Так видит журнал читатель, который забыл оформить подписку:

№5(30) май 2005

подписной индекс 81655

СЬ
www.samag.ru

ЛИ
Почему MS SQL медленно работает?
Ищем причины
ЛИ
ТЯ Е

Ж ПИ
Строим защищенную беспроводную сеть:
ЗА ДНИ

WPA-Enterprise, 802.1x EAP-TLS

НУ

РА КУ
Настраиваем UPS под Linux
ЛЫ ГО

ТИ РАС
Как восстановить
удаленные файлы под BSD
К У ВО

Что важно знать об IP-телефонии

№12(37) декабрь 2005

О
танавливаем Symantec Antivirus 9.0
НИ НО

ТР
в корпоративной сети
Эффективно управляем

С
подписной индекс 20780
полями пользователей в AD

БЫ
Контролируем безопасность сети
с помощью OSSIM
КА

Интервью с Ларри Уоллом –

создателем языка Perl
www.samag.ru

Как эффективно провести

инвентаризацию

И
ЬГ
ЬД О
РА СКА
ТЕ
К

ИС НН
ЕН
установленного софта
УС

БО
НА ТПУ

ИЛ ДА
ТП

НЧ ЖИ
ВО

РА Е О

КО НЕО
АВ СЛ
Л

Л
ХА

ПО

Мультизагрузка:
УЕ

ЗА
стелим соломку
Так видит журнал читатель, оформивший подписку: Архитектура современных
№5(30) май 2005
почтовых систем
подписной индекс 81655
www.samag.ru

Почему MS SQL медленно работает?

Спам или антиспам: кто кого?

Ищем причины
Строим защищенную беспроводную сеть:
WPA-Enterprise, 802.1x EAP-TLS
Настраиваем UPS под Linux
Как восстановить
удаленные файлы под BSD
Что важно знать об IP-телефонии
танавливаем Symantec Antivirus 9.0
в корпоративной сети

Защищаем электронную
Эффективно управляем
полями пользователей в AD
Контролируем безопасность сети
с помощью OSSIM
Интервью с Ларри Уоллом –

почту средствами MailScanner

создателем языка Perl

Настраиваем
Cisco PIX Firewall 520
Размещаем несколько сайтов
на одном веб-сервере

ПОДПИШИТЕСЬ И ЧИТАЙТЕ! PHP: делаем отладку

на стороне клиента
№12(37) декабрь 2005

Роспечать – 20780, 81655 TCP поверх TCP –

Пресса России – 87836 не такая уж плохая идея!
Интер-почта – тел. (095) 500-00-60
 оглавление
ТЕНДЕНЦИИ 52 Настраиваем Cisco PIX Firewall 520
для трансляции соединений между сетями
2 Взгляд на будущее от Microsoft Пример типовой схемы, часто используемой в неболь-
Обзор самых интересных моментов прошедшей в Мос- ших сетях. Малик Абдугалыев
кве седьмой ежегодной конференции Microsoft – «Плат- malik@elcat.kg
форма 2006. Определяя будущее».
Максим Востренков WEB
Кирилл Сухов
geol@altertech.ru 58 Печатаем документы с веб-сервера
Реализация решения с помощью Open Office.
АДМИНИСТРИРОВАНИЕ Дмитрий Острецов
dimon@ost.pp.ru
6 Как эффективно провести
инвентаризацию установленного софта 63 Многоликий Apache. Размещаем
Используем WSH-сценарии и групповые политики несколько сайтов на одном веб-сервере
Active Directory для сбора информации о приложениях, Установив Apache и предоставив через него на всеоб-
установленных на клиентских машинах. щее обозрение свой сайт, многие и не подозревают, ка-
Андрей Бирюков ким мощным инструментом они владеют.
mex_inet@rambler.ru Павел Малахов
24pm@mail.ru
12 Контролируем события с помощью
EventSentry 66 AJAX: заработавший Javascript
Возможности утилиты EventSentry, позволяющей про- Большие амбиции технологии Ajax.
водить мониторинг событий и вовремя реагировать Вячеслав Родионов
на возникающие проблемы. Сергей Яремчук bepcyc@gmail.com
grinder@ua.fm
70 PHP: делаем отладку на стороне клиента,
14 Мультизагрузка: стелим соломку или Операции под наркозом
Как избежать проблем с загрузкой и загрузочными Исправляем ошибки на работающей системе.
секторами? Сергей Супрунов Серафим Пикалов
amsand@rambler.ru pikalov_s_s@mail.ru

