ru.linux

 
 - RU.LINUX ---------------------------------------------------------------------
 From : FAQ Robot                            2:5030/155.21  09 Jan 2001  14:37:29
 To : All
 Subject : [part 2] FAQ - третья часть из четырех
 -------------------------------------------------------------------------------- 
 

 
   значит его может узнать злоумышленник, "прослушивая" сеть и анализируя
   "чужие" пакеты.
 
   Ответов на второй вопрос несколько:
 
   ч  быстрый и неправильный способ - удалить файл /etc/securetty или
      прописать в нем псевдотерминалы /dev/ttyP*. Это опасно потому, что
      дает злоумышленнику возможность не только узнать пароль, но и
      воспользоваться им для удаленного захода на машину.
 
   ч  менее быстрый, но все равно неправильный способ - заходить на
      машину обычным пользователем, а затем использовать команду su или
      sudo. И в этом случае оба пароля передаются открытым текстом, со
      всеми возможными последствиями.
 
   ч  самый правильный способ - полностью отключить сервисы telnet,
      не-анонимный ftp, rsh, rlogin и заменить их на ssh, шифрующий все,
      что передается через сеть и поддерживающий аутенификацию не только
      через пароль, но и с использованием криптографии с открытым ключом.
      Клиент и сервер ssh для Unix можно взять на
      <http://www.openssh.com>, про клиенты для Windows написано в
      разделе "Прочее".
 
   5.2.  Hадоело запускать ppp (slip) руками. Хочу чтобы сам звонил,
   когда надо.
 
   Медленно и печально идем на  <http://diald.sourceforge.net>, сливаем
   diald, разворачиваем, читаем README, совершаем _минимальные_
   телодвижения на предмет конфигурации и инсталляции, и получаем
   эмулятор выделенной линии. Как только требуется выйти во внешний мир,
   diald дозванивается до провайдера, устанавливает роутинг и можно
   работать.  Внимание: учтите, что с ядрами 2.2.x нормально работает
   diald-1.99 и выше. 0.16, лежащий везде, в том числе и в некоторых
   дистрибутивах, предназначен только для 2.0. (почему-то эта информация
   пропущена в Changes) Да, еще...  Рекомендации лучших линуксоводов: в
   файле /etc/resolv.conf надо размножить строчки nameserver
   xxx.xxx.xxx.xxx раза по три, чтобы он по таймауту не отваливался
   раньше, чем diald дозвонится. Полезно также удалить default route на
   eth0.
 
   А еще можно так: в diald.rc пишем
 
   ip-up "cp /etc/resolv.conf.connected /etc/resolv.conf"
   ip-down "cp /etc/resolv.conf.local /etc/resolv.conf",
   где в resolv.conf.connected написано:
 
   search yourdomain
   nameserver xxx.xxx.xxx.xxx (я предпочитаю 127.0.0.1)
   а в resolv.conf.local написано:
 
   domain yourdomain
   Хорошо настроить и использовать локальный DNS-cервер в режиме caching-
   only. Его можно поднимать и опускать через ip-up и ip-down как сказано
   чуть выше, или через /etc/ppp/ip-up.local и ip-down.local. Как его
   настроить: раньше вариант был только один - почитать книжку и
   настроить  таки bind. Теперь есть более простой вариант: к редхату
   прилагаются  готовые настройки для cache-only bind'а (в пакете
   caching-nameserver) или можно установить демон nscd, который умеет
   только кешировать DNS-запросы (а также запросы к базе пользователей и
   групп).
 
   А еще можно сходить посмотреть на  <http://alexm.here.ru>
 
   5.3.  Есть ли такая пpогpама для Linux, чтобы в сети Netware обойтись
   без tcpip - чтобы был только ipx?
 
   Есть mars -- netware server для линукса (эмуляция нетваpевского
   сеpвеpа) ipx*, ncp*, nw* (из дистpибутива mars) - клиент.
   Посмотрите Caldera Open Linux ( <http://www.caldera.com>) - компания
   Caldera владеет исходными текстами Novell и переносит их на Linux.
   Netware for Linux -
   <http://www.calderasystems.com/support/docs/netware/>.
 
   Hе забудьте про IPX-HOWTO:  <http://linuxdoc.org/HOWTO/IPX-HOWTO.html>
 
   5.4.  Пpинтеpы расшаpены чеpез самбу, но после отпечатывания стpаницы
   (или задания) пpобpасывается N листов впустую. HP пpокpучивает один
   лист, а Epson два. Как лечить?
   PRINTCAP / Begin
    my_favourite_printer:\
    lp=/dev/lp1:\
    sd=/var/spool/lpd/my_favourite_printer:\
    sh:lf=/dev/tty10:ff=:
   PRINTCAP / End
   5.5.  Как подружить Самбу и 1С ?
 
   (Zahar Kiselev, 2:5030/382)
 
   Вот что достаточно сделать чтобы работало:
 
   Взять вот этот патч. Взять ядро 2.0.38 с ftp.kernel.org - он к нему
   подходит без исправлений. Прочитать текст внутри самого патча на
   предмет команда echo в некие файлики в файловой системе /proc. Патч
   применить, командочки вписать куда-нибудь в стартовый скрипт.
 
