from:"Коротаев Руслан"

sergio  пишет:

> > C ipv6 лучше всё-таки подумать, вы выставляете его напрямую в интернет
> > без посредников и если не учесть каждый интерфейс в файрволе
> 
> > Собственно это основной источник протечек
> 
> Спасибо за беспокойство, я умею настраивать файрвол по адресам,
> интерфейсы мне учитывать не к чему.

Но как? Вы заранее знаете какой ipv6-адрес будет в том или ином месте
(ещё и временный), и каждый прописываете в файрволе, и для ноутбука это
проще чем интерфейс? 

А можно ваш конфиг для файровола посмотреть (префикс можете изменить, не
суть)?

-- 
Коротаев Руслан
https://blog.kr.pp.ru

Re: ipv6 use_tempaddr

Eugene Berdnikov  пишет:

> > /etc/network/interfaces:
> > 
> > iface dhcp inet dhcp
> > pre-up /bin/ip link set $IFACE up
> > post-down /bin/ip link set $IFACE down 
> 
>  И зачем здесь скрипты, дублирующие функционал ifupdown?
> 
>  Причём дублирующие неправильно. То, что написано в pre-up, приводит
>  к тому, что скрипты в /etc/network/if-pre-up.d/ выполняются когда
>  интерфейс находится в состоянии "up", а они должны выполняться
>  в состоянии "down", потому каталог и имеет такое название.
> 
>  А то, что написано в post-down вообще бессмысленно, так как выполняется
>  уже ПОСЛЕ того, как интерфейс перешёл в состояние "down". То есть это
>  пустое действие, no-op.

Да, вы правы, дублирование, эти две строчки можно удалить.

Дабы не забыть про up/down для интерфейса, я для себя оставил эти
строчки как заглушку, на случай если сменю дефолтный dhcp-клиент, на
что-то другое типа dhcpcd (под дефолтным имею в виду тот клиент который
ставит инсталлятор).

-- 
Коротаев Руслан
https://blog.kr.pp.ru

Re: ipv6 use_tempaddr

sergio  пишет:

> Что значит "дефолтный интерфейс"?

Который был изначально при установке системы, то есть во время установки
системы, инсталлятор (обычно используется netinst) сам конфигурирует и
настраивает интерфейс. Можете назвать его первичным или
автоконфигурируемым, как вам будет удобнее.

> > Думаю что у вас настройки сбиваются, потому что вы назвали файл
> > /etc/sysctl.d/ipv6_use_tempaddr.conf, попробуйте назвать его например
> > 20_ipv6_use_tempaddr.conf, дабы они выполнялись первыми и не
> > перезаписывались настройками по умолчанию.
> 
> Ещё раз: после перезагрузки я вижу цифру 2 в соответствующем файле
> sysfs, указанном в ipv6_use_tempaddr.conf. Что значит "сбиваются"?

Это связано с systemd он обрабатывает последовательно исходя из имени
файла и может переопределять параметры заданные ранее (подробнее здесь
[1]). Я рекомендовал поставить поставить число в начале имени файла, это
решило проблему?

[1]: https://wiki.archlinux.org/index.php/Sysctl

> > если у вас ноутбук и вы подключаетесь к интернету в разных местах, то
> > лучше не задавать настройки для всех интерфейсов автоматически.
> 
> Почему?
> 
> > В целях безопасности, надежнее будет контролировать настройки каждого
> > интерфейса в момент подключения и отключения.
> 
> Эээ, в целях безопасности я даже и думать не хочу какие ещё на моём
> ноутбуке могут вдруг появиться интерфейсы, НО я абсолютно уверен, что
> все они должны быть с use_tempaddr=2.

C ipv6 лучше всё-таки подумать, вы выставляете его напрямую в интернет
без посредников и если не учесть каждый интерфейс в файрволе, то все
сервисы, базы данных которые у вас на рабочем ноутбуке могут легко утечь
наружу при малейшей ошибке в настройках. 

Собственно это основной источник протечек, разработчик использует
известную базу данных с паролем по умолчанию (или даже без пароля) она
торчит в интернете на стандартном порту и никак не защищена, временный
ipv6-адрес вам никак в этом не поможет.

