Написать эту статью меня заставили две вещи: во-первых, есть ощущение, что после статей типа "делаем debian-пакет на коленке", большинство хабравчан утвердятся во мнении, что debian-пакеты придумали извращенцы для извращенцев. Во-вторых, вышел zabbix 1.8 — замечательная система мониторинга, в которой, судя по новостям, наконец-то занялись проблемами юзабилити админского интерфейса.

Связывает два этих события то, что zabbix 1.8 пока нет в репозиториях убунты, а компилировать и ставить из исходников что-то на продакшн-серверах, это, конечно, недостойное джентльмена занятие. В общем, есть повод показать, как делаются debian-пакеты.

Итак, хе-хе, приступим :)

apt-get install dh-make devscripts cdbs libmysqlclient-dev libcurl4-gnutls-dev
wget sunet.dl.sourceforge.net/project/zabbix/ZABBIX%20Latest%20Stable/1.8/zabbix-1.8.tar.gz
tar zxvf zabbix-1.8.tar.gz
cd zabbix-1.8
dh_make --createorig


На вопрос dh_make, какого типа пакет мы хотим создать, нужно ответить «b» (cdbs). В результате будет создан шаблонный пакет, с кучей файлов в директории debian на все случаи жизни (большую часть мы потом удалим).

Создание пакетов — это все-таки немножко шаманство и магия. Дело в том, что более простые, чем zabbix, программы, уже на этом этапе можно заканчивать пакетировать. Т.е. если для установки программы нужно сделать только ./configure && make install, то все готово, можно собирать и ставить. Zabbix — несколько более сложный вариант, поэтому впереди еще несколько шагов:

Моя домашняя сеть разрослась до количества трех компьютеров. В связи с чем началась дележка: кто будет качать первым.
Иногда даже страничка в ФФ открывается по 2-3 минуты, так как на соседнем компе во всю качает торрент.
Советом системных администраторов (то есть мной) было принято решение создать шлюз c шейпером который будет динамически делить канал на всех.
Ну начнем

Для наступления полного и тотального счастья в плане бэкапов информации на рабочем сервере решил отказаться от Acronis True Image в пользу обычной архивации данных с помощью 7-Zip.

Для выполнения поставленной задачи естественно использовал консольную версию архиватора.

Как вы все помните, в конце предыдущего поста я обещал более подробно рассмотреть вкратце и максимально доступно следующие вопросы:

1. Настройка DHCP
2. Поднимаем свой DNS по минимуму
3. Съем статистики по интерфейсам при помощи snmp и отрисовывание красот в cacti
4. Лимитирование по трафику пользователей внутри сети
5. Ведение детальной статистики по тому, как куда и кем расходуется трафик
6. Настройка бекапа каналов в случае наличия еще одного провайдера (а о xl0 все и забыли)
7. Разруливание трафика между несколькими каналами средствами ipfw

Данная статья не претендует на полноту описания системы snort, а всего лишь предлагает пользователю готовое решение для защиты своего сервера от маленьких шаловливых ручек.
Я лично ставил всё это дело на OpenBSD, но от смены системы суть не меняется.

Лирическое отступление

snort (http://snort.org) — система обнаружения атак (NIDS) для сетей ipv4 на базе libpcap. Сам по себе — обычный tcpdump. Но к нему можно создавать правила, по которым он будет блокировать вредный траффик и создавать события безопасности (alert).
У меня стоит связка snort-сенсоров, связанных между собой через коллектор на базе дописанного prelude (http://prelude-ids.org). Все правила написаны собственноручно.
Результаты (по статистике работы за 4 месяца):
Ложных срабатываний — около 2% (средний траффик — 120 мбит/сек).
Блокировок за день — около 15.
Количество пропущенных атак — 0 (после внедрения системы безопасности ни один сервер не был взломан. Под защитой стоят хостинг и VDS).
В дополнение дописаны модули автоабьюса по базе данных RIPE и блокировки траффика на корневой циске.