   Version 8.04.2 - for linux-2.0.37
 
   This patch (and it's updates are available from
   <http://www.linux.org.za/filehandle.patch.linux> and
   <ftp://ftp.is.co.za/linux/local/kernel/filehandle.patch.linux> The
   following patch allows you to increase the maximum number of
   files/network sockets openable to any number. The default kernel only
   allows 256 filehandles
 
   Если у кого-то руки чешутся использовать ядро 2.2 (а зачем?), то пойти
   на dejanews и рыться в архиве ру.линукс за прошедшее лето (1999) - тут
   пробегали несколько рецептов переделки лимита в этом ядре, причем один
   был весьма корректный, а другой, наиболее понятный для повторения,
   проходил 4 августа.
 
   Взять Самбу >=2.0.5a, важно, чтобы она понимала  параметр в smb.conf
   "ole lock compatible", установить его в "no". Остальное настроить в
   соответствии с любой из многочисленных рекомендаций по установке
   Самбы, главное - не запрещать ей работать с блокировками(я знаю одного
   человека, который до этого додумался). Запустить и все будет работать.
   Чтобы несколько пользователей могли лезть в одну базу - поместить их в
   одну юниксовую группу и поставить права на файлы так, чтобы был доступ
   на запись для группы. Вобщем-то по-моему все. Остальные настройки
   Самбы влияют только на скорость, и то незначительно. Да, если кто-то
   решит собирать Самбу из исходников, например чтобы отучить ее от
   авторизации через PAM, то могут вылезти две вещи - в зависимости от
   версии GCC возможно придется выключить оптимизацию(изничтожить как
   минимум из двух мест флажок -O, на скорость работы 1С это не влияет -
   проверено), и проверить что написало configure в файле config.h - оно
   там любит почему-то некоторые системные типы (ino_t,pid_t,еще штук
   пять) переопределять по-своему - после этого у меня вылез интересный
   эффект - все файлы на самбовом диске были видны с длинной 4к :)
   Признаком этого явления могут служить предупреждения, выдаваемые при
   сборке относительно empty declarations. Закомментировать эти
   определения - и все собирается нормально.
 
   Если кто-нибудь все вышесказанное повторит и у него не заработает -
   можно спросить у меня что еще может влиять. Я на своей машине
   конфигурацию системы полностью руками ставил, причем давно, так что
   могут быть какие-то мелкие особенности. Hапример Самба при работе
   хочет создать файлики browse.dat, wins.dat - так вот надо поставить
   права так, чтобы она могла их читать в том числе и тогда, когда
   работает от имени виндового пользователя - иначе могут быть большие
   таймауты при выполнении команды net use в виндах, и может не работать
   столь любимое многими чайниками "сетевое окружение".
   5.6.  PPP сервер/клиент с поддержкой callback, соединение с NT/2000
   сервером и прочие проблемы при настройке ppp
 
   Про клиент pppd + callback можно прочесть файл README.cbcp в
   дистрибутиве pppd.
 
   Про все остальное - читайте  <http://www.nitek.ru/~igor/pppd/> или
   <http://nitek.east.ru/~igor/pppd/>.
 
   5.7.  Имеется сеть из PC + Linux, телефонная линия на Linux-e.
   Хотелось бы: с любого рабочего места отправить факс. Какой софт под
   Linux для этого существует в природе ?
 
   hylafax - есть все, что в подобных случаях может понадобиться и
   сказано, где взять "клиентов" под DOS, Windows, etc. HО! принимать по
   одной линии (тел) и факсы и фидо не получится. :( Можно использовать
   mgetty, но факс-сервер придется делать самому, как делать можно
   подглядеть в hylafax. :)
 
   5.8.  Как настроить PPTP на Linux ?
 
   <http://www.moretonbay.com/vpn/pptp.html>
 
   5.9.  * Как настроить SSL на smtp, pop3?
 
   Hужно найти (например, на freshmeat) программу stunnel. Она
   прописывается в конфиге inetd примерно так:
 
   spop3 stream tcp nowait root /usr/sbin/stunnel /usr/sbin/popa3d
   ssmtp stream tcp nowait root /usr/sbin/stunnel /usr/sbin/sendmail
   Victor Wagner предупреждает о подводном камне:
 
   Желательно в качестве argv[0] запускаемому демону указать что-то
   отличное от его имени файла.  А то, если программа собрана с
   поддержкой tcpwrappers и используется hosts.allow/hosts.deny для
   разрешения доступа без ssl только из локалки, то при совпадении
   argv[0] не-ssl-ного и ssl-ного демона, и с SSL будут не пускать откуда
   нельзя.
 
   5.10.  Имеется сетка из машин под NT, Win95, и DOS, в ней же есть
   Linux с диалапным PPP к провайдеру. Как сделать так, чтобы все
   пользователи из локалки могли ходить по интернету?
 