-- 
Коротаев Руслан
https://blog.kr.pp.ru

Re: ipv6 use_tempaddr

sergio  пишет:

> Хочу динамический IPv6 адрес.
> 
> По этому поводу я написал "net.ipv6.conf.all.use_tempaddr=2" в
> "/etc/sysctl.d/ipv6_use_tempaddr.conf", перезагрузился, и на интерфейсе
> появился этот самый tempaddr.
> 
> Но вдруг (видимо после обновления) он пропал. В
> "/proc/sys/net/ipv6/conf/all/use_tempaddr" "2", а адреса нет. Тогда, я в
> этот "/etc/sysctl.d/ipv6_use_tempaddr.conf" дописал
> "net.ipv6.conf.default.use_tempaddr=2", перезагрузился, в
> "/proc/sys/net/ipv6/conf/default/use_tempaddr" стало "2", но адрес не
> появился. И только когда я написал "net.ipv6.conf.eth0.use_tempaddr=2"
> адрес вернулся.
> 
> 1. Почему так? И как сделать как было?
> 
> 2. Кто-нибудь может внятно объяснить чем "all" отличается от "default"?
> 
> Debian buster 4.19.0-6-amd64 & sid 5.2.0-3-amd64

«all» применяет настройки ко всем интерфейсам включая дефолтные,
«default» применяет настройки к будущим интерфейсам, например в случае
подключения usb-модема [1]. 

Думаю что у вас настройки сбиваются, потому что вы назвали файл
/etc/sysctl.d/ipv6_use_tempaddr.conf, попробуйте назвать его например
20_ipv6_use_tempaddr.conf, дабы они выполнялись первыми и не
перезаписывались настройками по умолчанию.

Так хорошо делать для сервера, но если у вас ноутбук и вы подключаетесь
к интернету в разных местах, то лучше не задавать настройки для всех
интерфейсов автоматически. В целях безопасности, надежнее будет
контролировать настройки каждого интерфейса в момент подключения и
отключения. Мне удобнее делать это через ifup/ifdown. Например мой
/etc/network/interfaces:

iface dhcp inet dhcp
pre-up /bin/ip link set $IFACE up
post-down /bin/ip link set $IFACE down 

iface pump inet manual
pre-up /bin/ip link set $IFACE up
pre-up /bin/systemctl start coredns.service
pre-up /bin/echo "nameserver 127.0.0.1" > /etc/resolv.conf
up /sbin/pump -i $IFACE --no-dns --no-resolvconf --no-ntp
down /sbin/pump -i $IFACE --release
post-down /bin/systemctl stop coredns.service
post-down /bin/ip link set $IFACE down 

iface pump inet6 auto
privext 2

Здесь две секции, «dhcp» если вы вдруг окажетесь во внутренней сети
компании и для доступа ко внутренним ресурсам нужно пользоваться
тамошним dns, и ручной «pump» для всего остального типа кафе (с помощью
pump получаю ip-адрес и шлюз, а dns шифрую через coredns). Обратите
внимание на inet6, это и есть динамический ipv6.

[1] 
https://unix.stackexchange.com/questions/130796/what-is-the-difference-between-all-and-default-in-kernel-setting

-- 
Коротаев Руслан
https://blog.kr.pp.ru

Re: BCO System Cryptographic Plugin

2019-07-25 Пенетрантность Коротаев Руслан

artiom  пишет:

> КриптоПРО - отдельный пакет.
> Токены к нему отношения не имеют.
> Как минимум, на Linux я использовал RuToken и JaCarta.

Да, я в курсе что рутокен можно использовать на linux. На портале какого
банка вы смогли залогинтся используя только рутокен, без криптопро и
прочих криптопровайдеров?

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: BCO System Cryptographic Plugin

2019-07-25 Пенетрантность Коротаев Руслан

Дмитрий Фёдоров  пишет:

> Нужно было думать об этом раньше, когда выбирали банк.
> Банки с ДБО без винды и джавы существуют, подсказывать не буду.

А может подскажите? 

Я в своё время пробовал разобраться с «отчественной криптографией» и
ничего не понял. Там помимо токена, нужно покупать лицензию криптопро и
без windows это нормально работать не будет. Как я понял, это криптопро
постоянно что-то сканирует, куда-то посылает, оно пытается понять в
каком окружении находится — виртуалка или реальное железо, от этого
зависит тип лицензии. Короче, что-то как-то...

