neotach, марщрутизатор нужен там, где нужно маршрутизировать, зачем вам вообще там устройство :D понимаю что для коммутации... но реально там и коммутатор не нужен, дотянись бы все проводки в главный маршрутизатор :D
Я вам скажу больше, если у вас на (марш. 1) приходит через одну физику интернет + сеть, вам там тоже не нужен маршрутизатор :D Какие вообще функции у вас маршрутизаторы сейчас выполняют , кроме коммутационных? Каждый клиент изолирован вланом от других клиентов? Вы занимаетесь маршрутизацией внешних ИП адресов внутри этого сегмента? Явно пока только одно, маршрутизировать на участках (марш. 2, марш. 3) нечего :D
grozadvora, то о чем вы говорите, прямо не связано, сниферить можно и при супер управляемом свиче не настроенном :D А внутри Layer2 снифера можно пресекать через VLAN, но это накладно в случае домо-сетей :D
ИлЮшка: Согласен.
Но по-идеи, если держишь свой сайт, то надо знать всё, тем более если его уже взламывают.
Кстати мне сегодня пришло письмо от хостера, что на дедике рекомендуют обновить ПО, так как нашлись какие дырки.
Цитирую:
Доводим до Вашего сведения, что на прошлой неделе была обнаружена уязвимость в ядре Linux, позволяющая локальному пользователю получить права root.
Уязвимость касается ядер версии с 2.6.37 по 3.8.10. Узнать версию Вашего ядра Вы можете командой uname -r в SSH.
Обнаруженная уязвимость касается ОС CentOS, Debian 7 и Ubuntu 12.04.
Пожалуйста, обновите ПО и ядро на Вашем сервере до последних версий.
Ну вот и посудите сами, вам сегодня письмо пришло, а уязвимость от 13го числа кажется...
18го числа я уже репортил о том, что на второй версии фикса в ядре 6.2 уязвимость устранена (/ru/forum/comment/11770815).
Кстати она касается владельцев серверов, если у вас просто хостинг то привет провайдеру :D
---------- Добавлено 20.05.2013 в 22:01 ----------
6666: В том то и дело, что не надо. Сделайте кнопку "безопасный режим".
А как участь мильен разнообразий конфигураций?
Как-то тут ВКЛ\ВЫКЛ малова-то, 100500 профилей ?
Или же только одно ПО , под которое таки да, реально продумать "Safe mode".
---------- Добавлено 20.05.2013 в 22:04 ----------
rustelekom: Вероятно, они используют антивирус в реальном масштабе времени который проверяет закачиваемый контент. Других вариантов, как еще можно отличить одни файлы пхп от других - не могу себе представить. Вероятно, это несколько замедляет собственно закачку (на маленьких файлах не думаю что сильно замедляет). Но использование антивируса - не панацея. Всегда можно найти новый шелл, который еще не занесен в базы антивирусов.
Мне кажется, что надо действовать другим методом, на входе ловить шелы реально нет смысла, все равно что-то проедет.... важно что потом это может сделать в системе... а вот тут и надо крутить ограничения для клиентов всяческие... Но как правило , уязвимости движков при нормальном хостинге максиммум приводят к взлому одного акаунта на сервере.... есть ли смысл тратить кучу времени и всего прочего, если можно потом восстановить из бекапа и анализировать логи конкретного сайта\акаунта.... Думаю делема именно в этом :D Когда уязвимость коснулось локальности unix.... тогда все зашевелили булками, думаю многие как и я анулировали на время ssh / cc /gcc на сервере и все такое.... :)
mcafeeuser: В теме и на сайте упоминается "рейд", в частности, программный. Если можно, вкратце, что это означает для пользователя. Какие-то особенности или преимущества в вашей реализации? Простыми словами для неискушённого пользователя.
Приветствую,
Честно говоря, говорить особо не о чем, обычная реализация резервирования данных которая встречается везде, да не везде :D Из себя представляет в простейшем варианте два жестких диска одинаковой величины с однотипными данными, к примеру вы в системе создали файл 1.txt , а его моментально разместило на двух винчестерах автоматически, данная схема в первую очередь предоставляет шикарную возможность продолжить работу не останавливая процесс в случае выхода из строя одного из накопителей, а так же прямо говорит о повышенной отказоустойчивости по сравнению с обычным (единичным) диском в сервере, так как при выходе из строя одного из жестких дисков - целостность данных сохраняется в полном объеме. Таким типом резервирования (зеркалирования) оборудован каждый сервер на услугах Виртуальный Хостинг и VIP Хостинг.
