Записки IT специалиста

Zstandard - новый, быстрый и эффективный алгоритм сжатия данных

2020-12-12T18:26:51Z

Обрабатываемые объемы данных с каждым годом только растут, выдвигая новые и, зачастую, противоречивые требования к информационным системам. В частности? это касается архивации данных, с одной стороны для эффективного использования устройств хранения требуется высокий коэффициент сжатия, с другой стороны важное значение имеет скорость работы. Ранее существовавшие алгоритмы предлагали что-то одно: либо быструю скорость работы, либо отличное сжатие. Zstandard - новый алгоритм, разработанный с учетом современных требований и сегодня мы посмотрим насколько он эффективен.

]]> Некоторое время назад мы проводили тестирование консольных архиваторов, которое показало что наиболее оптимальным является использование архиваторов на основе алгоритма Deflate, к которым относятся ZIP и gzip. Они обеспечивают высокую скорость архивации при неплохой степени сжатия. Их противоположностью являются использующие алгоритм LZMA продукты, самый известный из которых 7Zip, для них характерна отличная степень сжатия, но за это приходится платить низкой скоростью работы.

Постоянно растущие объемы данных не позволяют рассматривать LZMA, как эффективный алгоритм, делая его нишевым решением, когда на первый план выходит именно степень сжатия, а время создания и распаковки архивов не имеют значения. Поэтому при разработке Zstandard была поставлена цель добиться степени сжатия сравнимой с Deflate при более высокой скорости работы. Разработкой занимается Ян Колле (фр. Yann Collet) при поддержке Facebook и ему удалось достигнуть действительно отличных результатов. При использовании стандартной степени сжатия Zstandard сжимает лучше и быстрее Deflate, а на высоких степенях может тягаться с LZMA, но распаковка таких архивов происходит практически также быстро, как и архивов с низкой степенью компрессии.

Эта особенность обусловила переход на Zstandard для сжатия пакетов ведущими дистрибутивами, такими как Ubuntu, Fedora, Arc. Он применяется для сжатия в файловых системах btrfs и OpenZFS, в СУБД MySQL, PostgreSQL, MongoDB, Tarantool. С полным списком применяющих Zstandard проектов можно ознакомиться здесь: facebook.github.io/zstd. Все это заставляет присмотреться к новому алгоритму достаточно внимательно, поэтому мы провели собственное исследование эффективности Zstandard с которым и хотим вас ознакомить.

Тестирование эффективности Zstandard

На этот раз мы не стали устраивать полноценного тестирования, а использовали одну из реальных задач - архивирование дампа базы PostgreSQL объемом около 11 ГБ, а в качестве конкурентов использовали gzip (Deflate) и 7Zip (LZMA). Тестирование производилось в среде Debian 10 с установками сжатия по умолчанию. Для измерения времени использовалась команда time, результат представляет среднее от пяти запусков.

Результат нас очень сильно удивил: zstd сжал 10,8 ГБ за рекордные 35 секунд, за ним следует gzip с результатом в 2 мин 15 секунд, а замыкает список 7zip, которому потребовалось более получаса.

А как обстоят дела со степенью сжатия? Тоже неплохо: 9% - это немного лучше чем у gzip c его 10,4% и немного хуже 7,9% 7Zip. Но в целом разрыв по степени сжатия не столь велик и отходит на второй план по сравнению с разницей во времени.

Как можем видеть, LZMA вообще нельзя рассматривать как эффективный алгоритм, полчаса работы - это очень много, учитывая то, что сжатие данных требовательная к процессорным ресурсам операция, тем более что аналогичного результата можно достичь всего за 30 секунд! Да и Deflate тоже пора уступать место новому алгоритму, разрыв на фоне LZMA не так заметен, но все-таки в 4 раза, да и сжимает Zstandard лучше. Но у ZIP и gzip есть большое преимущество - распространенность, данные архиваторы поддерживаются в своих ОС "из коробки", что в некоторых случаях может быть важно.

Еще один важный параметр - время распаковки, здесь разница между архиваторами уже не столь велика: 7Zip тратит на извлечение данных чуть больше минуты, gzip и zstd справляются за 30 секунд, разница между ними в погрешности измерений, но мы помним, что zstd сжимает лучше.

А теперь сделаем несложные вычисления и подумаем. Zstandard распаковал и записал на диск 10,8 ГБ за 32 секунды, скорость копирования при этом составила около 360 МБ/с, что составляет практически верхнюю планку для нашего массива RAID 10 на котором расположена данная виртуальная машина. Может ли производительность дисковой подсистемы оказаться узким местом для архиватора? Вполне, причем не только при распаковке, но и при сжатии, так как данные с диска нужно прочитать, а с учетом результатов zstd мы получаем примерно такую же скорость обмена данными, близкую к физическим ограничениям подсистемы. Поэтому мы подключили к виртуальной машине еще один диск, расположенный на производительном NVMe SSD ADATA XPG SX8200 Pro и повторили тесты на нем.

Если классические алгоритмы не получили никакой выгоды от смены носителя, то для Zstandard эффект был получен незамедлительно, время сжатия дампа уменьшилось с 35 до 22 секунд, а это около 37%, что очень и очень неплохо.

С распаковкой картина аналогичная: Deflate и LZMA снова никак не отреагировали на смену носителя, а zstd обновил результаты, распаковав архив за 19 секунд и уверенно обозначил лидерство.

Даже столь небольшое тестирование дает понять, что перед нами очень эффективный алгоритм сжатия нового поколения, а стоящая за его разработкой компания Facebook, как раз работающая с большими объемами данных, обещает хорошие перспективы для дальнейшего развития.

Как начать пользоваться Zstandard

Следующий вопрос, который возникнет у наших читателей, как получить и начать использовать Zstandard? Для пользователей Linux все очень просто, zstd входит в репозитории и установить его можно простой командой (для DEB-based дистрибутивов):

apt install zstd

Для получения краткой справки наберите:

zstd -h

а для ознакомления со всеми возможностями программы воспользуйтесь полной справкой:

zstd -H

Сжать файл можно командой:

zstd filename

После чего будет создан архив с именем filename.zst, если требуется указать иное имя файла архива воспользуйтесь дополнительным ключом:

zstd filename -o archive.zstd

Для распаковки воспользуйтесь:

zstd -d filename.zst

Для сжатия директорий используйте zstd совместно с tar:

tar --zst -cf myfolder.tar.zst myfolder

Для распаковки такого архива выполните:

tar --zst -xf myfolder.tar.zst

Пользователи Windows тоже могут использовать Zstandard, для этого нужно скачать архив с официальной страницы разработчиков на Github. Из всего содержимого архива вам понадобится один единственный файл - zstd.exe, синтаксис команд и возможности полностью совпадают с Linux-версией.

Не включается сетевое обнаружение в Windows 10 / Windows Server

2020-11-21T20:55:55Z

Современные ОС предусматривают современные подходы ко многим привычным вещам, отказываясь от многих устаревших технологий. С одной стороны это правильно, с другой - может вызвать и вызывает проблемы в переходный период. Поэтому системный администратор всегда должен интересоваться всеми нововведениями используемых систем, а также уметь применять их на практике. Здоровый консерватизм - это хорошо, но он не должен препятствовать прогрессу. Сегодня мы поговорим об одной часто встречающейся проблеме - не включается сетевое обнаружение в последних версиях Windows 10 и Windows Server.

]]> Долгое время взаимоотношения систем семейства Windows c сетевой безопасностью были достаточно сложными. Ситуация начала меняться с выходом Windows XP, в которой появился встроенный брандмауэр, начиная с Vista были введены ограничения для учетных записей пользователей и произошло разделение подключенных сетей на домашние, рабочие и общественные.

Причиной этому стало широкое распространение интернета и широкополосных сетей, когда постоянное подключение к сети стало из роскоши нормой жизни. За ними последовало развитие домовых и личных сетей и сегодня практически каждое устройство так или иначе подключено к какой-либо сети c обязательным выходом в интернет. Это заставило по-новому посмотреть на вопросы безопасности, в частности в сторону ужесточения политик по умолчанию. Вторая проблема - это старые, уязвимые протоколы, многие из которых поддерживались в угоду совместимости, но дальнейшее их применение ставило серьезные проблемы безопасности, обусловленные самой архитектурой этих протоколов.

В современных ОС все сети делятся на частные и общедоступные, любая неизвестная сеть по умолчанию определяется как общедоступная и для нее включаются повышенные меры безопасности. Частные сети предполагают больший уровень доверия и позволяют включить Сетевое обнаружение, которое позволяет текущему узлу находить другие компьютеры в сети и быть видному самому. Ранее за этот функционал отвечал протокол NetBIOS over TCP/IP, но он не удовлетворяет современным требованиям безопасности и поэтому от его применения начали отказываться. На смену ему пришел новый протокол SSDP (Простой протокол обнаружения сервисов, Simple Service Discovery Protocol), который является частью более широкого протокола UPnP (Universal Plug and Play).

Новые протоколы позволяют сетевым устройствам не только обнаруживать и взаимодействовать друг с другом, но и самостоятельно конфигурировать активное сетевое оборудование, например, пробрасывать нужные порты на роутере.

Но вернемся к озвученной в заголовке проблеме. Достаточно часто можно столкнуться с ситуацией, когда сетевое обнаружение в системах Windows не хочет включаться. При этом нет никаких сообщений об ошибках, вы вроде бы включаете сетевое обнаружение, но оно все равно оказывается отключенным.

Причина такого поведения заключается в том, что старые службы (NetBIOS over TCP/IP) оказываются выключенными, а новые (SSDP и прочие) не включенными. Чтобы решить данную проблему нужно включить автоматический запуск и запустить в указанном порядке следующие службы:

Обнаружение SSDP - включает поддержку протокола SSDP
Узел универсальных PNP-устройств - включает поддержку UPnP
Хост поставщика функции обнаружения - отвечает за обнаружение других устройств в локальной сети
Публикация ресурсов обнаружения функции - обеспечивает видимость компьютера в локальной сети

Также удостоверьтесь что у вас работает и настроена на автоматический запуск служба:

DNS-клиент

Теперь можно включить сетевое обнаружение и удостовериться что вам доступны ресурсы локальной сети.

Настраиваем PPTP или L2TP VPN-сервер при помощи RRAS в Windows Server

2020-11-13T12:19:17Z

Платформа Windows Server остается одной из наиболее популярных серверных платформ, в том числе и для реализации решений удаленного доступа. Служба маршрутизации и удаленного доступа (RRAS) позволяет быстро и достаточно просто развернуть VPN-сервер практически для любых нужд. Сегодня мы еще раз вернемся к этому вопросу и рассмотрим, как создать на базе Windows Server PPTP или L2TP сервер для удаленного доступа, как наиболее востребованный сценарий на сегодняшний день.

]]> Почему именно эти типы подключения? Потому что они наиболее просты в реализации и поддерживаются широким спектром клиентов что называется "из коробки". Однако следует помнить, что PPTP не является на сегодняшний день безопасным и имеет слабые алгоритмы шифрования, но при этом он наиболее производительный из VPN-протоколов и имеет минимальные накладные расходы. Кроме того, его поддержка исключена из операционных систем Apple.

Оптимальным вариантом будет использование L2TP/IPsec подключения, которое сочетает в себе простоту, поддержку практически любыми клиентскими ОС и устройствами вместе с неплохим уровнем безопасности, обеспечиваемым IPsec. А так как настройка сервера для этих видов подключений практически идентична, то мы решили объединить их в одну статью.

Установка и настройка службы маршрутизации и удаленного доступа

Для начала работы с VPN в среде Windows Server вам потребуется установить роль Удаленный доступ, это делается стандартными средствами и не должно вызвать затруднений.

В Службах ролей выбираем Маршрутизация, роль DirectAccess и VPN (RAS) будет добавлена автоматически.

После установки роли Удаленный доступ ее следует настроить, проще всего это сделать, нажав на значок с желтым треугольником в Диспетчере серверов и выбрать в появившемся списке пункт Запуск мастера начальной настройки.

В появившемся окне выбираем пункт Развернуть только VPN.

Затем в оснастке Маршрутизация и удаленный доступ щелкаем правой кнопкой мыши по строке с сервером и выбираем в выпадающем меню Настроить и включить маршрутизацию и удаленный доступ.

После чего появится хорошо знакомое окно мастера настройки, предлагающее сразу несколько типовых конфигураций, однако у него есть свои особенности, например, если у вашего сервера всего один сетевой интерфейс, то настроить вариант Удаленный доступ (VPN или модем) мастер вам не даст. Поэтому выбираем самый нижний пункт - Особая конфигурация.

В следующем окне достаточно поставить галочку Доступ к виртуальной частной сети (VPN) и завершить работу мастера.

После завершения работы мастера служба Маршрутизации и удаленного доступа будет запущена и можно приступить к настройке сервера удаленного доступа. Если же данная служба у вас уже установлена и настроена в иной конфигурации, то щелкните правой кнопкой по строке сервера и выберите Свойства, в открывшемся окне на закладке Общие установите опции: IPv4-маршрутизатор локальной сети и вызова по требованию и IPv4-сервер удаленного доступа.

Настройка PPTP и/или L2TP сервера удаленного доступа

Откроем оснастку Маршрутизация и удаленный доступ и перейдем к свойствам сервера через одноименный пункт в меню правой кнопки мыши, прежде всего убедимся, что настройки на закладке Общие соответствуют приведенным на скриншоте выше. Затем переключимся на закладку Безопасность и убедимся, что в качестве Поставщика службы проверки подлинности стоит Windows - проверка подлинности, а Поставщик учета - Windows-учет, еще ниже установим флаг Разрешить пользовательские политики IPsec для L2TP- и IKEv2-подключения и в поле Общий ключ укажите парольную фразу для предварительного ключа.

Нажав на кнопку Методы проверки подлинности откроем окно, в котором выберем только Протокол EAP и Шифрованная проверка (Microsoft, версия 2, MS-CHAP v2), остальные протоколы не являются безопасными и должны быть отключены.

На закладке IPv4 укажем опцию Назначение IPv4-адресов - Статический пул адресов и добавим новый пул для выдачи адресов из него удаленным клиентам. Количество адресов должно быть не менее количества клиентов плюс один адрес, так как первый адрес из пула присваивается серверу. Что касается самого диапазона адресов, то его выбор зависит от конфигурации сети, если вы будете использовать маршрутизацию, то он не должен пересекаться с локальной сетью, если же хотите использовать ProxyARP, то наоборот, должны выделить принадлежащий локальной сети диапазон. В нашем случае используется второй вариант.

На этом настройка сервера может считаться законченной, следующим шагом следует разрешить подключения нужным пользователям, для этого в свойствах пользователя перейдем на закладку Входящие звонки и в блоке Права доступа к сети укажем Разрешить доступ. Теперь указанный пользователь может подключаться к нашему серверу используя свои учетные данные.

Также не забудьте проверить настройки брандмауэра, чтобы убедиться, что правила Маршрутизация и удаленный доступ GRE-входящий, PPTP-входящий (для PPTP) и L2TP-входящий (для L2TP) включены.

Proxy ARP

Сетевое взаимодействие в пределах одной IP-сети осуществляется на канальном (L2) уровне, в сетях Ethernet для этого используются MAC-адреса устройств. Для того, чтобы выяснить MAC-адрес узла по его IP применяется протокол ARP (Address Resolution Protocol), использующий широковещательные запросы, на которые отвечает только обладатель указанного IP-адреса. Выдавая удаленным клиентам адреса из диапазона основной сети мы как бы помещаем их в общую IP-сеть, но так как VPN - это соединение точка-точка, ARP-запросы от удаленных клиентов в сеть попадать не будут, единственный узел который их получит - сам VPN-сервер.

Для решения данной проблемы используется технология Proxy ARP, которая, как понятно из названия, представляет прокси-сервер для ARP-запросов, позволяя удаленным клиентам работать так, как будто бы они действительно находились в одной сети, без каких-либо дополнительных настроек. При использовании RRAS никаких дополнительных действий делать не нужно, Proxy ARP работает по умолчанию.

VPN-сервер за NAT

Так как мы используем Windows Server, то с большой долей вероятности он будет находиться внутри сетевого периметра и нам понадобится настроить проброс портов на маршрутизаторе. Для этого нужно четко понимать, как работает VPN-соединение и какие порты и протоколы следует передавать.

Начнем с PPTP, прежде всего клиент устанавливает управляющее TCP-соединение на порт 1723, затем, после успешной аутентификации создается соединение для передачи данных с использованием протокола GRE.

