З.П.И.

VPN-сервер (pptpd/xl2tpd+mysql+radius) на CentOS 6

admin — Mon, 31 Oct 2011 17:35:15 +0000

Здесь я постараюсь описать процесс установки и настройки VPN-сервера на CentOS6 с пользователями в MySQL и авторизацией через radius по chap для xl2tpd и для шифрованного соединения по ms-chap-v2 и mppe для pptpd.

Дано

Виртуальная машина на KVM со свежеустановленной CentOS6 x86_64 minimal.

Задача

1. Установить и настроить в связке pptpd/xl2tpd, freeradius2, radiusclient-ng и mysql.
2. Создать 2-х клиентов для подключения к настроенному VPN-серверу, с выходом в нет четез NAT. Один клиент с динамическим получением адреса, второй с постоянным IP.
3. Перенести pool адресов для раздачи динамическим клиентам из pptpd в radius.

Решение

Первым делом необходимо установить все необходимые пакеты. radiusclient-ng, pptpd и xl2tpd нет в стандартных репозиториях, поэтому для radiusclient-ng и xl2tpd мы подключим EPEL-репозиторий, а pptpd-пакет скачаем напрямую.

# rpm -Uhv http://fedora-epel.mirror.lstn.net/6/x86_64/epel-release-6-5.noarch.rpm # yum install freeradius freeradius-mysql xl2tpd radiusclient-ng radiusclient-ng-utils freeradius-utils mysql mysql-devel mysql-server # rpm -Uhv http://poptop.sourceforge.net/yum/stable/packages/pptpd-1.3.4-2.el6.x86_64.rpm

далее настроим mysql и зададим пароль:

# mysql_secure_installation

Собственно, перейдем к настройке pptpd. Приводим файлы настройки к следующему виду:

# cat /etc/pptpd.conf option /etc/ppp/options.pptpd logwtmp localip 192.168.80.1 remoteip 192.168.80.5-35

# cat /etc/ppp/options.pptpd name pptpd refuse-pap refuse-chap refuse-mschap require-mschap-v2 require-mppe-128 proxyarp ms-dns 8.8.8.8 ms-dns 8.8.4.4 lock nobsdcomp novj novjccomp nologfd lcp-echo-failure 30 lcp-echo-interval 5 ipcp-accept-local ipcp-accept-remote plugin radius.so plugin radattr.so

если решили использовать не pptpd , а xl2tpd, то файлы будут иметь следующий вид:

# cat /etc/xl2tpd/xl2tpd.conf [global] port = 1701 auth file = /etc/xl2tpd/l2tp-secrets access control = no rand source = dev [lns default] exclusive = no ip range = 192.168.80.5-192.168.81.35 local ip = 192.168.80.1 require chap = yes refuse pap = yes require authentication = yes name = VPNserver ppp debug = yes pppoptfile = /etc/ppp/options.xl2tpd length bit = yes flow bit = yes

# cat /etc/ppp/options.xl2tpd ipcp-accept-local ipcp-accept-remote lcp-echo-failure 30 lcp-echo-interval 5 ms-dns 8.8.8.8 ms-dns 8.8.4.4 noccp nodeflate auth crtscts idle 1800 mtu 1410 mru 1410 defaultroute debug proxyarp connect-delay 5000 lock plugin radius.so plugin radattr.so

с pptpd/xl2tpd закончено, переходим к настройке radiusclient-ng:
Первая проблема с которой мы столкнулись, это нежелание pptpd работать с radiusclient-ng из-за путей куда он установлен, поэтому создаем софт-линк следующим образом

# ln -s /etc/radiusclient-ng /etc/radiusclient

и закоментируем в файле /etc/radiusclient-ng/radiusclient.conf строчку

#bindaddr *

иначе ругается на неизвестный параметр.
редактируем /etc/radiusclient-ng/servers , добавляем локальный radius-сервер, к которому будет обращаться клиент

localhost YouRsUpErpAAs

Вторая проблема, с которой нам пришлось столкнуться, это отсутствие в пакете radiusclient-ng атрибутов от mircosoft, после гугления, необходимые артибуты были найдены. Копируем имеющиеся файлы с атрибутами из /usr/share/radiusclient-ng/ в /etc/radiusclient-ng/

cp /usr/share/radiusclient-ng/diction* /etc/radiusclient-ng/

в /etc/radiusclient-ng/ создаем файл dictionary.microsoft со следующим содержимым:

VENDOR          Microsoft       311     Microsoft

ATTRIBUTE       MS-CHAP-Response        1       string  Microsoft
ATTRIBUTE       MS-CHAP-Error           2       string  Microsoft
ATTRIBUTE       MS-CHAP-CPW-1           3       string  Microsoft
ATTRIBUTE       MS-CHAP-CPW-2           4       string  Microsoft
ATTRIBUTE       MS-CHAP-LM-Enc-PW       5       string  Microsoft
ATTRIBUTE       MS-CHAP-NT-Enc-PW       6       string  Microsoft
ATTRIBUTE       MS-MPPE-Encryption-Policy 7     string  Microsoft
ATTRIBUTE       MS-MPPE-Encryption-Type 8       string  Microsoft
ATTRIBUTE       MS-MPPE-Encryption-Types  8     string  Microsoft
ATTRIBUTE       MS-RAS-Vendor           9       integer Microsoft
ATTRIBUTE       MS-CHAP-Domain          10      string  Microsoft
ATTRIBUTE       MS-CHAP-Challenge       11      string  Microsoft
ATTRIBUTE       MS-CHAP-MPPE-Keys       12      string  Microsoft
ATTRIBUTE       MS-BAP-Usage            13      integer Microsoft
ATTRIBUTE       MS-Link-Utilization-Threshold 14 integer        Microsoft
ATTRIBUTE       MS-Link-Drop-Time-Limit 15      integer Microsoft
ATTRIBUTE       MS-MPPE-Send-Key        16      string  Microsoft
ATTRIBUTE       MS-MPPE-Recv-Key        17      string  Microsoft
ATTRIBUTE       MS-RAS-Version          18      string  Microsoft
ATTRIBUTE       MS-Old-ARAP-Password    19      string  Microsoft
ATTRIBUTE       MS-New-ARAP-Password    20      string  Microsoft
ATTRIBUTE       MS-ARAP-PW-Change-Reason 21     integer Microsoft
ATTRIBUTE       MS-Filter               22      string  Microsoft
ATTRIBUTE       MS-Acct-Auth-Type       23      integer Microsoft
ATTRIBUTE       MS-Acct-EAP-Type        24      integer Microsoft
ATTRIBUTE       MS-CHAP2-Response       25      string  Microsoft
ATTRIBUTE       MS-CHAP2-Success        26      string  Microsoft
ATTRIBUTE       MS-CHAP2-CPW            27      string  Microsoft
ATTRIBUTE       MS-Primary-DNS-Server   28      ipaddr  Microsoft
ATTRIBUTE       MS-Secondary-DNS-Server 29      ipaddr  Microsoft
ATTRIBUTE       MS-Primary-NBNS-Server  30      ipaddr  Microsoft
ATTRIBUTE       MS-Secondary-NBNS-Server 31     ipaddr  Microsoft
VALUE           MS-BAP-Usage            Not-Allowed     0
VALUE           MS-BAP-Usage            Allowed         1
VALUE           MS-BAP-Usage            Required        2
VALUE   MS-ARAP-PW-Change-Reason        Just-Change-Password            1
VALUE   MS-ARAP-PW-Change-Reason        Expired-Password                2
VALUE   MS-ARAP-PW-Change-Reason        Admin-Requires-Password-Change  3
VALUE   MS-ARAP-PW-Change-Reason        Password-Too-Short              4
VALUE           MS-Acct-Auth-Type       PAP             1
VALUE           MS-Acct-Auth-Type       CHAP            2
VALUE           MS-Acct-Auth-Type       MS-CHAP-1       3
VALUE           MS-Acct-Auth-Type       MS-CHAP-2       4
VALUE           MS-Acct-Auth-Type       EAP             5
VALUE           MS-Acct-EAP-Type        MD5             4
VALUE           MS-Acct-EAP-Type        OTP             5
VALUE           MS-Acct-EAP-Type        Generic-Token-Card      6
VALUE           MS-Acct-EAP-Type        TLS             13

редактируем файл /etc/radiusclient-ng/radiusclient.conf на предмет

dictionary /etc/radiusclient-ng/dictionary

редактируем файл /etc/radiusclient-ng/dictionary , добавляя в конец

INCLUDE /etc/radiusclient-ng/dictionary.microsoft INCLUDE /etc/radiusclient-ng/dictionary.merit