Итак, имеем:
Некий сервер с установленным на нём snort-inline (в случае *BSD устанавливается из портов, в случае Linux'а — из исходников с указанием опции --enable-inline).
Для начала настраиваем сам snort (для вашей ОС пути могут отличаться — смотрите дефолтный конфиг). /etc/snort/snort.conf

Собственно, хочется просто и доступно рассказать про такую замечательную вещь как Logical Volume Management или Управление Логическими Томами.
Поскольку уже давно пользуюсь LVM-ом, расскажу что он значит именно для меня, не подглядывая в мануалы и не выдёргивая цитаты из wiki, своими словами, чтобы было понятно именно тем кто ничего о нем не знает. Постараюсь сразу не рассказывать о всяческих «продвинутых» функциях типа страйпов, снапшотов и т.п.

Вольный перевод довольно старой статьи с MySQL Performance Blog о том, что лучше сразу же настроить после установки базовой версии mySQL.

Бэкапы — это вечная проблема: то объемы данных сумасшедшие, то вообще забываешь про них. В своем предыдущем проекте dvice.ru (он пока закрыт, так что без ссылки) я допустил досадную ошибку в самом начале его запуска. Я написал небольшой крон, который в 12 часов ночи удалял всех неактивированных пользователей, зарегистрировавшихся больше 24 часов назад. Но я ошибся в запросе и потерял данные пользователей, которые зарегистрировались до первого запуска этого запроса. Слава Богу, у меня были все данные в сессиях, поэтому я восстановил всех тех, кто логинился и ставил галку на чекбоксе — запомнить меня. Обидно и глупо, но на ошибках учатся. Поэтому перед запуском своего крайнего проекта — inwhite.ru, я сделал систему бэкапов.

Бэкапы делались и копились, старые удалялись, и все было отлично. Пока внезапно я не понял, что страдаю полной фигней. Бэкапы-то я делаю, а вот забирать — не забираю. Объемы данных, лежащих на моем VPS, не такие большие, но по почте тоже особо не наотправляешься. Покупать еще один VPS и складывать туда все по FTP/SVN/CVS/SSH не особо хочется, хотя тоже вариант интересный.

До вчерашнего дня я был озадачен мыслью: а как все же забирать эти данные? И вот вечером меня осенило.

Серия статей «Основы Python»

I, Начало
II, Строки
III, Списки, кортежи, файлы
IV, Генераторы списков
V, Определение функций, основы
VI, Расширенное определение функций

Об основах языка Python в сжатой форме

Продвинутый уровень

Сила и красота декораторов Короткий экскурс в метапрограммирование.
Итерируем все и вся Специфика циклов в Питоне.
Как я учился работать с XML
Консервация объектов в Python Использование модуля Pickle.
Memoization в Python Оптимизация работы программ.
Простейшее рисование с помощью PIL
Regexp и Python: извлечение токенов из текста
Как писать маленькие приложения на python с графическим интерфейсом (библиотека Qt).

http://netsago.org/ru/docs/1/12/
Одеваем скрипты Python с помощью EasyGui (добавляем простой диалоговый интерфейс)

http://djbook.ru/
Учебник по Django (Python-фреймворк для веб-приложений)

Не претендуя на полноту изложения, попробую описать технологии, которыми можно воспользоваться для защиты периметра.

Рассматривать будем IOS с firewall feature set. Этот набор возможностей, как правило, есть во всех IOSах (в которых есть шифрование), кроме самого базового.

Итак, пусть на границе нашей сети стоит машрутизатор cisco, который и призван обеспечивать безопасность наших внутренних ресурсов.

Защищаем трафик.

Введение: многие начинающие настройщики сетевого железа боятся консоли (CLI, Command Line Interface) как огня. Ещё бы: ни тебе всплывающих подсказок по наведенному мышиному курсору, ни тебе красивых картинок, а лишь непонятные буквы на черном (зеленом, белом) фоне. Боязно…

Однако, консоль является мощнейшим инструментом, не овладев которым называть себя настройщком cisco нельзя.