22 Круговорот почты в сети, СЕТИ

Или Архитектура современных почтовых
систем 76 TCP поверх TCP
Общая картина работы сервисов электронной почты. Не такая уж плохая идея!
Евгений Прокопьев Алексей Барабанов
eugene_prokopiev@mail.ru alekseybb@mail.ru

30 Спам или антиспам: кто кого? 83 BUGTRAQ

Развитие спамерских технологий, общее состояние
спама на 2005 год и прогнозы на будущее. РЕТРОСПЕКТИВА
Алексей Коршунов
akeeper@akeeper.ru 84 Сломленная, но не сдавшаяся:
история операционной системы BeOS
36 IСQ: разрешить нельзя запретить Взрыв сверхновой звезды – так можно было охаракте-
Если вы сомневаетесь, где правильнее в заголовке пос- ризовать появление на рынке в 1996 году компьютера
тавить запятую, то эта статья для вас. BeBox и операционной системы BeOs.
Павел Закляков Дмитрий Мороз
amdk7@mail.ru akuji@list.ru

БЕЗОПАСНОСТЬ 89 СОДЕРЖАНИЕ ЖУРНАЛА ЗА 2005 ГОД

45 Защищаем электронную почту КНИЖНАЯ ПОЛКА
средствами MailScanner
Какие возможности предлагает мощная и надежная 92 Обзор книжных новинок
система MailScanner. Сергей Яремчук Александр Байрак
grinder@ua.fm x01mer@pisem.net

Летим скорее
Лучше каждому Информация
Оформили на почту!
получать отдельный о подписке
подписку! экземпляр журнала на 94 стр.
Принес номер
Мужики, Почему я до сих пор на работу, И у меня А можно ещё Как же я без
Я забыл
где журнал этого не сделал?! «увели» почитать такая же беда успеть? любимого журнала?
подписаться!
взяли?

№12, декабрь 2005 1

 тенденции

Взгляд на будущее от Microsoft

Кирилл Сухов,
Максим Востренков
7 и 8 декабря в Москве, в здании президиума Академии наук, прошла седьмая ежегодная
конференция Microsoft – «Платформа 2006. Определяя будущее». Двухдневная программа
мероприятия состояла из технических докладов, практических занятий, «круглых столов»
и лабораторных классов, посвящённых продуктам Microsoft.

В
рамках конференции были пред- представленным на конференции, был tempdb и переходят непосредственно
ставлены новые продукты фир- MSSQL Server. в нужную таблицу в тот момент, когда
мы – Microsoft SQL Server 2005, К сожалению, два дня в одно заканчивается обработка всех запро-
Microsoft Visual Studio 2005 и Microsoft и то же время проходило сразу 5 сов к этой таблице, которые начали
BizTalk Server 2006. лекций в разных залах, поэтому по- выполняться до операции изменения.
Очень сложно сразу по оконча- пасть на все было просто невозмож- Причем учитываются в данном случае
нии события внятно и полно изложить но. Одного из нас, Максима Вострен- только те строки, которые подверглись
свои впечатления. Огромное количес- кова, больше всего интересовал имен- изменению.
тво информации, полученной на кон- но этот продукт, и то, что изложено ни- Например, начал выполняться за-
ференции, предстоит ещё перерабо- же, – его отчет о прослушанных докла- прос 1 (SELECT), затем запрос 2 из-
тать и осмыслить. Невозможно было дах и участии в практических заняти- менил какие-то строки в таблице
всюду успеть – интереснейшие докла- ях по данной теме. (UPDATE), затем запрос 3 начал фор-
ды проходили одновременно в разных Основное впечатление заключает- мировать отчет – в этом случае за-
залах РАН, и приходилось буквально ся в том, что все нововведения в SQL прос 1 будет работать со своим набо-
разрываться. Server 2005 призваны обеспечить ком- ром данных (до UPDATE), а запрос 3
Открытие конференции поразило фортную совместную работу с дан- со своим (после UPDATE) и соответс-
не столько лазерным шоу, на которое, ным продуктом при большом коли- твенно после завершения запроса 1
впрочем, стоило посмотреть (на сце- честве подключений и значительных данные из временной базы перейдут
не гремела гроза и лился настоящий объемах базы. Перечислим основные в основную таблицу.
дождь), сколько эффектной демонс- моменты.
трацией совместной работы вышепе- Поддержка
речисленных продуктов, показанной Версионность многопроцессорности
сотрудниками Microsoft. Ранее любая операция чтения по умол- Не секрет, что MSSQL Server под-
Поставленная для демонстрации чанию блокировала всю таблицу, а при держивает несколько процессоров.
задача (расчёт эффективности но- исполнении инструкции JOIN – все таб- Но теперь появилась новая деталь –
вой бизнес-стратегии продаж аль- лицы, упоминающиеся в запросе. В ре- процессоры можно разбивать на груп-
бомов рок-группы Windows и её ре- зультате даже на современном мощ- пы в произвольном порядке с услови-
ализация) была за несколько десят- ном сервере некоторые отчеты мог- ем, что 1 процессор может входить
ков минут решена. Это стало возмож- ли приостановить работу всех поль- только в 1 группу. Группу, используе-
ным благодаря новым продуктам кор- зователей на 10-15 минут. Выход, ко- мую при выполнении запроса, можно
порации, применяемым в них эффек- нечно, был – разрешить «грязное чте- указывать в самом запросе. Чрезвы-
тивных средств анализа и разработки ние», но это, разумеется, не самый чайно удобно для построения «тяже-
и, самое главное, глубокой интегра- правильный вариант. Теперь же табли- лых» отчетов.
ции MSSQL Server, MSVS и MS BizTalk ца остается свободной, и если во вре-
Server между собой и другими компо- мя обработки такого запроса в табли- Service Broker
нентами платформы. це производятся изменения, они со- Service Broker – новая технология
Безусловно, ключевым продуктом, храняются во временной базе данных для разработки распределенных при-

