Во времена слишком дорогого анлима (64кбита — 1000рур), сотворили с товарищами кластер проксей, дабы увеличить суммарную пропускную способность. Время шло, цены менялись. Сейчас они уже более дружелюбны — мбитный анлим (с ночным удвоением скорости) стоит всё те же 1000рур. Но, не смотря на это, кластером всё ещё иногда пользуемся. Решил вот поделиться с общественностью методом создания такого добра, вдруг кому будет интересно.
Для опытов нам потребуется:

• 1 сервер с установленным на нём squid'ом + ещё какой-нибудь проксёй (если хотите, чтобы этот сервер был не только центральным, но и делился инетом).
  я расскажу про поднятие кластера на базе дебиана, 2 интернет-каналов и 3 сквидов (сквиды для родительских проксе выбраны по 2 причинам: из-за возомжности предоставления статистики по текущим соединениям; из-за лени искать альтернативу)
• любое количество компьютеров, с любыми ОС и любыми http-проксями
• опционально — апач, пхп и скрипт SqStat — для просмотря активности прокси

Описанное ниже, наверняка, происходило со многими. Тем не менее, подобные ситуации почти ничему не учат тех, с кем это не происходило. Речь пойдет о резервном копировании. Попутно разбавим законами Мерфи и не только.

Началось все с того, что нужен был быстрый бэкап MySQL по расписанию, а именно каждый день. Так как это нужно было сделать сегодня на вчера был выбран уже установленный софт — Handy Backup. Быстренько сделав задачу на бэкап и настроив уведомления я забыл об этом на полгода.
Это было моей первой ошибкой, потому что

Распространенных вариантов NAT-а под FreeBSD есть довольно много. Это и natd, ipnat, pfnat, ng_nat либо как вариант «купи ASA 5550 и не выделывайся».


К сожалению, в последнее время мне попадалось очень мало хороших и главное доступных статей о ipfw nat который появился, если мне не изменяет память еще в 7.0.
Засим рассматривать под лупой сегодня будем мы именно его.

Истинным адептам pf под кат рекомендуется не заглядывать, чтобы не травмировать себя излишними знаниями.

Коротковолновая радиостанция УВБ-76 расположена в деревне Поварово в 40 км к северо-западу от Москвы (фото со спутника). Среди радиолюбителей всего мира известна как «жужжалка» (The Buzzer). Начиная с 1982 года она круглосуточно передаёт в эфир непрерывный шум на частоте 4625 кГц (линк на онлайн-трансляцию). Жужжащий звук длится 0,8 секунды, прерывается на 1-1,3 секунды и повторяется 21-34 раза в минуту. Назначение станции неизвестно.

За все 28 лет вещания было зарегистрировано всего три случая, когда в эфир вышло голосовое сообщение. Каждый раз это было некое зашифрованное послание на русском языке. И вот 23 августа 2010 года это случилось снова.

Как сообщают западные радиолюбители, примерно в 17:32 GMT станция УВБ-76 передала следующее сообщение: «УВБ-76, УВБ-76 — 93 882 НАИМИНА 74 14 35 74 — 9 3 8 8 2 Николай, Анна, Иван, Михаил, Иван, Николай, Анна, 7, 4, 1, 4, 3, 5, 7, 4» (mp3).

На прошлой неделе на Хабре уже писали о заявлении HD Moore и найденной им уязвимости, которая содержится в достаточно большом количестве приложений и работает на всех версиях MS Windows. Но все оказалось куда серьезнее, так как речь идет не просто о найденной уязвимости, а о концептуальной ошибке в дизайне механизма загрузки динамических библиотек. По этому поводу вчера Microsoft официально выпустила Security Advisory (2269637), что означает официальное признание серьезности данной уязвимости. Но давайте попробуем разобраться в сути этой проблемы, так как она ничуть не менее серьезная, нежели недавно найденная уязвимость в загрузке LNK-файлов.

Уязвимость заключается в том, что многие программы при вызове функции LoadLibrary() не проверяют корректность пути, по которому эта библиотека может быть загружена. Таким образом, они позволяют произвести подмену выполняемой библиотеки. Это связано с тем, что поиск загружаемой библиотеки осуществляется в первую очередь в директории, содержащей образ исполняемого файла, который породил процесс (подмененная библиотека выполняется с привилегиями пользователя, запустившего процесс). К примеру, Georgi Guninski предложил следующую демонстрацию (PoC) данной уязвимости:

Предисловие

Об этом самоучителе

Добро пожаловать в «Азы администрирования», второе из четырех обучающих руководств, разработанных чтобы подготовить вас к экзамену 101 в Linux Professional Institute. В данной части мы рассмотрим как использовать регулярные выражения для поиска текста в файлах по шаблонам. Затем, вы познакомитесь со «Стандартом иерархии файловой системы» (Filesystem Hierarchy Standard или сокр. FHS), также мы покажем вам как находить нужные файлы в вашей системе. После чего, вы узнаете как получить полный контроль над процессами в Linux, запуская их в фоновом режиме, просматривая список процессов, отсоединяя их от терминала, и многое другое. Далее последует быстрое введение в конвейеры, перенаправления и команды обработки текста. И наконец, мы познакомим вас с модулями ядра Linux.