с клиентом тоже закончили, переходим к настройке mysql:
пакет freeradius-mysql содержит необходимые файлы для импорта их в mysql, находятся они в /etc/raddb/sql/mysql/
подредактируем файл admin.sql , что бы задать пароль отличный от стандартного

vim admin.sql :%s/radpass/radpass235/g :wq

подключаемся к mysql, создаем DB, импортируем таблицы и создаем пользователей

mysql -p mysql> create database radius; mysql> \. admin.sql mysql> use radius; mysql> \. schema.sql

далее создаем пользователей и их настройки

mysql> INSERT INTO radusergroup (username,groupname) values ('user1','static-ip-vpn'); mysql> INSERT INTO radusergroup (username,groupname) values ('user2','dinamic-ip-vpn');

должно получится следующее

mysql> select * from radusergroup;

+----------+----------------+----------+
| username |   groupname    | priority |
+----------+----------------+----------+
| user1    | static-ip-vpn  | 1        |
| user2    | dinamic-ip-vpn | 1        |
+----------+----------------+----------+

mysql> INSERT INTO radcheck (username,attribute,op,value) values ('user1','User-Password','==','pass1'); mysql> INSERT INTO radcheck (username,attribute,op,value) values ('user2','User-Password','==','pass2');

mysql> select * from radcheck;

+----+----------+---------------+----+-------+
| id | username | attribute     | op | value |
+----+----------+---------------+----+-------+
|  1 | user1    | User-Password | == | pass1 |
|  2 | user2    | User-Password | == | pass2 |
+----+----------+---------------+----+-------+

заполняем таблицу radgroupreply

mysql> INSERT INTO radgroupreply (groupname, attribute, op, value) values ('dinamic-ip-vpn','Service-Type',':=','Framed-User');

и так далее, чтоб получить следующее

mysql> select * from radgroupreply;

+----+----------------+--------------------+----+---------------------+
| id | groupname      | attribute          | op | value               |
+----+----------------+--------------------+----+---------------------+
|  1 | dinamic-ip-vpn | Service-Type       | := | Framed-User         |
|  2 | dinamic-ip-vpn | Framed-Protocol    | := | PPP                 |
|  3 | dinamic-ip-vpn | Framed-Compression | := | Van-Jacobsen-TCP-IP |
|  4 | static-ip-vpn  | Framed-Compression | := | Van-Jacobsen-TCP-IP |
|  5 | static-ip-vpn  | Framed-Protocol    | := | PPP                 |
|  6 | static-ip-vpn  | Service-Type       | := | Framed-User         |
+----+----------------+--------------------+----+---------------------+

заполняем таблицу radreply чтобы задать постоянный ip для первого клиента user1

mysql> INSERT INTO radreply (username, attribute, op, value) values ('user1','Framed-IP-Netmask',':=','255.255.255.255'); mysql> INSERT INTO radreply (username, attribute, op, value) values ('user1','Framed-IP-Address',':=','192.168.80.90'); mysql> select * from radreply;
+----+----------+-------------------+----+-----------------+
| id | username |     attribute     | op |     value       |
+----+----------+-------------------+----+-----------------+
| 1  | user1    | Framed-IP-Netmask | := | 255.255.255.255 |
| 2  | user1    | Framed-IP-Address | := | 192.168.80.90   |
+----+----------+-------------------+----+-----------------+

В итоге, мы занесли в базу данный 2-х клиентов, user1 с паролем pass1 и статическим ip – 192.168.80.90, и user2 с паролем pass2 и получением динамического ip из пула указанного в настройках pptpd. Здесь намеренно пользователи разнесены по группам, с учетом дальшейшего увеличения клиентов, можно было просто создать все атрибуты для обоих клиентов в таблице radreply, но при большом количестве клиентов, удобнее использовать группы, где указываются одинаковые для клиентов группы атрибуты. Так же, в группах можно указывать разные пулы адресов и еще многое другое, но об этом сейчас не будем.

Переходим к настрокам radius. Здесь я приведу примеры файлов, в которых производились изменения:

/etc/raddb/clients.conf client 127.0.0.1 { secret = YouRsUpErpAAs shortname = localhost nastype = other }

Третья проблема, на момент отладки, когда еще radius не был подключен к mysql, столкнулись с тем, что если в файле /etc/raddb/users , если клиенты оказывались прописанными не в начале файла, ничего не работало.