   Hужно настроить маскарадинг. Предположим, что внутренняя локалка имеет
   адреса 192.168.0.0 (как и положено по RFC-1918). Тогда :
   #!/bin/sh
 
   /sbin/insmod ip_masq_autofw
   /sbin/insmod ip_masq_user
   /sbin/insmod ip_masq_cuseeme
   /sbin/insmod ip_masq_ftp
   /sbin/insmod ip_masq_irc
   /sbin/insmod ip_masq_mfw
   /sbin/insmod ip_masq_portfw
   /sbin/insmod ip_masq_quake
   /sbin/insmod ip_masq_raudio
   /sbin/insmod ip_masq_vdolive
 
   /sbin/ipchains -F
 
   /sbin/ipchains -P forward DENY
 
   /sbin/ipchains -A forward -j MASQ -s 192.168.0.0/16 -d 0.0.0.0/0
   Если Linux имеет адрес 192.168.0.1, то этот ip должен быть определен
   на хостах внутренней сети как default gateway.
 
   Также полезно прочитать HOWTOs:
 
   Firewall  <http://linuxdoc.org/HOWTO/Firewall-HOWTO.html>
 
   IPCHAINS  <http://linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html>
 
   IP-Masquerade  <http://linuxdoc.org/HOWTO/IP-Masquerade-HOWTO.html>
 
   Русская дока есть на  <http://www.fima.net/masquerade.html>
 
   В 2.0 ядрах вместо ipchains используется ipfwadm, в 2.4 - netfilter,
   про который также есть HOWTO на  <http://netfilter.kernlenotes.org>
 
   Если ничего не работает - проверьте, что находится в
   /proc/sys/net/ipv4/ip_forward :
 
   $ echo "1" > /proc/sys/net/ipv4/ip_forward
   (в Red Hat 6.2 и выше - не забудьте поправить /etc/sysctl.conf)
 
   Утилиты для графического управления firewall-ом : fBuilder
   <http://www.innertek.com/> Mason
   <http://users.dhp.com/~whisper/mason/>
 
   5.11.  Как настроить socks5 ?
 
   Cофт лежит на  <http://www.socks.nec.com>
 
   Предположим, что у вас есть машина с двумя интерфейсами (PPP/Ethernet
   или Ethernet/Ethernet). Hа внутреннем Ethernet-e адрес : 192.168.0.1.
   Самый простой вариант - аутентификация клиентов локалки только по
   адресу.
 
   /etc/socks5.conf
 
   permit - - 192.168.0. - - -
   set SOCKS5_BINDINTFC 192.168.0.1:1080
   set SOCKS5_NOIDENT
   ICQ 99/2000 работает. Подробнее 'man socks5', 'man socks5.conf',
   <http://www.socks.nec.com>. [там есть FAQ]
   5.12.  Как вырезать баннеры из веб-страниц?
 
   Простейший способ - занесение соответствующих хостов - поставщиков
   рекламы в /etc/hosts с фиктивными ip адресами.
 
   Более сложный, но и более гибкий - при помощи прокси-сервера Squid.
   Чаще всего для фильтрации используют ACL (Access Control List) типа
   "url_regex" (squid.conf, раздел ACCESS CONTROLS) типа:
 
   acl Reclama_Banners url_regex ^http://www1\.reklama\.ru/cgi-bin/banner/*
   http_access deny Reclama_Banners
   Или из файла :
 
   acl Banners url_regex "/etc/squid/banners"
   http_access deny Banners
   В /etc/squid/banners вписываешь своих врагов (в виде регулярных
   выражений), например:
 
   ^http://banners\.rambler\.ru/advert/.*\.gif
   ^http://kulichki.rambler.ru/reklama/banners/.*\.gif
   ^http://www.*\.yandex\.ru/cgi-bin/banner/*
   ^http://www1\.reklama\.ru/cgi-bin/banner/*
   ^http://www\.reklama\.ru/cgi-bin/banner/*
   ^http://www\.reklama\.ru/cgi-bin/href/*
   ^http://www\.100mb\.net/images/ban/banner.*\.gif
   ^http://www\.bizlink\.ru/cgi-bin/irads\.cgi.*
   ^http://www\.linkexchange\.ru/cgi-bin/rle\.cgi
   ^http://www\.linkexchange\.ru/users/.*/goto\.map
   ^http://www\.netcq\.com/banners/banner\.gif
   ^http://1000\.stars\.ru/cgi-bin/1000\.cgi
   Еще лучше с задачей фильтрации справляется специальная
   программа-фильтр squidguard  <http://www.squidguard.org>, ставится в
   дополнение к squid.
 
   Более полный список баннеродержателей можно получить на
   <http://pail.pu.ru/>
 
   Можно сделать Transparent Proxy <http://www.lexa.ru/lexa/transparent-
   proxy.html>
 
   Можно поставить редиректор squirm  <http://www.senet.com.au/squirm/>,
   его задача - подменять одни URLs другими.
 
 --- ifmail v.2.14.os-p7
  * Origin: Space Design, St.Petersburg (2:5030/155.21@fidonet)
 
 

Вернуться к списку тем, сортированных по: возрастание даты  уменьшение даты  тема  автор