При помощи консоли можно:
1. Задать начальную конфигурацию.
2. Восстановить потерянные пароли (для разных железок по-разному. Но поиском на сайте cisco.com легко найти процесс по ключевым словам “password-recovery (название железки)” )
3. Настроить нестандартные топологии
4. Включить скрытые возможности
5. Проверить правильность настроек командами show
6. Отладить процесс командами debug

Помните: при помощи консоли можно всё, при помощи GUI – не всё, а только то, что запрограммировали и разрешили.

Как же овладеть искусством быстрой настройки через консоль?

Под катом список хорошей литературы.

В общих чертах теорию и процесс атаки хорошо описал юзер n3m0 в своих статьях «Атаки на беспроводные сети», поэтому я не буду заострять внимание на многих теоретических моментах.
Я же хочу описать самые простейшие способы обхода защиты, но более подробно.

Есть у меня своя домашняя сеть, с linux сервером, и подключена она к интернет с помощью беспроводного соединения — на крыше антена и роутер, к серверу подключено витой парой. Все вобщем то неплохо, канал с гарантированой полосой в обоих направлениях, постоянный IP адрес, довольно надежный — падает редко. Но вот есть у него один минус — цена кусается.
Ценовая политика провайдера построена так, что для того, чтоб увеличить скорость в два раза — платить тоже надо в два раза больше. А скорости хочется больше! И надежности тоже — как то во время сильных заморозков роутеру стало «холодно» и интернета вечером и ночью небыло.
Поэтому задумал я провести домой второй интернет-канал, выбар пал на одного известного на Украине провайдера, предоставляющего доступ по ADSL. У него и тарифы недорогие и модем ADSL стоит недорого. Так я и сделал, подключился, воткнул ADLS модем в свич — все работает. Но от старого доброго беспроводного канала отказываться мне нехотелось, поэтому задумал я сделать так, чтоб интернет трафик шел сразу по обеим каналам, так, чтоб я мог воспользоваться суммарной пропускной способностью. Да еще и чтоб при падении одного канала всю нагрузку на себя брал другой.

Я хочу рассказать о свободном решении для компьютерной телефонии от компании Digium. Asterisk – это ATC созданная хакерами (в первоначальном смысле этого слова), а точнее, это супер конвергентная платформа компьютерной телефонии, распространяемая по лицензии GNU GPL, изначально разрабатываемая Марком Спенсером (Mark Spenser), позже ставшим президентом и техническим директором компании Digium. Благодаря коммерческой поддержке Его компании и лицензии GNU GPL Asterisk активно развивается и поддерживается тысячами людей со всей планеты.

Как известно, сейчас все находятся в состоянии, именуемом «Финансовым кризисом». Пустующие офисы, безработица и все такое… Однако, существует надежда, что так длиться вечно не может, поэтому когда-нибудь и вашей конторе потребуется заехать в новый, красивый, оборудованный по последнему слову техники офис.Этот цикл статей — для тех, кто хочет понимать, из чего состоит современный офис с точки зрения ИТ-инфраструктуры — менеджеры по ИТ, руководители ИТ, старшие администраторы и просто интересующиеся. Я привожу здесь то, с чем столкнулся в процессе работы лично. По сути — предлагаю вам не набивать моих шишек :) Эта статья открывает цикл, вторая часть (про СКС и ЛВС) уже опубликована, как и продолжение про телефонию, wi-fi и планирование провайдерских вводов.По факту сбора и систематизации материала, выясняется, что в одну статью я, очевидно, не помещусь в связи с большим количеством информации, которую хочется донести. В этой статье я попробую раскрыть состав инженерных систем, составляющих работу офиса и описать один из подходов к проектированию таких систем. Полагаю, всего получится четыре статьи, которые я буду публиковать еженедельно. Буду рад соавторам, и, разумеется, возникающим вопросам.

-1. Из чего состоит современный офис?