Таким образом для работы PPTP-сервера за NAT нужно:

пробросить порт 1723 TCP
разрешить прохождение GRE-трафика

С первым понятно, а вот с GRE могут возникнуть затруднения. Если вы используете маршрутизатор на базе Linux, то обратитесь к следующей нашей статье, если оборудование Mikrotik, настроенное по нашей инструкции, то достаточно пробросить только 1723 TCP, прохождение GRE будет разрешено конфигурацией брандмауэра, в остальных случаях следует обратиться к документации на свою модель маршрутизатора.

С L2TP сложнее, точнее не с ним самим, а с IPsec, который не поддерживает NAT. Для обхода этих ограничений используется протокол NAT-T, который инкапсулирует пакеты IPsec в UDP, позволяя успешно проходить через NAT. Поддержка данного протокола включена по умолчанию практически во всех ОС, кроме Windows. Для включения поддержки NAT-T следует внести изменения в реестр, найдите ветку:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent

И создайте в ней параметр DWORD c именем AssumeUDPEncapsulationContextOnSendRule и значением 2.

Это можно быстро сделать при помощи PowerShell:

Set-ItemProperty -Path "HKLM:SYSTEM\CurrentControlSet\Services\PolicyAgent" -Name "AssumeUDPEncapsulationContextOnSendRule" -Type DWORD -Value 2 -Force

После чего систему следует перезагрузить. Данные изменения нужно внести как на сервере, так и на клиенте.

При установлении L2TP/IPsec соединения между узлами прежде всего создается зашифрованный IPsec-канал, для этого используется протокол обмена ключами IKE (порт 500 UDP) и протокол NAT-T (порт 4500 UDP), затем уже внутри безопасного IPsec-соединения поднимается L2TP-туннель на порт 1701 UDP и происходит аутентификация пользователя.

Обратите внимание, аутентификация пользователя в L2TP, в отличии от PPTP, происходит внутри защищенного IPsec-канала, что делает данный тип соединения более безопасным.

Таким образом для работы L2TP/IPsec сервера за NAT нужно:

пробросить порт 500 UDP
пробросить порт 4500 UDP
внести изменения в реестр для включения NAT-T как на сервере, так и на клиенте (только для Windows)

Вопреки распространенному заблуждению порт 1701 UDP пробрасывать не нужно.

Настройка VPN-подключения в Windows

С одной стороны это простой вопрос, с другой - имеются определенные тонкости, на которые мы как раз и обратим внимание. В Windows 10 для первичной настройки VPN-подключения служит современное приложение, которое предельно простое и не охватывает дополнительных настроек.

Поэтому после того, как вы создадите в нем подключение, следует перейти к его свойствам и на закладке Параметры - Параметры PPP установить в открывшемся окне все флажки. Это позволит использовать все возможности протокола PPP и получить оптимальное качество связи. Обратите внимание, что данные опции должны также поддерживаться со стороны сервера, в противном случае их использование в одностороннем порядке может привести к ошибкам при установлении связи.

Затем на закладке Безопасность установите в Шифрование данных - обязательное, а в пункте Проверка подлинности выберите Протокол расширенной проверки подлинности (EAP).

И наконец на закладке Сеть перейдите в свойства протокола IP версии 4 (TCP/IP 4) и нажмите Дополнительно, в открывшемся окне снимите флаг Использовать основной шлюз в удаленной сети, в противном случае весь исходящий трафик будет направлен в туннель.

После чего можем подключаться и пробовать получить доступ к ресурсам удаленной сети, если вы все сделали правильно, то проблем возникнуть не должно.

Настройка VPN-подключения в Linux

В данной части нашего материала мы будем рассматривать настройку клиентских Linux-систем при помощи графического окружения и Network Manager, настройка серверных систем выходит за рамки текущей статьи. В качестве примера мы будем использовать Ubuntu, но все сказанное будет справедливо для любых основанных на Debian систем, а с некоторыми уточнениями - для любых дистрибутивов.

Поддержка PPTP присутствует практически в любом дистрибутиве по умолчанию. Достаточно перейти в Настройки - Сеть и добавить новое VPN-подключение.

Заполняем основные настройки: адрес сервера, имя и пароль пользователя.

Затем нажимаем кнопку Дополнительно и в открывшемся окне в разделе Аутентификация оставляем только MSCHAPv2, обязательно включаем Использовать шифрование MPPE и выбираем ниже 128 бит (наиболее защищенное), также устанавливаем флаг Включить Stateful Encryption для уменьшения накладных расходов на шифрование. Флаги сжатия оставляем включенными.

Закрываем данное окно с сохранением данных и переходим на закладку IPv4, где в разделе Маршрутизация устанавливаем флаг Использовать это подключение только для ресурсов этой сети, в противном случае в туннель пойдет весь трафик узла.

На этом настройка подключения завершена, можно подключаться.

Для работы с L2TP потребуется установить дополнительные пакеты:

apt install network-manager-l2tp-gnome

После чего в доступных типах подключения появится L2TP. Основные настройки ничем не отличаются от PPTP, также адрес сервера, имя и пароль пользователя.

Затем откроем Настройки PPP, в разделе Аутентификация также выберем только MSCHAPv2, а вот опции шифрования оставляем выключенными, так как чистый L2TP шифрования не использует, для защиты канала здесь применяется IPsec. Флаги сжатия также оставляем установленными по умолчанию.

Затем переходим в Настройки IPsec, это наиболее сложная и ответственная часть настроек, так как от них напрямую зависит безопасность соединения. В поле Pre-shared key введите Общий ключ, а ниже потребуется указать используемые шифры. Большинство материалов в сети интернет копируют друг у друга откровенно старые и слабые наборы шифров, что не соответствует реалиям сегодняшнего дня, хотя соединение с такими значениями будет работать. Мы же будем использовать максимально безопасные значения, для этого в поле Phase1 Algorithms укажите aes256-sha1-ecp384, а в поле Phase2 Algorithms - aes256-sha1.

Также имеет смысл установка флага Enforce UDP Encapsulation, который принудительно включает NAT-T, в случае если вы точно знаете, что ваш сервер находится за NAT, без этой опции протокол включается автоматически при обнаружении первого устройства с NAT.

Сохраняем настройки и переходим на вкладку IPv4, где также в разделе Маршрутизация ставим флаг Использовать это подключение только для ресурсов этой сети, чтобы направить в туннель только трафик для сети офиса.

На этом настройка закончена, можно подключаться.

Как отключить уведомления о подписке в Proxmox?

2020-11-09T21:41:34Z

Многие наши материалы появляются в результате обратной связи с читателями. Так и на этот раз, в обсуждениях возник вопрос об отключении уведомлений об отсутствии платной подписки в продуктах Proxmox. Там же было предложено решение, которое, на наш взгляд, не является оптимальным, и мы предложили свой вариант. А потом подумали, а почему бы не оформить это отдельным материалом, тем более что данный вопрос волнует многих наших читателей. И, как всегда, кроме руководства к действию, будет необходимый теоретический минимум и пояснения по решаемой проблеме.

]]> Proxmox - известный австрийский производитель ПО с открытым исходным кодом, наиболее известным их продуктом является система виртуализации Proxmox Virtual Environment, чуть менее известен пограничный почтовый шлюз Proxmox Mail Gateway. Коммерческая модель компании строится по принципу продажи поддержки на основе подписки, вместе с которой предоставляется доступ к корпоративному репозиторию. При этом никакого разделения между коммерческими и бесплатными пользователями нет, просто в бесплатный репозиторий пакеты попадают с некоторой задержкой, в случае обнаружения уязвимостей и публичного доступа к продукту это может быть чувствительно.

Но многие используют продукты Proxmox внутри периметра и для них данный вопрос не стоит столь актуально, в этом случае основным преимуществом становится возможность бесплатного коммерческого использования продукта. Это действительно так, никаких ограничений у Proxmox нет, это открытое ПО лицензируемое под GPL, подписка - дело сугубо добровольное.

Именно здесь наступает первое "непримиримое противоречие": пользователи хотят всего и бесплатно, разработчики хотят продать подписку. Поэтому они включили в продукт всплывающее окно с уведомлением об отсутствии подписки и предложением ее приобрести.

При этом многие пользователи считают данное уведомление назойливым и выражают желание его отключить. Желание вполне понятное, но здесь неизбежно всплывает юридическая сторона вопроса. Имеют ли право разработчики назойливо предлагать вам подписку? Да, вы используете продукт их интеллектуального труда, и они вправе встраивать в него любые рекламные и прочие предложения, насколько это допускается законом.

С другой стороны это открытое ПО, со всеми сопутствующими свободами и никто не имеет права вас ограничить в его использовании, модификации и распространении. Поэтому, если вы хотите убрать данное уведомление, то это будет вполне законно и никакого нарушения лицензии здесь нет.

Коротко подведем промежуточный итог: наличие или отсутствие подписки никак не сказывается на функциональности продукта и никак не ограничивает возможность его коммерческого применения. Отключить уведомление можно на вполне законных основаниях, которые лежат в основе свободной лицензии GPL.

Ну если так, то за работу, тем более что в сети интернет есть масса статей как это сделать. К сожалению, назвать предлагаемый большинством из них способ можно только топорным. Да, он работает, но фактически мы поломали при этом логику программы, что чревато как минимум ошибками в логах. Мы же пойдем иным путем и сделаем все правильно, особых знаний при этом не требуется, достаточно владеть основами программирования.

Откроем файл /usr/share/javascript/proxmox-widget-toolkit/proxmoxlib.js и найдем в нем участок кода:

if (res === null || res === undefined || !res || res 
.data.status.toLowerCase() !== 'active') {

Здесь не нужно глубоко вникать в логику программы, достаточно понимать, что это условие и если оно истинно, то будет выполняться одна часть программы, которая показывает нам уведомление, а если ложно - то иная. Решение в данном случае предельно просто - делаем условие всегда ложным, для этого заменяем приведенный выше код на:

if (false) {

Сохраните файл и выйдите из сессии в веб-консоли Proxmox, также рекомендуем очистить кеш браузера (Ctrl + F5), затем можем снова заходить в панель управления, назойливое уведомление нас больше не побеспокоит.

Создание образа Windows 10 с собственным набором предустановленного ПО и настройками меню Пуск

2020-11-04T20:14:55Z

В одном из наших прошлых материалов мы рассмотрели состав предустановленного ПО в Windows 10, а также некоторые вопросы связанные с его управлением и настройками меню Пуск. Вопреки распространенному мнению большую часть программ можно удалить штатными методами, а использование PowerShell вообще дает полный контроль. Но есть одно но! Все вносимые изменения касаются только локального ПК и локального профиля пользователя, что не подходит если вам нужно развернуть Windows 10 на некоторое число компьютеров, в этом случае лучшим способом будет создание собственного, заранее настроенного образа.

]]> В рамках данной статьи мы не предполагаем глубокой модификации установочного образа, ограничившись выбором набора предустановленного ПО, собственными настройками меню Пуск и некоторыми "твиками" в системном реестре. В большинстве случаев этого достаточно, чтобы облегчить жизнь системного администратора и упростить процесс настройки рабочих станций после установки ОС.

Для работы нам понадобится оригинальный образ Windows 10 содержащий файл install.wim, образы со сжатым и зашифрованным файлом install.esd нам не подойдут. Также скачайте и установите на рабочем ПК Windows Assessment and Deployment Kit (ADK), из всего набора инструментов нам потребуются только Средства развертывания.

Кроме образа нам также потребуется шаблон предварительно настроенного меню Пуск. Это можно сделать на любой рабочей станции, но проследите, чтобы в набор плиток не попали отсутствующие в образе приложения. На наш взгляд лучше всего произвести тестовую установку с целевого образа на виртуальную машину, настроить там меню Пуск и выполнить экспорт настроек. Ниже показан один из примеров такой настройки, набор приложений в нем выбран произвольно, поэтому настраивайте меню именно так, как нужно вам.

После того, как вы все настроили сделайте экспорт настроек командой PowerShell:

Export-StartLayout -Path D:\LayoutModification.xml

Где D:\LayoutModification.xml - расположение целевого файла.

Также, в настройках меню Пуск по умолчанию включена опция Иногда показывать предложения в меню "Пуск", которая время от времени выводит в самом верху ссылки на приложения Магазина и устанавливает их при клике на значок. Чтобы избежать такого поведения необходимо внести некоторые изменения в реестр. Поэтому подготовим файл импорта: создадим обычный текстовый документ со следующим содержимым и сохраним его как import.reg.

Windows Registry Editor Version 5.00

[HKEY_USERS\TMP\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager]
"SubscribedContent-338388Enabled"=dword:00000000

При желании вы можете добавить в этот файл и другие "твики", однако это выходит за рамки данной статьи. Обратите внимание, что мы импортируем изменения в несуществующую ветку HKEY_USERS\TMP, куда мы подключим ветвь HKEY_USERS\.DEFAULT из образа. Если же вам нужно внести изменения в другие ветви реестра образа, то добавьте в файл импорта необходимые псевдонимы. Напомним, что вы можете подключить файл реестра в любое место системного реестра собственной машины, назначив ему уникальное имя.

Теперь создадим набор рабочих папок, их следует располагать ближе к корню файловой системы и использовать короткие пути. В нашем случае это будут папки:

D:\iso - здесь будут располагаться файлы образа
D:\mnt - сюда будет развернут образ при монтировании
D:\tmp - для размещения дополнительных файлов, таких как шаблон меню и файл импорта реестра

После чего скопируем в D:\iso содержимое образа установочного диска. Как правило, образ содержит сразу несколько редакций Windows 10 и нам необходимо выяснить их набор и номер требуемой редакции, для этого выполним в PowerShell с правами администратора (здесь и далее используется среда PowerShell, если не указано иного) следующую команду:

Get-Windowslmage -ImagePath "D:\iso\sources\install.wim"

Где вам потребуется указать путь к файлу install.wim распакованного образа. В выводе вы получите перечисление всех редакций в образе:

В нашем случае нас интересует редакция Pro под номером 4. Выполним ее монтирование:

Mount-WindowsImage -ImagePath "D:\iso\sources\install.wim" -Index 4 -Path "D:\mnt\"

В параметрах команды мы указываем путь к файлу install.wim образа, индекс необходимой редакции и директорию монтирования, в которой появится содержимое по составу, напоминающее системный диск Windows.

Теперь, когда образ смонтирован, перейдем к встроенному ПО. Сначала получим список предустановленного ПО образа и выясним имена пакетов, для этого выполним:

Get-AppxProvisionedPackage -Path "D:\mnt\" | Format-Table DisplayName, PackageName

Большинство приложений имеют понятные имена, за исклчением Cortana, которая скрывается за наименованием Microsoft.549981C3F5F10. Чтобы удалить приложение из образа воспользуемся командой:

Remove-AppxProvisionedPackage -Path "D:\mnt" -PackageName Microsoft.549981C3F5F10_1.1911.21713.0_neutral_~_8wekyb3d8bbwe

В данном случае мы удаляем Cortana. Мы не будем давать каких-либо рекомендаций по составу предустановленного ПО, каждый решает этот вопрос самостоятельно, с учетом собственных потребностей и предпочтений. В нашем примере мы также удалили приложения Office, OneNote, Sticky Notes и Feedback Hub.

Для изменения шаблона меню Пуск нам нужно просто скопировать файл LayoutModification.xml в нужное место образа:

copy D:\tmp\LayoutModification.xml D:\mnt\Users\Default\AppData\Local\Microsoft\Windows\Shell\LayoutModification.xml

И напоследок выполним импорт файла реестра. Прежде всего подключим к реестру рабочей машины ветвь HKEY_USERS\.DEFAULT образа:

reg load HKEY_USERS\TMP D:\mnt\Users\Default\NTUSER.DAT

В нашем случае мы подключили данную ветвь в HKEY_USERS\TMP, который указан в нашем файле импорта. После чего импортируем в реестр содержимое файла:

reg import D:\tmp\import.reg

По завершению операции ветвь реестра следует отключить:

reg unload HKEY_USERS\TMP

Все необходимые изменения выполнены, поэтому размонтируем образ с сохранением внесенных изменений:

Dismount-WindowsImage -Path "D:\mnt\" -Save

После выполнения данной команды содержимое директории D:\mnt будет очищено, а все изменения будут применены к файлам распакованного образа в D:\iso. Все что нам остается - это собрать новый ISO-файл, для этого воспользуемся Средой средств развертывания и работы с образами, запустите одноименную консоль с правами администратора и выполните в ней следующую команду:

oscdimg -h -m -o -u2 -udfver102 -bootdata:2#p0,e,b"D:\iso\boot\etfsboot.com"#pEF,e,b"D:\iso\efi\microsoft\boot\efisys.bin" -lMyISO "D:\iso" "D:\Win10.iso"

На первый взгляд - достаточно страшное "заклинание", но не будем пугаться раньше времени. В параметрах bootdata мы передаем пути к файлам etfsboot.com и efisys.bin в папке образа, которые отвечают за EFI-загрузчик. Ключ -l задает имя образа, которое указывается без пробелов, затем перечисляем папку с образом и место расположения итогового ISO-файла.