Отличная статья, с хорошим описанием находится вот тут, если мы будем говорить об услугах Выделенных Серверов, то в комплект сервера вполне могут быть поставлены Raid Контроллеры позволяющие работать с Raid 0,1,5,6,10,50.
domen4you: Romka_Kharkov, да, сейчас опять за сутки секунд 15 отставания набежало. Напишите, если можно, конкретные команды, а то я терминалом раз в пятилетку пользуюсь
Дело в не в команде, предложенное izbushka в crontab это тоже извращение, по факту предлагается раз в час получать время с сервера и верить что оно правильно, стало быть каждое получение будет получать отставание.... это не решение , в таком варианте не учитывается diff времени в срезе и тому подобное. Для правильного решения требуется постоянный запуск демона ntpd, который имеет конфиг типа "/etc/ntpd.conf" в котором описаны сервера с которыми надо синхронизироваться.... по этому ставим пакет ntp, настраиваем ntpd.conf (там пара строк), ставим демон на авто запуск.... после этого можно выполнить ntpdc и следом к примеру sysinfo, получаем где-то следующее:
ntpdc> sysinfo system peer: one.tariox.com system peer mode: client leap indicator: 00 stratum: 3 precision: -20 root distance: 0.02649 s root dispersion: 0.07628 s reference ID: [208.69.56.110] reference time: d544b160.76a9f3a9 Mon, May 20 2013 10:27:44.463 system flags: auth monitor ntp kernel stats jitter: 0.007355 s stability: 0.000 ppm broadcastdelay: 0.003998 s authdelay: 0.000000 s ntpdc>
Стратум со старта будет кажется 15 или 16 .... т.е самый дальний, но спустя время, после определенного количества синхронизаций он подрастет до нормального уровня.
Хотя по прежнему, ответ на вопрос кроется в другом вопросе: На сколько вам важно точное время, имею ввиду момент отставания, если какие-то 10 секунд не играют для вас роли, то можно пользоваться методом преложенным izbushka, но это мало вероятно можно будет назвать точным временем.... Но если же хочется никогда не думать о том правильно ли идет время...... выше я рассказал как поступить.
sladkydze: Ребята, спасибо, беру таймаут на попробовать.
Роман, я вроде всё именно так и делал :) Можете дать список того, что должно лежать в папке: /tfpboot ?
Ну как бы у меня там много чего лежит, начиная от прошивок свичей, заканчивая прошивками телефонных аппаратов и ВОИП станций :D То что надо вам выглядит вот так:
Собственно этого будет достаточно, что бы появилось меню, а из меню уже ссылки на конкретные img которые находятся там же. Меню формируется путем файла default внутри pxelinux.cfg/, замечу, что разные карточки могут читать\запрашивать разные файлы, например INTEL начинает поиск в /tftpboot с файлов типа default-0000000000001, потом default-MAC , потом еще что-то в общем там штук 5-10 опрашивается пока не доходит до "default" :) Так что в каких-то случаях надо ждать больше обычного для загрузки меню. Проведите диагностику, сделайте скриншоты, покажите где и как стало, что при этом показывает сервер, логин dhcp и.т.п , разберемся что там не так....
6666: +10005000
Кстати, если совсем по теме - немецко\американский хостер, у которого держу десяток сайтов, по умолчанию ставит аццкие настройки безопасности. Все хорошо, только когда понадобилось поставить на пяток сайтов САПУ, то все это пришлось отключить.
Ну и моментально на стареньком форуме ПХПбб закатали вирусов по самое нехочу. :)
Собственно идеальный хостер будет тот, который даст клиенту возможность гибких настроек безопасности для отдельных сайтов, еще лучше для папок.
А хостер, который скажет "уходите, у вас древний форум".. ну и давайдосвидания, хостингов хватает )
В таком случае всем клиентам поголовно надо будет кроме слова FTP и "мой сайт" еще выучить пару книжек по SeLinux или grsec.... А так в принципе можно дать весьма гибкие рули :D Лишь бы вы сами себя не зарулили :D
Pilat: за такие советы спасибо не говорят. ntpdate делает синхронизацию один раз. Правильней ставить пакет ntp, который исправляет время регулярно.
