскажем в данной статье. Также уделим отдельное внимание UEFI-системам и предварительной настройке образа, позволяющей избежать потенциальных проблем с безопасностью и уменьшить количество ручной работы, а также сразу получить требуемую конфигурацию RouterOS.

]]> Для установки нам понадобится виртуальная машина (VPS/VDS) с установленной операционной системой Linux, дистрибутив роли не играет, нам подойдет любой, но в нашей статье мы будем рассматривать работу с Debian или Ubuntu. Что касается ресурсов, то смотрите по предполагаемой нагрузке, в большинстве случаев будет достаточно самого недорого тарифа. Важное условие при покупке - уточните условия тарификации трафика, не все хостеры предоставляют безлимит, у некоторых (преимущественно американских) есть лимиты, по превышению которых придется либо доплатить за перерасход, либо у вас будет снижена скорость канала.

Но будем считать что вы с этим вопросом разобрались и перейдем непосредственно к установке RouterOS на виртуальную машину с Linux. Прежде всего повысим права до суперпользователя, в Debian для этого используйте:

su -

А в Ubuntu:

sudo -s

После чего нам потребуется выяснить несколько моментов, прежде всего сетевые настройки. Это важно, так как у многих хостеров виртуальные машины могут иметь адреса из внутренней, серой сети, а выделенный IP-адрес назначается на оборудовании провайдера, поэтому нам надо будет настроить сетевые параметры точно так, как они были на исходной виртуальной машине.

Чтобы узнать IP-адрес и маску сети выполните:

ip a

А для того чтобы узнать адрес шлюза (он будет указан в маршруте по умолчанию) выполните:

ip r

Следующим шагом нам предстоит выяснить название виртуального диска и тип загрузчика, для этого наберите команду:

fdisk -l

В выводе найдите имя диска и посмотрите на тип загрузочного раздела, в нашем случае виртуальная машина имеет UEFI-загрузчик.

Если у вас обычный загрузчик, то дополнительно понадобиться установить утилиту unzip:

apt install unzip

Затем на официальном сайте в разделе загрузок скопируйте ссылку на Raw disk image нужной версии Cloud Hosted Router и скачайте его командой:

wget https://download.mikrotik.com/routeros/7.16.1/chr-7.16.1.img.zip

И затем распакуйте:

unzip chr-7.16.1.img.zip

Обратите внимание, что здесь и далее используются наименования файла образа определенной версии, в нашем случае 7.16.1, вам потребуется его изменить согласно наименованию файла скачанной вами версии.

Если у вас UEFI-версия загрузчика, то официального образа для него нет, но можно воспользоваться неофициальным, скачав его с GitHub-страницы разработчика. Мы будем качать также версию 7.16.1 и нам понадобится файл в формате .raw. Точно также копируем ссылку и скачиваем командой:

wget https://github.com/tikoci/fat-chr/releases/download/Build11294119639-jaclaz/chr-7.16.1.uefi-fat.raw

Как правило, множественные инструкции в сети после этого предлагают сразу развернуть образ на диск, а потом подключиться к виртуальной машине через KVM или VNC-консоль хостера и настроить через нее сетевые параметры RouterOS и сменить пароль администратора. Но такая услуга есть по умолчанию не у всех хостеров и не на всех тарифах. Где-то ее нужно заказывать отдельно, где-то через поддержку, также могут быть проблемы с самой консолью, например, с раскладкой.

Поэтому мы пойдем другим путем и заранее настроим все нужные параметры образа. Для этого мы воспользуемся Autorun-файлом в который внесем все необходимые команды и они будут автоматически выполнены при первом старте RouterOS. Для этого нам нужно примонтировать корневой раздел образа, чтобы это сделать нам нужно вычислить его смещение от начала виртуального диска в байтах.

Сделать это не сложно, выполните команду (далее мы будем работать с UEFI-образом):

 fdisk -lu chr-7.16.1.uefi-fat.raw

В выводе нас интересует размер сектора - 512 байт и начало второго раздела Linux filesystem - 65570, которое указано в колонке Start.

Так как fdisk сообщает нам номер первого сектора раздела, то для получения смещения в байтах нам нужно умножить номер первого сектора на размер сектора:

512 * 65570 = 33571840

Теперь выполним монтирование раздела командой:

mount -o loop,offset=33571840 chr-7.16.1.uefi-fat.raw /mnt

После чего откроем на редактирование файл autorun.scr:

nano /mnt/rw/autorun.scr

И добавим в него команды настройки сетевого интерфейса и шлюза:

/ip address
add address=192.168.233.117/24 interface=ether1 network=192.168.233.0
/ip route
add gateway=192.168.233.2

Затем изменим пароль встроенному пользователю admin:

/user set 0  password="MyPa$$worD"

На этом можно было бы и остановиться, но почему бы сразу не выполнить ряд дополнительных настроек, особенно если это касается безопасности. Так как наш роутер будет смотреть сразу в интернет, то отключим все не нужные IP-сервисы, в нашем случае мы оставили только ssh и winbox:

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set api disabled=yes
set api-ssl disabled=yes

Также отключим поиск соседства:

/ip neighbor discovery-settings
set discover-interface-list=none

И все MAC-сервисы:

/tool mac-server
set allowed-interface-list=none
/tool mac-server mac-winbox
set allowed-interface-list=none
/tool mac-server ping
set enabled=no

Вообще, при помощи этого файла вы можете сразу задать всю необходимую конфигурацию роутера, получив на выходе уже полностью готовое устройство. Мы же ограничимся перечисленным выше. Сохраним файл и отмонтируем образ:

umount /mnt

Размонтируем файловые системы:

echo u > /proc/sysrq-trigger

И развернем образ на виртуальный диск:

dd if=chr-7.16.1.uefi-fat.raw of=/dev/sda bs=4M oflag=sync

Обратите внимание, что мы используем флаг sync для обеспечения реальной физической записи на диск, а не в дисковый кеш.