Если вы используете для установки флеш-накопитель, то просто можете скопировать на него содержимое папки D:\iso с заменой файлов.

Теперь можно выполнить пробную установку и убедиться, что все настроено именно так, как мы задумывали:

Как видим, собрать собственный образ Windows 10 несложно, у нас все это заняло не более получаса, где основное время заняло монтирование/размонтирование образа и создание ISO-файла.

Настройка VPN-подключения на роутерах Mikrotik если подсети клиента и офиса совпадают

2020-10-31T20:12:14Z

Для организации удаленного доступа сотрудников к офисной сети широко используется VPN, при этом крайне желательно сделать этот процесс для пользователя максимально простым и удобным. В идеале он должен только указать свой логин и пароль для подключения, все остальное, включая маршрутизацию, должно быть настроено автоматически. И это вполне достижимо, например с помощью технологии Proxy ARP, которая позволяет как-бы поместить клиента в сеть офиса на канальном уровне. Но как быть, если подсети клиента и офиса совпадают?

]]> Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор - официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Описанная нами во вступлении ситуация не нова, чаще всего она встречается в небольших сетях, где вопросом сетевого планирования никто никогда не занимался. Как это обычно бывает: купили роутер, быстро его настроили и начали использовать, не озадачившись сменить стандартные 192.168.0.0/24 или 192.168.1.0/24 на что-либо иное. До определенной поры такая адресация не вызывает проблем и очень часто переходит "по наследству" в достаточно крупные сети.

Но все меняется, если требуется обеспечить удаленный доступ сотрудников, у которых дома стоит такое же стандартное оборудование, с теми же 192.168.0.0/24 или 192.168.1.0/24. Если говорить о том, как правильно, то правильно будет сменить адресацию офисной сети, но это не всегда возможно и может быть сопряжено со значительными сложностями. Особенно в текущей ситуации, когда по эпидемиологическим причинам удаленный доступ может потребоваться буквально здесь и сейчас, без времени на преобразования.

Как быть? Нам снова на помощь придет оборудование Mikrotik и широкие возможности RouterOS. При этом наша задача - сохранить удобство работы пользователя. Будем считать что у вас уже настроен VPN-сервер с использованием ProxyARP, как это описано в нашей статье: Настройка Proxy ARP для VPN-подключений на роутерах Mikrotik. Все хорошо работало, но ровно до тех пор, пока не выяснилось, что часть сотрудников имеют дома подсеть, совпадающую с подсетью офиса.

Чтобы решить данную проблему мы будем использовать netmap - одну из разновидностей сетевой трансляции адресов (NAT), которая позволяет преобразовывать адреса одной подсети в другую один к одному. Таким образом мы можем отдавать клиенту некую "виртуальную" подсеть, адреса которой затем будут преобразоваться в реальные адреса офисной сети средствами RouterOS.

Прежде всего нам потребуются некоторые дополнительные действия. Как правило для клиентов удаленного доступа используется динамическое создание интерфейсов, это вполне оправдано, но в нашем случае для каждого из них потребуется выполнить привязку интерфейса. Для этого перейдем в PPP - Interface и создадим новую привязку интерфейса выбрав в выпадающем списке один из пунктов Server Binding, в зависимости от типа подключения, в нашем случае это L2TP Server Binding.

В открывшемся окне заполняем поля Name и User. Первое можно оставить и без изменения, оно ни на что не влияет, кроме удобства восприятия, но согласитесь, что запись l2tp-ivanov более информативна, нежели l2tp-in1. В поле User укажите логин того пользователя, к которому будет производиться привязка. Повторите это действие для всех пользователей VPN-сервера.

После чего создадим новый список интерфейсов и поместим в него все привязки. Откройте Interfaces - Interface List - Lists и создайте новый список, назовем его VPN.

После чего добавим все привязанные интерфейсы в этот список.

Теперь можно заняться изменением адресации. В нашем примере сеть офиса - 192.168.111.0/24, будем считать, что она пересекается с клиентскими сетями и поэтому для VPN-подключений мы будем отдавать виртуальную сеть 192.168.222.0/24. Перейдем в IP - IP Pool и изменим в пуле адресов, выдаваемом клиентам сеть с 111-й, на 222-ю. Вы можете как изменить существующий пул, так и создать новый.

Если же адреса клиентов заданы непосредственно в настройках их учетных записей, то переходим в PPP - Secrets и исправляем адреса для каждой учетной записи клиента (при этом может быть задан только один - Remote Address, в этом случае Local Address будет взять из профиля).

Потом откроем PPP - Profiles и открыв профиль, указанный для клиентов VPN-сервера, исправим в нем собственно адрес сервера - Local Address, также следует убедиться, что указанный пул адресов в Remote Address соответствует нужной подсети (в нашем случае 222-й).

Если теперь мы выполним переподключение удаленного клиента, то он получит адрес из 222-й подсети, но доступа в сеть офиса у него не будет, так как мы еще не выполнили отображение этой сети, на локальную сеть офиса. Для этого перейдем в IP - Firewall - NAT и создадим новое правило. На закладке General укажем: Chain - dstnat, Dst. Address - 192.168.222.0/24, In Interface List - VPN, эти условия говорят, что данное правило будет применяться в цепочке dstnat (PREROUTING) к пакетам, пришедшим из привязанных интерфейсов списка VPN с адресом назначения в сети 192.168.222.0/24.

На закладке Action указываем действие Action - netmap и в поле To Addresses - диапазон адресов локальной сети - 192.168.111.0/24, таким образом теперь в каждом пришедшем из VPN-пакете адрес назначения будет прозрачно заменен на соответствующий ему адрес локальной сети. Т.е. 192.168.222.101 -> 192.168.111.101, 192.168.222.202 -> 192.168.111.202 и т.д.

Теперь можем попробовать на клиенте подключиться к адресу в нашей виртуальной сети, как видим все работает, клиент попал на требуемый узел сети офиса, только уже по новому адресу.

Таким образом мы достаточно несложно решили серьезную проблему - организацию прозрачного удаленного доступа в сеть офиса с пересекающимся диапазоном адресов.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор - официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Осваиваем эффективную работу в Midnight Commander

2020-10-20T12:20:35Z

Midnight Commander - популярный двухпанельный файловый менеджер, широко распространенный в UNIX-like операционных системах, он должен быть знаком каждому, кто хоть раз работал в консоли. Но, как показывает практика, не все администраторы в полной мере используют все возможности данного приложения, ограничиваясь только базовыми, что может приводить к определенным неудобствам. Поэтому сегодня ы расскажем о возможностях Midnight Commander и приемах, способных сделать работу в нем удобной и эффективной.

]]> Midnight Commander, он же mc, относится к тому ПО, которое ставится на сервер в первую очередь. Если вы подключились к уже настроенному серверу, то он там с очень большой вероятностью уже будет. Установить его также несложно:

apt install mc

Для запуска выполните простую команду:

mc

После чего перед вами откроется интерфейс файлового менеджера, состоящий из двух панелей. По умолчанию активна левая панель, она будет показывать содержимое текущей директории, правая панель показывает домашнюю директорию пользователя.

Основы навигации должны быть известны всем, но тем не менее повторимся: для перемещения внутри панелей следует использовать клавиши со стрелками, PageUp и PageDown прокручивают содержимое на размер экрана вверх или вниз, а Home и End перемещают в начало или конец списка, для переключения панелей используется Tab, сочетание клавиш Ctrl + o сворачивает панели и дает доступ к консоли, повторное нажатие этих же клавиш восстанавливает панели.

Нижнее меню предлагает ряд часто используемых действий, привязанных к функциональным клавишам Fn, цифра, написанная около пункта меню, обозначает номер функциональной клавиши, например, F5 - копирование, F8 - удаление. Клавиша F9 перемешает нас в верхнее меню менеджера, навигация по которому осуществляется с помощью клавиш со стрелками.

Разделы Левая панель и Правая панель верхнего меню идентичны и содержат настройки отображения панелей, также отсюда можно инициализировать внешнее FTP или SSH соединение, после чего панель будет отображать содержимое удаленного узла.

Меню Файл содержит основные действия над файлами, здесь вы можете выполнить базовые действия над файлами, а также быстро изменить права, владельца, создать жесткую или символическую ссылку. Обратите внимание, около команд практически везде стоят сочетания клавиш, рекомендуем их запомнить, что позволит работать гораздо быстрее, не прибегая каждый раз к навигации по меню.

Раздел Команда предоставляет доступ к возможностям самого файлового менеджера, управлению панелями и доступ к некоторым системным функциям:

В Настройках находятся собственно настройки, на которых мы остановимся подробнее, потому как ряд опций следует включить практически сразу же, так как они сильно влияют на удобство работы.

Большинство пользователей mc используют встроенный редактор mcedit, если вы входите в их число, то сразу включите его использование в разделе Конфигурация.

А в разделе Подтверждение включите запрос подтверждения на выход из менеджера, что избавит вас от случайного закрытие приложения при нажатии на клавишу F10.

После чего не забудьте сохранить настройки, через одноименный пункт в меню, настройки менеджера индивидуальны для каждого пользователя и хранятся в ~/.config/mc.

Закончив с настройками, перейдем к приемам работы. В каждый отдельный момент времени в активной панели у нас выбран какой-либо файл или директория над которыми будут выполняться заданные нами действия. Если нам требуется обработать сразу несколько файлов или директорий, то их следует выделить при помощи клавиши Insert, выделенные файлы подсвечиваются желтым цветом, повторное нажатие снимает выделение.

Но это простая задача, гораздо чаще требуется отобрать файлы по какой-то маске, скажем по части имени или расширению. Midnight Commander умеет и это, нажмите в списке файлов клавишу +, после чего укажите маску отбора, допустимо использовать регулярные выражения.

Например, указанная выше маска в нашем случае выделит файлы conf1 и file1. Существует также и обратная возможность - снять выделение по маске с части файлов, для этого используйте клавишу -, принцип действия точно такой же, как и в предыдущем примере. Использование этих возможностей достаточно удобно, скажем, быстро выделить группу файлов по широкой маске, затем снять выделение с некоторых по более узкой. Для того, чтобы инвертировать выделение можно использовать клавишу *, но учтите, что это работает только для файлов.

В некоторых случаях в текущей директории могут появиться файлы, генерируемые сторонними программами, скажем, файлы логов или закачек. Но панели Midnight Commander не отображают текущих изменений, чтобы принудительно обновить содержимое нажмите Ctrl + r, в других ситуациях на экране может нарушиться отображение или остаться артефакты от других программ, которые вы запускали из среды менеджера, для перерисовки экрана следует использовать сочетание Ctrl + l.

Перейдем к операциям копирования и перемещения/переименования. Последние две операции с точки зрения файловой системы представляют одно и тоже действие, поэтому нажатием на F6 мы может либо переместить, либо переименовать, либо совместить оба этих действия. А в остальном вроде бы все просто, но не будем делать поспешных выводов. При копировании или перемещении открывается дополнительное окно, которое содержит поля шаблонов исходного и конечного мест назначения. Что это и для чего нужно?

В этих полях мы можем использовать подстановочные символы: * - для группы символов и ? - для одиночного в шаблонах источника, а в шаблоне приемника указать \n - где n - номер символа или группы символов. Самый простой пример: мы хотим переместить файлы conf1 - conf3 и переименовать их в config1 - config3. Нет ничего проще, выделяем все три файла, шаблон источника заполняем маской по числу символов в исходном имени - ?????, а шаблон приемника указываем как config\5 - т.е. добавить к указанному имени пятый символ из источника.

Возьмем задачу посложнее, допустим у нас есть файл myservice.conf и мы хотим при копировании поменять местами имя и расширение. В шаблоне источника разделим исходное имя на группы символов: *.*, а в шаблоне приемника укажем \2.\1. Первое выражение указывает, что у нас до точки одна группа символов, а после нее другая. Второе предписывает сначала поставить вторую группу символов, затем точку (она не входит ни в одну группу), а после нее вывести первую.

Еще сложнее, допустим мы хотим вместо myservice.conf получить servicemy.conf, в этом случае исходный шаблон будет выглядеть так: *s*.*, мы поделили имя на три части, разделители s и точка. Шаблон приемника укажем как: s\2\1.\3 - т.е. выводим сначала первый символ разделитель, потом вторую группу символов, за ней первую, точку и третью группу.

Как видим - возможности весьма богатые и освоив их вам не составит особого труда скопировать, скажем, фотографии с карты памяти, попутно переименовав их из какого-нибудь DSCN0439.JPG в Poezdka_more_2019_039.jpg.

Следующая, часто встречающаяся задача - это изменение прав или владельца объекта. Используйте сочетание клавиш Ctrl + x c (набирается как одновременное нажатие Ctrl и х, затем с) для изменения прав. Можно выделить и изменить права сразу нескольким объектам, но при этом вам будут показаны текущие права только первого выбранного файла.

Для изменения владельца нажмите Ctrl + x o, как и в предыдущей команде вы можете сделать это для группы объектов, но увидите текущего владельца только у первого выбранного.

За поиск отвечает сочетание Ctrl + s, после чего просто начинайте вводить имя файла:

Для быстрого создания жесткой или символической ссылки используйте: Ctrl + x l и Ctrl + x s. Учтите, что по умолчанию жесткая ссылка создается в текущем каталоге, а символическая в каталоге неактивной панели.

Также у любого системного администратора есть расположения, куда ему нужно переходить достаточно часто, чтобы каждый раз не путешествовать по дереву каталогов можно добавить их в список быстрого доступа, для этого, находясь в целевом каталоге нажмите Ctrl + x h. Чтобы вызвать список быстрого доступа следует нажать Ctrl + \.

Пассивную панель можно использовать для получения информации о текущем файле или отображении его содержимого. Для переключения в режим отображения информации нажмите Ctrl + x i:

Чтобы просматривать в пассивной панели содержимое - используйте комбинацию клавиш Ctrl + x q:

Чтобы вернуться в обычный режим - выполните указанное сочетание клавиш еще раз.

Еще одна удобная функция - открыть в пассивной панели каталог под указателем, для этого нажмите Alt + o:

Сравнить содержимое двух каталогов можно сочетанием клавиш Ctrl + x d с обоих сторон будут выделены различающиеся файлы, вы сразу можете перейти в нужную панель и выполнить действия над ними, например, копирование или перемещение.

Чтобы сравнить содержимое файлов следует последовательно нажать две комбинации клавиш Ctrl + x и Ctrl + d откроется специальный редактор, в котором вы сможете отредактировать сравниваемые файлы или выполнить их слияние.

Отдельного разговора заслуживает встроенный редактор - mcedit, его можно использовать как в составе оболочки Midnight Commander, так и отдельно, для редактирования файла в данном редакторе достаточно выполнить команду:

mcedit filename

где filename - имя требуемого файла. В составе оболочки для редактирования файла под выделением нажмите F4, для создания и редактирования нового файла в текущей директории нажмите Shift + F4.

Основные принципы работы в редакторе повторяют работу в оболочке менеджера, внизу расположено меню основных действий, привязанных на функциональные клавиши Fn, нажатие F9 вызывает верхнее меню, где сосредоточено большинство дополнительных действий, рядом с каждым из которых указано соответствующее ему сочетание клавиш.

Для перехода в режим выделения нажмите F3, затем при помощи клавиш со стрелками выделите необходимый участок текста, завершив выделение нажмите F3 повторно, чтобы выйти из режима. Затем переместите курсор в нужное место и нажмите F5 чтобы скопировать выделенный участок или F6, чтобы его переместить. Для вставки текста из буфера обмена нажмите Shift + Insert, если вы работаете через SSH, то будет использован буфер локального ПК, это удобно, вы можете копировать команды на своем компьютере и вставлять их в файл на удаленном сервере.

Если же нужно перенести текст между локальными файлами на сервере, то следует использовать файл буфера обмена. Чтобы скопировать в него выделенный участок следует использовать сочетание клавиш Ctrl + Insert, для вырезки - Shift + Del. Вставить содержимое файла буфера обмена в файл можно сочетанием Shift + F5. Отменить действие можно нажатием Ctrl + u

Нажатие F4 вызывает функцию поиска с заменой:

Как видим, Midnight Commander - это достаточно мощный и удобный инструмент, позволяющий значительно упростить работу в консоли, поэтому уметь эффективно работать с ним должен каждый системный администратор. В данной статье мы перечислили далеко не все возможности этого замечательного менеджера, чтобы узнать больше - воспользуйтесь встроенной справкой, она вызывается нажатием клавиши F1.