2

ложений. По сути это служба очере-
ди сообщений. Что она дает? Приведу
пример, показанный на лекции, немно-
го его расширив. Предположим, на-
ша фирма – туроператор и занимает-
ся продажей туров. При продаже тура
нам надо зарезервировать билет и за-
бронировать место в гостинице. Теперь
на наш сервер поступает сообщение
от клиентского приложения о необхо-
димости оформить тур в Иваново. Сер-
вер отсылает сообщение в авиакомпа-
нию о резервировании билета и в ива-
новскую гостиницу о бронировании
номера. От авиакомпании приходит
подтверждение брони, а от гостини-
цы – ответ о том, что мест нет. В этом
случае у нас есть 2 варианта – отме-
нить бронь на билет или попытаться
забронировать номер в другой гости-
нице. Вся прелесть данной технологии
заключается в том, что мы можем все
это реализовать на стороне сервера,
то есть абсолютно не вдаваясь в под-
робности работы клиентского прило-
жения и не вмешиваясь в нее.
Второй плюс данной технологии –
распределение нагрузки. Допустим,
у нас есть группа серверов, выполня-
ющих одни и те же задачи. В этом слу-
чае сообщение, попавшее в очередь,
отправляется на случайно выбранный
сервер из группы, что дает примерно
равномерное распределение нагрузки
между серверами.
Третье – гарантии. Служба Service
Broker гарантирует 100% доставку со-
общений. Даже если по каким-то при-
чинам сообщение доставить не уда-
лось, будут предприниматься попыт-
ки отправить его снова до тех пор, по-
ка результат не будет достигнут. Вдо-
бавок к этому большие сообщения
служба сама разбивает на более мел-
кие и передает порциями, что в усло-
виях российских каналов связи игра-
ет немалую роль.
Четвертое – стоимость. Допустим,
у вас есть основной офис, в котором
стоят серверы, а также несколько фи-
лиалов, территориально удаленных
друг от друга. У вас есть некоторое
приложение, которое работает с ва-
шим сервером, к примеру, просто ре-
гистрирует покупки и списывает товар
со склада. Также имеются некие «ча-
сы пик», когда из-за большого коли-
чества покупок операторы вынуждены
простаивать, ожидая выполнения со-
№12, декабрь 2005
тенденции
седских запросов. Что нам даст пере- ботать со старыми версиями клиента.
ход на использование Service Broker? Плюс – цена компьютера для сервера-
Microsoft SQL Server 2005 выпускает- агента гораздо ниже цены внешнего
ся в нескольких лицензиях, одна из ко- дискового накопителя для организа-
торых, Express, – бесплатная. В случае ции кластера.
ее использования нам достаточно пос-
тавить в филиалах этот самый MS SQL Business Intelligence
Server 2005 Express и развернуть на Business Intelligence – это целая плат-
нем Service Broker, который будет за- форма для работы с разнородными
ниматься приемом сообщений от кли- данными. Она базируется на трех ки-
ентского приложения и переправкой тах от Microsoft – Integration Services,
их на основной сервер. Никаких про- Analysis Services и Reporting Services.
стоев, поскольку все работают с ло-  Integration Services – службы
кальным сервером. И главное – ника- и н те г р а ц и и. Ес л и р а з о б р ат ь -
ких затрат. ся, это новая версия DTS (Data
Transformation Services). Но, по уве-
Data Mirroring рениям Microsoft, весь код был пе-
Data Mirroring – новая технология отка- реписан с чистого листа. Что дейс-
зоустойчивости, которая сродни старо- твительно нового? Да по сути – все.
му доброму режиму репликации Log Теперь при написании сценария им-
Shipping. Однако есть некоторые раз- порта или экспорта данных можно
личия. Использовать ее можно в двух воспользоваться всей мощностью
вариантах – поддержка копии базы платформы .NET, что дает поисти-
в реальном времени или некоторая за- не безграничные возможности.
мена кластера.  Analysis Services – службы анали-
Рассмотрим оба. тики. Данная компонента являет-
В первом случае нам достаточ- ся продолжением развития служб
но иметь 2 сервера. При изменении OLAP (On-Line Analytical Processing)