И перезагружаем систему командами:

echo 1 > /proc/sys/kernel/sysrq
echo b > /proc/sysrq-trigger

После перезагрузки подключаемся к установленной RouterOS через Winbox или SSH.

Как видим, развернуть Cloud Hosted Router на виртуальную машину совсем нее сложно, даже если она использует UEFI-загрузчик. А использование файла autorun.scr сразу позволяет задать все необходимые настройки RouterOS и исключить этап ручной работы с использованием аварийной консоли.

NVMe-over-TCP - практическое знакомство с технологией

2024-10-24T15:31:34Z

Предоставление доступа к блочным устройствам посредством сети - технология не новая, наиболее простым и недорогим решением для этих целей был протокол iSCSI, который широко применяется и на сегодняшний день. Но технологии не стоят на месте, новый протокол NVMe вывел работу с накопителями на новые уровни производительности, которым стало тесно в рамках стандартных технологий. Сохранить высокие показатели при работе с новыми накопителями по сети нам поможет протокол NVMe-over-TCP, с которым мы сегодня познакомился не только в теории, но и на практике.

]]> Начнем с небольшого исторического экскурса, долгое время накопители строились на базе технологии магнитной записи и ввиду физических особенностей технологии слабо позволяли использовать параллелизм. Поэтому случайные операции всегда были слабым местом магнитных дисков, сильно уступая линейным режимам доступа. Это можно увидеть невооруженным глазом увидеть в любом тесте, где скорости линейного и случайного доступа различаются даже не в разы, а на порядки.

Это было связано с тем, что при случайном доступе диску могла поступить команда считать сектор А, а следующей командой система могла попросить считать сектор Б, который находится раньше и для доступа к нему диску придется ждать целый оборот. Для борьбы с этим негативным явлением была придумана очередь команд, которая позволяла диску проанализировать запросы и оптимизировать свою работу, например, объединив несколько случайных запросов соседних областей в один последовательный, когда диск мог считать все необходимые данные за один оборот просто изменив порядок выполнения команд.

Глубина очереди обычных SATA дисков составляла 32 команды, для SCSI - 256. Для существующих магнитных накопителей этого было достаточно, но все изменилось с появлением твердотельном памяти. Такие диски могут читать и писать из разных областей одновременно и показывать гораздо более высокий параллелизм. И очень скоро стало ясно, что разработанные для жестких дисков интерфейсы и протоколы твердотельным накопителям не подходят. Поэтому был разработан полностью новый протокол, рассчитанный именно на работу с твердотельной памятью - NVMe. В нем изначально заложено 65536 очередей с глубиной 65536 команд каждая.

Сейчас совершенно очевидно, что NVMe вывел производительность накопителей на совершенно новый, ранее недосягаемый уровень и основным ограничением для него является скорость транспорта, для физических дисков это скорость шины PCIe. Это хорошо заметно ростом линейных скоростей дисков при переходе с одного поколения PCIe на другой.

Что касается доступа к блочным устройствам по сети, то в бюджетном сегменте безальтернативно применялся протокол iSCSI, обеспечивавший передачу команд SCSI поверх транспортного протокола TCP, для более производительных сред могли использоваться сети хранения на основе Fibre Channel или InfiniBand, но все это было значительно дороже и требовало вложений в соответствующее оборудование. При этом внутри продолжал использоваться все тот же протокол SCSI.

С приходом NVMe стало понятно, что SCSI не позволяет в полной мере реализовать возможности новых накопителей и была инициирована разработка протокола NVMe over Fabric (NVMe-oF), основной его целью было предоставить возможность передачи команд NVMe по сети с низкой дополнительной задержкой, не более 10 мкс. В качестве транспортных протоколов были выбраны Fibre Channel, InfiniBand и Ethernet, также был разработан специальный протокол RDMA (Remote Direct Memory Access) - для прямого доступа к памяти на канальном уровне, устранив возможные задержки в сетевом стеке.

Но все это было сложно и/или дорого, так как требовало изменение сетей хранения и приобретения специального оборудования. Ни одна из указанных технологий не позволяла использовать ее на текущих сетях хранения, поэтому очень скоро в семейство NVMe-oF был добавлен протокол NVMe-over-TCP, который является компромиссным вариантом. NVMe-over-TCP не способен обеспечить низкие дополнительные задержки, зато его можно использовать в текущих сетях Ethernet без всяких дополнительных затрат.

Сегодня мы предлагаем практически познакомиться с этой технологией, чтобы понять ее особенности, преимущества и недостатки. Практического сценария здесь не будет. Но благодаря нашему материалу вы сможете быстро настроить NVMe-over-TCP и оценить на практике нужна ли вам она или нет.

Чтобы понимать о чем пойдет речь в дальнейшем, рассмотрим некоторые ключевые особенности протокола NVMe, причем это касается не только NVMe-over-TCP, но и NVMe в целом. Давайте посмотрим на типичное наименование NVMe диска:

Оно состоит из нескольких частей, каждая из которых указывает на отдельную сущность:

Подсистема - набор программных и аппаратных средств предоставляющих нам интерфейс для работы с NVMe устройствами, это может быть совокупность контроллера, драйвера, порта (для NVMe-over-TCP) и т.д.
Пространство имен - собственно блочное устройство, для физических NVMe дисков пространство имен соответствует отдельному диску.
Раздел - дисковый раздел, логическая сущность которая возникает при разбивке диска.

Работая с NVMe-over-TCP мы будем иметь дело только с подсистемами и пространствами имен, так как NVMe-over-TCP таргет предоставляет инициаторам именно блочные устройства, а как они их будут размечать на другой стороне его не касается. Одна подсистема может содержать несколько пространств имен, но все они будут ограничены общей производительностью подсистемы.

Настройка NVMe-over-TCP таргета

Таргет (цель) предоставляет инициаторам дисковые устройства и является полным аналогом iSCSI-таргета, хотя в сети могут использоваться названия "сервер" или "донор", но правильно называть данную роль именно таргетом.