Предустановленное ПО в Windows 10 - мифы и реальность

2020-10-17T11:31:54Z

Предустановленное ПО в Windows 10 - предмет внимания многих системных администраторов и источник некоторых расхожих мифов. Если верить некоторым из них, то это прямо таки зло в чистом виде, оно засоряет систему, его невозможно удалить, даже если удалить - оно все равно вернется и т.д. и т.п. Понятно, что дыма без огня не бывает, но и верить расхожим штампам тоже не следует. Поэтому мы внимательно изучили состав предустановленного ПО в современных редакциях Windows 10 и постарались дать ответ на самые распространенные вопросы.

]]> Начнем с того, что предустановленное ПО появилось задолго до Windows 10, еще самые первые версии "Окон" поставлялись с определенным набором программ, которые сегодня воспринимаются как нечто само собой разумеющееся: Калькулятор, Блокнот, Просмотрщик изображений, набор простых игр и т.д. и т.п. Причем удалить их стандартными средствами было невозможно, но особо это никого не волновало и не вызывало возмущения. Так что же изменилось с тех пор?

Основным изменением Windows 10 стало появление магазина Microsoft Store и наличие в системе предустановленного ПО из него. Это так называемые современные приложения, которые пришли на смену классическим. В первых версиях Windows 10 набор программ мог отличаться, в зависимости от редакции, плюс не для всех классических приложений были готовы аналоги. Но впоследствии разработчики устранили пробелы и унифицировали состав предустановленного ПО, в настоящий момент начальный экран Домашней и Pro редакций выглядит так (версия 2004):

Корпоративная версия выглядит более лаконично:

Как видим убрана большая часть развлекательного контента и плитки со стандартными приложениями в виде почты, погоды и т.п. Но не все, что находится на начальном экране является предустановленным ПО. Если, например, мы коснемся блока Развлечения, то представленных там приложений мы не найдем в списке установленных.

Но нет, никто ничего от пользователя не прятал, дело в том, что данные плитки - это предложения из магазина и при первом нажатии на них приложение будет скачано и установлено. Их можно просто удалить с начального экрана, если указанные приложения вам не нужны.

Плитки Office и отдельных приложений пакета ведут на онлайн-версию, в принципе предложение вполне разумное, денег за него не просят и это гораздо лучше, чем WordPad.

Сам список предустановленного ПО унифицирован и какого-либо "криминала" мы там не нашли, ну разве что Яндекс.Музыка (в зарубежных редакциях - Netflix). Остальное ПО достаточно адекватно современному положению дел.

Трудно сказать, что из этого списка может активно мешать работе, замусоривать систему, потреблять лишние ресурсы и т.д. и т.п. Вполне стандартный набор, мало чем отличающийся от такового в предыдущих версиях. Разве что приложения обновились, ну и немного расширился их список, согласно текущего положения дел, скажем, во времена Windows 7 тот же 3D-принтер был чем то из разряда экзотики, сегодня же это вполне доступная вещь, вот и появились базовые приложения для работы с 3D.

В общем, миф о том, что в Windows 10 гораздо большее количество предустановленного ПО можно считать необоснованным, как и утверждение о том, что все оно страшно ненужное. Обычный набор по умолчанию, который поставлялся всегда, естественно с поправкой на актуальные задачи. Предложения магазина предустановленным ПО не являются и нажимать на них никто не заставляет. Просто убираем с начального экрана и больше мы их не увидим.

Теперь коснемся следующего вопроса, якобы их невозможно удалить стандартными средствами. Легко убедиться, что это не так. Лично я как-то не припомню, чтобы в более ранних версиях можно было удалить Калькулятор.

В этом плане Windows 10 предоставляет даже больше свободы, мы специально составили таблицу по предустановленному ПО, что из него можно удалить, а что нельзя.

Можно удалить	Нельзя удалить
Microsoft OneDrive	Cortana
Microsoft Solitare Collection	Microsoft Edge
Office	Microsoft Store
OneNote	Xbox Game Bar
Paint 3D	Будильники и часы
Skype	Ваш телефон
Sticky Notes	Камера
Xbox	Карты
Xbox Live	Люди
Запись голоса	Расширения для изображений HEIF
Калькулятор	Расширения для изображений Webp
Кино и ТВ	Техническая поддержка
Музыка Groove	Установщик приложений
Набросок на фрагменте экрана	Фотографии
Погода
Портал смешанной реальности
Почта и Календарь
Расширения для интернет-мультимедиа
Советы
Средства 3D просмотра
Центр отзывов
Яндекс.Музыка

Удалить можно 22 приложения, нельзя - 14. При этом среди доступных приложений есть те, которые удалять в здравом уме и не надо: Калькулятор, Кино и ТВ, Набросок на фрагменте экрана. Из не удаляемых некоторые вопросы вызывает Xbox Game Bar, возможно на него завязаны какие-то иные технологии.

А теперь подумаем, что из оставшихся приложений способно сильно отравлять жизнь? Да ничего. Если вам не нужны Люди, Карты или Камера - просто не пользуйтесь, кроме как наличием ярлыков в меню Пуск, но и оттуда их можно легко удалить.

Влияние на производительность системы? Его можно оценить на вкладке Журнал приложений в Диспетчере задач. Несложно увидеть, что ресурсы потребляли только те приложения, которые мы явно запускали.

Соседняя вкладка показывает состояние автозагрузки, кроме OneDrive более ничего не включено. А сам OneDrive никто не мешает отключить или даже удалить.

Занимаемое место, еще один аргумент тех, у кого все плохо. Следует понимать, что любое ПО будет занимать какое-то место и в разные годы понятие допустимого объема было различным. Во времена Windows 95 пакет размером в сотню мегабайт уже считался большим, сегодня же никого не удивить играми на десятки гигабайт.

Следует отметить, что Windows 10 позволяет удалить любые современные приложения, включая магазин, и система даже будет после этого работать. Только вот целесообразность такого действия весьма сомнительна. Делается это буквально в пару команд на PowerShell, таким образом мы удалили из системы все современное ПО и дочистили руками то, что осталось (Office, OneDrive и Яндекс.Музыка).

И что мы получили? Всего-то около 900 МБ свободного места, сущие брызги по любым современным меркам, даже если говорить о системах с сильно ограниченным объемом накопителя. Радикально кромсать систему ради этого явно не стоит.

Ну и последний вопрос, который обычно звучит так: "они возвращаются", подразумевая восстановление приложений после обновления. Проверим. Для этого мы установили выпуск 1909, который отличается по составу ПО только отсутствием Cortana, удалили все ПО, кроме магазина и калькулятора, после чего последовательно установили все обновления и произвели апгрейд системы до 2004. Что изменилось? Добавилась Cortana и некий пакет локализации.

И снова видим, что никакого самоуправства системы не произошло, все что мы удалили - осталось удаленным, добавились только новые возможности, что вполне логично, собственно, ради них мы и ждем новые выпуски ОС.

Выводы уже каждый мог сделать самостоятельно, но все равно подведем краткие итоги. Большинство утверждений о наличии в Windows 10 большого количества ненужного ПО не имеет под собой практических оснований. Некоторые проблемы могут возникнуть с предложениями из магазина, если не знать что это не ярлыки приложений, а ссылки на их установку, их можно легко открепить и более никаких неудобств они не доставят.

Сам же состав предустановленного ПО во многом повторяет классический, всегда присутствовавший в Windows, только состав его был изменен согласно современным реалиям. Но это нормально, в Windwos 95 не было видеоплеера, в Windows 7 были приложения для работы с оптическими дисками и DVD, которых нет сейчас. Более того, две трети стандартных приложений можно удалить стандартными методами, а если очень хочется, то при помощи PowerShell можно удалить вообще все современные приложения, включая Магазин, только вот непонятно - зачем вообще это делать.

Стандартное предустановленное ПО занимает около 900 МБ места, что немного и никак не влияет на производительность, в качестве фоновых процессов эти приложения не запускаются. Также они не предоставляют пользователю никаких новых возможностей, которые бы были нежелательны, скажем, в корпоративной среде. А магазин, при необходимости, легко отключается средствами групповых политик.

Что касается мифов, то они будут всегда, также, как всегда будут те, кто негативно воспринимает любые новшества. Так было и при переходе с Windows XP на Windows 7, и тоже самое происходит сейчас. Но хороший специалист должен четко представлять реальное положение дел, а не идти на поводу у необоснованных утверждений.

VLAN для начинающих. Общие вопросы

2020-10-10T18:43:55Z

Виртуализацией сегодня уже никого не удивить. Эта технология прочно вошла в нашу жизнь и помогает более эффективно использовать имеющиеся ресурсы, а также обеспечивает достаточную гибкость в изменении существующей конфигурации, позволяя перераспределять ресурсы буквально налету. Не обошла виртуализация и локальные сети. Технология VLAN (Virtual Local Area Network) позволяет создавать и гибко конфигурировать виртуальные сети поверх физической. Это позволяет реализовывать достаточно сложные сетевые конфигурации без покупки дополнительного оборудования и прокладки дополнительных кабелей.

]]> Прежде чем продолжить сделаем краткое отступление о работе локальных сетей. В данном контексте мы будем говорить об Ethernet-сетях описанных стандартом IEEE 802.3, куда входят всем привычные проводные сети на основе витой пары. Основой такой сети является коммутатор (свич, switch), который работает на втором уровне сетевой модели OSI (L2).

Второй уровень, он же канальный, работает в пределах одного сегмента сети и использует для адресации уникальные физические адреса оборудования - MAC-адреса. Передаваемая между узлами информация разделяется на специальные фрагменты - Ethernet-кадры (фреймы, frame), которые не следует путать с IP-пакетами, которые находятся на более высоком уровне модели OSI и передаются внутри Ethernet-кадров. Таким образом коммутатор ничего не знает об IP-адресах и никак эту информацию в работе не учитывает.

Коммутатор анализирует заголовки каждого входящего кадра и заносит соответствие MAC-адреса источника в специальную MAC-таблицу, после чего кадр, адресованный этому узлу, будет направляться сразу на определенный порт, если МАС-адрес получателя неизвестен, то кадр отправляется на все порты устройства. После получения ответа коммутатор привяжет MAC-адрес к порту и будет отправлять кадры только через него.

Этим достигается возможность одновременной передачи данных по нескольким портам одновременно и увеличивается безопасность сети, так как данные будут передаваться только на требуемый порт. Одновременно передавать данные через порт коммутатора может только один узел сети. Попытка одновременно передавать несколько кадров в одном сегменте сети называется коллизией, а такой сегмент - доменом коллизий. Чем больше устройств в домене коллизий, тем медленнее работает сеть.

Коммутатор позволяет разделять домен коллизий на отдельные домены по числу портов, таким образом каждый порт коммутатора - это отдельный домен коллизий и в каждом из них данные могут передаваться одновременно, не мешая друг другу.

Совокупность доменов коллизии, соединенных на втором уровне, является широковещательным доменом, если говорить проще, то широковещательный домен - это совокупность всех портов коммутаторов соединенных в один сегмент.

Как мы уже говорили выше, к широковещанию прибегает сам коммутатор, когда получает кадр MAC-адрес которого отсутствует в MAC-таблице, а также узлы сети, отправляя кадры на адрес FF:FF:FF:FF:FF:FF, такие кадры будут доставлены всем узлам сети в широковещательном сегменте.

А теперь вернемся немного назад, к доменам коллизий и вспомним о том, что в нем может передаваться только один кадр одновременно. Появление широковещательных кадров снижает производительность сети, так как они доставляются и тем, кому надо и тем, кому не надо. Делая невозможным в это время передачу целевой информации. Кроме того, записи в MAC-таблице имеют определенное время жизни, по окончании которого они удаляются, что снова приводит к необходимости рассылки кадра на все порты устройства.

Чем больше в сети узлов, тем острее стоит проблема широковещания, поэтому широковещательные домены крупных сетей принято разделять. Это уменьшает количество паразитного трафика и увеличивает производительность, а также повышает безопасность, так как ограничивает передачу кадров только своим широковещательным доменом.

Как это можно сделать наиболее простым образом? Установить вместо одно коммутатора два и подключить каждый сегмент к своему коммутатору. Но это требует покупки нового оборудования и, возможно, прокладки новых кабельных сетей, поэтому нам на помощь приходит технология VLAN.

Данная технология описана стандартом 802.1Q и предусматривает добавление к заголовкам кадра дополнительного поля, которое содержит в том числе определенную метку (тег) с номером виртуальной сети - VLAN ID, всего можно создать 4094 сети, для большинства применений этого достаточно.

Давайте рассмотрим, как работает коммутатор с виртуальными сетями. В нашем примере мы возьмем условный 8-портовый коммутатор и настроим на нем три порта на работу с одним VLAN, а еще три порта с другим.

Каждый VLAN обозначается собственным номером, который является идентификатором виртуально сети. Порты, которые не настроены ни для какого VLAN считаются принадлежащими Native VLAN, по умолчанию он обычно имеет номер 1 (может отличаться у разных производителей), поэтому не следует использовать этот номер для собственных сетей. Порты, настроенные нами для работы с VLAN, образуют как-бы два отдельных виртуальных коммутатора, передавая кадры только между собой. Каким образом это достигается?

Как мы уже говорили выше, каждый кадр 802.1Q содержит дополнительное поле, в котором содержится тег - номер виртуальной сети. При входе Ethernet-кадра в коммутатор с поддержкой VLAN (такой трафик называется входящим - ingres) в его состав добавляется поле с тегом. При выходе из коммутатора (исходящий трафик - egress), данное поле из кадра удаляется, т.е. тег снимается. Все кадры внутри маршрутизатора являются тегированными. Если трафик пришел на порт, не принадлежащий ни одному VLAN, он получает тег с номером Native VLAN.

В порт, принадлежащий определенному VLAN, могут быть отправлены только пакеты с тегом, принадлежащим этому VLAN, остальные будут отброшены. Фактически мы только что разделили единый широковещательный домен на несколько меньших и трафик из одного VLAN никогда не попадет в другой, даже если эти подсети будут использовать один диапазон IP. Для конечных узлов сети такой коммутатор нечем ни отличается от обычного. Вся обработка виртуальных сетей происходит внутри.

Такие порты коммутатора называются портами доступа или нетегированными портами (access port, untagged). Обычно они используются для подключения конечных узлов сети, которые не должны ничего знать об иных VLAN и работать в собственном сегменте.

А теперь рассмотрим другую картину, у нас есть два коммутатора, каждый из которых должен работать с обоими VLAN, при этом соединены они единственным кабелем и проложить дополнительный кабель невозможно. В этом случае мы можем настроить один или несколько портов на передачу тегированного трафика, при этом можно передавать как трафик любых VLAN, так и только определенных. Такой порт называется магистральным (тегированным) или транком (trunk port, tagged).

Магистральные порты используются для соединения сетевого оборудования между собой, к конечным узлам сети тегированный трафик обычно не доставляется. Но это не является догмой, в ряде случаев тегированный трафик удобнее доставить именно конечному узлу, скажем, гипервизору, если он содержит виртуальные машины, принадлежащие разным узлам сети.

Так как кадр 802.1Q отличается от обычного Ehternet-кадра, то работать с ним могут только устройства с поддержкой данного протокола. Если на пути тегированного трафика попадется обычный коммутатор, то такие кадры будут им отброшены. В случае доставки 802.1Q кадров конечному узлу сети такая поддержка потребуется от сетевой карты устройства. Если на магистральный порт приходит нетегированный трафик, то ему обычно назначается Native VLAN.

Кроме указанных двух портов доступа существует еще одна разновидность - гибридный порт (hybrid port), его реализация и наименование у разных производителей сетевого оборудования может быть разным, но суть от этого не меняется. Такой порт передает как тегированный, так и нетегированный трафик. Для этого в его настройках указывается Default VLAN ID и для всех кадров этого VLAN данный порт работает как порт доступа, т.е для исходящего трафика указанного VLAN тег снимается, а входящему кадру без тега, наоборот, присваивается. Трафик остальных VLAN передается с тегами.

Для чего это нужно? Наиболее частое применение - это IP-телефоны со встроенным коммутатором, которые умеют работать с тегированным трафиком, но не умеют передавать его дальше. В этом случае в качестве VLAN ID по умолчанию устанавливается номер VLAN в котором расположены пользовательские ПК, а для телефона на этот же порт добавляется тегированный трафик VLAN для телефонии.

Все это время мы говорили только о VLAN, не поднимая вопроса: как попасть из одного VLAN в другой. Если продолжать рассматривать канальный уровень - то никак. Каждый VLAN мы можем рассматривать как отдельный физический коммутатор, а магистральный канал - как жгут кабелей между ними. Только все это сделано виртуально, на более высоком уровне абстракции, чем L1 - физический уровень, который как раз представлен кабелями и физическим оборудованием.