Поддерживаю, как расхождение так собственно и синхронизация времени это процесс не одно секундный... на сколько мне известно если вы допустим отстаете по времени часов на 12 , потом запускаете ntpd , время синхронизируется плавно, а не в одну секунду таким образом остаются жить скрипты которые завязаны на время да и устаканивание времени.... это тоже не разовая штука..... ведь пока вы принимали и обрабатывали пакет от НТП сервера время то шло ... стало быть все равно вы отстаете на какие-то доли секунд.... Поставил внутри сети 2 сервера NTP , согласую со stratum 2, сам имею Stratum 3, вполне адекватное время :D
sladkydze: Как я уже говорил, по идее я всё настроил и оно работает. DHCP сервер отрабатывает хорошо и всё выдаёт. Когда TFTP поднят на винде 2008, даже инстал запускается.
То есть с ЦентОСом проблема именно в TFTP и PXE. Делал по интсрукции. Как я понимаю, даже если сами загрузочные имиджи не положить куда надо - то менюшка хотя бы должна пытаться грузиться, но ничего такого не происходит. Подопытный кролик получает по DHCP настройки и пытается доооолго коннектиться к TFTP серверу, и безуспешно...
Ну не знаю, не знаю что там не вышло, надо смотреть по пунктикам, возможно нужен tcpdump на момент попыток получить pxelinux.0, ибо у меня завелось с пол пинка, менюшку правлю по сей день... все такое, вы правы, меню будет запускаться даже при отсутствии передаваемых далее образов.... за меню отвечает только DHCP.
В моем случае tftp запущено через xinetd, по этому:
/etc/xinetd.d/tftp
service tftp { socket_type = dgram protocol = udp wait = yes user = root server = /usr/sbin/in.tftpd server_args = -s /tftpboot -p -vvvv -c disable = no per_source = 11 cps = 100 2 flags = IPv4 }
Стало быть в папке /tfpboot лежит все, что мне надо, включая pxelinux.0 и остальные имейджи и рамдрайвы.
/tftpboot/pxelinux.cfg/default
Выглядит вполне обычно:
default menu.c32 prompt 0 timeout 0
MENU title PXE LABLE THERE
label centos5.5_i386 menu label CentOS 5.5 (i386) menu default kernel centos5.5_i386.vmlinuz append initrd=centos5.5_i386.initrd.img vga=0 text textmode=1 ramdisk_size=64000
.... и поехало....
При установке BSD требуется изменение загрузки на фряшный лоадер + поддержка nfs, с вытекающим RPC и mountd.
Винду поставить не удалось... При коммутации через Cisco 2950 выявлена особенность DHCP не доходит до портов со включенным STP, надо включать portfast.
neotach, марщрутизатор нужен там, где нужно маршрутизировать, зачем вам вообще там устройство :D понимаю что для коммутации... но реально там и коммутатор не нужен, дотянись бы все проводки в главный маршрутизатор :D
Я вам скажу больше, если у вас на (марш. 1) приходит через одну физику интернет + сеть, вам там тоже не нужен маршрутизатор :D Какие вообще функции у вас маршрутизаторы сейчас выполняют , кроме коммутационных? Каждый клиент изолирован вланом от других клиентов? Вы занимаетесь маршрутизацией внешних ИП адресов внутри этого сегмента? Явно пока только одно, маршрутизировать на участках (марш. 2, марш. 3) нечего :D
grozadvora, то о чем вы говорите, прямо не связано, сниферить можно и при супер управляемом свиче не настроенном :D А внутри Layer2 снифера можно пресекать через VLAN, но это накладно в случае домо-сетей :D
kaban1,
Наша тема на форуме:
/ru/forum/comment/11776188
Можем предложить размещение в Канаде, cPanel.
Думаю вам подойдет тариф VIP-T1
Включает в себя 15 GB места, 200 GB трафика в месяц, до 50 доменов на акаунте.
Будет 25% скидка !!!
Согласен.
Но по-идеи, если держишь свой сайт, то надо знать всё, тем более если его уже взламывают.
Кстати мне сегодня пришло письмо от хостера, что на дедике рекомендуют обновить ПО, так как нашлись какие дырки.
Цитирую:
Ну вот и посудите сами, вам сегодня письмо пришло, а уязвимость от 13го числа кажется...
