from:"Игорь"


Victor Wagner пишет:

On 2010.08.19 at 07:22:24 +0400, Konstantin Matyukhin wrote:

  

2010/8/19 Nicholas s...@networkgate.us:


Офтопик: 2 варианта одного вопроса - первый из области математики, второй
(удобный) про SVG формат.

1.
Есть круг, с известным диаметром и позицией центра.
Есть клик, c известными координатами.

Есть ли красивый способ узнать, был ли этот клик в области круга ?
  

А вам в средней школе не рассказывали об этом?



А в современной школе есть аналитическая геометрия?
  

ИМХО школьной тригонометрии достаточно.

R1=sqr([x1-x2]^2+[y1-y2]^2)
if ((R-R1)0) {}




--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c6cd6ba.9030...@gmail.com

Re: SOCKS прокси для ICQ

Roman V. Nikolaev пишет:

18.08.2010 13:26, Victor Wagner пишет:

On 2010.08.18 at 15:16:17 +0600, Andrey Rahmatullin wrote:

On Wed, Aug 18, 2010 at 01:07:30PM +0400, Victor Wagner wrote:

А с чего нет?

Человек не задал вопрос сколько это будет стоит и не озвучил лимитов
бюджета. За примерно полмиллиона рублей и два месяца времени сделать
можно.

Человек толком задачу не описал, так что сроки и стоимость могут быть и
пару часов ковыряния в конфиге ;-)
1. Wireshark - сниффер. У него аська даже в стандартных правилах
фильтрации есть. Можно попробовать в ГУЕ половить трафик, если
получиться то у него есть консольная версия tshark. Если ставить на
сервере, через который весь траф идет, может и получиться.
2. Например в гугле можно поискать `icq sniffer`. Не знаю есть ли
специальные под линукс, но под винду точно было несколько вариантов. Там
будет просто поставить винды и установить сниффер. Суммарная стоимость
не более 5000р. если у вас нет венды =)

Меня немного смущает наличие в миранде галок Безопасный вход (MD5) -
сниффер пароля резко обламывается и Secure connection (SSL).

Дешевле будет административно заменить ICQ на XMPP в пределах конторы ;).

Re: Перенос служб с vds под фрей на вдс под дебиан


James Brown пишет:

-BEGIN PGP SIGNED MESSAGE-
Hash: SHA1

James Brown wrote:
  

Имеется вдс в джейле фри (FreeBSD 8.1-STABLE), на ней крутятся:
веб-сервер Apache/2.2.14 (FreeBSD), mysql  Ver 14.14 Distrib 5.1.48, for
portbld-freebsd8.0 (amd64) using  5.2, nginx/0.7.67 которые обеспечивают
работу нескольких веб-сайтов на друпале;
почтовый сервер exim-4.72-0 и dovecot 1.2.12  - на них крутиться почта;
На дебиановском вдс - Debian Lenny c ядром 2.6.18-028stab060.8-ent,
(виртуализация Virtuozzo), стоят:
 Apache/2.2.9 (Debian), mysql  Ver 14.12 Distrib 5.0.51a, for
debian-linux-gnu (i486) using readline 5.2, nginx'а нет (можно, ессно,
поставить);
exim не установлен, в стандартном дистре ленни версия  4.69-9, можно
установить, давкота тоже нет (в дистре версия  1:1.0.15-2.3+lenny1).
Задача - как можно более бескровно перенести веб- и почтовый сервера с
фри на дебиан.
Кто-нибудь такое уже делал? Какие можете дать практические советы?



  

Совсем бескровно - это с FreeBSD на FreeBSD ;).
У FreeBSD и Debian конфиги лежат в разных местах, так что кроме 
установки софта и переноса данных, вам ещё предстоит увлекательный квест 
по адаптации конфигов. Я бы не советовал такое делать без необходимости.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c6cda99.1060...@gmail.com

Re: Как определить область круга ? (SVG)

Victor Wagner пишет:

On 2010.08.19 at 10:01:14 +0300, Игорь Чумак wrote:

Есть круг, с известным диаметром и позицией центра.
Есть клик, c известными координатами.

Есть ли красивый способ узнать, был ли этот клик в области круга ?

А вам в средней школе не рассказывали об этом?

А в современной школе есть аналитическая геометрия?

ИМХО школьной тригонометрии достаточно.

R1=sqr([x1-x2]^2+[y1-y2]^2)

Это на каком языке? У большинства языков функция square root называется
sqrt, а в Паскале функция sqr это как раз square.

Это просто формула ;)

if ((R-R1)0) {}

Тригонометрия здесь как-то не очень причем. Вычисление расстояния между
точками в декартовых координатах по-моему дается в какой-то другой теме
в алгебре, и раньше тригонометрии.

На математическую олимпиаду это тоже никак не тянет. Разве что для 4-го
класса.
А вот свести задачу проверки попадания точки в круг к задаче вычисления
расстояния от точки до центра круга, в школе не учат.

Дык програмированию под SVG (сорри, не знаю что это) в школе тож не учат ;))

Re: SOCKS прокси для ICQ


Dmitry Nezhevenko пишет:

On Thu, Aug 19, 2010 at 01:54:13PM +0400, Victor Wagner wrote:
  

В любом случае, тому, кто захочет скрыть разговор в аське, никаких
трудов это представлять не будет: tor, https прокси, vpn, ...
  

tor и vpn на корпоративном компьютере? За это вообще-то подсвечниками
бьют.



Причина? Еще SSH можно с ключиком -L использовать или -D. Тоже запретить?

  
Есть такое понятие - политика информационной безопасности. И если для 
ведения бизнес-процесса на рабочих местах ssh не нужен - можно и 
запретить, ага. Но не потому, что левая нога одмин так решила, а 
потомушто политика.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c6d2c21.5000...@gmail.com

Re: Как найти/удали ть эту гадость в фа йле inbox громоптица?

2010-08-18 Пенетрантность Игорь Чумак


James Brown пишет:

С тем, чтобы не удалять весь файл с почтой?
./.mozilla-thunderbird/.default/Mail/mail..com/Inbox:
HTML.Phishing.Bank-485 FOUND
И чем наличие ее может грозить на никсовой системе, или это страшно
только для виндузятников?