В частности эта часть самоучителя (Часть 2) идеальна для тех, кто уже имеет неплохие базовые знания bash и хочет получить качественное введение в основные задачи администрирования Linux. Если в Linux вы новичок, мы рекомендуем вам сперва закончить первую часть данной серии практических руководств. Для некоторых, большая часть данного материала будет новой, более опытные же пользователи Linux могут счесть его отличным средством подвести итог своим базовым навыкам администрирования.

Три года назад у меня была интересная задача. Необходимо было собрать платформу, объединявшую несколько стоек с серверами в единое целое, для динамического распределения ресурсов между сайтами написанным для LAMP платформы. Причем так, чтоб вмешательство в код сайтов было минимальным, а еще лучше — вообще отсутствовало.
При этом никаких дорогих решений вроде Cisco Content Switch или дисковой полки с оптоволокном использовать нельзя — не хватало бюджета.
А кроме того, разумеется, в случае выхода одного из серверов из строя — это не должно было влиять на работу платформы.

Узнать, как отмасштабировать Ваше приложение, не имея при этом никакого опыта, — это очень нелегко. Сейчас есть много сайтов, посвященных этим вопросам, но, к сожалению, не существует решения, которое подходит для всех случаев. Вам по-прежнему необходимо самому находить решения, которые подойдут под Ваши требования. Так же, как и мне.

Несколько лет назад ко мне пришел мой босс и сказал: «У нас есть новый проект для тебя. Это перенос сайта, который уже имеет 1 миллион посетителей в месяц. Тебенеобходимо его перенести и убедиться, что посещаемость может вырасти в будущем без всяких проблем.» Я уже был опытным программистом, но не имел никакого опыта в области масштабируемости. И мне пришлось познавать масштабируемость трудным путем.

Сегодня у меня был интересный спор с нашими админами, которым решил поделиться. Тем более, что сегодня суббота — нужно расслабляться, потому ниже чистый худлит, никакой технологии :) Сразу скажу — я не админ, а ИТ-менеджер, то есть не совсем технарь. Вообще-то я учился на экономиста-производственника, отчего всегда смотрю на вещи, связанные с деньгами, через призму полученных знаний.

Спорили, что лучше в смысле карьеры и удовольствия: совершенствоваться в управлении рядом систем или только одной, но очень глубоко. Получилось, что ни та ни другая точка зрения не могут быть окончательно верными. Рассказываю почему…

Недавно прочитал топики "Windows-компьютер без антивирусов" и "Настройка групповых политик ограниченного использования программ в Windows 7"… И подумал «А ведь не мало мелких и средних компаний используют Windows XP Home Edition, а там такие трюки не прокатят.» Поэтому сегодя хочу поделиться, как я настраивал Windows XP Home Edition, чтобы не использовать антивирусы, а точнее свести к минимуму вероятность заражения.

Не так давно на Хабре уже писали о контесте 10К Apart — соревновании на лучшее веб-приложение общим объемом до 10К, созданное с использованием только клиентских технологий: (HTML, CSS, Javascript, SVG и т.д).



Я хочу представить вашему внимаю нашу работу для этого контеста, которую мы с private_face делали по вечерам в течение двух недель: адвенчуру в стиле dungeon-crawler под названием «Fontanero» (исп. водопроводчик).

Прочитав статью Windows-компьютер без антивирусов, я загорелся такой идеей обеспечения безопасности и решил попробовать сделать у себя так же.

Поскольку у меня стоит Windows 7 Professional, первой идеей оказалось использование AppLocker'a, однако быстро выяснилось, что работать в моей редакции винды он не хочет, и требует Ultimate или Enterprise. В силу лицензионности моей винды и пустоты моего кошелька, вариант с AppLocker'ом отпал.