Если мы соединим два физических коммутатора кабелем - то получим расширение широковещательного домена на все порты этих устройств, а это совсем не то, что нам нужно. В тоже время сетевые устройства работают на более высоких уровнях модели ОSI, начиная с сетевого - L3. Здесь уже появляется понятие IP-адреса и IP-сетей. Если смотреть на VLAN с этого уровня, то они ничем не отличаются от физических сегментов сетей. А что мы делаем, когда нам нужно попасть из одной сети в другую? Ставим маршрутизатор.

Маршрутизатор или роутер - устройство, работающее на третьем уровне модели OSI и умеющее выполнять маршрутизацию трафика, т.е. поиск оптимального пути для доставки его получателю. И здесь мы говорим уже не о Ethernet-кадрах, а об IP-пакетах. Маршрутизация между VLAN называется межвлановой (межвланной) маршрутизацией (InterVLAN Routing), но, по сути, она ничем не отличается от обычной маршрутизации между IP-подсетями.

Для обеспечения связи между сетями в нашей схеме появляется новая сущность - маршрутизатор, как правило к нему от одного из коммутаторов идет магистральный канал (транк), содержащий все необходимые VLAN, эта схема называется роутер на палочке (леденец, Router-on-a-Stick).

Как работает эта схема? Допустим ПК из синей сети (VLAN ID 40), хочет обратиться к другому узлу синей сети. IP-адрес адресата ему известен, но для того, чтобы отправить кадр нужно знать физический адрес устройства. Для этого ПК источник делает широковещательный ARP-запрос, передавая в нем нужный ему IP-адрес, в ответ на него обладатель этого IP сообщит ему собственный MAC-адрес.

Все кадры, попадающие с порта доступа в коммутатор, получают тег с VLAN ID 40 и могут покинуть коммутатор только через порты, принадлежащие этому VLAN или транк. Таким образом любые широковещательные запросы не уйдут дальше своего VLAN. Получив ответ узел сети формирует кадр и отправляет его адресату. Далее в дело снова вступают коммутаторы, сверившись с MAC-таблицей они отправляют кадр в один из портов, который будет либо принадлежать своему VLAN, либо будет являться магистральным. В любом случае кадр будет доставлен по назначению без использования маршрутизатора, только через коммутаторы.

Совсем иное дело, если узел одного из VLAN хочет получить доступ к узлу другого VLAN. В нашем случае узел из красной сети (VLAN ID 30) хочет получить доступ к узлу синей сети (VLAN ID 40). Узел источник знает IP-адрес адресата и также знает, что этот адрес не принадлежит его сети. Поэтому он формирует IP-пакет на адрес основного шлюза сети (роутера), помещает его в Ethernet-кадр и отправляет на порт коммутатора. Коммутатор добавляет к кадру тег с VLAN ID 30 и доставляет его роутеру.

Роутер получает данный кадр, извлекает из него IP-пакет и анализирует заголовки. Обнаружив адрес назначения, он сверяется с таблицей маршрутизации и принимает решение куда отправить данный пакет дальше. После чего формируется новый Ethernet-кадр, который получает тег с новым VLAN ID сети-получателя в него помещается IP-пакет, и он отправляется по назначению.

Таким образом любой трафик внутри VLAN доставляется только с помощью коммутаторов, а трафик между VLAN всегда проходит через маршрутизатор, даже если узлы находятся в соседних физических портах коммутатора.

Говоря о межвлановой маршрутизации нельзя обойти вниманием такие устройства как L3 коммутаторы. Это устройства уровня L2 c некоторыми функциями L3, но, в отличие от маршрутизаторов, данные функции существенно ограничены и реализованы аппаратно. Этим достигается более высокое быстродействие, но пропадает гибкость применения. Как правило L3 коммутаторы предлагают только функции маршрутизации и не поддерживают технологии для выхода во внешнюю сеть (NAT) и не имеют брандмауэра. Но они позволяют быстро и эффективно осуществлять маршрутизацию между внутренними сегментами сети, в том числе и между VLAN.

Маршрутизаторы предлагают гораздо большее число функций, но многие из них реализуются программно и поэтому данный тип устройств имеет меньшую производительность, но гораздо более высокую гибкость применения и сетевые возможности.

При этом нельзя сказать, что какое-то из устройств хуже, каждое из них хорошо на своем месте. Если мы говорим о маршрутизации между внутренними сетями, в том числе и о межвлановой маршрутизации, то здесь предпочтительно использовать L3 коммутаторы с их высокой производительностью, а когда требуется выход во внешнюю сеть, то здесь нам потребуется именно маршрутизатор, с широкими сетевыми возможностями.

Настройка контроллера CAPsMAN (бесшовный Wi-Fi роуминг) на Mikrotik

2020-10-02T17:26:24Z

Во всех случаях, когда вам требуется качественное беспроводное покрытие достаточно большой площади, когда одной точкой доступа не обойтись, встает вопрос роуминга - а именно передачи клиента от одной точки доступа к другой. Желательно сделать этот процесс максимально простым и прозрачным для клиента, без разрыва связи и переподключения, а еще желательно не разориться при выполнении этой задачи. В этом нам поможет оборудование Mikrotik и программный контроллер беспроводной сети CAPsMAN.

У некоторых читателей сразу может возникнуть вопрос - а почему нельзя просто купить и наставить недорогих точек доступа, настроив на каждой один и тот же SSID и пароль? Сделать так, конечно же можно, только вот такая сеть не будет управляемой и приемлемого качества связи в ней достигнуть будет трудно. Основная проблема в том, что параметрами соединения всегда управляет клиент и он может держаться за более далекую и слабую точку до самого конца, хотя рядом есть другая, с более лучшими условиями приема. Получается что вроде бы и покрытие есть и сигнал везде вроде бы хороший, а качество связи оставляет желать лучшего.

Управляемые беспроводные сети работают иначе. Контроллер оценивает взаимное расположение клиента и точек доступа и когда он переходит в область обслуживаемую другой точкой доступа, старая точка его просто отключает, после чего он переподключается к новой, более мощной точке. Это довольно упрощенное изложение, но вполне достаточное для понимания происходящих процессов.

Сразу внесем ясность, настоящим бесшовным роумингом это не является, более правильно это назвать быстрым переключением, часть пакетов, особенно если это был поток UDP, при этом неизбежно потеряется. Но будем честными - бесшовный роуминг предполагает оборудование совсем иного класса и стоимости. А большинство современных сетевых приложений, в том числе и голосовые мессенджеры (Skype, Viber и т.д.) вполне нормально переносят быстрое переподключение, пользователь скорее всего даже ничего не заметит.

Но термин бесшовный давно устоялся и используется для таких сетей, хотя мы бы назвали его псевдобесшовным, но вы должны иметь представление о том, как все обстоит на самом деле и не питать необоснованных иллюзий.

Схема построения псевдобесшовной сети - это беспроводная поверх проводной. В качестве точек доступа вы можете использовать любые точки доступа или иные беспроводные устройства Mikrotik, которые могут работать в таком режиме. Контроллером CAPsMAN может быть любое устройство Mikrotik, даже не имеющее беспроводного интерфейса. В нашем примере мы собрали тестовую схему их двух беспроводных роутеров hAP, выполняющих роль точек доступа и роутера hEX, выступающего в роли контроллера.

Настройку следует начинать с контроллера. Откроем Winbox и перейдем в раздел CAPsMAN, здесь нам следует создать ряд необходимых шаблонов, из которых потом, как из кирпичиков, мы будем формировать конфигурации для беспроводных устройств. Мы не будем подробно рассматривать беспроводные настройки, обходясь необходимым минимумом, более подробно об этом вы можете прочитать в нашей статье: Расширенная настройка Wi-Fi на роутерах Mikrotik. Режим точки доступа.

Начнем с рабочих каналов, переходим в CAPsMAN - Channels и создаем новую настройку. В самом простом варианте это будет одна рабочая частота, например, 2412 МГц или 1 канал. Обратите внимание, выпадающего списка частот тут нет, просто указываем значения руками. Затем задаем ширину канала в поле Control Channel Width, если вы указали широкий канал, то укажите и направление его расширения по частоте в поле Extension Channel, если мы говорим о первом канале, то здесь единственным значением будет Ce, либо можете указать ХХ для автоматического выбора.

В поле Band указываем необходимые стандарты работы сети, а в поле Tx. Power - мощность передатчика с учетом коэффициента усиления антенн, для hAP это значение равно 17 дБм.

Можно поступить и несколько иначе, не указывать рабочую частоту вообще, в этом случае точки будут выбирать ее автоматически, исходя из эфирной обстановки. В этом случае дополнительно ставим флаг Save Selected, что предписывает точке запоминать последнюю выбранную частоту и Reselect Interval - интервал времени с периодичностью которого точка будет анализировать эфир и выбирать рабочую частоту.

Еще один вариант - задать список частот доступных точке для выбора, скажем 1 - 6 -11 каналы:

Как лучше сделать? Единственно верного ответа на этот вопрос нет, все зависит от топологии вашей сети и эфирной обстановки. Частотное планирование беспроводных сетей - обширный вопрос, заслуживающий отдельной статьи. Если же коротко, то в том хаосе, что творится в многоквартирных домах и офисных центрах оптимальным решением будет автоматический выбор частоты по всему диапазону, либо из заданного списка. В сетях с небольшим количеством клиентов и достаточным разнесением точек друг от друга можно оставить их все на одной частоте, возникающие при этом коллизии (внутриканальные помехи) протокол достаточно хорошо разрешает. В иных случаях чередуем точки на непересекающихся каналах, к этому мы еще вернемся позже.

Если вы используете оборудование для обоих диапазонов - 2,4 ГГц и 5 ГГц, то создайте настройки каналов для обоих. Также никто вас не ограничивает в их количестве. Можете сразу создать все необходимые варианты, а потом быстро их применять к текущим конфигурациям.

Следующий шаг - настройка шаблонов пересылки данных, для этого перейдем в CAPsMAN - DataPaths. Создадим новую настройку и обязательно укажем: Bridge - интерфейс сетевого моста, куда будет подключен беспроводной интерфейс после его активации. Обратите внимание, что выбранное значение применяется ко всем устройствам. В нашем случае bridge1 должен быть интерфейсом локальной сети для всех настраиваемых устройств.

Local Forwarding означает, что передачей данных между беспроводными клиентами управляет точка доступа, в противном случае все данные будут пересылаться контроллеру CAPsMAN, а обратно в беспроводную сеть будут отправляться только пришедшие от него данные. Это серьезно увеличивает нагрузку на проводной сегмент сети и должно использоваться только в тех случаях, когда вы действительно собираетесь фильтровать передаваемые данные на контроллере.

Сlient To Client Forwarding включает передачу данных между беспроводными клиентами, в гостевых сетях, в целях повышения безопасности, имеет смысл отключать.

Затем переходим в CAPsMAN - Security Cfg. и создаем новую настройку безопасности, здесь все просто, запутаться решительно негде:

После того, как вы выполнили данные настройки самое время создать конфигурацию, это можно сделать в CAPsMAN - Configurations. На вкладке Wireless указываем режим работы - Mode - ap - точка доступа. Имя беспроводной сети - SSID, Country - страна - russia3 (для России). Это основные настройки, но также можно указать и дополнительные, скажем Hw. Protection Mode - защита от скрытого узла.

На остальных вкладках указываем уже созданные нами шаблоны, хотя, как альтернатива, можно указать нужные настройки прямо тут.

Созданную нами конфигурацию нужно распространить на точки доступа, за это отвечает настройка развертывания CAPsMAN - Provisioning. Самый простой вариант будет выглядеть так: Radio MAC - везде нули, т.е. любая точка доступа, Action - create dynamic enabled - динамическое создание беспроводного интерфейса на точке доступа, Master Configuration - применяемая при создании интерфейса конфигурация.

На этом базовая настройка контроллера завершена, осталось только его включить, для этого в CAPsMAN - CAP Interface нажмите кнопку Manager и в открывшемся окне установите флаг Enabled.

Теперь перейдем к настройке точек доступа. Прежде всего убедимся, что беспроводной интерфейс не входит ни в один мост, а мост, смотрящий в локальную сеть, имеет имя bridge1, которое мы указали в настройках Datapath контроллера.

В Wireless - WiFi Interfaces нажимаем кнопку CAP и в открывшемся окне устанавливаем флаг Enabled, а также указываем: Interfaces - беспроводные интерфейсы, которые управляются CAPsMAN, если их несколько - добавляем все, Discovery Interfaces - сетевой интерфейс, через который осуществляется связь с контроллером, в нашем случае это тот же мост bridge1, но в более сложных сетях точка может работать в одной сети, а управляться через другую, поэтому стоит разделять эти понятия. Bridge - сетевой мост, куда будет подключен беспроводной интерфейс после активации.

После активации данного режима точка обнаружит контроллер и получит от него настройки, созданный интерфейс автоматически присоединится к указанному мосту, подключив беспроводную часть сети к проводной. Аналогичную настройку нужно выполнить на всех остальных точках доступа.

Вернемся на контроллер, управляемые точки доступа можно увидеть в CAPsMAN - CAP Interface, а подключенных клиентов в CAPsMAN - Registration Table, при этом будет указана точка доступа, к которой подключен клиент.

Теперь можете отправить кого-нибудь с клиентским устройством походить между точками доступа и посмотрите, как контроллер производит переключение.

Хорошо, когда все точки одинаковые и к ним можно применить одинаковые настройки, но что делать, если это не так и разные точки должны получать разные конфигурации? Нет проблем, прежде всего создадим необходимые конфигурации, а затем выясним MAC-адреса беспроводных интерфейсов точек, это можно сделать на вкладке CAPsMAN - Radio. Обратите внимание, что нам нужен именно Radio MAC.

Теперь возвращаемся на вкладку CAPsMAN - Provisioning и создаем настройки развертывания для каждой точки, указав ее Radio MAC, при этом настройку с нулевым MAC-адресом следует выключить, в противном случае к устройству применится именно она, а не персональные настройки.

На что еще стоит обратить внимание? На скриншоте выше есть две опции: Name Format и Name Prefix, они отвечают за формат имени беспроводных интерфейсов в CAPsMAN, по умолчанию это capN, что не слишком информативно, а также по мере изменения настроек номера интерфейсов могут меняться, что добавляет путаницы. Поэтому имеет смысл изменить порядок именования, если мы выберем identity, то имена интерфейсов будут формироваться согласно указанному в System - Identity имени устройства.

Если точки доступа двухдиапазонные, то можно выбрать в качестве формата имени prefix identity и указать префикс подключения, скажем, частотный диапазон, после чего имя интерфейса будет содержать не только наименование устройства, но еще и префикс, что позволит сразу идентифицировать устройство и беспроводной интерфейс в интерфейсе управления контроллера.

В данном материале мы рассмотрели далеко не все возможности CAPsMAN, ограничившись базовыми настройками для быстрого старта, более глубокая настройка требует более широких знаний и будет являться предметом отдельных статей.

Calculate Linux или "получилось как всегда..."

2020-09-30T20:50:20Z

Рассматривая российские Linux-дистрибутивы, нельзя обойти вниманием Calculate Linux. Это не просто еще один дистрибутив, а разработка, изначально нацеленная на сегмент малого и среднего бизнеса, которая включает в себя не только настольную ОС, но и Calculate Directory Server - открытую службу каталогов с достаточно широкими возможностями. Кроме того, Calculate Linux внесен в Единый реестр российских программ и при этом бесплатен. Казалось бы - бери и внедряй, но на практике далеко не так все гладко, об этом мы сегодня и поговорим.

]]> Начнем с того, что задумка и реализация экосистемы Calculate Linux действительно неплоха. Связка собственного настольного дистрибутива и службы каталогов позволяет строить централизованное и управляемое окружение с использованием таких привычных и удобный вещей как централизованное управление и установка ПО, перемещаемые профили и т.д. По-хорошему рассматривать Calculate Linux следует именно в связке с Calculate Directory Server, поэтому далее будем постоянно помнить об этом и учитывать, сталкиваясь с теми или иными решениями разработчиков.

Для ознакомления мы выбрали Cinnamon Edition версию дистрибутива, на текущий момент это выпуск 20.6, хотя говорить о выпусках будет не совсем верно, система имеет модель обновлений rolling release, т.е. будет обновляться на всем протяжении жизненного цикла.

Дистрибутив выполнен в виде LiveCD и позволяет проверить совместимость с железом и познакомиться с системой без установки. На первый взгляд еще один обычный Linux. Но это не так. В качестве основы своего продукта разработчики взяли Gentoo Linux. Решение, мягко говоря, спорное, как минимум тем, что администратору придется изучать новую для него систему, при этом полученные знания мало где пригодятся потом, все-таки Gentoo - достаточно специфичный дистрибутив.