  
Наличие письма с фишинговыми ссылками никакой системе грозить не может. 
Может угрожать данным пользователя, который:

1. Откроет письмо
2. Кляцнет сцылку, ведущую на поддельный банковский сайт
3. Не поленится отправить аффтарам свой логин-парол

Можно потратить час и наваять скрипт, который отошлёт фишерам пару тысяч 
генерённых паролей - пусть радуются ;))



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c6b82ac.6010...@gmail.com

Re: DVD-плеер

2010-08-12 Пенетрантность Игорь Чумак


Konstantin Pavlov пишет:


А тут Олег Бройтман недавно в ЖЖ писал про проблемы с MP3-сигналами
вызова на N900 - то есть что там в ГИГАБАЙТЕ памяти не умещается
одновременно GSM-модуль и игралка MP3.



Вы говорите о том, чего не знаете и не проверяли сами, OK.

Так вот, там помимо GSM-модуля и игралки MP3 в этом самом ГИГАБАЙТЕ
памяти (hint: оперативной там всего 256, остальное очень медленный своп)
еще куча всего находится.

  
  
О том и спич: 256мб памяти (640 килобайт хватит всем (с) БГ . Агащас.)  
УЖЕ недостаточно, чтобы оно выполняло функции обычного мобильника.




--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c63dd28.1040...@gmail.com

Аутентификация pa m-ldap кеширование

2010-07-30 Пенетрантность Игорь Чумак


Добрый день!
Сделал связку nginx + модуль аутентификации через PAM 
(ngx_http_auth_pam_module) + pam-ldap + Active Directory.
Всё работает просто и с полпинка ,но overhead огромный :( , особенно в 
связке pam-ldap + Active Directory.
Каждый http запрос - это (судя по tcpdump) коннект-авторизация-запрос к 
LDAP-серверу.

Не подскажете ли более изящную схему авторизации веб-сервера в AD?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c5271b8.2080...@gmail.com

Re: Защита от подбо ра пароля proftp

2010-07-30 Пенетрантность Игорь Чумак


Korona Auto Ltd./ Andrey N. Prokofiev пишет:
День добрый. Есть фтп сервер, который болтается снаружи. На фтп 
периодически идут попытки подбора пароля. Каким образом можно 
защититься? Может както средствами самого proftp можно или на iptables 
поколдовать?


Если кулхацкеры таким образом подбирают парол root'а - можно просто не 
мешать ;)


Генерённый длинный пароль за разумное время подобрать практически 
невозможно. Можно ещё больше затянуть процесс подбора (-m recent -m 
limit должно помочь). А ещё можно особо настырных на honeypot 
переключать - пусть дальше оттачивают умение.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c527525.2080...@gmail.com

LDAP авторизация и членство в группах

2010-07-30 Пенетрантность Игорь Чумак


Всех с ДСА ! ;))
Как бы подойти к такой задаче..
Есть несколько хостов, на которых настроена общая авторизация через 
LDAP. Все работает отлично, информация о UID-GID-членстве в группах 
берется из каталога.
Поступила задача на _одном_ из хостов сделать отступление от этой схемы, 
а именно загнать всех пользователей в 1 группу (пусть будет users, 
gid=100). Как бы это сделать так, чтобы на прочих хостах ничего не 
сломалось?



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c52df4c.9020...@gmail.com

Re: Как правильно п римонтировать дирек торию mnt ?

2010-07-27 Пенетрантность Игорь Чумак


Nicholas пишет:
  N  Проблема в том, что если в основной системе было 
примонтированно что-то новое,

  N  то из chroot этого не видно.
Возможно, стоит дочитать man mount до слова rbind.


Насколько я понял, эта опция позволяет примонтировать цепочку, но 
только то, что уже было примонтированно заранее.

А если появляется то-то новое, то этого уже не видно.

Например, если пробросить mnt:
/mnt  /chroot/etch_1/mntnonerw,bind00

то будет виден и внутренний диск
/mnt/internal через /chroot/etch_1/mnt/internal

а вот если потом примонтировать
/mnt/flash, то через /chroot/etch_1/mnt/flash ее увидеть не 
получится (видна только пустая директория).

Сразу монтируйте /mnt/flash куда надо.
В fstab будет 2 строчки:
LABEL=backup_device /mnt/wd_bookext3defaults,acl0   0
/mnt/wd_book/vz/root/106/backup nonebind,rbind  0   0

autofs может помочь


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c4eab29.4070...@gmail.com

squid 2 схемы автори зации

2010-07-23 Пенетрантность Игорь Чумак


Добрый день!
Появилась необходимость сделать прокси-сервер с авторизацией для 
виндовых клиентов. Логины-пароли хранятся в AD.
С ntlm авторизацией отлично работает IE и Mozilla - но не работает Opera 
(уверен, что найдется еще несколько альтернативно одарённых web-клиентов)
С basic авторизацией через squid_ldap_auth работает всё - но надо 
вводить пароль, что неудобно.


Можно ли включить эти 2 схемы в 1 экземпляре squid? (у меня не 
получилось, squid начинает кушать 100% процессора)

Или запустить 2 экземпляра squid с общим дисковым кешем?
Или есть другие идеи?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c494ffa.9030...@gmail.com

Re: Создание множес тва файлов.

2010-07-09 Пенетрантность Игорь Чумак


Dmitry Fedorov пишет:

8 июля 2010 г. 16:48 пользователь Игорь Чумак написал:
  

)
А своими словами (без цытирования классиков) можете сказать, в чем профит
file.txt vs cat file.txt| ?



Незапуск лишнего, ненужного процесса, перекладывающего байтики
из одного места в другое - потребитель файла и так засасывает всё, что нужно.
Экономия ресурсов.
  

Тогда надо выкинуть законы Tailor'а и дружно писать на С ;)


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c36c2bb.7000...@gmail.com

Re: Создание множес тва файлов.

2010-07-08 Пенетрантность Игорь Чумак


Konstantin Matyukhin пишет:

2010/7/4 Игорь Чумак ichumak2...@gmail.com:
  

Dmitry Fedorov пишет:


3 июля 2010 г. 1:52 пользователь  yuri.nefedov написал:

  

On Fri, 2 Jul 2010, Jurij Iljuschko wrote:

 cat file.list |



Плохому молодёжь учите.