Если хотите, можете написать названия банков в личку. Но если есть
нормальный банк, который выдает сертификаты ДБО, которые можно загрузить
в токен (рутокен или алладин), а токен в свою очередь можно подключить к
firefox через PKCS#11 [1], то указать название такого банка в рассылке
будет не реклама, а помощь всем людям, которые опасаются мошенников.

[1]: 
https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/API/pkcs11

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: как уменьшить объем обновлений?

2019-07-12 Пенетрантность Коротаев Руслан

ivan kuznetsov  пишет:

> нужна конкретная информация об этом так как вне городов и пригородов
> скорость может падать до нуля, и спутниковое оборудование дорого (или
> рыбалка?). правильно я понимаю что дельты сурсов, рсинк и программа
> пар могут помочь? не пора ли для этого организовать любительскую или
> полноценную радиостанцию? тогда можно будет слать обновления на
> приемники у пользователей и администраторов. пусть кто-нибудь
> разберется с этим и напишет статью. заодно -- как обновлять с
> наименьшим размером данных антивирусную базу? обычное обновление --
> целиком?

Debian распространяется зеркалированием, но зеркало не обязательно
должно быть в интернете. В качестве зеркала вы можете использовать
официальный образ CD/DVD/BD плюс диск debian-update [1] для обновления
до текущего выпуска.  Например, если нет интернета, но есть обычная
почта, то можно выслать Debian на дисках, потом расшарить диск и
обновить все компы в локальной сети. 

Кстати, Ubuntu в своё время стал популярным за счет рассылки дисков
почтой. Но у Ubuntu был только LiveCD, а Debian, насколько мне известно,
единственный дистрибутив, полный репозиторий которого, можно
распространять на дисках, для этого есть утилита jigdo [2]. Вот здесь
[3] хорошая инструкция по-русски.

[1]: https://www.debian.org/CD/faq/#update-cd
[2]: https://www.debian.org/CD/faq/#why-jigdo
[3]: 
https://alioth-archive.debian.org/releases/l10n-russian/jigdo-howto-ru/1.5a/debian-jigdo-mini-howto-ru-1.5a.html

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: Вопросы совместимости, wi-fi адаптеры

2019-07-02 Пенетрантность Коротаев Руслан

S.Kholodny  пишет:

> Debian 9.9 при установке на ПК не смог настроить сеть. ( Этот ПК подключался к
> роутеру через wi-fi адаптер). Версии 9.8 стабильная, и подающая большие 
> надежды
> относительно железа - buster(live) - устройство видят, определяют сети, но не
> могут подключиться.
> 
> Пробовал два устройства: устройство с единственной надписью DEXP и D-Link
> DWA-125.
> 
> Предложите хороший мануал для работы с драйверами в Debian.

Обычно Debian через wifi не устанавливают (где-то в инструкции по
установке есть замечание, что с wifi могут проблемы). Обычно
устанавливают базовую систему, добавляют пакеты с драйверами для wifi и
уже всё остальное как обычно через репозиторий. 

Я устанавливаю так:

1.  Запускаю LiveCD, делаю разметку диска, устанавливаю загрузчик
(во время установки, загрузчик устанавливать не надо, он может
испортить записи в UEFI).

2.  Смотрю что за сетевые карты и нужны ли драйвера (запустите lspci
и/или lsusb и посмотрите что он выводит на тему Wireless и
Ethernet).

3.  Через установленный загрузчик запускаю netinst и устанавливаю
базовую систему.

4.  Загружаюсь в установленную систему, добавляю пакеты с
драйверами, подключаюсь к сети и дальше как обычно.

Думаю у вас всё в порядке с драйверами, раз LiveCD видит сети, но слышал
что Gnome/KDE  используют Network Manager, а он может конфликтовать со
стандартным ifup/ifdown. Сначала настройте сеть через ifup/ifdown, а потом,
если будет нужно, то переключитесь на Network Manager.

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: systemd ssh logout at reboot-restart

2019-05-31 Пенетрантность Коротаев Руслан

sergio  пишет:

> Спрошу иначе. Кто вылогинивает меня при ребуте системы на sysvinit,
> обязан ли он это делать и от чего должен зависеть libpam-systemd что бы
> это поведение не ломалось?
> 
> 
> Самая большая проблема с systemd которую я наблюдаю --- это изменение
> поведения. Говоришь halt --- хост не выключается, говоришь apt install
> radvd --- radvd запущен, но только до первого ребута, говоришь reboot
> --- sshd не вылогинивает...