Установщик тоже способен преподнести некоторые сюрпризы. Обратите пристальное внимание на процедуру разметки дисков, по умолчанию предлагается достаточно причудливая конфигурация. Да и расположение директорий тоже нетиповое.

Например, обратите внимание на фактическое расположение домашней директории, зачем так сделано - непонятно, но получить определенный пласт проблем определенно можно, особенно если вы затеяли расширение или еще какое-либо изменение дисковой подсистемы и ожидаете видеть все данные на привычных местах.

Пользователь по умолчанию уже заведен и называется также достаточно неожиданно - guest, при необходимости его можно переименовать сразу при установке.

В остальном установка каких-либо сложностей не вызывает у уже достаточно скоро вы можете выполнить первый вход в систему. Экран входа в систему выполнен достаточно просто, но аккуратно, без каких-либо графических изысков, в офисе всякие красивости ни к чему, а перед нами, в первую очередь, рабочая система.

Рабочий стол тоже прост, оформление выбрано в приглушенной цветовой гамме и настраивает на рабочий лад, а так перед нами типичный Cinnamon, без каких-либо фирменных доработок. В качестве альтернативы также можно использовать KDE, XFCE, Mate или LXQt.

Набор ПО из коробки небогат - самый необходимый минимум: офисный пакет, графический редактор, браузер и средства для просмотра документов и мультимедиа. Софт в меру свежий, но без фанатизма, за последними версиями никто не гонится, что для офисной системы достаточно хорошо.

Работает система достаточно хорошо, стабильно, быстро. С типичным офисным оборудованием проблем не возникло: принтеры, включая сетевые, сканеры, флешки и внешние жесткие диски, в том числе отформатированные в NTFS и exFAT определялись и работали без проблем. Сетевые настройки предусматривают большое количество готовых шаблонов для разных видов подключений.

Пока все было хорошо, но вот дальше начинаются проблемы и сложности. Никаких графических инструментов для управления пакетами в системе нет. Нет вообще, никаких. В принципе, исходя из парадигмы системы, софт должен централизованно управляться администратором, а кому нужно что-то особенное - тоже должны обратиться к нему. С точки зрения идеальной сети в идеальной организации это так. Но существуют разного рода привилегированные пользователи, начиная от руководства и заканчивая узкими специалистами, которым нужно что-то свое и они хотят иметь возможность устанавливать это сами.

А также есть небольшие организации на три-пять ПК с приходящим администратором, ну не вызывать же его каждый раз, если нужно поставить условный Viber? А установить его можно только вот так, других вариантов нет:

Для обновления присутствует графическая утилита, но погоды она не делает. А сам процесс обновления весьма долгое и ресурсоемкое действо, быстренько обновить систему с утра или после работы не получится. А нашу виртуалку, эмулирующую обычный офисный ПК - "два ядра, два гига" - это действие буквально положило на лопатки.

Это связано со своеобразным подходом Gentoo к управлению пакетами, более всего напоминающая такую во FreeBSD, а также тем, что вместо готовых бинарных пакетов система занимается их сборкой прямо на клиенте. Нельзя сказать, хорошо это или плохо. Это особенность дистрибутива и ее нужно учитывать. По этим же причинам ПО также ставится гораздо дольше чем в привычных дистрибутивах.

Но пока были только сложности, настоящие проблемы ждут нас впереди. Трудно представить современный офис без учетных систем, самой популярной из которых является 1С и разного рода систем криптографии. Как минимум будет существовать ЭЦП директора для сдачи отчетности и взаимодействия с различными госслужбами (Госуслуги, Личный кабинет ФНС и т.д. и т.п.).

Это требует установки определенного коммерческого софта, которого, по понятным причинам, нет в репозиториях, а их производители и слышать ничего про Gentoo не хотят. В большинстве случаев вам предложат на выбор DEB или RPM. Современные реалии мира Linux таковы, что именно эти две системы управления пакетами задают основной тон, все остальное проходит по части экзотики.

В принципе, это решаемо, но требует от администратора определенных знаний и умений, а также на его плечи ложится поддержка всего этого. Хотя для того-же 1С существует созданный энтузиастами репозиторий на Github, но он содержит далеко не все релизы платформ и фактически ставит в зависимость от поддерживающих его участников. Если завтра они забросят это дело, то останетесь без свежих сборок.

Но даже если администратор чувствует себя в среде Gentoo, а следовательно и Calculate, как рыба в воде, появляется иная опасность, вся инфраструктура по факту оказывается завязана на одного человека и в случае его увольнения найти замену будет на так просто, большинство Linux-специалистов знают обычно Debian или RHEL системы и не горят желанием искать себе приключений в виде Gentoo.

Целенаправленно же изучать Calculate и Gentoo в качестве основной специализации тоже не имеет особого смысла, применять на практике эти знания особо некуда, слишком уж они специфичны.

Выводы

Если смотреть на систему "в общем и целом", то и задумка, и воплощение достаточно неплохи. Но есть один момент, который практически ставит на всем жирный крест и имя этому моменту - Gentoo. Данный дистрибутив никогда не входил в мейнстрим и достаточно заслуженно считался уделом "красноглазиков". Делать на него ставку при создании офисной системы - решение достаточно неожиданное и вряд ли удачное. Коммерческого софта для него вы не найдете, да и то, что сейчас создается в рамках импортозамещения выпускается исключительно в виде DEB и RPM.

Собственно, это мы и видели, шаг вправо, шаг влево от репозитория заканчивается печально. Нет, эти сложности преодолимы, но вот нужно ли их преодолевать? И зачем? Каких-то радикальных преимуществ у Calculate нет.

Эту ситуацию неплохо иллюстрируют обои из состава дистрибутива. Два пингвина одиноко и без особого энтузиазма ловят рыбу, а вокруг тоска зеленая:

Действительно, реальных перспектив у Calculate Linux нет и тут не поможет ни включение в реестр, ни что-либо еще. Проблема одна, но существенная - пакетная база Gentoo, что делает систему сферической ОС в вакууме, вроде бы и все хорошо, только вот что с ней делать - решительно непонятно.

Корпоративный сектор, хоть коммерческий, хоть бюджетный, это не то место, где согласятся с тем, что работоспособность и поддержка ПО завязана исключительно на одного человека - администратора, которому, к тому же, будет крайне нелегко найти замену.

А небольшому бизнесу такая система тем более неинтересна, ведь есть гораздо более дружелюбные Ubuntu или Mint, либо ROSA или ALT, если нужно непременно отечественное ПО.

Основы iptables для начинающих. Часть 2. Таблица filter

2020-09-25T19:36:34Z

Продолжение цикла статей о брандмауэре iptables начнем с изучения таблицы filter, как наиболее простой и часто используемой. Ее назначение ясно уже из названия и именно в ней выполняются основные действия по фильтрации трафика и именно с этими действиями у многих связано само понятие брандмауэра. Но несмотря на простоту, именно настройки этой таблицы отвечают за сетевую защиту узла или целой сети и поэтому к ее изучению следует подойти предельно внимательно.

]]> Итак - таблица filter, это одна из пяти таблиц iptables, но при этом имеющая определенные отличия. Ее смело можно назвать таблицей по умолчанию, так как если мы не указываем таблицу, то подразумевается, что мы имеем дело с filter. Данная таблица содержит три цепочки: INPUT, OUTPUT и FORWARD - для входящего, исходящего и транзитного трафика узла. Более подробно о таблицах, цепочках и порядке их прохождения вы можете узнать из предыдущего материала цикла, здесь мы не будем уделять этому повышенного внимания.

Как мы должны помнить, таблицы содержат цепочки, цепочки - правила, а сами правила состоят из критериев, действия и счетчика. Начнем с действий. Основных действий в таблице filter три, все они терминальные:

ACCEPT - пропускает пакет, прохождение пакета по цепочке прекращается
REJECT - блокирует пакет и сообщает источнику об отказе
DROP - блокирует пакет, не сообщая источнику об отказе

Два последних действия заслуживаю особого пояснения, так как многие часто используют просто DROP. Для чего нужно сообщать источнику об отказе? Чтобы он понимал, что запрашиваемый узел недоступен и прекращал попытки соединения с ним. Если этого не сделать, то хост будет пытаться соединиться с узлом пока не истечет таймаут соединения. Скажем, если мы попробуем обратиться к заблокированному веб-узлу через браузер, то получив сообщение об отказе он практически сразу выведет сообщение, что узел недоступен, в противном случае будет достаточно долго пытаться установить соединение, что не добавит пользователю ясности и понимания происходящего.

Поэтому для внутренних сетей всегда следует использовать REJECT, а для внешних - DROP, так как это позволяет понизить информативность для злоумышленников, не передавая в их распоряжение лишней информации о работе вашей сети.

С действиями ясно, перейдем к критериям. Критерии - это логическое выражение которому должен соответствовать пакет, если критериев несколько, то они объединяются с помощью логического И. Также перед критерием может стоять знак отрицания - !, в этом случае критерий объединяется при помощи логического И-НЕ.

Критерии делятся на универсальные, которые могут быть применены к любым пакетам, специфичные для протоколов и требующие подключения внешних модулей.

Универсальные критерии:

-i, --in-interface имя_интерфейса - определяет входящий сетевой интерфейс, если имя интерфейса указано как ppp+, то подразумеваются все интерфейсы, начинающиеся на указанное имя.
-o, --out-interface имя_интерфейса - определяет исходящий сетевой интерфейс, по синтаксису аналогичен критерию -i.
-s, --src, --source адрес[/маска] ,адрес[/маска]... - определяет адрес отправителя пакета, может быть указана в виде IP-адреса, подсети (в формате адрес/маска), в качестве имени из /etc/hosts или DNS-имени. В последнем случае имя будет разрешено в адрес в момент добавления правила. На практике не рекомендуется использовать эту возможность, так как на момент применения правил служба DNS может оказаться недоступной. Начиная с версии 1.4.6 iptables позволяет указывать несколько значений адресов источников, разделяя их запятыми.
-d, --dst, --destination адрес[/маска] ,адрес[/маска]... - определяет адрес получателя пакета, синтаксис тот же.
-p, --protocol протокол - определяет протокол транспортного уровня, можно указать номер либо наименование протокола в том виде, в котором они приведены в /etc/protocols.

Рассмотрим практические примеры. Начнем с самых простых. Разрешим весь трафик с интерфейса ens33 и запретим с ens34:

iptables -A INPUT -i ens33 -j ACCEPT
iptables -A INPUT -i ens34 -j DROP

Команда iptables -A добавляет новое правило в конец указанной цепочки. Обратите внимание, что критерий -i можно использовать только в цепочках INPUT и FORWARD, а -o - в FORWARD и OUTPUT.

Немного усложним задачу:

iptables -A INPUT -i ens33 -s 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i ens33 -s 192.168.2.51 -j DROP
iptables -A FORWARD -i ens33 -d 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -o ens34 -s 192.168.1.0/24 -d 8.8.8.8 -j REJECT

Первое правило разрешает доступ к хосту через интерфейс ens33 любым пакетам из сети 192.168.0.0/24, второе запрещает доступ от узла 192.168.2.51. Третье разрешает транзитный трафик, который пришел на интерфейс ens33 и предназначен сети 192.168.1.0/24. Последнее запретит трафик из сети 192.168.1.0/24 к узлу 8.8.8.8 через интерфейс ens34 и уведомит об отказе источник.

Таким образом, комбинируя критерии можно строить достаточно сложные правила, позволяющие достаточно гибко управлять трафиком. Отдельно коснемся возможности указывать в критериях -s и -d сразу нескольких IP-адресов. Указанные таким образом адреса объединяются при помощи логического ИЛИ, т.е. запись с несколькими адресами будет эквивалентна нескольким записям с одним адресом. Например:

iptables -A INPUT -i ens33 -s 192.168.0.0/24,  192.168.1.0/24,  192.168.2.0/24 -j ACCEPT

Эквивалентна набору записей:

iptables -A INPUT -i ens33 -s 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i ens33 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -i ens33 -s 192.168.2.0/24 -j ACCEPT

При использовании сразу нескольких адресов в обоих критериях следует проявлять разумную осторожность, так как такая запись будет являться набором записей со всеми возможными комбинациями указанных адресов.

Скажем:

iptables -A FORWARD -o ens34 -s 192.168.1.0/24, 192.168.2.0/24  -d 1.1.1.1, 8.8.8.8 -j REJECT

Фактически является набором записей:

iptables -A FORWARD -o ens34 -s 192.168.1.0/24  -d 1.1.1.1 -j REJECT
iptables -A FORWARD -o ens34 -s 192.168.1.0/24  -d 8.8.8.8 -j REJECT
iptables -A FORWARD -o ens34 -s 192.168.2.0/24  -d 1.1.1.1 -j REJECT
iptables -A FORWARD -o ens34 -s 192.168.2.0/24  -d 8.8.8.8 -j REJECT

В ряде случаев, как в данном примере, это удобно. В некоторых иных может приводить к появлению неожиданных комбинаций, которые не предполагались изначально и могут либо нарушить работу сети, либо создать уязвимые участки, предоставляя доступ там, где это не нужно.

Все примеры, которые мы рассмотрели выше, являются универсальными и применяются к любому транспортному протоколу. Для указания протокола используется критерий -p, например:

iptables -A INPUT -i ens33 -p tcp -j ACCEPT

Также это можно записать как:

iptables -A INPUT -i ens33 -p 6 -j ACCEPT

Используя вместо tcp номер протокола - 6.

Но само по себе указание протокола обычно не имеет большого значения без использования специфичных для протоколов критериев. Разберем наиболее часто используемые из них:

--sport, --source-port порт[:порт] - указывает порт или диапазон портов источника.

--dport, --destination-port порт[:порт] - аналогично, но для порта или диапазона портов назначения.

Например:

iptables -A FORWARD -o ens34 -p udp --dport 53 -s 192.168.2.0/24 -d 8.8.8.8 -j REJECT

Мы уточнили уже существующее правило, которое теперь блокирует не все соединения к узлу 8.8.8.8 из сети 192.168.2.0/24, а только DNS-запросы (порт 53) по протоколу UDP.

А вот такое правило:

iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 62000:62200 -j ACCEPT

Разрешит любые входящие подключения к диапазону портов 62000 - 62200 по протоколу TCP из сети 192.168.2.0/24.

А как быть, если нужно указать несколько портов? В этом случае нам понадобится подключение внешнего модуля multiport. Это делается при помощи указания параметра -m. Специфичными для этого модуля критериями являются --sports, --source-ports и --dports, --destination-ports, не путать с --sport и --dport, которые имеют такой же синтаксис, но позволяют указывать порты или диапазоны портов через запятую. Порты внутри критерия объединяются через логическое ИЛИ.

Для примера приведем типовое правило, разрешающее доступ к веб-серверу:

iptables -A INPUT -p tcp -m multiport --dports 80, 443 -j ACCEPT

Немного иное правило, запретим доступ к веб-серверу всем, кроме узлов локальной сети:

iptables -A INPUT !-s 192.168.2.0/24 -p tcp -m multiport --dports 80, 443 -j DROP

Здесь мы использовали критерий с отрицанием, который буквально читается как: запретить доступ к TCP-портам 80 и 443 всем, кроме сети 192.168.2.0/24. Без отрицания нам бы пришлось написать два правила:

iptables -A INPUT -s 192.168.2.0/24 -p tcp -m multiport --dports 80, 443 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80, 443 -j DROP

Указанные нами критерии являются наиболее универсальными, в тоже время существуют критерии, относящиеся к какому-то отдельному протоколу, мы не будем подробно на них останавливаться, при необходимости обратитесь к документации по iptables. Так для TCP это могут быть критерии --tcp-flags для проверки TCP-флагов пакета, а для ICMP - --icmp-type, определяющий тип ICMP пакета, скажем правило:

iptables -I INPUT -p icmp --icmp-type echo-request -j ACCEPT

Разрешит только входящие эхо-запросы (пинги).

К полезным в повседневной деятельности внешним модулям, кроме multiport, следует отнести iprange и mac, которые позволяют указывать диапазоны IP-адресов не являющиеся сетью и MAC-адреса. Для iprange критериями являются --src-range и --dst-range, которые задают диапазон адресов источника или назначения, а для mac - --mac-source, определяющий MAC-адрес источника.

Например:

iptables -A FORWARD -o ens34 -p udp --dport 53 -m iprange --src-range 192.168.2.100-192.168.2.199 -d 8.8.8.8 -j REJECT

Данное правило запретит DNS-запросы к узлу 8.8.8.8 для устройств с адресами в диапазоне 192.168.2.100-192.168.2.199.