  

А что не так? cat некошерен ? :)



Never write it in 'C' if you can do it in 'awk';
Never do it in 'awk' if 'sed' can handle it;
Never use 'sed' when 'tr' can do the job;
Never invoke 'tr' when 'cat' is sufficient;
Avoid using 'cat' whenever possible.
-- Taylor's Laws of Programming

  


Taylor конечно авторитет в программировании, раз сколько языков знает ;) (правда, меня 
смущает постулат Never invoke 'tr' when 'cat' is sufficient. Не могу 
придумать разумный пример).
)
А своими словами (без цытирования классиков) можете сказать, в чем профит 
file.txt vs cat file.txt| ?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c359eea.7080...@gmail.com

Re: Создание множес тва файлов.

2010-07-04 Пенетрантность Игорь Чумак


Dmitry Fedorov пишет:

3 июля 2010 г. 1:52 пользователь  yuri.nefedov написал:
  

On Fri, 2 Jul 2010, Jurij Iljuschko wrote:

 cat file.list |



Плохому молодёжь учите.
  

А что не так? cat некошерен ? :)


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c3027d4.2040...@gmail.com

Re: wine перестал лови ть мышей

2010-06-22 Пенетрантность Игорь Чумак


Timothy Silent пишет:

Доброго времени всем.
  

Что это было??


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c208fcb.2010...@gmail.com

Миграция mysql-postgersql unicode


Добрый день!

Есть софтина (prelude), которая умеет работать как с mysql, так и с 
postgresql.
С mysql работает корректно, но очень медленно. После перехода на 
postgresql заработало значительно быстрее и стабильнее, но перестала 
сохраняться кириллица.

В mysql всё хранилось в utf8.
В postgresql - хз (никогда раньше с ним не работал).

Через phppgadmin видно , что вместо кириллицы в таблицах строки вида 
\002\377\377\205\004\000\000\002\004\005\264\001\001\004\002


В mysql таблица описывается так:

CREATE TABLE Prelude_AdditionalData (
_message_ident BIGINT UNSIGNED NOT NULL,
_parent_type ENUM('A', 'H') NOT NULL,
_index TINYINT NOT NULL,
type 
ENUM(boolean,byte,character,date-time,integer,ntpstamp,portlist,real,string,byte-string,xml) 
NOT NULL,

meaning VARCHAR(255) NULL,
data BLOB NOT NULL,
PRIMARY KEY (_parent_type, _message_ident, _index)
) TYPE=InnoDB;

В postgresql так:

CREATE TABLE Prelude_AdditionalData (
_message_ident INT8 NOT NULL,
_parent_type VARCHAR(1) CHECK (_parent_type IN ('A', 'H')) NOT NULL,
_index INT2 NOT NULL,
type VARCHAR(32) CHECK ( type IN 
('boolean','byte','character','date-time','integer','ntpstamp','portlist','real','string','byte-string','xml')) 
NOT NULL,

meaning VARCHAR(255) NULL,
data BYTEA NOT NULL,
PRIMARY KEY (_parent_type, _message_ident, _index)
) ;

Портится информация в поле data

Как бы это подправить?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c17303a.5090...@gmail.com

Re: Миграция mysql-postger sql unicode


Denis Feklushkin пишет:

On Tue, 15 Jun 2010 10:48:10 +0300
Игорь Чумак ichumak2...@gmail.com wrote:

  

Добрый день!

Есть софтина (prelude), которая умеет работать как с mysql, так и с 
postgresql.
С mysql работает корректно, но очень медленно. После перехода на 
postgresql заработало значительно быстрее и стабильнее, но перестала 
сохраняться кириллица.

В mysql всё хранилось в utf8.
В postgresql - хз (никогда раньше с ним не работал).

Через phppgadmin видно , что вместо кириллицы в таблицах строки вида 
\002\377\377\205\004\000\000\002\004\005\264\001\001\004\002


В mysql таблица описывается так:

CREATE TABLE Prelude_AdditionalData (
 _message_ident BIGINT UNSIGNED NOT NULL,
 _parent_type ENUM('A', 'H') NOT NULL,
 _index TINYINT NOT NULL,
 type 
ENUM(boolean,byte,character,date-time,integer,ntpstamp,portlist,real,string,byte-string,xml) 
NOT NULL,

 meaning VARCHAR(255) NULL,
 data BLOB NOT NULL,
 PRIMARY KEY (_parent_type, _message_ident, _index)
) TYPE=InnoDB;

В postgresql так:

CREATE TABLE Prelude_AdditionalData (
 _message_ident INT8 NOT NULL,
 _parent_type VARCHAR(1) CHECK (_parent_type IN ('A', 'H')) NOT NULL,
 _index INT2 NOT NULL,
 type VARCHAR(32) CHECK ( type IN

    
  
('boolean','byte','character','date-time','integer','ntpstamp','portlist','real','string','byte-string','xml')) 
NOT NULL,

 meaning VARCHAR(255) NULL,
 data BYTEA NOT NULL,


   ^^
  

 PRIMARY KEY (_parent_type, _message_ident, _index)
) ;

Портится информация в поле data

Как бы это подправить?



исправить bytea на text и посмотреть что будет
  

Пробовал - не помогло

вообще, мне кажется неправильно использовать в sql такого типа таблицы где 
задаётся тип поля отдельным полем и используется bytea, но может и будет 
работать

postgresql прозрачненько умеет кодировки конвертировать а используя bytea вы 
эту возможность обрезали
  
Не я, а авторы софтины. Подозреваю, что сделано это как раз чтобы не 
заморачиваться с кодировками

да, и надо посмотреть с какой кодировкой создалась база - лучше всего чтоб там 
utf8 было


  

Из того же phppgadmin:
База данныхПользовательКодировкаTablespaceSize
preludepostgresUTF8pg_default4330 MB

Можно ли как-нибудь оттрассировать, что программа пытается записать в 
базу? Мож там в дизайне проблема?



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c173d5c.7040...@gmail.com

Re: Миграция mysql-postger sql unicode


Denis Feklushkin пишет:

On Tue, 15 Jun 2010 11:44:12 +0300
Игорь Чумак ichumak2...@gmail.com wrote:


  

postgresql прозрачненько умеет кодировки конвертировать а используя bytea вы 
эту возможность обрезали
  
  
Не я, а авторы софтины. Подозреваю, что сделано это как раз чтобы не 
заморачиваться с кодировками



да уж, славно не заморочились )

  

Ну, американам не понять, что кодироки бывают не только латинские...