Попробуйте перезагрузился через shutdown, он в отличие от команд
poweroff и reboot предполагает задать время выключения, рассылку
сообщений. В любом случае это всё systemd, но просто с какими-то другими
параметрами, так что может сработает, а может нет. 

Как альтернативу radvd, можно использовать systemd, он умеет раздавать
префикс для IPv6 из коробки (через systemd.network).

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: debian sid codename

2019-05-04 Пенетрантность Коротаев Руслан

sergio  пишет:

> On 04/05/2019 11:24, Коротаев Руслан wrote:
> 
> > Нужно установить sid
> 
> Сам-то когда-нить его ставить пробовал?
> 
> 
> % apt policy
> Package files:
>  100 /var/lib/dpkg/status
>  release a=now
>  200 https://deb.debian.org/debian experimental/non-free amd64 Packages
>  release
> o=Debian,a=experimental,n=experimental,l=Debian,c=non-free,b=amd64
>  origin deb.debian.org
>  200 https://deb.debian.org/debian experimental/contrib amd64 Packages
>  release
> o=Debian,a=experimental,n=experimental,l=Debian,c=contrib,b=amd64
>  origin deb.debian.org

У меня почти такой же sources.list [1] на ноутбуке: 

deb http://deb.debian.org/debian unstable main
deb http://deb.debian.org/debian-debug unstable-debug main
deb http://deb.debian.org/debian-ports unstable main

В чём вопрос? Почему lsb_release, hostnamectl показвают buster? Я ранее
высылал вам ссылки на эту тему, могу процитировать: 

«Он (sid) никогда не будет выпущен, так как пакет сначала должен быть
включён в testing, а позже в stable»;

«Канонический ответ: Debian не имеет нестабильного выпуска. Вы можете
только обновить систему до него со стабильного или тестируемого. Вы
можете сделать это, отредактировав /etc/apt/sources.list и изменив
источники репозиториев со стабильного на нестабильный».

То есть unstable и experimental просто репозитории, у experimental
вообще нет никакого имени. Debian распространяется зеркалированием,
имена просто облегчают этот процесс.

[1]: https://deb.debian.org/

-- 
Коротаев Руслан
https://blog.kr.pp.ru

smime.p7s
Description: S/MIME cryptographic signature

Re: debian sid codename

2019-05-04 Пенетрантность Коротаев Руслан

sergio  пишет:

> А как на debian sid узнать, что он debian sid?
> 
> % lsb_release -a
> No LSB modules are available.
> Distributor ID:   Debian
> Description:  Debian GNU/Linux 10 (buster)
> Release:  10
> Codename: buster
> 
> % cat /etc/debian_version
> 10.0

Нужно установить sid [1], но пред этим лучше узнать что означают
названия stretch, buster и так далее [2].

[1]: https://wiki.debian.org/ru/DebianUnstable
[2]: https://www.debian.org/doc/manuals/debian-faq/ch-ftparchives

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: buster: OpenSSL в initramfs

2019-04-24 Пенетрантность Коротаев Руслан

Alexander Galanin  пишет:

> Тут есть комический эффект. initramfs стараются сделать как можно меньше.
> Именно для этого в него кладут оптимизированные по размеру klibc и busybox.
> А вот он, спасибо за статистику, от релиза к релизу вырос на 80% без
> видимого улучшения потребительских свойств.

Есть ещё dracut [1]. Тема пришла из Fedora (Red Hat) и завязана на
systemd (udev). Там идея какая, не запаковывать все драйвера в initramfs
и выполнять там какие-то скрипты, а как можно скорее монтировать корень
и передать ему управление. 

То есть initramfs на dracut должен быть меньше, там только минимум для
монтирования корня и грузится должно быстрее, вроде как двойной
инициализации устройств и сети не происходит. 

Однако, дебиан на dracut не переходит и мне кажется это из-за LiveCD.
Сделать live-образ ВасяOS на дебиан и классическом initramfs гораздо
проще, чем на Fedora (у них там какие-то spins и всё, шаг в сторону и
начинаются трудности). Сам я не пробовал делать дебиан на dracut, знаю
только в теории, но если пройдете это квест, то отпишитесь. 

> В /dev/mtdblock2 не влез - там всего пять мегабайт. А с максимальным
> урезанием всех модулей всё равно меньше семи мегабайт сделать не получалось.

