LXF156:По рецептам доктора Брауна - История изменений

Olkol: /* Управляем ресурсами */

2018-07-13T11:30:15Z

‎Управляем ресурсами

Olkol: /* Начинаем */

2018-07-13T11:29:19Z

‎Начинаем

Olkol: /* Начинаем */

2018-07-13T11:27:26Z

‎Начинаем

Olkol: /* Начинаем */

2018-07-13T11:23:30Z

‎Начинаем

Olkol: /* Начинаем */

2018-07-13T11:18:44Z

‎Начинаем

Olkol в 11:16, 13 июля 2018

2018-07-13T11:16:19Z

Olkol: /* Еще больше пользы */

2018-07-10T05:08:34Z

‎Еще больше пользы

Olkol: /* Еще больше пользы */

2018-07-10T05:07:09Z

‎Еще больше пользы

Olkol: /* Кто этим пользуется? */

2018-07-10T05:06:25Z

‎Кто этим пользуется?

Olkol: /* Etcetera в иллюстрациях – часть 4 */

2018-07-10T05:03:36Z

‎Etcetera в иллюстрациях – часть 4

← Предыдущая		Версия 11:30, 13 июля 2018
Строка 176:		Строка 176:

	Последний хитрый прием OpenVZ – возможность переноса VPS с одного узла устройств на другой, даже при работающем VPS. Для хостинг-провайдера, который только что раскошелился на дополнительное оборудование и хочет распределить нагрузку пользователя на новые компьютеры, это потрясающая возможность. На сайте OpenVZ есть руководство пользователя, хотя местами его не помешало бы и обновить, и полный набор man-страниц (http://wiki.openvz.org/images/9/9a/Man_pages.pdf). Но лучший способ знакомства с ним – установить программу и попробовать что-нибудь сделать. В этом и заключается прелесть открытого ПО.		Последний хитрый прием OpenVZ – возможность переноса VPS с одного узла устройств на другой, даже при работающем VPS. Для хостинг-провайдера, который только что раскошелился на дополнительное оборудование и хочет распределить нагрузку пользователя на новые компьютеры, это потрясающая возможность. На сайте OpenVZ есть руководство пользователя, хотя местами его не помешало бы и обновить, и полный набор man-страниц (http://wiki.openvz.org/images/9/9a/Man_pages.pdf). Но лучший способ знакомства с ним – установить программу и попробовать что-нибудь сделать. В этом и заключается прелесть открытого ПО.
−
−
−

	=Etcetera в иллюстрациях – часть 4=		=Etcetera в иллюстрациях – часть 4=

@@ Строка 68: / Строка 68: @@
 </pre>
 {{Врезка|left|Заголовок= Спектр технологий виртуализации|Ширина=98%|Содержание= [[Файл:LXF156.sysadmin.spectru_opt.png | |thumb|500px|Классификация технологий контейнеров по тому, что они обобществляют и разделяют.]]
-<span style="font-size: 150%"> Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.</span>
+<span style="font-size: 150%"> Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.
 <span style="font-size: 150%">
-Это старая история, и мы обычно не удостаиваем ее термином «виртуализация», но наши размышления полезно начать именно с нее, потому что другие контейнеры виртуализации по существу представляют собой лишь расширения этой идеи. Далее в нашем спектре – chroot jails [jail – англ. тюрьма], когда на каждую «тюрьму» отводится отдельная файловая система. Это небезопасная технология (из «тюрьмы» легко вырваться), но она предоставляет «песочницу», где можно попробовать различные конфигурации без риска вывести из строя всю систему.</span>
+Это старая история, и мы обычно не удостаиваем ее термином «виртуализация», но наши размышления полезно начать именно с нее, потому что другие контейнеры виртуализации по существу представляют собой лишь расширения этой идеи. Далее в нашем спектре – chroot jails [jail – англ. тюрьма], когда на каждую «тюрьму» отводится отдельная файловая система. Это небезопасная технология (из «тюрьмы» легко вырваться), но она предоставляет «песочницу», где можно попробовать различные конфигурации без риска вывести из строя всю систему.
 <span style="font-size: 150%">
 В верхнем конце спектра – технологии полной виртуализации устройств, создающие иллюзии отдельных дисковых разделов, сетевых интерфейсов и операционных систем. OpenVZ лежит где-то в середине. Его достоинство – создание достаточно убедительной иллюзии независимо администрируемого компьютера без затрат на использование технологии полной виртуализации. </span>