да, и надо посмотреть с какой кодировкой создалась база - лучше всего чтоб там 
utf8 было


  
  

Из того же phppgadmin:
База данныхПользовательКодировкаTablespaceSize
preludepostgresUTF8pg_default4330 MB

Можно ли как-нибудь оттрассировать, что программа пытается записать в 
базу?



запросто

/etc/postgresql/8.4/main/postgresql.conf:

# это опция что логгировать? сейчас она логгирует только statements, меняющие 
базу:
log_statement = 'mod'   # none, ddl, mod, all

  

Мож там в дизайне проблема?



то что проблема в дизайне это очевидно, имхо )


  
Есть подозрение, что строки вида 
\000\\000:\\206\\225\\000\\000x\\021\\011\\327M\\336\\223\\276P\\373\\177\\257 
в символы utf8  конвертирует сам mysql . Возможно такое?



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c176cba.3030...@gmail.com

Re: Миграция mysql-postger sql unicode


Denis Feklushkin пишет:

Можно ли как-нибудь оттрассировать, что программа пытается записать в 
базу?



запросто

/etc/postgresql/8.4/main/postgresql.conf:

# это опция что логгировать? сейчас она логгирует только statements, меняющие 
базу:
log_statement = 'mod'   # none, ddl, mod, all

  

Мож там в дизайне проблема?



то что проблема в дизайне это очевидно, имхо )


  

Нда.
2010-06-15 13:03:47 EEST LOG:  statement: INSERT INTO 
Prelude_AdditionalData (_parent_type, _message_ident, _index, type, 
meaning, data) VALUES('A', 423298,
14, 'byte-string', 'payload', 
E'E\\000\\000:\\206\\225\\000\\000x\\021\\011\\327M\\336\\223\\276P\\373\\177\\257w*\\277h\\0009\\333A\\002\\205o\\322\\225C\\

244\\000\\000\\000\\000\\0008\\000\\000\\000\\001\\000\\000\\000\\010\\000\\000\\000\\000\\000\\000\\000\\000')

А что это за синтакс такой: E'текст'?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c176fa7.1050...@gmail.com

SQL синтаксис


Добрый день!

Помогите плз с этим запросом:
INSERT INTO Prelude_AdditionalData (_parent_type, _message_ident, 
_index, type, meaning, data) VALUES('A', 423244,

10, 'integer', 'ip_sum', E'36526')

Интересует, что за странное значение E'36526'
Дело происходит в postgresql, поле data имеет тип BYTEA


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c178b79.6090...@gmail.com

Re: Чем можно монит орить весь проходящ ий TCP/UDP трафик (что то на подобии sqstat) ?


Munko O. Bazarzhapov пишет:

Привет всем

Чем можно мониторить в реальном времени или с задержками весь
проходящий TCP/UDP трафик (что то на подобии sqstat но он только для
squid) ?

  

А что должно получиться в результате мониторинга?

(возможно вам нужен jnettop, возможно snort)


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c178c7f.5050...@gmail.com

Re: организовать по чтовую рассылку

2010-06-09 Пенетрантность Игорь Чумак

Dmitry Balchugov пишет:

Привет, All.

Требуется консультация, может кто-то уже сталкивался.
Хочу организовать почтовую рассылку. Рассылка абсолютно легальна,
соответствует всем правилам (выходные данные, координаты админов,
отписаться и т.д.). На рассылку подписываются клиенты компании

в добровольном порядке. Рассылка будет частая и с большим тиражом.
Софт под это дело почти готов.

Понятное дело, что нужен сервер с вменяемым доменным именем.
Вопрос вот в чем, что мне за это может грозить? (если меня забанят
антиспамы, то мои рассылки не дойдут до получателей. Воспользоваться
сторонним сервисом -- не вариант)

* Бан сервера по IP, DNS? как решать?

Смотря кто и почему забанил (какой вопрос - такой ответ ;))
* Жалобы, и куда? (если я юзаю выделенный сервер, то верхнему хостеру
а там уже по договору), а если я сам себе хостер?

* Черные/серые списки антиспам систем. Насколько просто выйти из листа.
У каждого блеклиста свои админы, своя процедура попадания в блеклист и
своя процедура выхода.

Обычно для попадания нужна жалоба (если рассылка легальная - жалоб быть
не должно) либо spamtrap.

Как вариант, могу предложить мониторить раз в несколько часов эти самые
блеклисты.

Re: xrdp и печать

2010-06-03 Пенетрантность Игорь Чумак


Ed пишет:

Игорь Чумак wrote:
В случае ms terminal client - xrdp - как быть? Или хотя бы как 
угадать IP клиента (в переменных окружения - пусто)?


вопрос немного в сторону - а есть опыт использования xrdp?

чем он интереснее vnc/nx/x11 по сети/...?



Пока тестируется ;)

Интересно оно тем, что стандартным виндовским mstsc без дополнительного 
софта можно подключаться к почти полноценному терминальному серверу 
(авторизация в AD сделана, доменные логины-пароли принимает, при разрыве 
соединения сессия не рвется) с линуксовым рабочим столом. Из проблем - 
хз как печатать на клиентский принтер и хз как синхронизировать 
clipboard в x-сессии и на win клиенте.


Если аналогичное делается на vnc - поделитесь плз ссылкой.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c079755.2030...@gmail.com

Re: xrdp и печать

2010-06-03 Пенетрантность Игорь Чумак


Ed пишет:

Игорь Чумак wrote:
-куть


можно подключаться к почти полноценному терминальному серверу 
(авторизация в AD сделана, доменные логины-пароли принимает,

какое это имеет отношение к xrdp?


xrdp умеет искаропки авторизоваться через PAM, имхо это удобно.


при разрыве соединения сессия не рвется

из опыта использования терминальных windows-серверов - это скорее минус.



В нашем случае это плюс.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c07a0b8.3050...@gmail.com

Re: pop3-server + полученные письма

2010-06-02 Пенетрантность Игорь Чумак


C S пишет:

День добрый,

письма, которые getmail получает с удалённого сервера попадают в каталог 
~/Mail/new.
поднят рор3-сервер  Solid POP3 server, при подключении к 110 порту принятых уже 
писем не видно((:
$ telnet 192.168.1.77 110
Trying 192.168.1.77...
Connected to 192.168.1.77.
Escape character is '^]'.
+OK Solid POP3 server ready 2358.1275456...@server
user 
+OK username accepted

pass pazzword
+OK authentication successful
list
+OK scan listing follows
.
quit
+OK session ended
Connection closed by foreign host.