Что же, вы (руководство компании, ваш начальник, вы сам, как руководитель своего бизнеса) решили, что пора менять офис. Поначалу, решение вызывает легкий трепет, ибо предполагает невероятный объем работы — планирование, различные согласования, надзор за исполнителями… Самое ужасное — deadline, как правило, прописан крайне жестко, и риск опоздания является напрямую финансовым риском.С другой стороны, правильный подход обеспечит вам, как минимум, исключительное удовольствие от результатов вашей работы а как максимум еще и понимание того, что все сделано правильно.Следует понимать, что как и в разработке любой сложной системы, при работе над инженерными системами здания, максимальное внимание следует уделять при планировании и проектировании, поскольку любая переработка в фазе, близкой к завершению будет крайне дорогостоящим удовольствием (особенно, при понимании того, что затрат можно было избежать при грамотном проектировании).Непосредственно, состав инженерных систем, формирующих работу здания с точки зрения IT-специалиста (слаботочных систем), включает в себя, в общем случае, следующие подсистемы:

1. СКС — структурированная кабельная система. Под этим понятием, в первую очередь, подразумевается кабельная структура, обеспечивающая работу вычислительной сети и телефонии офиса (раскрытие темы — в статье №2)
2. ЛВС, телефонная система и WiFi — активное сетевое оборудование (коммутаторы, маршрутизаторы, точки доступа и прочее) и телефонная станция. Я объединяю эти пункты, поскольку современная телефонная станция, как правило, содержит функции для обеспечения работы телефонов по ip, и, вообще говоря, прослеживается тенденция к тому, что все большее количество установленных АТС заточены, в первую очередь, на работу по ip (говорим о масштабах офиса от 10-15 постоянных рабочих мест) (раскрытие темы — в статье №2)
3. Организация внешних вводов. Вопрос, скорее, строительный, но вы, как ИТ-специалист, должны четко понимать, как именно будет, например, осуществляться подключение вашей серверной к внешним коммуникациям (раскрытие темы — в статье №2)
4. Система пожаротушения и противопожарного оповещения (раскрытие темы — в статье №3)
5. Системы обеспечения физической безопасности: система контроля доступа, система оповещения о проникновении (в т.ч., и оповещение служб пультовой охраны о внештатных ситуациях), система видеонаблюдения (раскрытие темы — в статье №3)
6. Система телевещания внутри офиса (например, ip-вещание или банальный НТВ+ в кабинетах руководства и переговорных) (раскрытие темы — в статье №3)
7. Системы «интеллектуального здания» — те самые, которые будут включать свет в кабинетах руководителей по щелчку пальцев, поддерживать оптимальный климат, экономить электроэнергию, применяя всякие умные алгоритмы и так далее. (раскрытие темы — в статье №4)
8. Система энергоснабжения всего перечисленного. Без электричества, увы, никуда поехать не удастся. К сожалению, личного опыта не везде хватает, посему отсылаю к первой части статьи Novikov — « Электрика в малом и среднем офисе». Может, он и на следующие части разродится :)Я, впрочем, включу свои соображения на этот счет в качестве бонус-трека к статьям, наравне с отдельными элементами системы кондиционирования (применительно к серверным помещениям).

Я намеренно включил в этот список вещи, которые не всегда поддерживаются ИТ-службой офиса, в связи с рядом факторов:

1. Вы (и вряд ли кто-то еще) будете обеспечивать координацию исполнителей по слаботочным системам; вообще говоря, вам сильно повезет, если подрядчик по всем слаботочным системам будет один — так намного проще. Однако, высока вероятность того, что в силу бюджетных или иных соображений, придется выбирать между несколькими или разделять фронт работ между ними
2. (следствие из первого пункта) Вы и никто другой будете отвечать перед руководством (или перед собой, да) за результат работы; Естественно, что удовлетворенность руководства и вас будет напрямую зависеть от качества и количества реализованных «хотелок»
3. В конце концов, современные инженерные системы, как правило высоко интегрированы с вычислительной техникой — многие системы уже напрямую, например, зависят от наличия ip и активно его используют; кроме того, зачастую многие аспекты управления инженерными системами завязаны на единый пульт управления, например, рабочее место управления системами безопасности.