@@ Строка 68: / Строка 68: @@
 </pre>
 {{Врезка|left|Заголовок= Спектр технологий виртуализации|Ширина=98%|Содержание= [[Файл:LXF156.sysadmin.spectru_opt.png | |thumb|500px|Классификация технологий контейнеров по тому, что они обобществляют и разделяют.]]
-<span style="font-size: 150%"> Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.
+<span style="font-size: 150%"> Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.</span>
+<span style="font-size: 150%">
-Это старая история, и мы обычно не удостаиваем ее термином «виртуализация», но наши размышления полезно начать именно с нее, потому что другие контейнеры виртуализации по существу представляют собой лишь расширения этой идеи. Далее в нашем спектре – chroot jails [jail – англ. тюрьма], когда на каждую «тюрьму» отводится отдельная файловая система. Это небезопасная технология (из «тюрьмы» легко вырваться), но она предоставляет «песочницу», где можно попробовать различные конфигурации без риска вывести из строя всю систему.
+Это старая история, и мы обычно не удостаиваем ее термином «виртуализация», но наши размышления полезно начать именно с нее, потому что другие контейнеры виртуализации по существу представляют собой лишь расширения этой идеи. Далее в нашем спектре – chroot jails [jail – англ. тюрьма], когда на каждую «тюрьму» отводится отдельная файловая система. Это небезопасная технология (из «тюрьмы» легко вырваться), но она предоставляет «песочницу», где можно попробовать различные конфигурации без риска вывести из строя всю систему.</span>
+<span style="font-size: 150%">
-В верхнем конце спектра – технологии полной виртуализации устройств, создающие иллюзии отдельных дисковых разделов, сетевых интерфейсов и операционных систем. OpenVZ лежит где-то в середине. Его достоинство – создание достаточно убедительной иллюзии независимо администрируемого компьютера без затрат на использование технологии полной виртуализации. </span></span>
+В верхнем конце спектра – технологии полной виртуализации устройств, создающие иллюзии отдельных дисковых разделов, сетевых интерфейсов и операционных систем. OpenVZ лежит где-то в середине. Его достоинство – создание достаточно убедительной иллюзии независимо администрируемого компьютера без затрат на использование технологии полной виртуализации. </span>
 }} Здесь 102 – идентификатор контейнера (CTID), который представляет собой просто целое число, идентифицирующее контейнер. По умолчанию используются значения от 100 и выше. Идентификаторы контейнеров должны быть уникальными в каждом физическом хосте (или «узле оборудования», на языке OpenVZ); хотя если у провайдера несколько хостов, то, пожалуй, лучше, чтобы значения CTID были уникальными в пределах организации. Теперь можно настроить экземпляр контейнера, задав имя хоста, IP-адрес и пароль root:

@@ Строка 68: / Строка 68: @@
 </pre>
 {{Врезка|left|Заголовок= Спектр технологий виртуализации|Ширина=98%|Содержание= [[Файл:LXF156.sysadmin.spectru_opt.png | |thumb|500px|Классификация технологий контейнеров по тому, что они обобществляют и разделяют.]]
-Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.
+<span style="font-size: 150%"> Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.
 Это старая история, и мы обычно не удостаиваем ее термином «виртуализация», но наши размышления полезно начать именно с нее, потому что другие контейнеры виртуализации по существу представляют собой лишь расширения этой идеи. Далее в нашем спектре – chroot jails [jail – англ. тюрьма], когда на каждую «тюрьму» отводится отдельная файловая система. Это небезопасная технология (из «тюрьмы» легко вырваться), но она предоставляет «песочницу», где можно попробовать различные конфигурации без риска вывести из строя всю систему.
-В верхнем конце спектра – технологии полной виртуализации устройств, создающие иллюзии отдельных дисковых разделов, сетевых интерфейсов и операционных систем. OpenVZ лежит где-то в середине. Его достоинство – создание достаточно убедительной иллюзии независимо администрируемого компьютера без затрат на использование технологии полной виртуализации.
+В верхнем конце спектра – технологии полной виртуализации устройств, создающие иллюзии отдельных дисковых разделов, сетевых интерфейсов и операционных систем. OpenVZ лежит где-то в середине. Его достоинство – создание достаточно убедительной иллюзии независимо администрируемого компьютера без затрат на использование технологии полной виртуализации. </span></span>
 }} Здесь 102 – идентификатор контейнера (CTID), который представляет собой просто целое число, идентифицирующее контейнер. По умолчанию используются значения от 100 и выше. Идентификаторы контейнеров должны быть уникальными в каждом физическом хосте (или «узле оборудования», на языке OpenVZ); хотя если у провайдера несколько хостов, то, пожалуй, лучше, чтобы значения CTID были уникальными в пределах организации. Теперь можно настроить экземпляр контейнера, задав имя хоста, IP-адрес и пароль root:

@@ Строка 67: / Строка 67: @@
 Container private area was created
 </pre>
 {{Врезка|left|Заголовок= Спектр технологий виртуализации|Ширина=98%|Содержание= [[Файл:LXF156.sysadmin.spectru_opt.png | |thumb|500px|Классификация технологий контейнеров по тому, что они обобществляют и разделяют.]]
 Один из способов разобраться в ошарашивающем наборе технологий виртуализации – исследовать степень разделения, предоставляемую каждой из них. В нижнем конце спектра – процесс Linux, который разделяет адресное пространство, дескрипторы файлов, переменные окружения, приоритет планирования и пользователя.
@@ Строка 74: / Строка 73: @@
 В верхнем конце спектра – технологии полной виртуализации устройств, создающие иллюзии отдельных дисковых разделов, сетевых интерфейсов и операционных систем. OpenVZ лежит где-то в середине. Его достоинство – создание достаточно убедительной иллюзии независимо администрируемого компьютера без затрат на использование технологии полной виртуализации.
-}}
+}} Здесь 102 – идентификатор контейнера (CTID), который представляет собой просто целое число, идентифицирующее контейнер. По умолчанию используются значения от 100 и выше. Идентификаторы контейнеров должны быть уникальными в каждом физическом хосте (или «узле оборудования», на языке OpenVZ); хотя если у провайдера несколько хостов, то, пожалуй, лучше, чтобы значения CTID были уникальными в пределах организации. Теперь можно настроить экземпляр контейнера, задав имя хоста, IP-адрес и пароль root:
 [[Файл: LXF156.sysadmin.spectru_opt3.png|left |400px |thumb|OpenVZ: виртуальные частные серверы, создаваемые за секунды  из готовых шаблонов, с установкой поверх общего ядра Linux.]]

@@ Строка 21: / Строка 21: @@
 Недавно я был у дантиста и заполнял форму, требующую проставить несколько галочек напротив вопросов об этнической принадлежности. Однако секретарь деликатно подсказал мне, что если я не хочу, то заполнять эти пункты не обязательно. Нельзя ли точно так же поступать с электронной почтой?}}
 ==Дай работу, насяльника==
 [[Файл: LXF156.sysadmin.spectru_opt2.png|right |300px ]]

@@ Строка 200: / Строка 200: @@
 {{Врезка|left|Заголовок=Кто этим пользуется? |Ширина=80%|Содержание=
 Сервисы, использующие TCP wrappers, связываются с библиотекой libwrap. Поэтому их легко найти с помощью простого скрипта, примерно такого:
+<pre>
 for f in /bin/* /usr/bin/* /sbin/* /usr/sbin/*
 do
 # echo processing $f
 if ldd $f | grep -q libwrap
 then
 echo $f uses libwrap
 fi
 done
+</pre>
 Он нашел 23 исполняемых файла в Ubuntu 10.04 и 38 в Fedora 15.
 Интересно, что в этот список входит демон безопасной оболочки (sshd) и зеркало портов (rpcbind), которое необходимо таким сервисам, как NFS и NIS.
   }}

← Предыдущая		Версия 05:07, 10 июля 2018
Строка 198:		Строка 198:


−	{{Врезка\|left\|Заголовок=Кто этим пользуется? \|Ширина=20%\|Содержание=	+	{{Врезка\|left\|Заголовок=Кто этим пользуется? \|Ширина=80%\|Содержание=
	Сервисы, использующие TCP wrappers, связываются с библиотекой libwrap. Поэтому их легко найти с помощью простого скрипта, примерно такого:		Сервисы, использующие TCP wrappers, связываются с библиотекой libwrap. Поэтому их легко найти с помощью простого скрипта, примерно такого:

@@ Строка 197: / Строка 197: @@
 Кроме управления доступом к сервису путем идентификации компьютера клиента, TCP wrappers могут выполнять и другие действия при подключении клиента. Можно записать в журнал все запросы на подключение (с помощью syslog), отправить клиенту содержимое заранее заданного файла «баннера» (часто как сообщение «только для авторизованных пользователей») или запустить любую команду оболочки. На man-странице hosts_access описан базовый синтаксис hosts.allow и hosts.deny, а на man-странице hosts_options – дополнительные возможности. А прочтя оригинальный документ Венемы (ftp://ftp.porcupine.org/pub/security/tcp_wrapper.pdf), вы узнаете, что основным мотивом разработки TCP wrappers было отслеживание попыток хакера взломать компьютерную систему в Эйндховене.
 Сервисы, использующие TCP wrappers, связываются с библиотекой libwrap. Поэтому их легко найти с помощью простого скрипта, примерно такого:
@@ Строка 220: / Строка 220: @@
 Интересно, что в этот список входит демон безопасной оболочки (sshd) и зеркало портов (rpcbind), которое необходимо таким сервисам, как NFS и NIS.
+ }}
-Соответствует ли
-ему запись
-в hosts.allow?
-−
-Соответствует ли
-ему запись
-в hosts.deny?
-−
-Входящий запрос
-−
-Запретить!
-−
-Да
-−
-Нет
-−
-Да
-−
-Нет
-−
-Разрешить!
-−
-Разрешить!
-−
-.png TCP wrappers сначала считывают файл host.allow, а затем hosts.deny. Если файл не существует, считается, что он пуст.
-−
-.png Файл /etc/hosts.allow позволяет отфильтровать подключения к сервису путем идентификации клиентского компьютера.
-−
-Одно или несколько имен сервисов или ключевое слово «ALL»
-−
-Один или несколько клиентов;
-верный синтаксис включает:
-−
-.168.0.4 Заданный IP-адрес
-−
-.116.0.0/16 Диапазон IP-адресов
-−
-.miskatonic.org Домен
-−
-mars.planets.com Заданный хост
-−
-ALL Все клиенты
-−
-LOCAL Локальное имя компьютера (с точкой в нем)
-−
-sshd:
-−
-ftpd:
-−
-.168.0.0/24:
-−
-miskatonic.org
-−
-Параметры
-−
-В приведенном примере задается уровень логирования. Другие параметры включают:
-−
-spawn Запуск указанной команды оболочки
-−
-keepalive Отправка периодических сообщений клиенту
-−
-user tom Запуск демона от имени указанного пользователя
-−
-severity info

@@ Строка 188: / Строка 188: @@
 ALL: ALL
 [[Файл: LXF156.sysadmin.spectru_opt5.png|left |400px |thumb|]]
 На заре TCP wrappers проверки доступа выполнялись отдельной программой tcpd. Обычно так называемый «суперсервер», такой как inetd, слушал входящие соединения от имени сервиса и затем запускал tcpd. После выполнения проверок и обработки параметров, указанных в hosts.allow и hosts.deny, tcpd запускал сервер. Сегодня inetd и tcpd почти не используются. Однако на удивление много сервисов все еще удостаивают вниманием hosts.allow и hosts.deny посредством библиотеки libwrap (см. врезку).

LXF156:По рецептам доктора Брауна - История изменений

Olkol: /* Управ­ля­ем ре­сур­са­ми */

Olkol: /* На­чи­на­ем */

Olkol: /* На­чи­на­ем */

Olkol: /* На­чи­на­ем */

Olkol: /* На­чи­на­ем */

Olkol в 11:16, 13 июля 2018

Olkol: /* Еще боль­ше поль­зы */

Olkol: /* Еще боль­ше поль­зы */

Olkol: /* Кто этим поль­зу­ет­ся? */

Olkol: /* Etcetera в ил­лю­ст­ра­ци­ях – часть 4 */

Olkol: /* Управляем ресурсами */

Olkol: /* Начинаем */

Olkol: /* Начинаем */

Olkol: /* Начинаем */

Olkol: /* Начинаем */

Olkol: /* Еще больше пользы */

Olkol: /* Еще больше пользы */

Olkol: /* Кто этим пользуется? */

Olkol: /* Etcetera в иллюстрациях – часть 4 */