а у этого юзера в домашнем каталоге в Mail/new присутствуют письма... Как их 
можно получить?
  
Скорее всего, имеются в виду прочитанные письма. Непонятно, забирает ли 
их getmail. У fetchmail на эту тему есть ключик -a



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c060e39.4070...@gmail.com

ldap-авторизация и тормоза при загрузк е

2010-06-02 Пенетрантность Игорь Чумак


Добрый день!

В машинке с openvz настроена авторизация через общий ldap-каталог.
Удобно. Но openvz-контейнеры теперь запускаются очень долго (около 10 
мин). Есть подозрение, что все процессы теперь хотят получать UID/GID 
через ldap.


Вопрос: как бы это пресечь? Или хотя бы отдиагностировать.

Да, кстати, странность №2
getent возвращает по 2 записи (но моментально):

getent passwd|grep root
root:x:0:0:root:/root:/bin/bash
root:x:0:0:root:/root:/bin/bash
getent passwd|grep www-data
www-data:x:33:33:www-data:/var/www:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh

Одна из ldap, другая из /etc/passwd.
Возможно, это как-то связано.

# /etc/nsswitch.conf
passwd: ldap compat
group:  ldap compat
shadow: compat
hosts:  files dns
networks:   files
protocols:  db files
services:   db files
ethers: db files
rpc:db files
netgroup:   nis

#/etc/libnss-ldap.conf
host 192.168.255.1
base dc=domain,dc=com,dc=ua
uri ldap://192.168.255.1
ldap_version 3
port 389
scope sub
pam_check_host_attr yes



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c0674be.4070...@gmail.com

Re: аналоги fetchmail

2010-06-01 Пенетрантность Игорь Чумак


C S пишет:

01.06.10, 15:48, Mikhail A Antonov b...@solarnet.ru:

] -[ C S 01/06/2010 15:43 (GMT +3)01.06.10, 15:33, Andrey Rahmatullin 
w...@altlinux.org:] On Tue, Jun 01, 2010 at 03:30:56PM +0400, C S wrote:посоветуйте 
плзаналоги fetchmail...getmailofflineimapЧто надо-то и чем не устраивает?--fetchmail просто 
старенький, подумал что есть что-то поновееВ планах собирать почту с удалённого сервера на 
локальный и юзеры излокалки будут забирать почту с него, а не с удалённого сервераНе 
сломалось - не чини.-- Best regards, Mikhail

дык юзеры место забивают на удалённом сервере ((


  

На локальном сервере место дешевле?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4c04f7ce.6070...@gmail.com

./configure .. automake .. autoconf .. help pls

2010-05-26 Пенетрантность Игорь Чумак

Доброго всем дня!

Возникла у меня задача немного подправить софтину по имени honeyd на
предмет совместимости с prelude
Нашел патч (для старой-старой версии), который, естественно, не совсем
подошел.

Файлы *.c я подправил руками (логика работы программы от версии к версии
не сильно поменялась), а вот с Makefile.am и Makefile.in хуже..

Похоже на то, что логика сборки переписана.

Что мне хочется:

1. Все правки в исходниках имеют вид
#ifdef HAVE_LIBPRELUDE
/*код*/
#endif

- значит надо определить макрос HAVE_LIBPRELUDE

2. Подправить LDFLAGS и CFLAGS - тоже не сложно

Была бы проблема только в правке Makefile - я бы не напрягался.. Но,как
я понимаю, что Makefile для сборки создаётся automake/autoconf

Вопрос в следующем: как политкорректно внести изменения в Makefile,
сгенерированный этими скриптами?

Re: nginx rewrite

2010-05-21 Пенетрантность Игорь Чумак


Andrey Melnikoff пишет:

Игорь Чумак ichumak2...@gmail.com wrote:
  

Andrey Melnikoff пишет:


Игорь Чумак ichumak2...@gmail.com wrote:
  
  

Добрый день!



[...]

  
  
Нет ли способа на лету (средствами nginx естественно) перекодировать 
ответ сервера?



из чего в что ?
  

Сорри, неясно выразился.
Пример:



  

nginx получил запрос:
http://nginx_ip/wiki//test.php



  

Передал его на backend http://192.168.0.251/



а зачем он его туда направил ? Есле тебе надо /wiki/ - то и делай location
/wiki/ и отправляй в http://192.168.0.251/wiki/

  

Это понятно. Но бывают сайты, которые не хотят жить в подкаталоге.

Проблема в том, что backend видит в запросе



  

_SERVER[SCRIPT_NAME]/test.php
_SERVER[PHP_SELF]/test.php

куда передали - так и видит. 
Тебе никто не мешает написать так:


# proxy_pass  http://$host$uri$is_args$args;
 proxy_pass  http://192.168.0.251$uri$is_args$args;
 proxy_redirect off;
 proxy_set_header   Host $host;
 proxy_set_header   X-Real-IP$remote_addr;
 proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;


  
Соответственно, если backend формирует какие-то абсолютные ссылки в 
своем ответе (картинки в выводе phpinfo() например имеют вид img 
border=0 src=/test.php?=PHPE9568F34-D428-11d2-A769-00AA001ACF42) - 
ссылки получаются неработоспособными.



http://sysoev.ru/nginx/docs/http/ngx_http_core_module.html#try_files
если хочется чегото странного.


  

Не надо странного ;)
Проще разбросать сайты по virtualhost'ам.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bf62be7.3050...@gmail.com

nginx rewrite

2010-05-20 Пенетрантность Игорь Чумак


Добрый день!

Что-то я туплю :(
[nginx.conf]

   location /wiki {
   proxy_pass  http://192.168.0.251/;
   }

Пытаюсь сделать такое:
Есть сервер (192.168.0.251), в корне которого лежит контент (пусть будет 
test.php).

nginx должен запрос вида http://IP/wiki/test.php передавать на этот сервер.
Запрос обрабатывается, но сервер то уверен, что у него спросили 
/test.php; в ответ формирует страничку, где все ссылки имеют абсолютные 
адреса,  в которых нет подкаталога /wiki.


Нет ли способа на лету (средствами nginx естественно) перекодировать 
ответ сервера?




   location /wiki {
   proxy_pass  http://192.168.0.251/wiki/;
   }
- такой вариант работает, но как быть с сайтом, который не умеет 
работать в поддиректории?