18го числа я уже репортил о том, что на второй версии фикса в ядре 6.2 уязвимость устранена (/ru/forum/comment/11770815).
Кстати она касается владельцев серверов, если у вас просто хостинг то привет провайдеру :D
---------- Добавлено 20.05.2013 в 22:01 ----------
В том то и дело, что не надо. Сделайте кнопку "безопасный режим".
А как участь мильен разнообразий конфигураций?
Как-то тут ВКЛ\ВЫКЛ малова-то, 100500 профилей ?
Или же только одно ПО , под которое таки да, реально продумать "Safe mode".
---------- Добавлено 20.05.2013 в 22:04 ----------
Вероятно, они используют антивирус в реальном масштабе времени который проверяет закачиваемый контент. Других вариантов, как еще можно отличить одни файлы пхп от других - не могу себе представить. Вероятно, это несколько замедляет собственно закачку (на маленьких файлах не думаю что сильно замедляет). Но использование антивируса - не панацея. Всегда можно найти новый шелл, который еще не занесен в базы антивирусов.
Мне кажется, что надо действовать другим методом, на входе ловить шелы реально нет смысла, все равно что-то проедет.... важно что потом это может сделать в системе... а вот тут и надо крутить ограничения для клиентов всяческие... Но как правило , уязвимости движков при нормальном хостинге максиммум приводят к взлому одного акаунта на сервере.... есть ли смысл тратить кучу времени и всего прочего, если можно потом восстановить из бекапа и анализировать логи конкретного сайта\акаунта.... Думаю делема именно в этом :D Когда уязвимость коснулось локальности unix.... тогда все зашевелили булками, думаю многие как и я анулировали на время ssh / cc /gcc на сервере и все такое.... :)
В теме и на сайте упоминается "рейд", в частности, программный.
Если можно, вкратце, что это означает для пользователя. Какие-то особенности или преимущества в вашей реализации? Простыми словами для неискушённого пользователя.
Приветствую,
Честно говоря, говорить особо не о чем, обычная реализация резервирования данных которая встречается везде, да не везде :D Из себя представляет в простейшем варианте два жестких диска одинаковой величины с однотипными данными, к примеру вы в системе создали файл 1.txt , а его моментально разместило на двух винчестерах автоматически, данная схема в первую очередь предоставляет шикарную возможность продолжить работу не останавливая процесс в случае выхода из строя одного из накопителей, а так же прямо говорит о повышенной отказоустойчивости по сравнению с обычным (единичным) диском в сервере, так как при выходе из строя одного из жестких дисков - целостность данных сохраняется в полном объеме. Таким типом резервирования (зеркалирования) оборудован каждый сервер на услугах Виртуальный Хостинг и VIP Хостинг.
Отличная статья, с хорошим описанием находится вот тут, если мы будем говорить об услугах Выделенных Серверов, то в комплект сервера вполне могут быть поставлены Raid Контроллеры позволяющие работать с Raid 0,1,5,6,10,50.
Если что-то еще - спрашивайте.
С Уважением,
Romka_Kharkov, да, сейчас опять за сутки секунд 15 отставания набежало. Напишите, если можно, конкретные команды, а то я терминалом раз в пятилетку пользуюсь
Дело в не в команде, предложенное izbushka в crontab это тоже извращение, по факту предлагается раз в час получать время с сервера и верить что оно правильно, стало быть каждое получение будет получать отставание.... это не решение , в таком варианте не учитывается diff времени в срезе и тому подобное. Для правильного решения требуется постоянный запуск демона ntpd, который имеет конфиг типа "/etc/ntpd.conf" в котором описаны сервера с которыми надо синхронизироваться.... по этому ставим пакет ntp, настраиваем ntpd.conf (там пара строк), ставим демон на авто запуск.... после этого можно выполнить ntpdc и следом к примеру sysinfo, получаем где-то следующее:
Стратум со старта будет кажется 15 или 16 .... т.е самый дальний, но спустя время, после определенного количества синхронизаций он подрастет до нормального уровня.
Хотя по прежнему, ответ на вопрос кроется в другом вопросе: На сколько вам важно точное время, имею ввиду момент отставания, если какие-то 10 секунд не играют для вас роли, то можно пользоваться методом преложенным izbushka, но это мало вероятно можно будет назвать точным временем.... Но если же хочется никогда не думать о том правильно ли идет время...... выше я рассказал как поступить.