данных на одном из серверов клиент- SQL Server 2000. Рассказать про ее
ским приложением такая же команда отличия от OLAP в SQL 2000 на се-
отправляется на выполнение второ- годняшний момент нам не пред-
му серверу. Чем это хорошо? Да хо- ставляется возможным по баналь-
тя бы тем, что в качестве второго сер- ной причине отсутствия опыта ра-
вера можно использовать гораздо бо- боты с ней. Надеемся, что скоро
лее слабую машину, потихоньку коман- этот опыт появится. Стоит упомя-
ды обработаются и никуда не денутся. нуть, что выступавшие разработ-
Зато у нас всегда будет актуальная ко- чики были ей очень горды. Осо-
пия данных. бенно приятно то, что руководите-
Теперь второй вариант. В отли- лями разработки данного направ-
чие от первого здесь нам понадобит- ления в Редмонде являются быв-
ся еще и сервер-агент. Выполнение шие наши соотечественники – вы-
команд происходит следующим об- ходцы из СНГ.
разом: команда поступает на сервер-  Reporting Services – службы от-
агент, он пересылает ее на первый четности. Никакой информации об
сервер, первый сервер дублирует ее этих службах на конференции нам
на второй сервер, параллельно выпол- не дали, поэтому рискнем предпо-
няя ее сам, второй сервер выполняет ложить, что это прямое развитие
команду и отправляет первому серве- SQL 2000 Reporting Services, кото-
ру подтверждение, первый сервер за- рое являлось отдельным продук-
канчивает выполнение команды и ра- том, а теперь он просто интегри-
портует серверу-агенту об удачном рован его в сервер.
выполнении. Что мы от этого выигры-
ваем? Сервером-агентом может слу- Доклады
жить любой самый дешевый совре- Представление Visual Studio 2005 на-
менный компьютер, но тем не менее чалось докладом Дмитрия Никонова
это тоже расходы. Зато в случае выхо- и Анатолия Смолянинова о новом инс-
да из строя одного из серверов агент трументе разработки – Visual Studio
автоматически перенаправит запро- Team System. Были рассмотрены и про-
сы на второй. Минус – он не будет ра- демонстрированы на примерах раз-
3
 тенденции
личные этапы процесса разработки
и проектирования, от спецификаций
и управления исходным кодом до от-
чётности по рабочим заданиям, с ак-
центом на специализацию и распреде-
ленность процесса разработки.
Продолжением стал доклад «Про-
ектирование и разработка корпоратив-
ных приложений», где речь шла уже
о Visual Studio Team Edition for Software
Architects. Это первый из узлов, состав-
ляющих будущее решение под назва-
нием Dynamic System Initiative. Это про-
ект Microsoft в области создания и под-
держки корпоративных информацион-
ных систем. Были рассмотрены воз-
можности оптимизации процесса раз-
работки и внедрения веб-сервисов
и распределённых сервисных архи-
тектур (SOA) путём верификации про-
цессов проектирования, проверки ус-
тановкой в среде разработки на ран-
них стадиях жизненного цикла продук-
та, с использованием языка описания
систем (SDM).
Второй день конференции начался
с доклада «Разработка веб-приложе-
ний на базе ASP.NET 2.0 и Atlas», в ко-
тором Александр Ложечкин и Дмит-
рий Мартынов представили новую
версию платформы для веб-разра-
ботки – ASP.NET 2.0 и новый инстру-
ментарий Microsoft для создания ди-
намических веб-приложений с разви-
тым пользовательским интерфейсом –
Atlas. Вообще, ASP.NET 2.0 и её под-
держка в MSVS 2005 – это отдельная
большая тема, и осветить её в рамках
данного обзора возможным не пред-
ставляется.
Нововведения, которые сразу об-
ратили на себя внимание:
 Отпала необходимость исполь-
зовать Internet Information Server,
для отладки приложений во вре-
мя разработки. Теперь в состав
Visual Studio входит локальный веб-
сервер Visual Web Developer Web
Server.
 Значительно расширен и система-
тизирован набор компонентов го-
товых блоков и прикладных интер-
фейсов.
 Реализован механизм использова-
ния шаблонов.
 Значительно облегчена работа
с ролями пользователей за счёт
введения нового программного ин-
терфейса – диспетчера ролей.