/etc/raddb/users DEFAULT Simultaneous-Use := 1 Fall-Through = 1

Это необходимо прописать, чтоб не было нескольких подключений с одним и тем же логином одновременно

/etc/raddb/radiusd.conf
в секции modules уберем комментарии с

$INCLUDE sql.conf

/etc/raddb/sql.conf
прописываем данные для подключения к mysql

password = "radpass235"

/etc/raddb/sites-enabled/default
в секциях authorize, session, post-auth и accounting включаем sql
в секции authorize включаем mschap

/etc/raddb/modules/mschap mschap { use_mppe = yes require_encryption = yes require_strong = yes }

Пожалуй, задача практически решена, остались некоторые штрихи:

Настроить iptables и разрешить форвард, чтоб выпустить клиентов в мир

iptables -I INPUT -p gre -j ACCEPT iptables -I INPUT -p tcp -m state --state NEW -m tcp --dport 1723 -j ACCEPT iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -I FORWARD -s 192.168.80.0/24 -o eth0 -j ACCEPT iptables -I FORWARD -d 192.168.80.0/24 -i eth0 -j ACCEPT iptables -t nat -I POSTROUTING -s 192.168.80.0/24 -o eth0 -j MASQUERADE

/etc/sysctl.conf net.ipv4.ip_forward = 1 sysctl -p

Уже на данной стадии, если мы запустим установленные сервисы, мы сможем подключится к нашей машине по vpn, осталось только перенести пул адресов выдаваемых динамическим клиентам из pptpd в radius. Для этого есть несколько вариантов, вплоть до помещения пула в mysql. Мы используем простой вариант.

/etc/raddb/modules/ippool
в секции ippool main_pool , делаем правки для своего пула адресов

range-start = 192.168.80.35 range-stop = 192.168.80.65

в файле /etc/raddb/sites-enabled/default добавляем с соответствующие секции

accounting { main_pool }

post-auth { main_pool }

далее, создаем файлы, где пул будет храниться

touch /etc/raddb/db.ipindex /etc/raddb/db.ippool chmod 664 /etc/raddb/db.ipindex /etc/raddb/db.ippool chown root:radiusd /etc/raddb/db.ipindex /etc/raddb/db.ippool

и добавляем в /etc/raddb/users

DEFAULT Pool-Name := main_pool Fall-Through = Yes

перезапускаем radius, и пробуем подключится к машине по vpn, все должно работать. Подробную статистику подключений мы можем увидеть в таблице radius.radacct
выделенные адреса из пула, можно посмотреть командой

rlm_ippool_tool -av /etc/raddbdb/db.ippool /etc/raddbdb/db.ipindex

Можно также одновременно использовать и pptpd и xl2tp. И если мы хотим разделить клиентов, мы можем добавить атрибуты, и в MySQL сделать соответствие группам, на основании этих атрибутов, например:
в /etc/ppp/options.pptpd

avpair Connect-Info=pptp

а в /etc/ppp/options.xl2tpd

avpair Connect-Info=l2tp

Соответственно, при запросе к радиусу эти атрибуты будут посланы. Останется только сделать проверку в radcheck таблице, если для конкретного клиента, или в radgroupcheck, если для группы.

Вот и все.

Удачи в настройках.
© shadow_alone

Оригинал: http://andrey.org/pptpd-mysql-radius/

Доступ к дискам(разделам) виртуальных машин (lvm in lvm)

admin — Mon, 31 Oct 2011 17:30:58 +0000

Иногда бывает необходимо получить доступ к дисковым разделам виртуальных машин. Здесь я постараюсь описать возможности доступа как для файлов-имидждей виртуальных машин, так и для LVM, в случае, если виртуалки стоят на LVM разделах.

В случае с разделами на файлах-имиджах, будем использовать lood-девайсы.
Далее, несколько возможных вариантов файлов-имиджей:

1. имидж содержит один раздел, например sda1, именно раздел, а не диск с один разделом.

решение:

# losetup /dev/loop1 /home/vm/centos.img #маппим раздел # mount /dev/loop1 /mnt # монтируем раздел

и мы можем работать с разделом примонтированным в /mnt

отключение:

# umount /dev/loop1 # losetup -d /dev/loop1

2. имидж содержит диск с несколькими разделами.