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bf50c08.1020...@gmail.com

Re: nginx rewrite

2010-05-20 Пенетрантность Игорь Чумак


Andrey Melnikoff пишет:

Игорь Чумак ichumak2...@gmail.com wrote:
  

Добрый день!



[...]

  
Нет ли способа на лету (средствами nginx естественно) перекодировать 
ответ сервера?


из чего в что ?


  

;)
Сорри, неясно выразился.
Пример:

nginx получил запрос:
http://nginx_ip/wiki//test.php

Передал его на backend http://192.168.0.251/

Проблема в том, что backend видит в запросе

_SERVER[SCRIPT_NAME]/test.php
_SERVER[PHP_SELF]/test.php

Соответственно, если backend формирует какие-то абсолютные ссылки в 
своем ответе (картинки в выводе phpinfo() например имеют вид img 
border=0 src=/test.php?=PHPE9568F34-D428-11d2-A769-00AA001ACF42) - 
ссылки получаются неработоспособными.




location /wiki {
proxy_pass  http://192.168.0.251/wiki/;
}
- такой вариант работает, но как быть с сайтом, который не умеет 
работать в поддиректории?


location / { proxy_pass http://192.168.0.251/; }
добавить ?



  

Т.е. не запихивать в поддиректорию ;)
Не катит. А если таких сайтов 2?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bf552ab.2090...@gmail.com

Re: прозрачное прок сирование -SQUID и авто ризация

2010-05-19 Пенетрантность Игорь Чумак


Sapytsky Ilya пишет:

-куть


windind'ом спросить у контроллера домена, кто сидит на данном
IP и пускать в
зависимости от этого ?


 


Не годится. На данном IP сидит терминальный сервер с сотней
пользователей.

толи я что-то не понимаю, толи Вы не знаете принципов работы winbindd.
У меня вполне нормально сидят пользователи с терминального сервера в 
инете и инет доступен только тем, кому рассказано в AD.

Я что-то неправильно делал?

ХЗ.
Если  windind'ом спросить у контроллера домена, кто сидит на данном IP 
(конец цытаты) - что контроллер должен ответить (в случае, когда это 
таки терминальный сервер с сотней пользователей)?

Или вы ntlm_auth использовали?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bf4cc72.6090...@gmail.com

Re: прозрачное прок сирование -SQUID и авто ризация

2010-05-18 Пенетрантность Игорь Чумак


Andrey Melnikoff пишет:

C S ll75...@yandex.ua wrote:
  

День добрый,



  

squid работает в прозрачном режиме в связке c WCCP на cisco-1811.
Погуглил по поводу ntlm-авторизации - в некоторых источниках указано, что при 
прозрачном проксировании авторизация невозможна и баста ..((
причины никто не указал..(может плохо гуглил...)


Всё очень просто - прокся не знает, это для нее пароль или для проксируемого
сайта.

  
Подскажите плз, да или нет, возможна ли авторизация пользователей, при которой войдя в домен в Internet Explorer не нужно будет указывать логин и пароль 
при прозрачном проксировании



windind'ом спросить у контроллера домена, кто сидит на данном IP и пускать в
зависимости от этого ?


  

Не годится. На данном IP сидит терминальный сервер с сотней пользователей.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bf29839.5040...@gmail.com

Re: Как запихнуть в идео с веб-камери в браузер с помощью тега video ?

2010-05-18 Пенетрантность Игорь Чумак


vanessa пишет:

18.05.10 15:26, Konstantin Pavlov написав(ла):

On Tue, May 18, 2010 at 03:05:28PM +0300, vanessa wrote:

PS: vlc тоже картинку показал а можно его заставить транслировать
поток  в сеть ?


Можно.

Предварительно почитав документацию.



Почитал и запихнул, другой VLC успешно воспроизводит поток но вот в 
браузере что-то не ладится, сделат простенький html-файл

!DOCTYPE HTML
html
head
meta http-equiv=Content-Type content=text/html; charset=utf-8 /
/head
body
video controls=controls src=http://localhost:8080/; /video

/body
/html

опера иногда отображает все правильно но чаще - пустая страница на 
кнопку play/pause не реагирует. firefox рисует серий квадрат с 
крестиком внутри, воможно не понимает кодека, хотя кодек - theora




localhost - не очень хорошая идея для трансляции чего-то через сеть.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bf29b99.5020...@gmail.com

Re: [Fwd: Re: сертификаци я]

2010-04-28 Пенетрантность Игорь Чумак


Dmitry E. Oboukhov пишет:

А можно с этого места поподробнее?
Что-то я так навскидку не помню там аналогичной подсистемы с аналогичной
функциональностью.
Да и про настройки в открытом доступе я бы тоже с радостью почитал.
  


SM В винде есть механизм групповых и локальных политик безопасности. На
SM сайте NSA выложены рекомендации по настройке и шаблоны политик. Я не
SM специалист, но по крайней мере слышал положительные отзывы.

в виндовсе из коробки тысяча демонов (простите - служб) работает
от имени одного и того же юзера. то бишь взлом одного равносилен
взлому туевой хучи = доступу к туеовй хуче ресурсов.
то есть толку от энтого механизма чуть больше чем ноль
  

Перечислите плз первую сотню ;))


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bd7d2f8.2090...@gmail.com

Re: сертификация


Konstantin Matyukhin пишет:

2010/4/26 Andrey Lyubimets and...@nskes.ru:
  

Victor Wagner пишет:



Ну да, секьюрити апдейтов не будет. Но насколько я помню, как это в
альте устроено (вот кого спрашивать-то надо) - либо сертифицированное
решение, либо апдейты.
  

этож профанация здравого смысла!


Либо здравый смысл, либо госрегулирование.

  

Вспомните историю.
http://www.debian.org/News/2006/20060713.ru.html

А если у злоумышленника  таки появится доступ к серверу с апдейтами? Так 
что либо апдейты только от сертифицированного источника, либо 
сертифицирование идёт в лес.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bd56d25.3020...@gmail.com

Re: сертификация


Artem Chuprina пишет:

Игорь Чумак - debian-russian@lists.debian.org  @ Mon, 26 Apr 2010 13:38:29 
+0300:

  Ну да, секьюрити апдейтов не будет. Но насколько я помню, как это в
  альте устроено (вот кого спрашивать-то надо) - либо сертифицированное
  решение, либо апдейты.