4
 Осуществлено автоматическое об- для платформы Microsoft Office System,
новление кэша сервера баз дан-
ных, используемых в веб-приложе-
нии.
С новыми технологиями .Framework
2.0, WinForms 2.0, Windows Presentation
Foundation и Application Blocks на при-
мере реальных приложений можно
было ознакомиться, слушая доклад
Ивана Бодягина и Андрея Корявчен-
ко «Технология создания клиентских
приложений».
Опоздавшие на доклад с баналь-
ным названием «Эффективная раз-
работка приложений на базе Microsoft
Visual Studio 2005» не могли не толь-
ко найти свободное кресло, но даже
просто протиснуться в зал. Это и не
удивительно – Александром Ложеч-
киным и Артуром Смоляниновым была
продемонстрирована работа с кодом
(на примере языка C#). Внимание бы-
ло сосредоточено в основном на ста-
тическом анализе и рефакторинге ко-
да, а также на полезных приёмах раз-
работки приложений.
Большой интерес вызвал доклад
«Проект Linq (C# 3.0, VB 10.0)», в кото-
ром Дмитрий Никонов рассказал о бу-
дущем расширении Visual Studio – LINQ
(Language Integrated Query).
Сегодня разработчики использу-
ют один язык программирования для
написания исходного кода программы
и совершенно другой язык, например
SQL, для доступа к данным из СУБД.
LINQ позволяет писать запросы к дан-
ным любого формата и обращаться
к объектам .NET, данным из XML и ба-
зам данных одинаковым способом.
Во время доклада были продемонс-
трированы эффектные приёмы рабо-
ты, связанные с уже реализованными
возможностями расширения.
Cергею Одинцу и Александру Калу-
гину выпала честь представить компе-
тентной публике продукт, находящийся
в стадии раннего бета-тестирования, а
именно Microsoft Office 12. Со своей за-
дачей они справились блестяще, при-
чём наибольшее впечатление произвёл
доклад «Первый взгляд на Microsoft
Office 12», на котором докладчики ра-
ботали с будущим продуктом, демонс-
трируя уже реализованные пользо-
вательские возможности. Несколько
ранее они же представляли Microsoft
Office 12 Server – серверное решение
включающее SharePoint v3, Excel Server
и Forms Server.
Пожалуй, одним из самых полез-
ных и интересных для системных адми-
нистраторов материалов был доклад
«Мониторинг программно-аппаратных
ресурсов гетерогенных систем». В нём
рассматривалось использование тех-
нологии Microsoft Operation Manager
(MOM) для осуществления проектив-
ного мониторинга серверных систем
(не только на базе Microsoft).
Технология MOM, уже реализован-
ная в таких продуктах, как MOM 2005
и MOM 2005 Workgroup Edition, также
является частью ранее упоминавше-
гося проекта Dynamic System Initiative
(DSI).
В процессе доклада было проде-
монстрировано решение от компании
Quest Software по управлению и мо-
ниторингу сети, включающей в себя
Linux, UNIX и Macintosh, рабочие стан-
ции посредством Active Directory, с де-
монстрацией выявления и диагности-
ки проблем в гетерогеной среде.
На следующий день этот доклад
был закреплён лабораторной работой
«Microsoft Operations Manager 2005: мо-
ниторинг и анализ производительнос-
ти серверов», которая, впрочем, была
очень ограничена по времени и позво-
лила лишь чуть-чуть «пощупать» но-
вую технологию.
Итоги
За рамками данного обзора осталось
немало интересного – представле-
ние BizTalk Server 2006, технологии
Windows Workflow Foundation, Microsoft
CRM 3.0, доклады партнёров Microsoft
и многое другое. На всё просто не хва-
тило времени, за два дня ознакомить-
ся со всей предложенной информаци-
ей было просто невозможно.
Стоит отметить – каждому учас-
тнику полагался подарок в виде не-
коммерческих, но полнофункциональ-
ных версий Microsoft SQL Server 2005
и Microsoft Visual Studio 2005. Для чи-
тателей «Системного администрато-
ра» это значит, что в ближайших но-
мерах журнала появятся предвари-
тельные обзоры возможностей этих
продуктов, а также (благодаря непри-
нуждённым разговорам в фойе конфе-
ренц-зала) некоторые другие небезын-
тересные материалы.