Поддержка NVMe-over-TCP присутствует в ядрах начиная с 5.0 и для работы нам достаточно выполнить загрузку двух модулей:

modprobe nvmet
modprobe nvmet-tcp

Теперь мы можем управлять подсистемой путем редактирования файлов в /sys/kernel/config, это не самый оптимальный вариант, но именно он поможет понять как это все устроено и почему работает так или иначе. Обратите внимание, что все внесенные изменения пропадут при перезагрузке узла.

Создание подсистемы

Для создания подсистемы перейдем в каталог /sys/kernel/config/nvmet/subsystems:

cd /sys/kernel/config/nvmet/subsystems

И создадим каталог с именем подсистемы, подсистемы в NVMe-over-TCP называются по именам, в нашем случае это будет test, после чего перейдем в него:

mkdir test
cd test

В каталоге автоматически будут созданы нужные файлы с настройками, нам останется только записать в них нужные значения. В нашем случае достаточно одной настройки, разрешим подключаться к нашей подсистеме с любого хоста:

 echo -n 1 > attr_allow_any_host

Ключ -n в команде echo предотвращает перенос строк, что важно при редактировании файлов подсистемы.

Создание пространства имен

Находясь в каталоге подсистемы перейдем в каталог пространств имен:

cd namespaces

И создадим новое пространство имен, пространства имен задаются по номерам, начиная с единицы. Создадим каталог с номером пространства и перейдем в него:

mkdir 1
cd 1

После чего сопоставим пространству имен дисковое устройство хоста. Это может быть как физический диск, так и раздел или виртуальный диск.

echo -n /dev/nvme0n1 > device_path

Одно пространство имен может содержать одно дисковое устройство.

Включим его:

echo -n 1 > enabled

Все изменения происходя налету, сразу после добавления в файл нужного значения.

Теперь у нас есть подсистема test, которое содержит пространство имен с номером 1 с которым сопоставлен физический диск /dev/nvme0n1.

Создание порта

Для доступа по сети мы должны создать и настроить порт службы, для этого перейдем в /sys/kernel/config/nvmet/ports

cd /sys/kernel/config/nvmet/ports

Точно также же создадим директорию с номером порта и перейдем в нее, порты также как и подсистемы нумеруются начиная с единицы:

mkdir 1
cd 1

Перейдем к настройкам. Прежде всего укажем адрес на котором мы будем принимать подключения:

echo -n 192.168.3.112 > addr_traddr

Транспортный протокол:

echo -n tcp > addr_trtype

Номер порта, стандартно используется 4420:

echo -n 4420 > addr_trsvcid

И тип сетевого протокола, в нашем случае IPv4:

echo -n ipv4 > addr_adrfam

Теперь подключим нашу подсистему к порту создав символическую ссылку на директорию подсистемы:

ln -s /sys/kernel/config/nvmet/subsystems/test /sys/kernel/config/nvmet/ports/1/subsystems/test

На этом настройка таргета закончена.

Настройка NVMe-over-TCP инициатора

Для работы с дисками NVMe установим дополнительный пакет:

apt install nvme-cli

Подгрузим модули ядра:

modprobe nvmet
modprobe nvmet-tcp

Настраивать ничего не надо, просто подключим подсистему таргета командой:

nvme connect -t tcp -n test -a 192.168.3.112 -s 4420

Параметры команды понятны и комментариях не нуждаются, проверить подключенные диски мы можем командой:

nvme list

Также можем убедиться в том, что диск появился в доступных блочных устройствах командой:

lsblk

Как видим у нас появился новый диск с именем nvme0n1, моделью Linux и некоторым серийным номером. Эти параметры можно переопределить, но только на уровне всей подсистемы.

Посмотрим, что у нас с сетевыми подключениями, выполним команду:

ss | grep 4420

Сразу увидим пять доступных очередей, количество очередей создается по количеству ядер процессора инициатора плюс еще одна. Так как ядер у нас четыре, то мы получили пять очередей, что позволяет эффективно распараллеливать запросы.

Мы можем добавить в подсистему неограниченное количество пространств имен (дисков), но количество очередей на инициаторе останется прежним, что может в некоторых сценариях стать узким местом. Поэтому попробуем другой вариант, создадим на таргете еще одну подсистему и подключим на этот же инициатор. Количество очередей сразу выросло до десяти.

Но здесь есть обратная сторона медали, как можем видеть для каждой очереди на инициаторе создается порт из динамического диапазона 49152 - 65535, таких портов нам доступно 16384, можно подумать что это много. Но на самом деле не очень. Если взять какой-нибудь AMD Epyc 7713 с его 64 ядра/128 потоков, то каждая подсистема будет создавать 129 соединений, а следовательно количества портов нам хватит всего на 127 подсистем и то, если мы исключим другую сетевую активность.

Также излишне большое количество очередей может упереться в производительность сетевого оборудования, поэтому в этом вопросе нужно соблюдать разумный компромисс и тестировать различные варианты распределения дисков по подсистемам.

Что касается пропускной способности сети, то помним:

1 Гбит/с = 125 МБ/с
2,5 Гбит/с = 312,5 МБ/с
10 Гбит/с = 1250 МБ/с

Как видим, если брать широкодоступные сетевые адаптеры, то скорости там далеки от NVMe и ближе к дешевым SATA SSD. Получается в таком случае в NVMe-over-TCP нет смысла? Отнюдь, основное достоинство данного протокола - это не высокие линейные скорости, а большая параллельность запросов, что важно при множественном случайном доступе от различных процессов. И если выбор будет между iSCSI и NVMe-over-TCP в обычных сетях, то преимущество будет у последнего.

И что еще важно - в качестве презентуемого через пространство имен блочного устройства вы можете использовать не только NVMe, а абсолютно любой накопитель, даже флешку. Так что NVMe-over-TCP вполне можно использовать и с обычными жесткими дисками, но здесь также следует проявлять разумную осторожность, чтобы не перегрузить диск множественными параллельными запросами.

Как видим, ничего сложного в NVMe-over-TCP нет, но так как технология новая, то перед принятием решения о целесообразности ее применения рекомендуется выполнить всестороннее тестирование.