решение:

# kpartx -l /home/vm/centos.img #смотрим разделы loop0p1 : 0 1024000 /dev/loop0 2048 loop0p2 : 0 15751168 /dev/loop0 1026048 # kpartx -a /home/vm/centos.img #маппим разделы

в результате получаем в /dev/mapper/ два раздела:
loop0p1 loop0p2

которые можно смонтировать, например

# mount /dev/mapper/loop0p1 /mnt

отключение:

# umount /dev/mapper/loop0p1 # kpartx -d /home/vm/centos.img

3. имидж содержит в себе LVM разделы

представим, что раздел loop0p2 из второго пункта содержит в себе LVM-тома

решение:

# lvm pvscan #сканируем на наличие LVM-томов PV /dev/dm-1 VG VolGroup lvm2 [7.51 GiB / 0 free] Total: 1 [7.51 GiB] / in use: 1 [7.51 GiB] / in no VG: 0 [0 ] # lvm vgchange -a y VolGroup

в результате получаем в /dev/mapper еще два раздела:
VolGroup-lv_root VolGroup-lv_swap

теперь можно монтировать и работать с разделом:

# mount /dev/mapper/VolGroup-lv_root /mnt

отключение:

# umount /dev/mapper/VolGroup-lv_root # lvm vgchange -a n VolGroup # kpartx -d /home/vm/centos.img

В случае с виртуальной машиной на LVM-разделе, все идентично, за исключением того, что loop-девайсы не используются. к примеру виртуальная машина на разделе /dev/mapper/vol-centos1

1. один раздел
напрямую монтируем раздел

# mount /dev/mapper/vol-centos1 /mnt

2. несколько разделов

# kpartx -l /dev/mapper/vol-centos1 #смотрим разделы vol-centos1p1: 0 1024000 /dev/loop0 2048 vol-centos1p2: 0 15751168 /dev/loop0 1026048 # kpartx -a /dev/mapper/vol-centos1 #маппим разделы

далее монтируем:

# mount /dev/mapper/vol-centos1p1 /mnt

3. LVM разделы (lvm in lvm)

# lvm pvscan #сканируем на наличие LVM-томов PV /dev/mapper/vol-centos1p2 VG VolGroup lvm2 [7.51 GiB / 0 free] Total: 1 [7.51 GiB] / in use: 1 [7.51 GiB] / in no VG: 0 [0 ] # lvm vgchange -a y VolGroup #активируем группу LVM-томов

получаем в /dev/mapper два новых раздела:
VolGroup-lv_root VolGroup-lv_swap

можем монтировать и работать:

# mount /dev/mapper/VolGroup-lv_root /mnt

отключение:

# umount /dev/mapper/VolGroup-lv_root # lvm vgchange -a n VolGroup # kpartx -d /dev/mapper/vol-centos1

Вот и все.

Удачи в настройках.
© shadow_alone

Оригинал: http://andrey.org/virtual-images-lvm/

iPad. Дизайн шаблоны.

admin — Mon, 31 Oct 2011 17:18:29 +0000

После выпуска iPad компанией Apple, под него можно создавать приложения, а значит требуется проектировать и их интерфейс. Конечно интерфейс билдер Apple хорош, но он не позволяет создавать произвольные UI-элементы налету. Поэтому было решено создать PSD-файл шаблонов элементов.

Данный PSD-файл был создан с использованием векторной графики, так что он полностью редактируемый и масштабируемый. Рабочяя облать в формате 764 на 1024 пикселей, так что все что вы создаете в Photoshop, может быть легко перенесено в SDK.

Скачайть файл iPad_GUI_PSD_2

Скачав файл по данной ссылке вы получите набор шаблонов в виде скетчей (набросков сделанных от руки). Возможно такой дизайн подойдет вам больше чем дизайн с “реальнымы” элементами.

Шаблоны в виде набросков

Надеюсь это поможет вам при создании ваших iPad приложений.

Оригинал: http://www.teehanlax.com.

Пейзажи из еды

marie — Tue, 18 Oct 2011 13:32:58 +0000

Удивительные фотографии съедобных ландшафтов, все элементы которых сделаны из настоящих продуктов.

Карл Уорнер ( Carl Warner ) – австралийский фотограф, работающий в Лондоне. Окружающие считают Карла Уорнера немного странным: фотограф может подолгу стоять, разглядывая овощи в супермаркетах.
Все дело в том, что Карл Уорнер, иллюстратор по образованию, мастер жанра с его подачи известного как “Foodscapes”, то есть пейзажи из еды. На его картинах горы сделаны
из хлеба, деревья – это брокколи, волны – листы капусты, а роль камней исполняет печеный картофель.