  этож профанация здравого смысла!
  
  Либо здравый смысл, либо госрегулирование.

 

 ИЧ Вспомните историю.

 ИЧ http://www.debian.org/News/2006/20060713.ru.html

 ИЧ А если у злоумышленника таки появится доступ к серверу с апдейтами?
 ИЧ Так что либо апдейты только от сертифицированного источника, либо
 ИЧ сертифицирование идёт в лес.

А если у злоумышленника появится доступ к серверу сертифицированного
источника?

  
Имелось в виду, что сертифицированные кем угодно (я с российсиким 
законодательством не знаком, мало ли какая контора и для каких целей 
занимается сертификацией) апдейты технически возможны (цифровые подписи 
в дебиановских пакетах есть). Но только в том случае, если если они 
принимаются к распространению после сертификации.
Иначе возможен сценарий, когда сферическая софтина версии 1.0 проходит 
сертификацию в сферической конторе, команда разработчиков через неделю 
делает версию 1.1, в которой закрыт 1 баг  и сделано ещё 3.

Длинновато получилось ;)



Ноги у дилеммы либо сертификация, либо апдейты растут из того, что
сертификация по замыслу защищает не от злоумышленника, а от ошибки.
  

Некоторые ошибки могут оказаться хуже целенаправленной диверсии.;)

Сертифицированные бинарники (по замыслу, повторюсь) проходят некие
сертификационные испытания (читай тесты), типа на соответствие задаче.
Не знаю как у Альта со ФСТЭК, а наши СКЗИ реально проходят.  И
сертификат, подразумевается, подтверждает, что именно вот эти бинарники
соответствуют задаче в том смысле, что эти тесты они успешно прошли.

После того, как сделан апдейт, чтобы он был сертифицированным, надо
прогнать через сертификационные испытания уже его.  Нет, не только
изменившиеся три байта.  Весь комплекс.  Ну, то есть пройти всю
процедуру сертификации для новой версии.

На практике, понятно, сертификация дистрибутива будет по сути
профанацией (ибо слишком дофига всего тестировать), ну и покупают его,
чтоб была бумажка показать проверяющим. 

Каких только схем не придумают, чтобы срубить бабла..

 А уж что там на самом деле
стоит - этого проверяющий не проверяет, если его не допечь...

  



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bd5a06b.1020...@gmail.com

Re: squid: запретить ск ачивать exe-файлы

Ed пишет:

Чумак Игорь wrote:

25.04.2010 15:34, Ed пишет:
антивирусных решений для сквида много, однако все они достаточно
тяжеловесны.

хочу просто запретить скачивать файлы, начинающиеся с MZ.
как ни странно, готового решения не нашёл. ближе всего оказался
c-icap - там есть определение типов файлов по сигнатурам, но
используется только для принятия решения - проверять ли с помощью
clamav (что в общем-то достаточно бесполезное занятие - базы clamav
достаточно слабые).

вот думаю - дорабатывать c-icap напильником или же я просто плохо
искал?

Чем плох dansguardian? Зачем проверять сигнатуры, если достаточно
проверки на расширение.

расширение может быть любым - pif, scr, dll, ...

В конфигах того же dansguardian это учтено
плюс есть дропперы - которые докачивают недостающие части по http,
для них расширение совершенно роли не играет.

Я бы на месте аффтаров недостающие части ещё и шифровал - сигнатурный
анализ сразу идёт лесом.

Re: SYN-flooding на мой веб -сервак. Предотврат ить. Nginx?

alexander пишет:

Привет.
Трафик стал сильно хаваться. Это был syn-flooding на мой веб-сервак.
При этом dmesg выдал картинко:

[30942.485594] possible SYN flooding on port 80. Sending cookies.
[30951.969322] TCPv6: Possible SYN flooding on port 80. Sending cookies.
[30960.029739] TCPv6: Possible SYN flooding on port 80. Sending cookies.
[30966.058466] TCPv6: Possible SYN flooding on port 80. Sending cookies.
[31003.499854] possible SYN flooding on port 80. Sending cookies.

Я тут добавил директивы limit для сервака, а потом вдруг возникла идея
nginx. Почитал как его хвалят. Если он такой хороший, то что его не
используют многие для своих нужд, например debian.org? :( Есть ли смысл
ставить nginx? Поможет ли он уменьшить syn-flooding и вообще нагрузку
на сервер?

Смысл syn-flood атаки:
На порт сервиса, который нужно повалить, отсылается syn-пакет. TCP-стек
, в уверенности, что это начало нового соединения, выделяет в памяти
место, отсылает в ответ ask и ждет какое-то время стабилизации
соединения. То есть обработка каждого syn-пакета требует некоторых
ресурсов. Навалить много syn-пакетов - ресурсов в системе может не
хватить. Навалить syn-пакетов с разных адресов - не поможет ничто.

Поэтому от synflood защиты на уровне приложения нет. Надо крутить
параметры ядра (google в помощь,
http://www.symantec.com/connect/articles/hardening-tcpip-stack-syn-attacks)

Нагрузку на сервер nginx может уменьшить. Например, некоторый запрос
обрабатывается апачем (который требует N ресурсов) за n секунд.
Результат отдается клиенту за m секунд. Если mn (например, канал у
клиента плохой; пусть m=n*3) . Тогда для обработки этого запроса+отдача
клиенту требуется N*n*3 ресурсов. Если между толстым апачем и клиентом
есть тонкий прокси (nginx), требующий P ресурсов - тогда на 1 запрос
потребуется N*n+P*m ресурсов. Выгодно это или нет - надо смотреть.. Если
нет запросов, которые дооолго выполняются - nginx может и не помочь
(теоретически).

Re: squid: запретить скач ивать exe-файлы

2010-04-25 Пенетрантность Чумак Игорь


25.04.2010 15:34, Ed пишет:
антивирусных решений для сквида много, однако все они достаточно 
тяжеловесны.


хочу просто запретить скачивать файлы, начинающиеся с MZ.
как ни странно, готового решения не нашёл. ближе всего оказался c-icap 
- там есть определение типов файлов по сигнатурам, но используется 
только для принятия решения - проверять ли с помощью clamav (что в 
общем-то достаточно бесполезное занятие - базы clamav достаточно слабые).


вот думаю - дорабатывать c-icap напильником или же я просто плохо искал?