Sun добавила поддержку PostgreSQL
в Solaris 10
Компания Sun Microsystems начинает официальную подде-
ржку PostgreSQL и распространение этой открытой СУБД
в комплекте ПО, поставляемого с ОС Solaris 10.
Также представители Sun рассказали о намерении ин-
тегрировать в проект OpenSolaris возможность запуска
исполняемых файлов для Linux в контейнерах Solaris 10
(без потребности изменять эти файлы).
Помимо этого в Sun сообщили об успехах в коопера-
ции с Open Source-проектом Xen, благодаря чему теперь
доступно управление ОС Solaris в виртуальной сервер-
ной среде.
Чуть раньше стало известно о появлении уже давно
обещанной 128-битной файловой системы ZFS в соста-
ве OpenSolaris.
Популярность Debian растет
быстрее других
По данным Netcraft по состоянию на декабрь, популярность
дистрибутива Debian GNU/Linux в среде веб-серверов рос-
ла быстрее всех остальных Linux-систем. Общее число веб-
сайтов, работающих под управлением Debian (из опрошен-
ных исследователями), превысило 1,2 миллиона, что в про-
центном соотношении чуть больше 25%.
Среди крупных европейских пользователей Debian в ка-
честве основной платформы для хостинга Netcraft выделя-
ет Komplex, Lycos Europe, Proxad и Deutsche Telecom.
Первое место сохраняет за собой Red Hat – около 34%,
а тройку замыкает бесплатная версия Linux той же ком-
пании, но поддерживаемая сообществом – Fedora Core
с 16%.
тенденции
«Web Application Stack» – самая простая редакция, вклю-
чающая в себя базовые компоненты веб-сервера (Apache,
MySQL, PHP и по просьбе покупателя PostgreSQL). В «Java
Web Application Stack» (помимо LAMP) добавлена подде-
ржка Apache Tomcat, а также дополнительных Java-биб-
лиотек и утилит (Struts, Axis, Hibernate, Ant, Jython и т. п.),
XML-библиотек. В самый «продвинутый» набор («Enterprise
Java Stack») также входит поддержка полноценного серве-
ра Java-приложений, основанного на разработках проекта
ObjectWeb JOnAS, сертифицированного по J2EE.
Линус Торвальдс рекомендует KDE
Отец открытой операционной системы Linux вмешался
в диалог в почтовой рассылке GNOME, высказав свое от-
ношение к процессу разработки этой популярной свобод-
ной графической среды.
Небольшой комментарий Торвальдса, естественно, вы-
звал настоящий шквал отзывов от пользователей, а сооб-
щение было следующим: «Лично я просто призываю лю-
дей переключиться на KDE. Подход проекта Gnome: «поль-
зователи – идиоты, они смущены функциональностью» –
это болезнь. Если вы думаете, что пользователи Gnome –
идиоты, только идиоты и будут пользоваться ею. Я не ис-
пользую Gnome, потому что она в своем стремлении к то-
му, чтобы быть простой, дошла до такого состояния, когда
уже не делает того, что я от нее хочу. Пожалуйста, просто
скажите людям использовать KDE. Линус».
Составил Дмитрий Шурупов
по материалам www.nixp.ru