Резервное копирование и восстановление баз данных PostgreSQL при помощи pg_dump на платформе Linux

2024-10-19T14:53:47Z

Резервное копирование - одна из важнейших задач системного администратора. Хорошо если копии вам никогда не пригодятся, но они должны быть. Сегодня мы рассмотрим некоторые аспекты резервного копирования популярной СУБД PostgreSQL, в частности при ее применении совместно с 1С:Предприятие. Продолжим с утилиты pg_dump - самого простого и понятного способа, который, кстати, может использоваться не только для резервного копирования, но и для переноса баз между различными серверами. Теперь уже на платформе Linux.

]]> Как и любой иной способ использование pg_dump для копирования имеет свои плюсы и минусы. К основному минусу можно отнести то, что создаваемый дамп является срезом базы данных на некоторый момент времени и позволяет откатиться только на это состояние. Восстановление на произвольный момент времени невозможно.

Иные способы, позволяющие такое восстановление, работают на уровне инстанса и позволяют восстановить сразу весь кластер, т.е. все базы. Поэтому рекомендации по продуктовому применению PostgreSQL предусматривают основную схему: 1 база - 1 инстанс, что для небольших внедрений может быть избыточно как по ресурсам, так и по накладным расходам на администрирование.

В тоже время pg_dump работает на уровне базы данных и позволяет копировать и откатывать именно определенную базу, не затрагивая соседей по кластеру. Это несомненный плюс.

Также pg_dump может использоваться для переноса баз данных, она кроссплатформенна и кроссверсионна, т.е. позволяет переносить базы между разными платформами и разными версиями PostgreSQL. При этом следует помнить, что версии PostgreSQL совместимы снизу вверх, совместимость сверху вниз не поддерживается, либо поддерживается на ограниченное число версий. Т.е. вы всегда сможете загрузить дамп из PostgreSQL 9.6 в PostgreSQL 15, но не наоборот.

Подготовка сервера

Для удобства работы с утилитами Postgres они должны быть доступны по стандартным путям PATH, обычно так оно и происходит, но не будет лишним проверить. Для этого выполним команду:

whereis psql

Если мы получим следующий ответ, то все в порядке:

psql: /usr/bin/psql /usr/share/man/man1/psql.1.gz

Нужный бинарный файл (точнее ссылка на него) находится в стандартном каталоге для исполняемых файлов /usr/bin. В противном случае нам нужно найти место установки вашего экземпляра PostgreSQL, в частности директории bin, например, PostgreSQL 15 от Postgres PRO устанавливается по пути /opt/pgpro/1c-15. Обнаружив место установки просто запустим утилиту pw-wrapper, которая самостоятельно сделает все необходимые ссылки.

/opt/pgpro/1c-15/bin/pg-wrapper links update

После того, как разобрались с путями следует проверить права доступа, для этого перейдем в рабочий каталог кластера, его стандартное расположение /var/lib/postgresql/15/main, где 15 - версия сервера. Версия от Postgres PRO устанавливается по другому пути: /var/lib/pgpro/1c-15/data. Так или иначе нас интересует файл pg_hba.conf который содержит правила аутентификации на сервере. Его содержимое примерно следующее:

# TYPE DATABASE USER  ADDRESS        METHOD

# "local" is for Unix domain socket connections only
local   all      all                 peer
# IPv4 local connections:
host    all      all  127.0.0.1/32   md5

Первая строка с типом local отвечает за подключение через Unix-сокет, разрешает подключение к любой базе данных (all), любым пользователем (all) с использованием механизмов аутентификации операционной системы (peer).

Строка с типом host отвечает за подключения через TCP/IP, также к любой базе, любым пользователем с адреса 127.0.0.1/32 при помощи пароля (md5). Таким образом мы можем использовать в строке подключения только 127.0.0.1 или localhost, если мы там укажем FQDN или IP-адрес узла, то соединение будет отвергнуто, также Postgres не будет принимать соединения из локальной сети.

Чтобы изменить это поведение добавьте в файл еще одну строку:

host all all 192.168.54.32/32 md5

Где 192.168.54.32 - IP-адрес вашего компьютера, после чего в строке подключения можно использовать как этот адрес, так и имя ПК.

Если вы хотите подключаться к серверу СУБД из локальной сети добавьте:

host all all 192.168.54.0/24 md5

В данном случае мы указали в правиле полную подсеть с маской 255.255.255.0, которая иначе записывается как /24.

Также вместо адресов можно использовать зарезервированные слова:

samehost - любые адреса данного ПК
samenet - любые адреса сетей, непосредственно подключенных к данному узлу

Например:

host all all samehost md5

В современных системах можно использовать более стойкую криптографию для хеширования пароля, для этого просто замените в файле md5 на scram-sha-256:

host all all samehost scram-sha-256

После чего следует перезапустить службу сервера, для обычного экземпляра это можно сделать командой:

systemctl restart postgresql

Для Postgres PRO имя службы будет другим:

systemctl restart postgrespro-1c-15

Обратите внимание, что оно содержим имя версии.

Следующий момент - пароль пользователя, под которым мы будем работать с кластером PostgreSQL, обычно это суперпользователь СУБД с именем postgres, но может быть и другой пользователь. Если изначально пароль не был установлен, то соединение возможно только через Unix-сокет, поэтому войдем под пользователем системы postgres и установим пароль пользователю СУБД postgres (или любому другому):

su postgres

psql
ALTER USER postgres WITH PASSWORD 'MyPa$$word';
\q

exit

Чтобы постоянно не вводить пароль создадим специальный файл в домашней директории пользователя, который будет хранить данные для аутентификации. Для этого используем редактор nano, если вам больше нравится редактор mc, то замените nano на mcedit.

nano ~/.pgpass

И внестие в него следующие строки:

#имя_узла:порт:база_данных:имя_пользователя:пароль
localhost:*:*:postgres:MyPa$$Word_1

Сохраним изменения и установим на него нужный набор прав, который исключит доступ к содержимому файла для всех, кроме владельца:

chmod 600 ~/.pgpass

Также не забываем, что в Linux данный файл применяется только для того пользователя, в домашней директории которого он находится, если вы планируете производить резервное копирование при помощи скриптов, которые будут запускаться от суперпользователя root, то следует создать указанный файл и для него. Для этого нужно повысить права до суперпользователя, в Ubuntu это можно сделать так:

sudo -s

В Debian, где sudo может быть не установлен, используйте:

su -

После чего повторите указанные выше действия.