Disclaimer: я не претендую на всю глубину изложения. Я принципиально опускаю моменты, требующие глубокого погружения в предмет, поскольку этот цикл статей не является энциклопедией инфраструктурщика. Кому надо больше — задавайте вопросы или ходите в ваш любимый поисковик :) Да, я лично готов ответить на все вопросы по существу. :)

Да, эта статья — продолжение цикла про организацию инфраструктуры современного офиса. Начало — здесь. Подоспело продолжение про телефонию, wi-fi и планирование провайдерских вводов

Как и в прошлый раз, при написании этой статьи я осознаю, что планка по объему материала взята слишком высоко — поэтому, в этот раз остановимся на вопросах организации СКС и общих аспектах организации сети (ЛВС). В следующий раз, стало быть, дойдем до беспроводных решений, телефонии и организации внешних вводов. В качестве необъявленного ранее бонус-трека последует отдельная статья о типовых решениях построения сети на оборудовании Allied Telesis.

СКС

Для специалиста по ИТ структурированная кабельная система является, по сути, базисом для всех систем, обеспечивающих функционирование офиса с точки зрения информационных технологий. Сама по себе СКС — совокупность пассивного коммутационного оборудования, обеспечивающего физическую взаимосвязь между геометрически распределенными элементами офиса. В состав СКС входит, в общем случае, следующее:

1. Кабельная продукция (витая пара, оптические кабели, коаксиальные кабели)
2. Коммутационные и кроссовые панели (патч-панели, плинты, муфты)
3. Оконечные (со стороны пользователя) устройства — всевозможные розетки и разъемы. Сюда же, кстати, стоит отнести и патч-корды, соединяющие вышеуказанные розетки непосредственно с клиентским оборудованием.

В настоящее время, СКС регламентируется рядом стандартов:

• EIA/TIA-568В Commercial Building Telecommunications Wiring Standard (американский стандарт)
• ISO/IEC IS 11801 Information Technology. Generic cabling for customer premises (международный стандарт)
• CENELEC EN 50173 Information Technology. Generic cabling systems (европейский стандарт)

В общем случае, проект вашей СКС должен соответствовать как минимум одному из указанных стандартов. К слову, наиболее употребимые формулировки категорий СКС — «5», «5e», «6» определены в американском стандарте. Если вы не подключены к интернет по WiFi, посмотрите на маркировку кабеля, который соединяет ваш компьютер с сетевой розеткой на стене — скорее всего, там будет присутствовать либо «5e», либо «6». По большому счету, от категории СКС зависит только теоретическая скорость передачи данных по кабелям, но об этом — чуть ниже.

А почему, кстати, сразу не воткнуть кабели в свитч — спросит въедливый читатель..

В данной статье рассматриваются мощные плагины, позволяющие повысить удобство разработки в VIM, а также даются ценные указания по их доработке и использованию. В том числе, используемых команд и горячих клавиш.

Рассмотрена настройка через конфигурационный файл vimrc и приведены ссылки на статьи с описанием отдельных моментов.

Кого-то VIM оттолкнет, показавшись поначалу слишком сложным или неудобным. Однако не стоит недооценивать его гибкость и возможность настройки себя, ведь из VIM можно буквально вылепить идеальный редактор/IDE, таким, каким вы представляете его себе.

Надеюсь, что эта статья поможет читателю убедиться в этом. Безусловно, она ориентирована, в первую очередь, на опытных пользователей Vim'а, но и новички смогут почерпнуть из нее немало полезного.

Я постарался писать как можно компактней, но без потери содержательной части, но статья все-равно вышла довольно объемной. Материал логически разбит на несколько разделов и совсем не обязательно читать его по порядку. Тем не менее, прочитать сведения по установке плагинов и настройке vimrc я рекомендую настоятельно.

Нет? Тогда пришло время вступить в ряды бойцов Cisco

Основы BASH. Часть 2.
Извиняюсь за такую большую задержку между статьями, но сессия дает о себе знать в самый неподходящий момент :)
Всем спасибо за замечания, критику и дополнения, которые были озвучены в комментариях к прошлой статье.
Эта часть, как и обещал, будет посвящена циклам, математическим операциям и использованию внешних команд.
Начнем.