Open Source приходит

в Олимпийские игры?
Технологический партнер Международного олимпийского
комитета Atos Origin при поддержке IBM и HP рекомендует
использовать программное обеспечение с открытым кодом
на пекинских Олимпийских играх 2008 года.
Ожидается, что решение о том, будет ли проведено
внедрение технологий Open Source в ИТ-инфраструктуру,
сопутствующую ОИ-2008, МОК примет после получения
официального предложения от поставщиков. Но еще не
исключено, что данная инициатива будет отвергнута хотя
бы потому, что лагерь Open Source в Китае на данный мо-
мент не представлен таким множеством значимых компа-
ний, какое можно наблюдать в США или Европе.
ИТ-инфраструктуру ОИ представляет персонал из 1200
человек с 450 серверами на базе железа от Intel и UNIX-ма-
шинами, 4700 персональными компьютерами и 700 прин-
терами.

Red Hat представила Open Source Stacks

Американская Linux-компания Red Hat анонсировала гото-
вые наборы из стандартных программных продуктов с от-
крытым кодом, получившие название Open Source Stacks.
Три новых пакета-предложения основаны на платформе
Red Hat Enterprise Linux и призваны покрыть нужды пред-
приятий различного уровня.

№12, декабрь 2005 5

 администрирование

Как эффективно провести инвентаризацию

установленного софта

Андрей Бирюков
Зачастую сбор информации об установленных на клиентских машинах приложениях является
для системных администраторов настоящей пыткой, особенно в крупных сетях. Рассмотрим
использование WSH-сценариев и групповых политик Active Directory для этой цели.

К
ак правило, в сетях большинс-
тва организаций у пользовате-
лей нет прав на установку прило-
жений, и на все машины «залит» оди-
наковый образ операционной систе-
мы. Однако даже в таких строго пост-
роенных сетях рано или поздно возни-
кает необходимость в установке отде-
льным пользователям программ, кото-
рые требуются им для работы. Так, на-
пример, бухгалтерам нужны различ-
ные конфигурации 1С, а менеджерам
нужна определенная система управле-
ния проектами и так далее. Или же еще
более сложная ситуация: ваша компа-
ния объединилась с другой, а у той ор-
ганизации корпоративным стандар-
том антивируса является, к приме-
ру, Symantec, а в вашей – Trend Micro,
и вам необходимо узнать, сколько ли-
цензий того и другого программного
продукта необходимо продлить в сле-
дующем году. Конечно, идеальным ре-
шением во всех описанных выше си-
туациях было бы четкое документи-
рование сисадмином каждого запро-
са на установку программного обес-
печения. Однако в реальности все об-
стоит не так хорошо, и администратору,
особенно в крупной сети, необходимо
какое-либо программное средство для
автоматического сбора информации о
приложениях. В данной статье для ре-
шения поставленной задачи предла-
гается сценарий Windows Script Host,
который с помощью групповой поли-
тики Active Directory будет запускать-
ся на клиентских машинах, собирать
в текстовый файл информацию об ус-