По сложности исполнения выкладывание пейзажей из еды ничем не отличается от написания картин маслом. Создание одного съедобного пейзажа занимает несколько дней. Сначала по эскизам подбираются продукты. Затем два-три дня уходит на построение пейзажа и фотографирование, при этом, чтобы “капризная” еда под светом сафитов не заветривалась и не портилась, каждая сцена фотографируется слоями. Еще несколько дней уходит на ретушь и совмещение всех слоев и элементов фотографии. В результате получается великоленая иллюзия.

Рекламной фотографией Карл Уорнер занимается уже больше 25 лет. А конкретно пейзажами из еды – последние 10 лет. Всемирную известность “Foodscapes” принесли автору в 2008 году. Благодаря интернету фотографии съедобных пейзажей разлетелись по всему земному шару с невероятным вирусным успехом. С тех пор у Карла Уорнера нет отбоя от рекламодателей и агентств, желающих придать упаковкам и рекламе своих товаров такой же сочный вид, как на его аппетитных ландшафтах.

Брокколи в горах и морской пейзаж были сделаны для финского молочного бренда Valio по заказу агентства Sek & Grey.

Пейзажи из колбасы и мяса Карл Уорнер сделал для бренда Negroni по заказу DDB Milan.

Серия принтов, изображающих лондонские достопримечательности, была сделана для британского телеканала Good Food.

источник: www.adme.ru

Министерство печати

admin — Sun, 05 Jun 2011 07:24:07 +0000

А в Великобритании есть министерство печати. Так то.

http://ministryoftype.co.uk/

Hetzner и IPv6

shad — Sun, 02 Jan 2011 20:27:11 +0000

При заказе на Hetzner блока IPv6, Вы получите письмо примерно следующего содержания:
IPs: 2a01:4f8:110:4121:: /64
Gateway: 2a01:4f8:110:4116::1 /59
Теперь необходимо всё это дело прописать у себя. У меня на одной из машин крутится несколько виртуальных, соответственно адреса выдадим и им. Все машины на CentOS.

Для начала пропишем на основной машине (добавляем записи, если их нет):

/etc/sysconfig/network
NETWORKING_IPV6=yes

/etc/sysconfig/network-scripts/ifcfg-eth0
IPV6INIT=yes
IPV6ADDR=2a01:4f8:110:4121::1

/etc/sysconfig/network-scripts/route6-eth0
2a01:4f8:110:4116::1 dev eth0
::/0 via 2a01:4f8:110:4116::1

и выполняем
# /etc/init.d/network restart
Проверяем:
# ping6 ipv6.google.com
С основной машиной почти закончили, осталось включить forwarding, чтобы виртуальные машины могли использовать IPv6 адреса. В данном случае, адрес Вашей основной машины – [2a01:4f8:110:4121::1].

/etc/sysctl.conf
net.ipv6.conf.all.forwarding=1

выполняем:
# sysctl -p
Теперь к настройке виртуальных машин, там все просто, достаточно дать адрес и шлюз.

/etc/sysconfig/network
NETWORKING_IPV6=yes

/etc/sysconfig/network-scripts/ifcfg-eth0
IPV6INIT=yes
IPV6ADDR=2a01:4f8:110:4121::2
IPV6_DEFAULTGW=2a01:4f8:110:4121::1

выполняем:
# /etc/init.d/network restart
Машина получила адрес [2a01:4f8:110:4121::2]. Для других виртуальных машин проделайте тоже самое, меняя адрес.

Ну и приведу пример простейшей настройки ip6tables – файлвол для IPv6.
создайте файл примерно следующего содержания, каждому своё, кто-то что-то добавит или уберет:

/etc/sysconfig/ip6tables
#
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# Разрешаем все подключения из своей подсети
-A INPUT -s 2a01:4f8:110:4121::/64 -d ::/0 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -i lo -j ACCEPT
# Разрешаем соединения для уже установленных соединений
-A INPUT -s ::/0 -d ::/0 -m state –state RELATED,ESTABLISHED -j ACCEPT
# Разрешаем icmp
-A INPUT -s ::/0 -d ::/0 -p ipv6-icmp -j ACCEPT
# Разрешаем необходимые нам порты
-A INPUT -s ::/0 -d ::/0 -p tcp -m tcp –dport 22 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -p tcp -m tcp –dport 80 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -p tcp -m tcp –dport 53 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -p udp -m udp –dport 53 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -p tcp -m tcp –dport 443 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -p tcp -m tcp –dport 25 -j ACCEPT
-A INPUT -s ::/0 -d ::/0 -p tcp -m tcp –dport 110 -j ACCEPT
# Все остальное отклоняем
-A INPUT -s ::/0 -d ::/0 -j REJECT –reject-with icmp6-adm-prohibited
COMMIT
#

Перезапускаем файрвол:
# /etc/init.d/ip6tables restart

Вот и все готово. Теперь Ваши машины имеют IPv6 адреса и защищены файрволом.