Следующей попыткой стала настройка групповых политик ограниченного использования программ. Поскольку AppLocker является «прокачанной» версией данного механизма, логично попробовать именно политики, тем более они бесплатны для пользователей Windows :)

Допустим есть у нас под Linux софтварный RAID1 собранный с помощью mdadm:

# cat /proc/mdstat
Personalities : [raid1]
md0 : active raid1 sdb[1] sda[0]
      8387572 blocks super 1.2 [2/2] [UU]

И появился у нас еще один винчестер который хотелось бы воткнуть в данную машину расширив доступное дисковое пространство не потеряв при этом в отказоустойчивости т.е. перейти с RAID1 на RAID5.

В последнее время можно наблюдать тенденцию в отношении жалоб на службы поддержки пользователей самых разных компаний. Пользователи, недовольные качеством обслуживания, ищут защиты и пытаются найти поддержку на форумах, в социальных сетях, на хабре… Для этого они выкладывают на всеобщее обозрение переписку или даже записи телефонных разговоров с сотрудниками службы поддержки той или иной компании. Такое поведение понятно, ведь становится по меньшей мере обидно, а чаще и возмущает то, что служба поддержки совершенно отказывается работать! Хотя оплачивая услугу, программу или оборудование, мы подразумеваем, что платим не только за это, но еще и за то, чтобы с этим было как можно меньше проблем или, по крайней мере, что при возникновении проблемы — нам обязательно помогут и поддержат. Что же ожидает пользователь, когда звонит или пишет в службу поддержки? Что при этом видят работники службы поддержки? Давайте попробуем разобраться.

В некоторых часовых поясах России день сисадмина уже настал, поэтому почему бы не начать праздновать уже сейчас? Мы постарались серьезно подойти к этому дню — со всей ответственностью и креативом, который нашелся у команды. Специально для этого дня было разработано визуальное оформление и образ медитирующего сисадмина. Но, обо всем по порядку.

Компания Akamai, одна из лидеров по предоставлению площадок для размещения контента и облачных сервисов, провела комплексное исследование безопасности Интернета, используя многочисленные сенсоры по всему миру ( услугами Akamai пользуются NASA, McAfee, FedEx, General Motors и многие другие компании ). Благодаря широкой сети охвата Akamai выявила главные источники веб-угроз и объекты пристального внимания со стороны взломщиков.

Увидев на хабре топик про то, что веб-форма писем Президенту работает, тоже решил воспользоваться этой замечательной возможностью и получить официальные разъяснения по-поводу использования свободного программного обеспечения. В частности, меня интересовала законность установки операционной системы Linux во благо моего небольшого IT бизнеса.

24 февраля зашел на сайт президента Российской Федерации и отправил вопрос (текст, к сожалению, не сохранил).
26 марта получил правительственное письмо о том, что мое обращение передано в Министерство экономического развития.

И наконец сегодня, рядом с пухленьким конвертом со свежим CD Ubuntu, обнаружил в почтовом ящике

Предупреждение: Описанное в статье несколько устарело, т.к. я забросил винды в эпоху Windows 2003.

Каждый раз, когда меня знакомые спрашивают: «какой антивирус лучше?», я могу сказать только одно: «антивирус — как придворный шаман. Бывают лучше, бывают хуже, но определить, кто лучше камлает, не получится». Антивирус не гарантирует защиту от вирусов, более того, у него есть полное моральное право пропустить новую заразу и начать её детектить дня через 2-3 после «инцидента». Т.е. как основное средство защиты он годится не очень.

Ниже описывается настройка windows, которая позволит защититься от любых реальных (т.е. встречающихся в природе) вирусов без использования антивирусов. Данная конфигурация уже 3 с половиной года работает на терминальном сервере, где пользователи (в лучшие времена до 70 человек) совсем не стесняются притаскивать на флешках всяких засранцев, лазать по сети где попало и т.д.

Теория

Любой уважающий себя вирус, оказавшись запущенным, тем или иным методом стремится в системе закрепиться, т.е. создаёт исполняемый файл или библиотеку, которая прописывается тем или иным образом в запуск. «Авто» запуск или в форме «дополнения» к другим исполняемым файлам (debugger, hander, плагин, и т.д.) — не важно. Важно: существует барьер под названием «запуск кода». Даже старые-добрые вирусы, дописывающие себя в исполняемые файлы, всё равно должны иметь возможность писать в файлы, которые предполагается запускать.

Безусловно, есть вирусы, размножающиеся без создания файлов (например, мс-бласт). Но условием появления этого вируса должна быть доступность сервера для обращений с носителей вируса или запуск кода через эксплоит в браузере\сетевой компоненте. В случае дыры в браузере дальнейшее размножение не возможно (т.к. нужно обращаться к браузерам на других машинах, а это требует поднятия сервера, куда будут ходить другие пользователи и мотивации пользователям ходить именно на этот узел). В случае дыры в сетевой компоненте и размножения без сохранения на диск, описанная мною методика с большой вероятностью работать не будет и возможна эпидемия. Однако, я не уверен, что антивирусы поймают такой 0day эксплоит, плюс, их (дыры) довольно резво фиксят, так что этот сценарий я откладываю как маловероятный. Наличие же файрволов ещё более уменьшает их опасность. От не-0day вполне же спасает своевременная (автоматизированная) установка обновлений.