Ядро и initramfs можно и по сети загрузить через iPXE [2]. Вот например
товарищ сделал дистрибутив Slax [3], можно у него посмотреть настройки.

[1]: https://en.wikipedia.org/wiki/Dracut_(software)
[2]: http://ipxe.org/
[3]: https://www.slax.org/

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: ЭЦП и RuToken

2019-03-27 Пенетрантность Коротаев Руслан

Grigory Fateyev пишет:

> А есть вероятность запустить всё это хозяйство на Debian stretch?
> Выпустил сертификат в виртуальной винде, оно встало криво, просят
> физическую машину с виндой, а у меня таких просто нет. Вот дуиаю,
> может на дебе проще будет?

Присоединяюсь к вашему вопросу про Рутокен. Только у меня другая
ситуация, мне нужно зарегистрировать онлайн-кассу (кто не в курсе что
это, наберите в поиске «54-ФЗ»). В общем я столкнулся с российской
криптографией, расскажу подробнее.

Собственно регистрации онлайн-кассы в налоговой мало, кассу ещё нужно
правильно прошить (фискализировать), процесс регистрации и прошивки
между собой не связаны. Если это сделать не аккуратно (а я кассами
никогда дела не имел), то можно получить штраф и испортить фискальный
накопитель (минимум 7000 руб на ветер).

Не беда подумал я, есть же специалисты которые мне помогут. Да, есть
такие мастера, но для этого у меня должно быть ЭЦП, без этого они за
работу не берутся. Я принцип работы ЭЦП понимаю (использую
SSL-сертификат, S/MIME), но не понимаю что такое «российское ЭЦП».

Я понял какую ЭЦП нужно купить, называется «ОФД», подходит для работы с
ОФД и налоговой. Но так как подпись эта официальная и равна моей
собственноручной, я же не могу отдать её мастеру на флешке или послать
почтой вместе с открытым и закрытым ключом, как-то несекурно, нужен
токен.

Вопросы для тех, кто сталкивался с российской криптографией:

1. Что представляет ЭЦП в электронном виде, это стандартный
контейнер .pfx [1], но только внутри сертификаты и закрытый ключ
на базе российской криптографии? Или специфический русский
контейнер, «черный ящик». При покупке ЭЦП нужно что-то
дополнительно указать? У них у всех один формат?

2. Какой токен, для ЭЦП подойдет? Рутокен Lite [2] подойдет?

3. Загрузить открытый и закрытый ключ в токен можно стандартными
средствами [3] или нужен российский криптопровайдер (купить
программу, купить лицензию, продлить лицензию… понятно, что всё
это нормально работает только под Windows, но сейчас интересует
только суть).

4. Какой криптопровайдер купить, их несколько? Они совместимы между
собой? Контейнер нужно конвертировать из одного формата в
другой?

[1]: https://ru.wikipedia.org/wiki/PKCS12
[2]: https://www.rutoken.ru/products/all/rutoken-lite/
[3]: https://dev.rutoken.ru/pages/viewpage.action?pageId=4227146

--
Коротаев Руслан
https://blog.kr.pp.ru

smime.p7s
Description: S/MIME cryptographic signature

Re: отключить программно всё что крутится

2019-03-24 Пенетрантность Коротаев Руслан

fuf  пишет:

> Теперь бы двинуться дальше в увеличении автономности. Скажите,можно ли
> отключить программно всё что крутится (жёсткий и СД привод) записав
> Debian на usb, SC, or SD? Скорость не важна, программы только
> Яндекс-карты и Firefox. Главное даже не экономия аккумулятора, а
> бережение жёсткого диска от тряски и наклонов.
> Спасибо.

Лучше обесточить диск, чтобы наверняка:
udisksctl power-off -b /dev/sdX

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: mail dups

Alexander Galanin  пишет:

> Не надо мне рассказывать, что такое пайп.
> 
> Для такого случая есть sieve-filter из пакета dovecot-sieve. Берёт
> письмо на stdin и укладывает в Maildir.

Хм.. там по зависимостям сервер идёт (dovecot-core), вы уверены что его
ставить не надо? Достаточно вытащить sieve-filter из пакета и всё? У
сервера сокет-активация портов 143 и 993 как для IPv4, так и для IPv6.
Все IP-адреса которые есть на машине, автоматически становятся доступны
по этим портам (в случае с IPv6 доступны всему интернету). Несколько
избыточно для обычной сортировки, причем debian предупреждает [1] что
sieve-filter штука экспериментальная.