Удачи в настройках.
© shadow_alone

Синхронизация DNS-зон c сервера с Plesk-панелью

shad — Fri, 17 Dec 2010 15:01:06 +0000

Задача может возникнуть когда на сервере с Plesk-панелью имеется всего один IP-адрес. В данном случае, что-бы не заводить slave-зоны на другом сервере каждый раз вручную, можно в крон поставить скрипт, который и будет производить синхронизацию зон. Причем, не только добавлять новые зоны, но и удалять старые, а также не только основные домены,но и алиасы к ним.

Для начала нам понадобиться создать юзера в mysql на сервере с Plesk-панелью, и дать ему права на чтение из нужных таблиц.

grant select on psa.domains to dsnuser@'%' identified by 'You_paSSword'; grant select on psa.domainaliases to dsnuser@'%' identified by 'You_paSSword';

Можете вместо % использовать конкретный хост, так безопаснее, и так же не забудьте открыть для этого хоста mysql-порт(3306) на файрволе.
Все остальные действия проводятся уже на сервере где должны быть slave-зоны.
Далее создадим следующий скрипт, назовем его dnssync:

#!/bin/bash

if [ -f /tmp/plesk-domains.txt ];then /bin/mv -f /tmp/plesk-domains.txt /tmp/plesk-domains.txt.old fi
/usr/bin/mysql -h plesk.server.name -u dssuser --password="You_paSSword" -Bse "SELECT name from domains where status=0 UNION SELECT name from domainaliases where status=0 " psa >/tmp/plesk-domains.txt OUT1=$? if [ $OUT1 -eq 0 ];then /usr/bin/diff -q /tmp/plesk-domains.txt /tmp/plesk-domains.txt.old > /dev/null OUT2=$? if [ $OUT2 -ne 0 ];then echo "" >/var/named/chroot/etc/plesk-zones.conf while read line do domain=$line echo "zone \"$domain\" { type slave; masters {ip_of_plesk_server;}; file \"/var/named/slaves/$domain.hosts\"; };" >>/var/named/chroot/etc/plesk-zones.conf done < "/tmp/plesk-domains.txt" echo "" >>/var/named/chroot/etc/plesk-zones.conf /etc/init.d/named restart > /dev/null fi else if [ -f /tmp/plesk-domains.txt.old ];then /bin/mv -f /tmp/plesk-domains.txt.old /tmp/plesk-domains.txt fi fi

Обратите внимание на пути, в данном примере bind запущен в chroot окружении, на CentOS 5.5. У Вас пути могут отличатся, и Вам необходимо исправить их на свои. Также замените ip_of_plesk_server и plesk.server.name на IP сервера с Plesk-панелью.

Осталось добавить в named.conf

include "/etc/plesk-zones.conf";

дать права на выполнение файлу dnssync,и поставить задание в cron, например, делать проверку каждый час:

0 * * * * /path_to_script/dnssync

запускаем один раз /path_to_script/dnssync
рестартуем bind
И все работает на ура.
Больше лишних телодвижений не потребуется.
Я всегда задумываюсь: все-таки именно лень заставляет нас что-то сделать, чтоб потом ничего не делать.

ip sla, ipsec и event manager

shad — Fri, 18 Jun 2010 21:38:30 +0000

Заметку делаю для себя, чтоб не забыть.
Итак, столкнулся с тем, что track отбивает маршрут, но сессия ipsec висит. Соответственно, пока её не прибить, трафик не ходит по новому маршруту с новым тунелем.
Проблему решил с помощью event manager. Настраивалось все на 2811.

track timer interface 5 track timer ip route 5 ! track 1 ip sla 10 reachability !