А вот такое правило:

iptables -A INPUT -i ens33 -p UDP --sport 68 --dport 67 -m mac --mac-source 00:0C:29:77:E0:29 -j ACCEPT

Разрешает получение сетевых настроек только от доверенного DHCP-сервера с физическим адресом 00:0C:29:77:E0:29.

Еще одним важным внешним модулем является conntrack, позволяющий контролировать состояние соединения, в частности нас будет интересовать критерий --ctstate, ранее в этом качестве использовался модуль state c с критерием --state, но в современных системах его использование не рекомендуется.

Критерий --ctstate позволяет отслеживать состояние соединения, которое может принимать следующие значения:

NEW - пакет является первым в соединении, соединение еще не установлено.
ESTABLISHED - пакет относится к уже установленному соединению.
RELATED - первый пакет для соединения связанного с уже установленным, например, открытие канала передачи данных для FTP.
INVALID - пакет, не принадлежащий ни одному соединению в системе и не являющийся первым пакетом соединения.

Также можно дополнительно отслеживать следующие состояния:

DNAT - соединение подверглось операции подмены адреса назначения
SNAT - соединение подверглось операции подмены адреса источника

Рассматривать работу этого модуля лучше на реальных примерах, поэтому попробуем создать базовую настройку брандмауэра для некого условного сервера, имеющего на борту веб-сервер, пассивный FTP и SSH для удаленного управления.

Существует два варианта настройки брандмауэра: нормально открытый (разрешено все, что не запрещено) и нормально закрытый (запрещено все, что не разрешено). Нормально открытый брандмауэр обычно используется только со стороны доверенных сетей, во всех остальных случаях следует использовать нормально закрытый брандмауэр.

Исходя из этих соображений на ум приходит достаточно просто набор правил:

iptables -A INPUT -i ens33 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -i ens33 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i ens33 -p tcp -m multiport --dports 80, 443 -j ACCEPT
iptables -A INPUT -i ens33 -j DROP

Казалось бы, все верно, но FTP-сервер с такой настройкой работать не будет, так как в пассивном режиме он открывает второе соединение на динамических портах, которых в разрешающих правилах нет. Можно, конечно, указать этот диапазон отдельно, но лучше поступить иначе и вспомнить о таком состоянии соединения как RELATED. Второй момент - правил может быть много, а пакет последовательно проходит все правила в цепочке до совпадения условий, вызывая повышенную нагрузку на процессор, что может быть очень актуально для маломощных устройств. Поэтому вспоминаем об еще одном состоянии соединения - ESTABLISHED.

Общий смысл следующего действия такой: если соединение уже установлено, следовательно оно было разрешено брандмауэром и дополнительно проверять его на совпадение условий не нужно. Все связанные с уже установленными новые соединения также можно разрешать, дополнительных проверок они не требуют. Поэтому самым первым правилом в цепочке мы должны поставить:

iptables -A INPUT -i ens33 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Это позволит резко снизить нагрузку на систему, так как все относящиеся к установленным соединениям пакеты будут пропускаться этим правилом, без предварительных проверок, также сразу снимется проблема связанных соединений, они также будут разрешаться автоматически.

Вторым после него правилом можно указать:

iptables -A INPUT -i ens33 -m conntrack --ctstate INVALID -j DROP

Что позволит сразу отбрасывать все не принадлежащие существующим соединениям пакеты, а также исключить некоторые виды атак.

Если следовать данной логике и дальше, то можно изменить разрешающие правила следующим образом:

iptables -A INPUT -i ens33 -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT

В этом случае будут пропускаться только первые пакеты соединений. На первый взгляд особой разницы с обычной записью, без уточнения состояния тут нет, в любом случае по правилу будет проходить только первый пакет, а остальные пойдут как ESTABLISHED, но в ряде случаев через просто правило может проскочить и соответствующим образом подготовленный INVALID пакет, переведя соединение в ESTABLISHED, с явным указанием соединения такого уже не произойдет.

Если наш сервер является еще и маршрутизатором (роутером), то потребуется настроить также цепочку FORWARD, в простейшем случае это два правила:

iptables -A FORWARD -i ens33 -o ens34 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i ens33 -o ens34 -j DROP

Отдельного разговора заслуживает проброс портов. Многие ошибочно считают, что разрешать такие подключения следует в цепочке INPUT, однако это неверно, так как прежде такой пакет попадет в цепочку PREROUTING таблицы nat и его адрес назначения будет изменен на адрес конечного узла в локальной сети. Поэтому разрешающее правило должно выглядеть так:

iptables -A FORWARD -i ens33 -o ens34 -d 192.168.2.220 -p tcp --dport 3389 -j ACCEPT

Где в качестве узла назначения указываем внутренний адрес узла, на который мы пробрасываем порт. Также стоит обратить внимание на еще один момент, если мы делаем проброс с изменением номера порта, скажем для 192.168.2.220 делаем проброс 3389 -> 3389, а для 192.168.2.221 3390 -> 3389, то в обоих правилах мы должны будем указать один и тот же порт - порт назначение, т.е. 3389:

iptables -A FORWARD -i ens33 -o ens34 -d 192.168.2.220 -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -i ens33 -o ens34 -d 192.168.2.221 -p tcp --dport 3389 -j ACCEPT

Либо можно сделать короче:

iptables -A FORWARD -i ens33 -o ens34 -d 192.168.2.220, 192.168.2.221 -p tcp --dport 3389 -j ACCEPT

Таким образом минимальная конфигурация брандмауэра будет выглядеть так:

#Разрешаем уже установленные и связанные соединения
iptables -A INPUT -i ens33 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#Разрешаем входящий SSH
iptables -A INPUT -i ens33 -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT

#Запрещаем остальные входящие соединения
iptables -A INPUT -i ens33 -j DROP

#Разрешаем уже установленные и связанные транзитные соединения  WAN -> LAN
iptables -A FORWARD -i ens33 -o ens34 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#Запрещаем остальные транзитные соединения WAN -> LAN
iptables -A FORWARD -i ens33 -o ens34 -j DROP

Это тот, необходимый каркас вокруг которого будут выстраиваться все остальные правила. При их создании следует придерживаться следующих принципов: все правила, относящиеся к одной цепочке, должны быть записаны рядом, это облегчает чтение и понимание конфигурации. Правила описывающие более частные случаи должны располагаться выше более общих. При создании правил всегда обращайте внимание на последнее действие в цепочке и действие по умолчанию.

В заключение хотелось бы коснуться распространенных ошибок. Одна из них - это правила-пустышки, которые разрешают или запрещают то, что уже разрешено/запрещено. Яркий пример:

iptables -A FORWARD -i ens33 -o ens34 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i ens34 -o ens33 -j ACCEPT
iptables -A FORWARD -i ens33 -o ens34 -j DROP

Второе правило представляет типичную пустышку. Запрещающего правила для трафика от ens34 к ens33 нет, по умолчанию цепочка FORWARD имеет действие ACCEPT, т.е. мы разрешаем то, что и так разрешено. Особого вреда от этого нет, кроме повышенной нагрузки на оборудование.

Единственная пустышка, которую следует применять - это разрешение доступа к устройству первой строкой конфигурации, даже если это разрешено по умолчанию. Таким образом вы страхуетесь от того, что, изменив какие-либо правила, либо добавив новые вы потеряете контроль над устройством.

Вторая ошибка - лжеправила, обычно это вычитанные где-то в интернете конструкции, содержащие массу непонятных параметров, скажем TCP-флаги и позиционирующиеся как "защита от атак" и т.д. и т.п. В лучшем случае это будет очередная пустышка, в худшем такое правило может нарушить нормальную работу сети. То же самое касается правил с лимитами, квотами и т.п. конструкциями. Общий принцип здесь простой: если вы не понимаете, что делает то или иное правило - оно вам не нужно.

Ну и классика жанра - неверное расположение правил. Часто это происходит не сознательно, а от неправильно или неявно заданных параметров. Допустим:

iptables -A FORWARD -i ens33 -o ens34 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -j REJECT

На первый взгляд все должно работать, но если сеть 192.168.1.0/24 расположена за адаптером ens33, то данная конструкция работать не будет, так как прежде запрещающего правила по адресу у вас стоит разрешающее правило по интерфейсу.

Поэтому вспоминаем совет: более частные правила ставить выше более общих. Сеть - более узкий критерий, нежели интерфейс (за которым может быть несколько сетей), поэтому такие правила должны быть указаны раньше.

К этой же категории относится и составление правил без учета последнего правила в цепочке или действия по умолчанию. Допустим перед нами стоит задача разрешить транзитный трафик из сети за ens33 в сеть за ens34 только для подсети 192.168.2.0/24. Для правильного ее решения нам нужно знать тип брандмауэра со стороны исходящей сети и проверить весь набор правил. Если брандмауэр нормально закрытый, т.е. у нас написано что-то наподобие

iptables -A FORWARD -i ens33 -o ens34 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
...
iptables -A FORWARD -i ens33 -o ens34 -j DROP

То мы просто можем добавить:

iptables -A FORWARD -i ens33 -o ens34 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i ens33 -o ens34 -s 192.168.2.0/24 -j ACCEPT
...
iptables -A FORWARD -i ens33 -o ens34 -j DROP

Иначе, если брандмауэр нормально открытый, что в порядке вещей для доверенных сетей, такое правило окажется пустышкой (запрещающего правила нет, а по умолчанию и так стоит ACCEPT) и работать не будет. В этом случае вам понадобится совсем иная конструкция:

iptables -A FORWARD -i ens33 -o ens34 ! -s 192.168.2.0/24 -j REJECT

Если же применить ее в предыдущей конфигурации, то данное правило тут же станет пустышкой. Это хороший пример того, как работающие в одной ситуации правила в другом контексте полностью теряют свой смысл. Это всегда следует учитывать при копировании правил из чужих конфигурации или примеров в интернете, а также обращаясь за помощью на форумах, потому что рассматривать конфигурацию брандмауэра нужно с учетом всех правил в цепочке и их взаимного расположения.

В данном материале мы рассмотрели только базовые возможности таблицы filter, оставив за скобками многие продвинутые вещи, скажем, лимиты. Это обусловлено предназначением статьи прежде всего для начинающих, а применение сложных параметров требует определенного уровня знаний, поэтому мы будем следовать в подаче материала от простого к сложному и непременно коснемся этих параметров в будущих статьях цикла.

Перенос сертификатов и закрытых ключей CryptoPro хранящихся в реестре

2020-09-21T20:23:38Z

КриптоПро один из наиболее широко используемых криптопровайдеров на территории Российской Федерации, он широко используется в системах электронного документооборота, сдачи отчетности и взаимодействия с государственными органами, поэтому встретить его можно практически в любой организации. По этой причине у системных администраторов часто встает вопрос его переноса на другой ПК. А так как криптография является для многих сложной и непонятной областью, то эта простая задача может вызвать некоторые затруднения.

]]> Если вы ранее не сталкивались с криптографией вообще, то рекомендуем прочитать нашу статью: Введение в криптографию. Общие вопросы, проблемы и решения. Здесь мы не будем углубляться в теорию, но приведем некоторый необходимый ликбез.

В повседневной деятельности широко распространено понятие "сертификат", им оперируют все, от сотрудников удостоверяющих центров, то бухгалтеров, работающих с ЭЦП. Часто можно услышать что-то подобное: "нам купили в бухгалтерию новый компьютер, нужно перенести сертификаты". Но если подходить с точки зрения криптографии, то слово "сертификат" в данном случае употребляется неправильно. Вся современная криптография строится вокруг инфраструктуры открытых ключей (PKI), которая подразумевает наличие у каждого участника ключевой пары: открытого и закрытого ключа.

Закрытый ключ является секретным, с его помощью мы можем подписывать документы, шифровать информацию и т.д. и т.п. Закрытый ключ Усиленной квалифицированной электронной подписи (УКЭП) равнозначен нотариально заверенной подписи и его попадание в чужие руки может привести к самым тяжелым последствиям.

Открытый ключ, дополненный некоторыми дополнительными данными, выпускается в форме сертификата и является публично доступным, с его помощью можно проверить действительность цифровой подписи, выполненной закрытым ключом или убедиться в подлинности участника обмена электронными документами.

Поэтому, когда мы говорим о переносе "сертификатов", то подразумеваем необходимость перенести ключевую пару: закрытый ключ и сертификат, перенос одних только сертификатов не принесет успеха, криптография на новом узле работать не будет.

Выяснив этот момент, перейдем к хранилищам закрытых ключей. КриптоПро предполагает в таком качестве токены, флеш-накопители и системный реестр. Токены являются наиболее защищенными устройствами, извлечь закрытый ключ из них невозможно, и вы можете не опасаться несанкционированного копирования (для этого закрытый ключ должен быть помечен как неэкспортируемый). Флеш-накопители представляют некий компромисс между безопасностью и мобильностью, а реестр удобен в тех случаях, когда на одном ПК нужно одновременно работать с большим количеством ключей. И именно с ним связаны определенные сложности при переносе на другой узел.

Экспорт ключей и сертификатов

Для того, чтобы правильно экспортировать закрытые ключи, нам нужно выяснить идентификатор безопасности (SID) текущего пользователя (который работает с ЭЦП), это можно сделать командной:

wmic useraccount where name='%username%' get sid

Затем откроем редактор реестра и перейдем в ветку для 32-битных систем:

HKEY_LOCAL_MACHINE\SOFTWARE\Crypto Pro\Settings\Users

для 64-битных систем:

\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Settings\Users

Найдем и раскроем раздел с SID текущего пользователя и экспортируем оттуда ветку Keys.

Обратите внимание, что данная ветка содержит закрытые ключи, поэтому следует принять все меры безопасности и не передавать файл экспорта по открытым каналам связи и вообще исключить к нему несанкционированный доступ посторонних лиц.

После чего скопируем все сертификаты, расположенные по пути

%USERPROFILE%\AppData\Roaming\Microsoft\SystemCertificates\My\Certificates

Это открытые ключи, никакой секретности они не представляют, поэтому просто копируем их любым доступным способом.

Импорт ключей и сертификатов

Прежде всего установим на новый узел КриптоПро, обратите внимание, что переносить ключи и сертификаты следует между одинаковыми версиями. В противном случае либо обновите версию КриптоПро на старой системе, либо установите старую версию на новой и обновите ее уже после переноса ключевых пар.

Затем снова узнаем SID пользователя, который будет работать с ЭЦП, если это текущий пользователь, то снова выполните:

wmic useraccount where name='%username%' get sid

В противном случае:

wmic useraccount where name='Name' get sid

где Name - имя пользователя.

После чего откройте на редактирование файл реестра с экспортированными закрытыми ключами и замените в нем все вхождения старого SID на SID нового пользователя.

Сохраните файл и импортируйте его в реестр. Закрытые ключи перенесены, файл переноса в целях безопасности следует удалить.

Следующим шагом скопируйте сохраненные сертификаты в

%USERPROFILE%\AppData\Roaming\Microsoft\SystemCertificates\My\Certificates

После чего можно устанавливать и настраивать приложения работающие с криптографией, все будет работать.

Как быть если доступ к старой системе невозможен?

Теория - это хорошо, но практика может подкинуть самые неожиданные ситуации. Как быть, если доступ к старой системе невозможен? Скажем вышла из строя материнская плата или серьезно повреждена операционная система?

Все что нам нужно в таком случае - это доступ к файловой системе старой системы. Вы можете как напрямую подключить жесткий диск к новой системе, так и загрузиться при помощи консоли восстановления или любого более продвинутого инструмента, скажем MSDaRT.

С копированием сертификатов проблемы возникнуть не должно, их хранилище простая папка на диске, а вот с хранилищем закрытых ключей в реестре немного сложнее. Но не будем забывать, что системный реестр тоже хранится в файлах на диске. Вам следует любым доступным образом скопировать файл SOFTWARE из C:\Windows\System32\config

Затем на целевой системе откройте редактор реестра, перейдите в раздел HKEY_LOCAL_MACHINE и через Файл - Загрузить куст подключите скопированный из старой системы раздел реестра. Дайте ему осмысленное имя, скажем OLD_SOFTWARE.

После чего пройдите в раздел с закрытыми ключами (с учетом новой точки монтирования) и выполните экспорт ветки Keys.

Дальнейшие действия ничем не отличаются от описанных нами в разделе Импорт ключей и сертификатов.

Особенности подключения ККТ АТОЛ на платформе 5.0

2020-09-20T16:41:47Z

Требования законодательства к ККТ постоянно меняются, объем передаваемых в ОФД данных расширяется, кроме фискальных данных современные ККТ также должны передавать коды маркировки, которая внедряется все шире и шире. Но и разработчики ККТ не стоят на месте, на так давно компания АТОЛ представила принципиально новую платформу ПО для ККТ - 5.0, которая разработана с учетом всех современных требований. Вместе с новой платформой были пересмотрены и некоторые уже привычные решения по взаимодействию с ККТ, о которых мы сегодня и поговорим.