Создание резервной копии базы данных

Утилита pg_dump умеет создавать копии в разных форматах, каждый из которых имеет свои достоинства и недостатки.

plain - выгрузка в текстовом SQL формате. Наиболее универсальна, а при необходимости позволяет вручную откорректировать дамп или выполнить частичную загрузку или восстановление, например отдельной таблицы. Не сжимается, имеет большой размер.
custom - собственный формат pg_dump, предусматривает сжатие данных и возможность многопоточной загрузки, выгружается всегда однопоточно
directory - выгрузка в виде директории, на каждую таблицу выгружается отдельный сжатый файл, позволяет многопоточную выгрузку и загрузку
tar - представляет, по сути, выгрузку в виде директории, но упакованной в tar-архив, сжатие не предусмотрено, поэтому размер выгрузки будет больше, чем у директории, однопоточен

Таким образом, наиболее удобными с практической точки зрения является формат custom, либо directory - если вам требуется многопоточная выгрузка. При переносе между разными системами предпочтительно использовать plain, так как он представляет набор SQL команд и может быть легко отредактирован вручную.

Итак приступим. Прежде всего следует узнать какие базы данных есть на нашем сервере и как они называются, для этого выполним:

psql -h localhost -U postgres -l

В выводе мы увидим список баз и их параметры:

В нашем случае мы будем бекапить базу данных test и местом хранения резервных копий определим /mnt/backup. Начнем с текстового формата, он используется по умолчанию и отдельно указывать его не нужно:

pg_dump -h localhost -U postgres -f /mnt/backup/test.sql test

Общий синтаксис команды такой: сначала указываем все используемые ключи, первый аргумент без ключа считается именем базы данных, и оно должно быть последним в команде. Указывать ключи после имени базы не следует. В команде мы использовали ключи:

-h сервер - указывает имя или адрес компьютера, на котором работает сервер СУБД
-U имя_пользователя - имя пользователя, под которым производится подключение
-f файл - файл, в который производится выгрузка

Также ниже мы будем использовать ключи:

-F формат - формат выгрузки
-j число_заданий - количество потоков

С полным перечнем ключей можно ознакомиться в официальной документации.

Очень часто можно встретить такой вариант команды:

pg_dump -h localhost -U postgres test > /mnt/backup/test.sql

Мы неоднократно сталкивались с тем, что выгруженные через перенаправление копии внешне выглядели вполне нормально, в том числе и копии в текстовом формате, но при восстановлении отказывались загружаться. Это происходит не всегда и не везде, преимущественно на платформе Windows, но для исключения подобных ситуаций перенаправление для создания резервных копий postgreSQL лучше не использовать.

Важно! Не используйте перенаправление для выгрузки и загрузки резервных копий!

Теперь создадим выгрузку в формате custom:

pg_dump -h localhost -U postgres -Fc -f /mnt/backup/test.dump test

Здесь у нас добавился еще один ключ, указывающий на формат выгрузки, если вы хотите выгрузить в формате tar, просто замените -Fc на -Ft.

И, наконец, в формате директории:

pg_dump -h localhost -U postgres -Fd -f /mnt/backup/test_dir -j 4 test

Для данного формата у нас появился еще один ключ, указывающий число потоков выгрузки. Число потоков не должно превышать количество ядер процессора, но не все так просто: pg_dump спокойно нагрузит каждый поток, создав 100% загрузку ядер процессора, но сможет ли его принять устройство хранения? Может получиться так, что скорость записи на накопитель окажется бутылочным горлышком и вместо ускорения вы получите замедление как выгрузки дампа, так и всей системы вообще.

Поэтому начните с небольшого количества, двух или четырех потоков, оцените нагрузку на систему и остановитесь на некотором оптимальном значении, это особенно важно, если на сервере в момент выгрузки будут работать пользователи. Нам ведь совершенно ни к чему чтобы они каждый час жаловались на тормоза.

Еще одна тонкость, что будет если указанный файл выгрузки существует? Форматы, custom и tar молча перезапишут его. При выгрузке в формате directory вы получите сообщение, что целевая директория не пуста и выгрузка выполнена не будет. Это следует учитывать при написании скриптов, потому как при ошибке вы либо останетесь без старых копий, либо не будут создаваться новые. Хотя визуально все будет нормально.

Особенно легко ошибиться в случае с directory, если вы используете для выгрузки одну и ту же директорию, потом дополнительно архивируете ее и отправляете на устройство хранения. В этом случае вы будете архивировать одну и ту же старую копию. Поэтому директорию выгрузки надо всегда очищать или удалять.

Восстановление базы данных из резервной копии

Начнем с того, что восстановить базу данных PostgreSQL можно только в новую, пустую базу. Если мы хотим восстановить ее в существующую, то ее придется сначала удалить, а потом создать новую с таким же именем. Исключение - формат plain, это просто набор SQL-команд, которые мы можем выполнить на рабочей базе, выборочно туда что-то подгрузив. Но это требует определенных знаний и квалификации, что выходит за рамки нашей статьи.

Итак, прежде всего удалим старую базу:

dropdb -h localhost -U postgres -i test

В приведенной команде мы использовали ключ -i который запросит интерактивное подтверждение действия:

База данных "test" будет удалена навсегда.
Продолжить? (y/n)

Почему мы это сделали и советуем вам поступать также? Как показывает практика, данные команды часто вводятся методом копирования, неважно откуда, из статьи, документации, собственных записей, истории команд. В этом случае интерактивный запрос послужит предохранителем, который позволит остановиться и задуматься что вы делаете.