канала для сети 192.168.125.0/24 два, оба через ipsec, основной канал по радиолинку через 10.11.12.13, и второй через инет по дефолтному маршруту.

ip route 192.168.125.0 255.255.255.0 10.11.12.13 track 1 ip route 0.0.0.0 0.0.0.0 10.9.8.7

когда линк по радио-каналу есть, работает основной маршрут для этой сети, в отсутствие линка, работает маршрут через инет.

ip sla 10 icmp-echo 10.11.12.13 source-interface FastEthernet0/1 timeout 2000 threshold 2 frequency 10 ip sla schedule 10 life forever start-time now

теперь собственно нужно отбить сессию ipsec, что проделывается следующим образом

event manager applet app-sla-10 description #crypto down if radio channel unav# event track 1 state down action 1.0 cli command "enable" action 1.1 cli command "clear crypto session remote 10.11.12.13" event manager applet app-sla-11 description #crypto down if radio channel av# event track 1 state up action 1.0 cli command "enable" action 1.1 cli command "clear crypto session remote 10.9.8.6"

Вот таким образом всё работает. При пропадании линка через радио-модем, маршрут через него пропадает и ipsec сессия прибивается, соответственно, поднимается новя сессия ipsec по каналу через инет и работает основной маршрут. При появлении радио-линка все возвращается на круги своя.

Nginx с php на CentOS

shad — Mon, 26 Apr 2010 14:54:46 +0000

Установим и настроем Nginx с PHP на примере CentOS 5.4. Все делается довольно быстро и просто.

Первым делом ставим репозитарий epel:

# rpm -Uvh http://download.fedora.redhat.com/pub/epel/5/$(uname -m)/epel-release-5-3.noarch.rpm

Устанавливаем nginx:

# yum install nginx

Ставим PHP и необходимые модули:

# yum install php-pear-Net-Socket php-pear php-common php-gd php-devel php php-mbstring php-pear-Mail php-cli php-imap php-snmp php-pdo php-xml php-pear-Auth-SASL php-ldap php-pear-Net-SMTP php-mysql

Ставим spawn-fcgi:

# yum install spawn-fcgi

Скачиваем и настраиваем скрипт для init.d:

# wget http://andrey.org/nginx-daemon.sh.gz

# gunzip nginx-daemon.sh.gz

# mv nginx-daemon.sh /etc/init.d/php_cgi

# chmod +x /etc/init.d/php_cgi

Запускаем php app :

# /etc/init.d/php_cgi start

Проверяем:

# netstat -tulpn | grep :9000

Получаем:

tcp 0 0 127.0.0.1:9000 0.0.0.0:* LISTEN 15196/php-cgi

Вносим изменения в /etc/nginx/nginx.conf :

location ~ \.php$ {

root html;

fastcgi_pass 127.0.0.1:9000;

fastcgi_index index.php;

fastcgi_param SCRIPT_FILENAME /usr/share/nginx/html$fastcgi_script_name;

include fastcgi_params;

}

Рестартуем Nginx:

# service nginx restart

Создаем тестовый файл для проверки работы php – /usr/share/nginx/html/info.php:

phpinfo();

?>

Проверяем в браузере. Все должно работать.

Удачи в настройках.

Изменение размеров файлов-имиджей XEN Dom-U

shad — Wed, 17 Mar 2010 00:09:10 +0000

В случае, если, Вы пользуетесь файлами имиджей с сайта stacklet.com, все совсем просто:

Отключаем машину. Создаем пустой файл нужного размера:

dd if=/dev/zero of=Tempfile bs=1M count=10010

добавляем этот файл в конец файла-имиджа, например:

cat Tempfile >>ubuntu.9-10.x86.img

и изменяем размер раздела файловой системы:

resize2fs -f ubuntu.9-10.x86.img

Запускаем машину и всё.

В случае, если вы сами создавали виртуальную или паравиртуальную машину, и файл имидж содержит несколько разделов, например:

/dev/sda1 /boot

/dev/sda2 swap

/dev/sda3 /

делаем таким образом:

останавливаем машину, создаем пустой файл нужного размера

dd if=/dev/zero of=/vm/zero.img bs=1M count=5000

добавляем этот файл в конец файла-имиджа

cat zero.img >>t2.img

потом прикручиваем получившийся файл в систему и запускаем fdisk

/sbin/losetup /dev/loop1 /vm/t2.img

fdisk /dev/loop1

()delete – удаляем наш раздел, в данном случае /dev/sda3

()add – добавляем раздел /dev/sda3 с таким же началом, но новым размером

сохраняем изменения

отсоединяем имидж из системы

/sbin/losetup -d /dev/loop1

запускаем нашу виртуальную машину и уже в ней

resize2fs /dev/sda3

вот и все.

Заметка практического характера, в свое время искал инфу, и если в первом варианте всё без проблем, то во втором надо быть осторожнее, чтоб не потерять инфу. Возможно, кому-то будет полезно.