]]> Чтобы понять, что такое платформа 5.0 и для чего она нужна сделаем краткий экскурс в историю. ККТ старого образца использовали платформу 2.0, предназначенную для работы с ЭКЛЗ, в выходом 54ФЗ и появлением онлайн-касс платформа 2.0 была доработана под новые требования и стала называться платформа 2.5. Именно ее продолжали и продолжают использовать большинство ККТ АТОЛ.

Но устаревшая платформа несет много ограничений и не позволяет эффективно реализовывать новые требования, поэтому разработчики решили разработать полностью новое ПО только под современные требования. Так появилась платформа 5.0, за счет отказа от поддержки устаревших стандартов и принципиально новой архитектуре она быстрее работает и эффективнее справляется со своими задачами, облегчая жизнь как пользователям, так и разработчикам кассового ПО.

Многие функции, которые раньше обеспечивались средствами прикладного или дополнительного ПО перешли в саму кассу, например, разбор марки, теперь этим занимается сама ККТ, что значительно упрощает задачу разработчикам и пользователям, которые станут меньше зависеть от реализации поддержки нововведений в их программах.

В настоящий момент разработка платформы 2.5 прекращена, а с 2021 года прекратится ее поддержка. В настоящий момент все актуальные ККТ поставляются с платформой 5.0.

Как узнать платформу ККТ?

Узнать версию текущего ПО ККТ можно разными способами, самый простой - распечатать чек информации: Отчеты - 5 - Печать информации о ККТ.

Интересующая информация будет напечатана на кассовой ленте:

Если вам требуется получить данную информацию удаленно, можно выполнить запрос JSON, для этого перейдите в Работа с json и в поле Задание введите:

{
"type": "getDeviceInfo"
}

Результатом будет набор информации о ККТ включающий в себя номер прошивки:

Настройка EoT (EthernetOverTransport)

Серьезное изменение коснулось передачи данных в ОФД для касс без прямого сетевого подключения. Платформа 2.5 использовала для этой цели технологию EoU (EthernetOverUSB), которая подразумевала использование стороннего ПО для взаимодействия с кассой и отправке данных из нее в ОФД.

Несмотря на то, что EoU показала себя достаточно надежной технологией, лишнее ПО в системе - это лишняя точка отказа, да и с точки зрения кроссплатформенности, к которой стремится АТОЛ, это выглядело не самым лучшим решением. Поэтому была реализована новая технология передачи данных EoT(EthernetOverTransport), которая может использовать любое подключение к хосту и не требует дополнительного ПО. Теперь ККТ сама передает данные в ОФД, единственное условие - кассовое ПО должно сохранять постоянное подключение к ККТ. Все настройки подключения к ОФД также выполняются в самой кассе. Это удобно, не нужно никакого дополнительного ПО, достаточно просто установить драйвер ККТ и подключить устройство.

Отличительной чертой устройств на платформе 5.0 при подключении их к ОС Windows является только один виртуальный COM-порт, который используется для взаимодействия с кассовым ПО, работа с EoU на прошивках 5.7.0 не поддерживается. На Linux ККТ по-прежнему подключается через USB, но работа с EoU также невозможна.

Это можно заметить в выпадающем списке выбора канала обмена, теперь там доступны только сетевые способы и EoT.

Сама же настройка EoT достаточно проста, вам потребуется указать в пункте 15 параметров ККТ адрес и порт используемого вами ОФД.

Будьте внимательны, отмечены случаи, когда порт ОФД сохранялся не с первого раза, поэтому рекомендуем тщательно проверять настройки перед началом эксплуатации кассы. Также можете пробить пробный чек, либо открыть или закрыть смену (проще говоря создать любой фискальный документ), а затем проверить состояние отправки документов в ФН - 1 -Статус информационного обмена. Количество непереданных документов должно быть равно нулю (на скриншоте отчет тестовой кассы с МГМ которая не осуществляет передачу данных).

Для проверки связи с ОФД можете выполнить Отчеты - 6 - Тест связи с ОФД, результат диагностики будет распечатан на кассовой ленте.

В ряде случаев может быть полезно ознакомиться с логом службы, который находится в:

%USERPROFILE%\AppData\Roaming\Atol\drivers10\logs\ofd.log

Со стороны кассового ПО, в нашем случае это 1С, требуется поддержка постоянного соединения с кассой, это уже реализовано в последних версиях компоненты, остается убедиться, что вы используете версию не ниже 10.6.2.0. Однако здесь тоже может быть не все так просто, рекомендуем внимательно ознакомиться с нашей статьей: 1С:Предприятие 8. Исправляем ошибку "Некорректный код защиты / лицензия или номер" для ККТ АТОЛ.

EoU возвращается?

Как мы уже говорили, для работы EoT требуется поддержка со стороны кассового ПО, а именно поддержание постоянного соединения с ККТ. Но как показала практика не все разработчики смогли вовремя выпустить обновления и у многих возникли трудности с применением касс на платформе 5.0. Поэтому в прошивке 5.7.10 работа с EoU была возвращена, также обязательным условием является использование драйвера 10.8.0.0.

В диспетчере задач ККТ с данной прошивкой снова определяются двумя виртуальными COM-портами:

Но говорит ли это о том, что АТОЛ возвращает EoU и отказывается от EoT? Нет, в описании изменений прошивки 5.7.10 прямо указано:

Список изменений v. 5.7.10
Добавлен интерфейс EoU для завершения миграции;

Возвращение EoU временное, для того чтобы пользователи спокойно могли завершить миграцию на платформу 5.0, а у разработчиков было время спокойно выпустить обновления с полноценной поддержкой платформы 5.0.

Поэтому если ваше кассовое ПО позволяет использовать EoT уже сейчас, то следует использовать именно его, так как переходить на него все равно придется и лучше это сделать спокойно сейчас, чем пытаться все сделать в самый последний момент.

Настройка сети в Linux при помощи Netplan

2020-08-28T17:01:22Z

Внедрение новых технологий всегда вызывает определенные сложности и часто порождает недоверие и отторжение. Отчасти это оправдано, здравый консерватизм в системном администрировании только приветствуется, но при этом нужно идти в ногу со временем, чтобы не остаться на обочине технологий. Сегодня мы разберем базовые основы работы с netplan - новой утилитой для настройки сети в Ubuntu, которая определяет новый подход к управлению сетевыми настройками системы.

]]> Ну вот, очередной "велосипед" - может сказать некто, но будет неправ. Чтобы понять почему нам следует сделать краткое отступление и рассмотреть системы управления сетевыми настройками в современных дистрибутивах Linux. Сегодня основных систем две: systemd-networkd и NetworkManager, также для совместимости везде поддерживается ifupdown с привычными каждому настройками в /etc/network/interfaces.

Многие по привычке продолжают использовать ifupdown, но это может привести к самым неожиданным последствиям, для примера рекомендуем прочесть заметку нашего коллеги Василия Алексеенко. Нравится нам это или нет, но ifupdown уходит в историю и нужно начинать использовать современные методы управления сетью. При этом systemd-networkd и NetworkManager настраиваются по-разному и в разных местах хранят свои настройки, а завтра появится что-то еще...

И вот здесь на сцену выходит Netplan - новый уровень абстракции над сетевыми менеджерами. Он предполагает, что мы описываем нужную нам сетевую конфигурацию в единой унифицированной форме, с применением языка YAML, которая затем, при помощи Netplan, конвертируется в настройки для одного из поддерживаемых менеджеров. Это позволяет один раз описать нужную сетевую конфигурацию, а затем переносить ее между системами не сильно задумываясь что там "под капотом".

В настоящее время Netpaln используется по умолчанию в Ubuntu и может быть установлен в Debian и других, основанных на этих дистрибутивах системах. Это можно сделать командой:

apt install netplan

при условии, конечно, что данный пакет есть в репозитории вашего дистрибутива.

Конфигурация Netplan описывается при помощи специального языка разметки YAML, ключевой особенностью которого является использование отступов для формирования структуры полей, поэтому сразу забудьте о табуляции, правилами хорошего тона является использование двух или четырех пробелов.

Структура YAML файла состоит из полей и их значений, которые отделяются двоеточием, в качестве значения могут выступать числа, строки, списки или другие поля. Например:

поле0:
  поле1:значение1
  поле2:
    -элементсписка1
    -элементсписка2

В приведенном выше примере поле0 содержит поля 1 и 2 (структура определяется отступами), которые в свою очередь содержат значение и список значений. Ниже мы рассмотрим описания типовых конфигураций сети в Netplan. Все конфигурационные файлы Netplan хранятся в директории /etc/netplan, имя файла может быть любым, обязательно расширение .yaml, если файлов несколько, то они обрабатываются в алфавитном порядке. Это важный момент если у вас в разных файлах описаны зависящие друг от друга настройки, скажем, основного интерфейса и туннеля через него.

Автоматическое получение сетевых настроек по DHCP

Самая простая сетевая конфигурация, описывается следующим образом:

network: 
  version: 2 
  renderer: networkd 
  ethernets:
    ens33:
      dhcp4: true

Первое поле указывает, что мы настраиваем сеть, далее указывается версия YAML и рендер, т.е. какой сетевой менеджер будет использоваться, если эта опция не указана, то подразумевается networkd, хотя мы советуем указывать ее явно. Альтернативным значением является NetworkManager, обратите внимание на регистр написания.

Поле ethernets содержит настройки проводных интерфейсов, в качестве значений выступают поля с именами интерфейсов, которые содержат поля с настройками. Для включения DHCP по протоколу IPv4 используется опция dhcp4, в которой можно указать как true/false, так и yes/no.

Если вы используете в качестве DHCP-сервера Windows Server то следует добавить еще одну опцию:

ens33:
  dhcp4: true
  dhcp-identifier: mac

Данная настройка предписывает использовать в качестве идентификатора узла MAC-адрес.

Настройка статического IP-адреса

Немного более сложная конфигурация, но если помнить о структуре YAML-файла, то она очень легко создается и легко читается.

network:
  version: 2 
  renderer: networkd 
  ethernets: 
    ens33: 
      dhcp4: false 
      addresses: [192.168.233.154/24] 
      gateway4: 192.168.233.2 
      nameservers:
        addresses: [1.1.1.1, 8.8.8.8]

Общие поля мы рассматривать не будем, перейдем сразу к настройкам интерфейса. В поле dchp4 прописываем значение false, так как мы не используем DHCP. Поле addresses подразумевает список значений, которые заключаются в квадратные скобки и перечисляются через запятую, скобки обязательны, даже если значение одно. Формат записи IP-адреса: адрес/префикс, префикс /24 соответствует маске 255.255.255.0.

Для указания шлюза служит поле gateway4, а для настройки DNS - nameservers, которое содержит вложенные поля, мы должны указать как минимум одно, с адресами DNS-серверов.

Также можно использовать и альтернативный вариант синтаксиса:

ens33: 
  dhcp4: false 
  addresses:
    - 192.168.233.154/24
  gateway4: 192.168.233.2 
  nameservers:
    addresses:
      - 1.1.1.1
      - 8.8.8.8

Оба варианта написания равнозначны, вы можете использовать любой из них.

Если требуется указать несколько IP-адресов для одного интерфейса, то запись будет выглядеть так:

addresses: [192.168.233.154/24, 192.168.1.154/24]

или

addresses:
  - 192.168.233.154/24
  - 192.168.1.154/24

Имена интерфейсов типа ens33:0 в Netplan не поддерживаются, все настройки указываются для единого физического (или виртуального) интерфейсов.

Для доменных сетей (а также некоторых одноранговых) следует указать DNS-суффикс, т.е. имя домена, которое будет дописываться к плоским именам. Для этого используется поле search, которое также подразумевает список, в котором мы можем указать один или несколько DNS-суффиксов.

nameservers:
  addresses:
    - 192.168.233.100
    - 192.168.233.101
  search:
    - interface31.lab

Обратите внимание, что при указании DNS-суффикса вы должны указать те DNS-сервера, которые обслуживают указанную зону, в противном случае эта настройка не будет иметь смысла.

Настройка Wi-Fi

Для успешного подключения к беспроводным сетям вам потребуется пакет wpasupplicant, установить его можно командой:

apt install wpasupplicant

Затем перейдем к описанию сетевой конфигурации в Netplan:

network:
  version: 2
  renderer: networkd
  wifis:
    wlx8416f91d8de0:
      dhcp4: true
      access-points:
        MyWiFi:
          password: Pa$$word_1

Настраивается она аналогично проводной, только для описания беспроводных интерфейсов используется отдельное поле wifis. Далее описываются сетевые настройки для каждого беспроводного адаптера, в нашем случае у него длинное непроизносимое имя wlx8416f91d8de0 и включено получение настроек по DHCP. А еще ниже указаны параметры подключения к беспроводной точке доступа, для их указания используется поле access-points где мы указываем имя сети (SSID), в нашем случае MyWiFi. В качестве значения поля с именем сети указываем поле password, которое содержит пароль подключения к беспроводной сети.

Настройка статических маршрутов

Указать статические маршруты в Netplan тоже достаточно просто, для этого используется одно из полей в настройках интерфейса, в простейшем случае это будет выглядеть так:

ens33: 
  dhcp4: false 
  addresses:
    - 192.168.233.154/24
  gateway4: 192.168.233.2 
  nameservers:
  addresses:
    - 1.1.1.1
    - 8.8.8.8
  routes:
    - to: 192.168.111.0/24
      via: 192.168.233.101

При необходимости можно указать дополнительно метрику маршрута, для указания его приоритета:

routes:
  - to: 192.168.111.0/24
    via: 192.168.233.101
    metric: 100

Отдельно следует остановиться на опции, которая в большинстве русскоязычных материалов приводится неправильно - on-link, обычно ее значение приводят как "активация маршрута при поднятии линка" или что-то подобное. Но это неверно. Само понятие On-link связано с непосредственно присоединенными сетями, которые доступны с указанного интерфейса без маршрутизации. В простейшем случае непосредственно присоединенной сетью является локальная сеть, настроенная на интерфейсе.

В более сложных конфигурациях таких сетей может быть несколько и иногда может возникнуть потребность указать шлюз в одной из таких сетей, вне пределов адресного пространства сети, настроенной на интерфейсе. Если просто указать такой шлюз, то он не будет добавлен в таблицу маршрутизации, поэтому в таких случаях требуется дополнительно указывать опцию on-link, пример из официальной документации:

ethernets:
  addresses: [ "10.10.10.1/24" ]
  routes:
    - to: 0.0.0.0/0
      via: 9.9.9.9
      on-link: true

В остальных случаях использовать эту опцию нет необходимости.

Использование NetworkManager

Если в качестве менеджера сети вы хотите использовать NetworkManager, то вам потребуется изменить всего-лишь одну строчку:

renderer: NetworkManager

Обратите внимание на регистр написания, в данном случае это важно.

Создание и применение конфигурации Netplan

Как мы говорили выше, Netplan не является сетевым менеджером, а поэтому следует создать на основании наших описаний сетевых конфигураций настоящие конфигурационные файлы для используемого менеджера сети, для этого выполните команду:

netplan generate

Если команда завершилась с ошибками - внимательно читаем вывод и исправляем их, чаще всего это синтаксические ошибки или неправильное количество отступов. Здесь проявляется один из плюсов новой системы, если вы ошиблись в файле описания, то сетевые настройки создать не удастся. В классической системе вы узнаете об этом, когда у вас отвалится сеть. Если же все прошло успешно, то сетевую конфигурацию можно применить. Но давайте не будем спешить.

Как современная система, Netplan предоставляет возможность проверить сетевые настройки перед их применением. Если мы выполним:

netplan try

то наша новая конфигурация будет применена на две минуты, до истечения которых мы должны подтвердить ее, в противном случае будет возвращена старая конфигурация.

Это просто замечательное решение, которое трудно переоценить, особенно если вам приходится настраивать сеть удаленно.

Чтобы применить сетевые настройки без тестирования выполните:

netplan apply

Заключение

В данной статье мы коснулись только базовых настроек Netplan, оставив в стороне более сложные сетевые конфигурации, так как основная цель данного материала - познакомить читателя с основами новой системы управления сетевыми настройками. Как молодая система Netplan имеет свои особенности и недостатки, но плюсы уже перевешивают минусы, особенно если учесть, что продукт активно развивается и учитывает все современные тенденции и особенности.

Нужно ли изучать и применять Netplan? На наш взгляд - нужно, вне зависимости от того, станет он впоследствии единым стандартом или нет. Уже сегодня он дает отличную читаемость и переносимость сетевых конфигураций, а также предоставляет ряд современных возможностей, делающих работу с сетью проще и безопаснее.

Дополнительные материалы:

Netplan configuration examples