А теперь создадим новую:

createdb -h localhost -U postgres -T template0 test

Ключ -T указывает использовать при создании базы полностью пустой шаблон template0. Если вы хотите выполнить восстановление в отдельную новую базу, то просто создайте ее приведенной выше командой.

Начнем восстановление с формата plain, так как это не дамп, а набор SQL команд, то для их исполнения мы будем использовать утилиту psql:

psql -h localhost -U postgres -d test /mnt/backup/test.sql

Формат команды здесь такой же, сначала ключи, потом файл или директория, из которой идет восстановление. Ключ -d указывает имя базы данных, в которую мы загружаем выгрузку.

Для остальных форматов следует использовать утилиту pg_restore, например восстановим дамп формата custom, в два потока:

pg_restore -h localhost -U postgres -d test -j 2 /mnt/backup/test.dump

Синтаксис тот же самый, просто указываем базу и файл, с форматом утилита разберется самостоятельно. Если же вы попытаетесь подсунуть ей формат plain, то утилита откажется делать загрузку и любезно посоветует вам использовать для этого psql.

Что касается выбора количества потоков, то исходим из тех же соображений: один поток - одно ядро и обязательно тестируем, чтобы производительность диска не стала узким горлышком. Если вы выполняете восстановление в рабочее время, то учтите также влияние на работу пользователей, чтобы не вышло что вы запустили восстановление, а у всех остальных все стало.

При восстановлении из формата directory вместо файла укажите путь к папке:

pg_restore -h localhost -U postgres -d test -j 2 /mnt/backup/test_dir

Напоминаем, что формат tar многопоточную загрузку не поддерживает, но вы можете его распаковать и загрузить многопоточно в формате directory.

Также есть способ несколько упростить себе жизнь, чтобы не удалять и не создавать заново базу данных мы можем выполнить:

pg_restore -h localhost -U postgres -d postgres -C -c  /mnt/backup/test.dump

Ключи -C -c предписывают перед загрузкой удалить и создать заново базу имя которой записано в дампе, в ключе -d при этом потребуется указать любую существующую базу, обычно указывается стандартная postgres. В результате выполнения данной команды вы можете получать некоторые безвредные сообщения об ошибках.

Однако использовать эту команду следует очень осторожно и только на том сервере, откуда был сделан дамп. Также убедитесь, что вы взяли именно тот дамп, что надо. Но мы не рекомендуем так делать, особенно на продуктовых серверах, лучше осознанно удалите базу руками.

Порядок получения лицензий 1С:Предприятия клиентским приложением

2024-10-11T16:24:34Z

Лицензирование 1С:Предприятия вопрос непростой, особенно если одновременно применяются разные типы лицензий. Чтобы успешно справиться с этой задачей, а также грамотно подходить к диагностике, в случае каких-либо неполадок надо не только знать правила лицензирования, но и представлять каким образом клиентское приложение выполняет поиск лицензии. Процесс этот достаточно сложный, зависит от типа клиента и многих других параметров, которые мы разберем в нашей статье и поможем разобраться почему лицензии могут внезапно закончится или оказаться недоступными при фактическом наличии.

]]> Рассматривая вопрос поиска лицензий клиентским приложением 1С:Предприятия нужно понимать какие виды клиентских приложений могут использоваться и не путать их. Таких приложений существует целых пять:

Толстый клиент позволяет реализовывать полные возможности 1С:Предприятия 8 в плане исполнения прикладного кода. Однако он не поддерживает работу с информационными базами через интернет, требует предварительной установки на компьютер пользователя и имеет довольно внушительный объем дистрибутива.
Тонкий клиент может работать с информационными базами через интернет. Он также требует предварительной установки на компьютер пользователя, но имеет значительно меньший размер дистрибутива, чем толстый клиент.
Веб-клиент не требует какой-либо предварительной установки на компьютер. В отличие от толстого и тонкого клиентов, он исполняется не в среде операционной системы компьютера, а в среде интернет-браузера Поэтому пользователю достаточно всего лишь запустить свой браузер, ввести адрес веб-сервера, на котором опубликована информационная база -- и веб-клиент "сам приедет" к нему на компьютер и начнет исполняться.
Мобильный клиент -- это тонкий клиент для мобильных устройств, который обладает интерфейсом, аналогичным мобильной платформе.
Конфигуратор - позволяет выполнять разработку и администрирование информационных баз.

В реальности мы можем сократить их количество до трех: толстый и тонкий клиенты и веб-клиент, так как конфигуратор по сути является разновидностью толстого клиента, а мобильный - тонкого. Также не следует путать тонкий клиент работающий через веб-сервер и веб-клиент, это разные типы клиенты, общего у них только способ организации доступа к информационной базе - через веб-сервер.

Порядок получения лицензий толстым и тонким клиентом

Любое клиентское приложение начинает поиск лицензии локально, в данном случае локально - это на устройстве где установлен клиент.

Если ранее лицензия была успешно получена, то выполняется попытка получения лицензии из того же файла программной лицензии или HASP ключа что и при последнем подключении
При первом подключении или в том случае если на предыдущем этапе лицензия не была найдена выполняется поиск локальных программных лицензий
Поиск локального ключа HASP
Поиск сетевого ключа HASP доступного через HASP LM
Поиск базовой лицензии на локальном компьютере

Пока все более-менее понятно, но есть одна тонкость - базовая лицензия ищется самой последней. Обычно с этим нет проблем, так как лицензия уровня ПРОФ позволяет запускать базовые конфигурации, но если вы активировали лицензию разработчика и на этом же ПК есть легально лицензированная базовая конфигурация, то она начнет находить лицензию разработчика и выводить соответствующее предупреждение. Изменить такое поведение не представляется возможным.