[1]: https://manpages.debian.org/stretch/dovecot-sieve/sieve-filter.1.en.html

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: mail dups

Alexander Galanin  пишет:

> В репозитории есть sieve-connect. Скачать-загрузить текст sieve-правил
> позволяет. А что ещё нужно для скриптов?

Под скриптами я имел ввиду обычный конвейер [1], подать письмо утилите
на стандартный ввод, а она его обработает и выведет либо в файл, либо на
стандартный вывод. Кажется sieve-connect то что нужно, спасибо,
попробую.

https://ru.wikipedia.org/wiki/Конвейер_(Unix)

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: mail dups

Artem Chuprina  пишет:

> Стандарта на эту тему вообще не будет. В массовом использовании будет
> не IMAP, а веб-интерфейс, провайдеро-специфичный. Либо
> провайдеро-специфичный же клиент, который тоже веб-, но в потрохах.

Да, я тоже думаю к этому идет. Мне например IMAP не нужен, предпочитаю
получить почту через API Amazon по HTTPS (отправить её можно также,
необязательно SMTP), так гораздо безопаснее и сложнее заблокировать на
уровне протоколов и портов.

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: mail dups

Eugene Berdnikov  пишет:

> Кстати, простым юзерам на imap-е (для которых sieve и был придуман)
> нужна поддержка со стороны сервера, а также sieve-клиент, который
> сможет юзеру изобразить менюшку для того расширения. Ведь не будет же
> простой юзер программу на sieve писать и отлаживать, скобки-кавычки
> пересчитывать.  Ему готовую менюшку подай. Иначе рыдать будет он, а не
> я. :)

А sieve-клиент который можно использовать в скриптах есть (без GUI,
например так [1])? На sieve.info ссылки на консольные клиенты не
рабочие, в репозитории только плагины и дополнения к серверам. Я
использую procmail для доставки почты с Amazon SES [2], я бы попробовал
sieve, раз уж он будет стандартом, но у него нет хорошей реализации в
виде консольной утилиты или я плохо искал.

[1]: https://gist.github.com/rkorotaev/91e5ff67caa23a1af1e12888a0b89eab
[2]: https://blog.kr.pp.ru/post/2018-10-07/

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: Таймают dhclient для ipv6 не работает

2018-11-30 Пенетрантность Коротаев Руслан

Orange Pi  пишет:

> Таймают для isc-dhcp-client из /etc/dhcp/dhclient.conf (timeout 30;
> retry 60;) не работает для IPV6.  При загрузке системы, если dhclient
> не может получить настройки ipv6 адреса, он не отдает управление по
> таймауту, а продолжает попытки получения адреса.  В итоге срабатывает
> таймаут systemd на networking.service, из-за этого не поднимаются
> остальные сетевые интерфейсы.  Есть какое-нибудь решение?

А вы IPv6-адреса раздаете через DHCPv6? Если да (и это домашняя сеть или
небольшая контора), то напрасно, DHCP для IPv6 не требуется, он нужен
только для передачи специальных параметров. 

IPv6-адреса отлично раздаются по NDP [1] — роутеры анонсируют префикс
(используйте systemd.network или radvd), а хосты сами настраиваются
через SLAAC, никаких дополнительных программ им не нужно. Только
проверьте файрвол, чтобы ICMPv6 не был заблокирован. 

Если это сервер или ваш провайдер выдает вам префикс через DHCP,
например так [2], то скорее всего неправильно указан DUID, некоторые
провайдеры требуют специального идентификатора, нужно его уточнить. 

[1]: https://youtu.be/A3LFt7CHpgs
[2]: https://documentation.online.net/en/dedicated-server/network/ipv6/prefix

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: hidden ports

2018-11-26 Пенетрантность Коротаев Руслан

D. H.  пишет:

> Собственно два вопроса:
> 1) Как бы вычислить процесс?

sudo lsof -Pni | egrep "(UDP|LISTEN)"

> 2) А как оно вообще так получается? Потому что подобных процессов
> обнаружилось несколько:
> 
> tcp   0   0 0.0.0.0:370510.0.0.0:*  LISTEN  -
> tcp6  0   0 :::40841 :::*   LISTEN  -
> udp   0   0 0.0.0.0:592820.0.0.0:*  -
> udp6  0   0 :::39044 :::*   -

Подозреваю это из-за systemd, я пока не нашел удобного инструмента
(возможно плохо искал) для поиска портов которые прослушивают юниты
systemd.