Чем плох dansguardian? Зачем проверять сигнатуры, если достаточно 
проверки на расширение. Кроме того, зараза с расширением .vbs тоже бывает.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bd44d60.50...@gmail.com

Re: LDAP авторизация password policy

2010-04-16 Пенетрантность Игорь Чумак


Denis Feklushkin пишет:

On Fri, 09 Apr 2010 10:39:07 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  

Denis Feklushkin пишет:


On Thu, 08 Apr 2010 10:23:15 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  
  

Добрый день!

Настроил авторизацию по предложенной схеме: 
http://www.opennet.ru/base/net/debian_ldap_install1.txt.html



а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, на 
сколько я понимаю

(это агитация за kerberos) 



  
  

access to attrs=userPassword,shadowLastChange
by dn=cn=admin,dc=upg,dc=com,dc=ua write
by anonymous auth
by self write
by * none

Хеш пароля может унесть либо админ, либо self



именно. после взлома одной машины унесут все хэши

  

За счет чего унесут, интересно?
wiki:/# grep -v ^# /etc/libnss-ldap.conf |grep -v ^$
host 192.168.255.1
base dc=upg,dc=com,dc=ua
uri ldap://192.168.255.1
ldap_version 3
port 389
scope sub
pam_check_host_attr yes

wiki:/# grep -v ^# /etc/ldap/ldap.conf |grep -v ^$
HOST 192.168.255.1
BASEdc=upg,dc=com.dc=ua
URI ldap://192.168.255.1:389

wiki:/# grep -v ^# /etc/pam_ldap.conf |grep -v ^$
base dc=upg,dc=com,dc=ua
uri ldap://192.168.255.1/
ldap_version 3
pam_check_host_attr yes
pam_password crypt

В конфигах _нигде_ нет никаких паролей (хотя в хауту 10-летней давности 
и рекомендуют заводить некоторого прокси-юзера, умеющего читать все пароли).



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bc89d51.70...@gmail.com

Re: LDAP авторизация password policy

2010-04-12 Пенетрантность Игорь Чумак


Denis Feklushkin пишет:

On Fri, 09 Apr 2010 10:39:07 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  

Denis Feklushkin пишет:


On Thu, 08 Apr 2010 10:23:15 +0300
Игорь Чумак i.chu...@generali.garant.ua wrote:

  
  

Добрый день!

Настроил авторизацию по предложенной схеме: 
http://www.opennet.ru/base/net/debian_ldap_install1.txt.html



а зачем? из лдап у вас любые хэши паролей любой унесёт с целью перебора же, на 
сколько я понимаю

(это агитация за kerberos) 



  
  

access to attrs=userPassword,shadowLastChange
by dn=cn=admin,dc=upg,dc=com,dc=ua write
by anonymous auth
by self write
by * none

Хеш пароля может унесть либо админ, либо self



именно. после взлома одной машины унесут все хэши


  

После взлома == получивши root и прочитавши /etc/libnss-ldap.secret ?
Пожалуй, это будет полное ЖО :(
Унесут хеши - флаг в руки, даже 6-значный пароль подбирается долго. Но 
пароль админа - это полный доступ к базе..


С другой стороны, на кой нужен параметр rootbinddn в 
/etc/libnss-ldap.conf - я так и не понял. Без него авторизация тоже 
работает, а унести можно будет только хеш _своего_ пароля.



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bc2e545.7070...@generali.garant.ua

Re: Как проверить з ащищен ли мой порт от входящих с инэта ?


XSS Vulnerable пишет:

On Fri, 9 Apr 2010 11:46:44 +0600
Andrey Rahmatullin w...@altlinux.org wrote:

  

On Fri, Apr 09, 2010 at 08:44:34AM +0300, Павел Марченко wrote:


иногда провайдеры закрывают порты торрентов
  

Это какие?



не-е. это мне нада для того чтобы к моему веб-серверу могли
подключиться через DNS


  

WEB-сервер, DNS, ssh и локалхост определённо как-то связаны ;)
Я уверен, что вы хотите совершенно не того, о чем спрашиваете. 
Сформулируйте свои пожелания как-то иначе.


ЗЫ. хз, что должен значить термин защищен. Защищен от какой-то атаки? 
Организуйте атаку и проверьте.




--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bbec4b6.6080...@generali.garant.ua

Re: Как проверить з ащищен ли мой порт от входящих с инэта ?


XSS Vulnerable пишет:

Иными словама, мой комп защищен брандмауэром. Мне нужно открыть порт на
локалхосте (точнее на внешнем интерфейсе смотрящем в инэт). 

Обычно localhost и внешний интерфейс- разные вещи.

Чтобы
клиенты могли подключиться к хосту. Но я не знаю как этим брандмаэром в
тонкостях управлять. 

Может, начать с управления брандмаэром?

Поэтому в целях диагностики фаервола, решил как то
локально проверять свой хость на защищенность от входящих извне.


  
Локально - не получится. Попросить кото-то набрать 
http://www.my_c0l_site.com не?




--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4bbec5a9.4000...@generali.garant.ua

Re: Как проверить з ащищен ли мой порт от входящих с инэта ?

XSS Vulnerable пишет:

ладно, други мои ;)
тогда другой вопрос...как в arno-iptables-firewall открыть определенный
порт на внешнем интерфейсе смотрящем в инет. ;) вроде набрал
dpkg-reconfigure arno-iptables-firewall , ввел в строку открытых TCP
портов порт 80, а проверяю сервисом www.2ip.ru на входящие..

Всё правильно вроде.

а мой порт
закрыт. :( а я хочу открыть. Попробовал остановить
фаервол /etc/init.d/arno-iptables-firewall stop - и он остановился,
порт открылся (но вместе с ним и другие порты).

Значит, конфигурировать его надо не по dpkg-reconfigure ;)

Я бы не хотел чтобы
меня взломали на других портах.

Наличие файрвола никак на защищенность не влияет. Наличие _настроенного_
файрвола - _может_повлиять.
Странно, конечно: с одной стороны, конфигурировать
arno-iptables-firewall вы не умеете, с другой стороны, оно вас
устраивает ;).

Что могу посоветовать..
- выкинуть firewall - он вам при таком подходе не нужен
- прочитать man iptables (в любом случае не повредит)
- прочитать man arno-iptables-firewall (если он вам таки нужен)
- сменить arno-iptables-firewall на что-то другое (мне shorewall
нравится, и он работает)

Re: LDAP авторизация password policy