Если клиентская лицензия не была найдена локально, то поиск продолжится на сервере или веб-сервере. Если через веб-сервер подключена файловая база, то поиск лицензии будет осуществлен на узле веб-сервера, если база серверная, то поиск лицензий будет производиться на сервере 1С:Предприятие. Порядок поиска следующий:

Программная лицензия или ключ защиты HASP откуда была получена лицензия при последнем удачном подключении
Поиск локальной программной лицензии (на сервере / веб-сервере)
Поиск локального клиентского ключа HASP (на сервере / веб-сервере)
Поиск сетевого ключа HASP доступного через HASP LM

Для клиент-серверных баз, если в кластере доступен отдельный Сервис лицензирования, часто называемый как "сервер лицензирования" поиск продолжается на нем:

Программная лицензия на сервере лицензирования откуда была получена лицензия при последнем удачном запуске
Поиск программной лицензии на сервере лицензирования

При этом помним, что сервис лицензирования может работать только с программными лицензиями и не умеет работать с HASP-ключами, как локальными, так и сетевыми.

Выдача лицензии сервером имеет свои особенности:

Лицензия выдается на каждый сеанс, т.е. один клиент может занять несколько лицензий
Сервер может подключиться только к одному локальному и одному сетевому ключу одной серии

А вот здесь все становится гораздо интереснее. Если у вас используются сетевые аппаратные ключи, доступные через HASP LM, то если лицензию с него получает клиент, то она используется как однопользовательская, т.е. позволяет открыть на клиенте неограниченное количество сеансов. Но если клиент по какой-либо причине потерял связь со службой HASP LM, а сервер продолжает ее видеть, то лицензии с этого ключа начнет раздавать сервер, только уже как многопользовательскую, т.е. по одной лицензии на каждый сеанс. Что может привести к быстрому исчерпанию количества лицензий.

Также если у вас в сети два сетевых ключа одной серии, то сервер подключившись к одному из них более не будет искать второй, даже если там есть свободные лицензии.

Порядок получения лицензий веб-клиентом

Веб-клиент не требует установки и поэтому локальный поиск лицензии на компьютере клиента для него невозможен. Далее все зависит от того, с каким типом базы мы работаем. Если это файловая база, то поиск будет осуществляться на компьютере с веб-сервером, все лицензии выдаются только в многопользовательском режиме (на сеанс):

Получение лицензии из файла программной лицензии или HASP ключа откуда была получена лицензия при последнем удачном подключении
Поиск локальной программной файловой лицензии (на веб-сервере)
Поиск локального ключа HASP (на веб-сервере)
Поиск сетевого ключа HASP доступного через HASP LM

Если база клиент-серверная то поиск лицензий производится на сервере 1С:Предприятие:

Программная лицензия или ключ защиты HASP откуда была получена лицензия при последнем удачном подключении
Поиск локальной программной лицензии (на сервере)
Поиск локального клиентского ключа HASP (на сервере)
Поиск сетевого ключа HASP доступного через HASP LM
Программная лицензия на сервере лицензирования откуда была получена лицензия при последнем удачном запуске
Поиск программной лицензии на сервере лицензирования

Обратите внимание, что веб-клиент для клиент-серверных баз никогда не ищет лицензии на узле веб-сервера, даже если там есть свободные лицензии. Это заставляет в случае одновременного использования веб-клиента с файловыми и серверными базами держать два набора лицензий (на сервере и веб-сервере) в количестве достаточном для покрытия всех сеансов.

Особенности привязки программной лицензии к HASP-ключу

Программная лицензия 1С:Предприятие по умолчанию привязывается к компьютеру и учитывает достаточно много критериев, поэтому при смене оборудования часто приходится активировать ее повторно, но этого можно избежать, привязав ее к любому доступному HASP-ключу, локальному или сетевому. Казалось бы - вот выход из ситуации. Но такая схема имеет свои, важные особенности.

Лицензия как была программной, так и остается, т.е. располагается на том узле, где мы ее активировали и работает как однопользовательская или многопользовательская. При необходимости мы можем перенести ее на другой узел, главное чтобы был доступен ключ, к которому она привязана. Но в момент ее поиска клиент должен выполнить проверку привязки, а для этого на аппаратном ключе должна быть хотя бы одна свободная лицензия. Если все лицензии ключом выданы, то проверка не может быть осуществлена и клиент такую лицензию использовать не сможет.

Поэтому при совместном использовании программных и аппаратных лицензий всегда помните, что привязка программной лицензии к ключу - это минус одна лицензия на ключе и тщательно просчитывайте количество подключений. Иначе можете остаться без лицензий в самый неожиданный момент.

Если вы не используете аппаратные ключи, то процесс поиска можно упростить, а следовательно ускорить запуск 1С:Предприятие, для этого следует использовать параметр UseHwLicenses=0 в конфигурационном файле 1cestart.cfg, который отключит поиск лицензий на аппаратных ключах.

МСВСфера 9 - для тех кому нужен Enterprise Linux из реестра

2024-10-01T17:34:37Z

Об операционной системе МСВСфера наслышаны многие, но мало кто ее реально видел, а еще меньше тех, кому довелось с ней работать. И в этом не было ничего удивительного, долгое время эта система была закрытой и разрабатывалась по заказу Минобороны. Но в настоящий момент все стало совсем по-другому, МСВСфера 9 находится в свободном доступе и может совершенно бесплатно использоваться физическими лицами, для коммерческого использования придется приобрести лицензию. И поэтому сегодня мы познакомимся с ней поближе.

]]> Своими корнями МСВСФера уходит в проект Мобильной системы Вооруженных сил (МСВС) разработка которой началась в 2010 году по заказу Министерства обороны, в качестве базового дистрибутива для системы был выбран Red Hat. Долгое время развитием системы занималась компания Национальный центр развития и поддержки (НЦПР), пока в 2021 году не была куплена одним из лидеров IT-рынка группой компаний Softline. С этого момента изменились как подходы к разработке и развитию системы, а также ее позиционирование.