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: LXC vs Docker и форматы контейнеров

2018-10-11 Пенетрантность Коротаев Руслан

Oleksandr Gavenko  пишет:

> > * Есть ли локальные запускалки контейнеров, альтернативные Docker?
> >
> Разработка rkt остановилась (https://news.ycombinator.com/item?id=17496877):
> 
> > Yes, they announced at the Red Hat summit that they'll be phasing out
> > development of rkt, though of course will do nothing to stop outside
> > development
> 
> Т.е. напугали Docker Inc и умерли.
> 
> Как дела с cri-o (It is a lightweight alternative to using Docker as the
> runtime for kubernetes) пока не ясно.

К этому ещё можно добавить systemd-nspawn [1], если позапускть локально,
без кластеров, то самое оно. Поттеринг [2] частенько приезжает
продвигать эту тему.

[1]: https://blog.selectel.ru/systemd-i-kontejnery-znakomstvo-s-systemd-nspawn/
[2]: https://it-events.com/events/9745/materials/2306

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: Доступ к медиатеке

Victor Wagner  пишет:

> Каналий-посредников можно ограничить ролью канальных провайдеров. И
> доверять им не данные, а только передачу шифрованных пакетов.

Если данные зашифрованы, почему бы не доверить им хранение. Главное
организовать безопасную передачу ключей и параметров доступа.

> Когда-то давно, примерно с 2001 до 2015 у меня домашняя машина была
> доступна из интернета. И в случае срабатывания intrusion detection
> последоватлельность действий была 
> 1. Отключить сетевой кабель
> 2. Загрузиться с rescue cd
> 3. Разбираться.

Вы же в курсе, что те, у кого есть физический доступ к вашей домашней
машине могут сделать тоже самое. А что делать тем, кому вы лично дали
доступ к вашим данным? Ждать пока вы разберетесь, тогда это трудно
назвать качественным сервисом.

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: Доступ к медиатеке

Igor Savluk  пишет:

> Да разворачивать php просто не охота :)

PHP разворачивать не нужно если вы будете устанавливать Nextcloud через
snap-пакет, это такой специальный контейнер придуманный Canonical для
Ubuntu (для debian он тоже доступен). В snap всё идет в комплекте и PHP,
и JS, и всё что нужно (в инете много статей про snap).
 
> Про minio знаю и пока его и использую. Просто инетесно а почему именно S3
> для важных данных? Я думал очень важные данные нужно хранить на флешках под
> подушкой а не у дяди удаленного в облаке.

А как дать (убрать) безопасный доступ к данным на флешке под подушкой?
Как безопасно хранить данные на флешке? Если шифровать, то как безопасно
хранить ключи? Допустим, вы знаете как хранить ключевой материал, а как
насчет того кому вы даете доступ? Вы уверены, что он придерживается
таких же стандартов информационной безопасности как и вы? 

Под подушкой хорошо хранить то, что используете только вы, а если вы
хотите организовать взаимодействие с другими людьми, без посредников не
обойтись. Вернее можно обойтись, но сложность организации
взаимодействия, перекроет все выгоды от использования ваших данных.

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: Доступ к медиатеке

Igor Savluk  пишет:

> А есть подобная вещь но не на PHP?
 
Я сам использую Minio-сервер [1] для неважных данных (расшарить через
веб-итерфейс корзину, дать ссылку на скачивание), так как у него нет
управления пользователями. Точнее, оно особо и ненужно это же хранилище.
Там есть Pre-Signed URL, просто не все пользователи понимают как это
работает. Minio написан на Go

Для важных данных рекомендую Amazon S3 с шифрованием на стороне сервера,
там для доступа используются политики IAM, их можно сделать очень
гибкими. 

Кстати, если вы будете устанавливать Nextcloud по умолчанию, вам
PHP-файлы править не придется, там большинство функций реализовано через
веб-интерфейс.

[1]: https://blog.kr.pp.ru/post/2017-07-25/

-- 
Коротаев Руслан
https://blog.kr.pp.ru


smime.p7s
Description: S/MIME cryptographic signature

Re: Доступ к медиатеке