Ребята, спасибо, беру таймаут на попробовать.
Роман, я вроде всё именно так и делал :) Можете дать список того, что должно лежать в папке: /tfpboot ?
Ну как бы у меня там много чего лежит, начиная от прошивок свичей, заканчивая прошивками телефонных аппаратов и ВОИП станций :D То что надо вам выглядит вот так:
Собственно этого будет достаточно, что бы появилось меню, а из меню уже ссылки на конкретные img которые находятся там же. Меню формируется путем файла default внутри pxelinux.cfg/, замечу, что разные карточки могут читать\запрашивать разные файлы, например INTEL начинает поиск в /tftpboot с файлов типа default-0000000000001, потом default-MAC , потом еще что-то в общем там штук 5-10 опрашивается пока не доходит до "default" :) Так что в каких-то случаях надо ждать больше обычного для загрузки меню. Проведите диагностику, сделайте скриншоты, покажите где и как стало, что при этом показывает сервер, логин dhcp и.т.п , разберемся что там не так....
+10005000
Кстати, если совсем по теме - немецко\американский хостер, у которого держу десяток сайтов, по умолчанию ставит аццкие настройки безопасности. Все хорошо, только когда понадобилось поставить на пяток сайтов САПУ, то все это пришлось отключить.
Ну и моментально на стареньком форуме ПХПбб закатали вирусов по самое нехочу. :)
Собственно идеальный хостер будет тот, который даст клиенту возможность гибких настроек безопасности для отдельных сайтов, еще лучше для папок.
А хостер, который скажет "уходите, у вас древний форум".. ну и давайдосвидания, хостингов хватает )
В таком случае всем клиентам поголовно надо будет кроме слова FTP и "мой сайт" еще выучить пару книжек по SeLinux или grsec.... А так в принципе можно дать весьма гибкие рули :D Лишь бы вы сами себя не зарулили :D
Ваше сообщение нам не пришло. Пожалуйста свяжитесь с нами.
Связался еще раз, ответил на ПМ, переслал на указанный email данные. Спасибо!
за такие советы спасибо не говорят. ntpdate делает синхронизацию один раз. Правильней ставить пакет ntp, который исправляет время регулярно.
Поддерживаю, как расхождение так собственно и синхронизация времени это процесс не одно секундный... на сколько мне известно если вы допустим отстаете по времени часов на 12 , потом запускаете ntpd , время синхронизируется плавно, а не в одну секунду таким образом остаются жить скрипты которые завязаны на время да и устаканивание времени.... это тоже не разовая штука..... ведь пока вы принимали и обрабатывали пакет от НТП сервера время то шло ... стало быть все равно вы отстаете на какие-то доли секунд.... Поставил внутри сети 2 сервера NTP , согласую со stratum 2, сам имею Stratum 3, вполне адекватное время :D
Как я уже говорил, по идее я всё настроил и оно работает. DHCP сервер отрабатывает хорошо и всё выдаёт. Когда TFTP поднят на винде 2008, даже инстал запускается.
То есть с ЦентОСом проблема именно в TFTP и PXE. Делал по интсрукции. Как я понимаю, даже если сами загрузочные имиджи не положить куда надо - то менюшка хотя бы должна пытаться грузиться, но ничего такого не происходит. Подопытный кролик получает по DHCP настройки и пытается доооолго коннектиться к TFTP серверу, и безуспешно...
Ну не знаю, не знаю что там не вышло, надо смотреть по пунктикам, возможно нужен tcpdump на момент попыток получить pxelinux.0, ибо у меня завелось с пол пинка, менюшку правлю по сей день... все такое, вы правы, меню будет запускаться даже при отсутствии передаваемых далее образов.... за меню отвечает только DHCP.
Приведу простой пример который работает:
dhcpd.conf
В моем случае tftp запущено через xinetd, по этому:
/etc/xinetd.d/tftp
Стало быть в папке /tfpboot лежит все, что мне надо, включая pxelinux.0 и остальные имейджи и рамдрайвы.
/tftpboot/pxelinux.cfg/default
Выглядит вполне обычно:
При установке BSD требуется изменение загрузки на фряшный лоадер + поддержка nfs, с вытекающим RPC и mountd.
Винду поставить не удалось... При коммутации через Cisco 2950 выявлена особенность DHCP не доходит до портов со включенным STP, надо включать portfast.