Сама компания описывает свой продукт следующим образом:

Операционная система «МСВСфера» является полноценной альтернативой зарубежным операционным системам уровня Enterprise Linux.
Включает в себя встроенные инструменты миграции для перехода с операционных систем Red Hat Enterprise Linux, CentOS, AlmaLinux, Rocky Linux и Oracle Enterprise Linux.

При этом никто не скрывает, что дистрибутив построен на базе Enterprise Linux. Что такое Enterprise Linux? Это свободный репозиторий исходных кодов RHEL полученных из различных легальных источников и поддерживаемый компаниями Oracle, SUSE и CIQ (разработчик Rocky) через созданную ими ассоциацию OpenELA. Таким образом МСВСфера 9 является тем, чем раньше был CentOS - полностью бинарно совместимым клоном RHEL, только отечественной сборки и присутствующий в реестре.

Хотя с добавлением в реестр и возникли проблемы, претензии высказал представитель Альт Линукс, одной из которых был недостаточный уровень переработки. Хотя для Enterprise Linux важно как раз иное, а именно наиболее полное следование RHEL, по принципу ошибка к ошибке, чтобы клон полностью повторял поведение оригинала, включая ошибки.

Важно еще и то, что сейчас на российском рынке, кроме МСВСфера, нет систем на базе Enterprise Linux, ранее базирующаяся на этой платформе РЕД ОС отказалась от ее использования в пользу собственных разработок. А спрос на Enterprise Linux никуда не делся, с учетом всех требований импортозамещения, поэтому МСВСфера является хорошей альтернативой для таких случаев.

Тем более, что с системой можно ознакомиться абсолютно свободно, что мы сейчас и сделаем. Система доступна в двух вариантах: АРМ (автоматизированное рабочее место) и Сервер, мы далее будем рассматривать АРМ. Образ предлагает загрузку в Live-режиме, что сразу позволяет оценить совместимость системы с оборудованием и комфортность работы на имеющихся аппаратных средствах, либо можно сразу перейти к установке.

Инсталлятор - привычная любому пользователю RHEL-систем Anaconda, минимально брендированная. Каких-либо особенностей установки нет, все стандартно.

Установка не занимает много времени, грузится система достаточно быстро, какого-то особого брендирования нет, просто небольшое лого внизу стандартного экрана, разумный минимализм, как и подобает корпоративной системе.

Что нас ожидает внутри? Оболочка графического стола GNOME 40 с альтернативным меню Arc Menu.

Последнему стоит уделить немного внимания, так как это крайне гибкий и удобный продукт, с множеством настроек, в том числе предустановленных и отличная альтернатива крайне неоднозначному полноэкранному меню GNOME. Можно смело брать на вооружение и пользователям других дистрибутивов.

По умолчанию меню настроено в стиле Windows 10, но вы можете выбрать любой из множества представленных вариантов, в самых разнообразных стилях, причем не только Windows, но и Linux или macOS, а также без привязки к существующим системам.

При этом каких-то фирменных стилей вы не найдете, возможности кастомизации стандартные, на уровне нескучных обоев. Но не будем забывать, что Enterprise Linux - это про работу, а не про развлечения и вау-эффекты.

Теперь заглянем под капот, сразу видим, что система построена на базе Enterprise Linux 9.4, что отражено в названии ОС и работает с ядром 5.14. Не самая свежая версия, но данная платформа всегда отличалась консерватизмом, местами даже нездоровым, но зато предоставляла и предоставляет стабильность и 10 лет поддержки.

Прикладной софт примерно такой же степени древности. Ну да никто ничего другого увидеть и не ожидал.

Потому что МСВСфера 9, как бинарный клон RHEL - это не домашний ПК и даже не рабочий компьютер широкого профиля, в лучшем случае это рабочая станция в корпоративной среде, где на первый план выходит бинарная совместимость и срок поддержки.

Браузер по умолчанию - Chromium, просто, без GOST, хотя на наш взгляд здесь бы лучше смотрелась GOST-версия или вообще Яндекс-Браузер.

Для управления пакетами есть магазин, но он крайне скромен, если не сказать убог. Выбор приложений практически никакой, но если вы давний пользователь CentOS и знаете, что такое Enterprise Linux, то это вас не удивит. Хотя мы бы хотели видеть там больше отечественных продуктов, но кроме Chromium GOST там ничего больше нет.

Хотя никакого труда поставить тот же Яндекс-Браузер не составляет, просто качаем пакет с сайта и ставим его двойным кликом мыши.

Что-то иное? Давайте попробуем поставить 1С:Предприятие, тоже никаких проблем, качаем и ставим.

Но 1С как всегда в своем репертуаре, отличаясь крайне низкой культурой сборки пакетов для Linux она так и не смогла обеспечить полноценную работу в среде Enterprise Linux 9, хотя эта платформа заявлена как поддерживаемая.

К счастью, подобные ошибки лечатся очень легко, буквально походя и через пару минут у нас полностью рабочая 1С. Но сам подход разработчиков в этом плане удручает. Ни одна новая отечественная операционная система до сих пор не поддерживается 1С из коробки.

Мультимедийная составляющая в системе на базовом уровне, но ее вполне хватает, чтобы поставить на фоне музыку.

Или посмотреть в обед какой-нибудь фильм. Все кодеки на месте, все современные форматы поддерживаются, но не более. Система для работы, а не для развлечений.

Выводы

МСВСфера 9 - это классический Enterprise Linux в современной версии. Тот же старый-добрый CentOS, но в реестре. И больше тут особо нечего ни прибавить, ни убавить. Те, кому нужны подобные системы обычно знают все их особенности и также знают зачем и как они их будут применять.

Никаких своих особенностей у Сферы нет, это максимально приближенный к аналогу клон RHEL, свои тут только логотипы и настройки стартового меню. Но именно этого и ожидают от системы пользователи платформы Enterprise Linux. Им нужен именно полный бинарный клон, на уровне ошибка к ошибке.

А с учетом текущих реалий МСВСфера 9 является единственной отечественной системой уровня Enterprise Linux которая присутствует в реестре отечественного ПО и, следовательно, может быть использована в рамках импортозамещения.