Итак, основную бытовую опасность представляют вирусы, запускающиеся «из файла» (хотя бы потому, что они переживают перезагрузку компьютера). Если мы запретим каким-то образом запуск «неправильных» файлов, то проблема будет решена (т.к. несохраняющийся в файле вирус не сможет пережить перезагрузку, а в случае запуска с правами пользователя, даже банального релогина).

В Windows существует технология — политика ограниченного запуска приложений. Её можно активировать в режиме «запрещать всё, что не разрешено». Если поставить запрет полный — для всех, включая администраторов, все файлы, включая библиотеки, то мы получим точную гарантию того, что посторонний (не входящий в список разрешённых) файл не будет запущен. По-крайней мере я пока не слышал, чтобы в этой технологии были дыры. Обращаю внимание, нужно запрещать и библиотеки тоже, потому что печально известный конфикер запускается с флешек именно с помощью запуска библиотеки обманом rundll32.

Однако, запреты и разрешения не будут иметь смысла, если не сформулировать правила, которые запретят запуск «чужаков».

Модель безопасности

Перед тем, как описать подробно конфигурацию, сформулирую теоретические принципы её организации:

1. То, куда пользователь может писать закрыто для запуска.
2. То, что пользователь может запускать, закрыто для записи.

Введение.
Мне повезло работать в организации которая развивается, и время от времени возникают новые задачи, позволяющие и мне расти. На этот раз мне было необходимо объединить головной офис и второй филиал. Задача для меня не новая, но к её решению я решил подойти иначе нежели раньше.
На текущий момент в головном офисе установлена FreeBSD + mpd5 в качестве PPTP сервера. В первом филиале аналогично(за исключением того что используется как vpn клиент). Так же есть 8 точек где установлено по одному компьютеру с ОС Windows XP «цепляющихся» к головному стандартным клиентом этой ОС.
Мне необходимо создать еще один туннель между двумя сетями, но любимую ОС FreeBSD я использовать не могу, в силу ограниченного места для установки роутера во втором филиале(это магазин розничной торговли, все оборудование приютилось на узеньком стелаже). К тому же хотелось попробовать прошивку dd-wrt, о которой так много слышал, в деле.

СКС — структурированная кабельная сеть. Или, грубо говоря, «розетки в стенке». Самое дорогое же в СКС — не розетки, а огромные километры проводов, соединяющие розетки с серверными и коммутационными.

Пласт понятий, которые скрываются за СКС, очень обширен. Там есть свои профессионалы, которые знают, когда нужно организовывать коммутационные на этажах, как правильно вести пачку волокон между этажами и т.д. Есть и свои маркетологи, задача которых убедить вас, что нужно делать именно так, на $Xk больше в смету, а не так, как вы хотели.

Сама область конструирования СКС ближе к строительным (инженерным) работам, нежели к области системного администрирования.

Но иногда в жизни сисадмина возникает ситуация, когда от него зависит, какой будет СКС в здании (этаже, комнате) фирмы. В худшем случае, сисадмин сам её тащит, в лучшем — эта задача отдаётся на аутсорс (точнее, подрядчикам). Но какой СКС будет, решают обычно два-три человека. При этом, оставшиеся два определяют лишь бюджет, а воевать за качество может лишь сисадмин. [с другого боку находится представитель подрядчика, который тащит одеяло в свою сторону, и хотя он может казаться сисадмину соратником в битве за качество СКС, на самом деле, он хочет просто дороже, и относиться к нему следует с осторожностью].

Здесь я пишу именно точку зрения администратора, как «конечного потребителя» СКС. Если я где-то соврал, или забыл написать о чём-то важном — говорите, поправлю.

Итак, СКС.

Точка зрения владельца (директора)

Нужны провода с розетками. Чем дешевле, тем лучше. Админ как-то говорил, что компьютерные можно разветвлять на местах, так что можно класть их поменьше, ибо дорого. Кстати, вот там вот народ кучкой сидит, им одной розетки хватит.

Точка зрения подрядчика

Клиенту нужно продать максимум. Максимум, это полноценная СКС с коммутационными на этажах, межэтажной оптикой… Что? Он хочет подешевле? Ну и фиг с ним, пускай что хочет, то и делает.

Что ВАМ нужно от СКС?