6

тановленных приложениях и затем сохранять ее на разде-
ляемом сетевом ресурсе.
Теоретическая часть
Как известно, информация об установленных в ОС Windows
приложениях хранится в реестре. Точнее, в разделе
HKEY_LOCAL_MACHINE\Software. Если зайти в эту ветвь
реестра, то можно увидеть подразделы, которые содержат
информацию об установленных приложениях, в частности,
название каждого подраздела соответствует установлен-
ному приложению. Конечно, можно собирать информацию
о приложениях отсюда, однако это не самый лучший вари-
ант, так как в этой ветке реестра также содержится много
служебной информации, которая может существенно ос-
ложнить сбор данных и в конечном итоге замедлить ра-
боту системы. Гораздо удобнее воспользоваться веткой
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall.
Как парадоксально это ни выглядит, но каждое приложе-
ние после установки прописывает свои данные в эту вет-
ку реестра. Причем все данные содержат несколько обя-
зательных полей, например поле DisplayName, с помощью
которого мы и будем идентифицировать приложения, уста-
новленные в системе. На рабочей машине это может вы-
глядеть, например, вот так (см. рис. 1).
Таким образом, для того чтобы собрать информацию
об установленных в системе пользовательских приложе-
ниях, необходимо обойти значения ветки реестра Uninstall
и получить содержимое параметра DisplayName. Этот пара-
метр является обязательным для записей об установленных
приложениях данной ветки и содержит значение строково-
го типа, которое удобно сохранять в текстовом файле. Ес-
ли параметр ветки Uninstall не содержит поля DisplayName,
то значит это не установленное приложение, а какая-то слу-
жебная информация, и заносить эти данные в отчет не тре-
буется. Таким вот довольно простым способом можно соб-
рать необходимую нам информацию.
Итак, рассмотрев теоретические аспекты написания дан-
ного сценария, перейдем к практической части. Исходный текст
сценария, который был взят за основу, можно найти по адре-
су http://www.computerperformance.co.uk/ezine/ezine63.htm.
Практическая часть
Для программной реализации поставленной задачи мы
традиционно воспользуемся WSH-сценарием, написан-
ным на языке VBScript. Все собранные данные будем со-
хранять в текстовом файле, название которого будет со-
стоять из имени компьютера, на котором выполнялся сце-
нарий. Так как сохранять файлы с результатами на локаль-
ных дисках клиентских машин, а потом забирать их оттуда
вручную – решение не самое удачное, особенно в больших
сетях, то мы должны подготовить на сервере сетевую пап-
ку, с правами на запись для администратора. А наш сце-
нарий должен уметь подключать эту папку в качестве се-
тевого диска, сохранять туда файлы с результатами и за-
тем отключать. Сделать эти простые действия можно с по-
мощью следующих команд VBScript:
Листинг 1. Подключение сетевого диска
On Error Resume Next
№12, декабрь 2005
администрирование
Рисунок 1. Содержимое ветки реестра Uninstall
Set objNetwork = CreateObject("WScript.Network")
Set CheckDrive = objNetwork.EnumNetworkDrives()
objNetwork.MapNetworkDrive "X:", "\\10.0.1.5\share"
А отключить сетевой диск можно с помощью команды:
Листинг 2. Отключение сетевого диска
WScript.Sleep 3000
objNetwork.RemoveNetworkDrive CheckDrive.Item(0), true
Обратите внимание на то, что операционная система
не всегда может подключить сетевой диск и практически
сразу его отключить, иногда на это требуется определенное
время. Для решения данной проблемы используется коман-
да WScript.Sleep, которая останавливает работу сценария
на N/1000 секунд. В данном случае указаны три секунды.
Конечно, если в вашей сети уже используются сете-
вые диски или после подключения сетевого ресурса вам
не нужно отключать его (так как он может использовать-
ся еще для каких либо целей), то вы можете не использо-
вать данные команды и сразу перейти к написанию сцена-
рия, описанного ниже.
Ключевым моментом нашего сценария является цикл,
обходящий ветку реестра Uninstall:
Листинг 3. Обходим ветку реестра и сохраняем данные в файл
unKeyPath = "Software\Microsoft\Windows\CurrentVersion\Uninstall"
unValueName = ("DisplayName")
objReg.EnumKey HKLM, unKeyPath, arrSubKeys
i=0
For Each Subkey in arrSubKeys
objDictionary2.Add i, unKeyPath & "\"& subkey & (Enter)
i=i+1
Next
………………………
For Each objItem in objDictionary2
strKeyPath = objDictionary2.Item(objItem)
objReg.GetStringValue HKLM ,strKeyPath, unValueName, strValue
'сохраняем нужное значение в файл
objTextFile2.WriteLine (strValue)
If Err Then
objDictionary2.Remove(objItem)
End If
Next
Теперь остается лишь оформить полученные данные
должным образом (то есть добавить информацию об име-
ни пользователя, имени компьютера и времени выполне-
ния сценария) и сохранить в файле.
7
 администрирование
Для получения информации об имени пользователя
и названии машины воспользуемся следующими двумя
значениями параметров реестра:
Листинг 4. Ветки, содержащие информацию об имени
пользователя и имени компьютера
pcName = "SYSTEM\CurrentControlSet\Control\ ↵
ComputerName\ActiveComputerName\"
pcNameValueName = "ComputerName"
userPath = "Software\Microsoft\Windows NT\ ↵
CurrentVersion\Winlogon\"
userValueName = "DefaultUserName"
В результате работы описанных выше процедур мы по-
лучаем текстовый файл, в заголовке которого будут имя
пользователя, название, дата и время создания.
Приведем полный текст сценария для сбора информа-
ции об установленных на компьютере приложениях:
Листинг 5. Полный текст сценария
' Объявляем константу HKEY_LOCAL_MACHINE
Const HKLM = &H80000002
Const REG_SZ = 1 '
Const ForReading = 1
Const ForWriting = 2
On Error Resume Next
Set objFSO = CreateObject("Scripting.FileSystemObject")
Set objDictionary2 = CreateObject("Scripting.Dictionary")
Dim objNetwork, objShell, CheckDrive
Dim strDriveLetter, strRemotePath, intDrive, bforce
' Данные для сетевого диска
strDriveLetter = UCase("x:" ) ' Имя диска
strRemotePath = "\\10.0.1.5\tmp" ' Сетевой путь
bforce = true
Set objShell = CreateObject("WScript.Shell")
Set objNetwork = CreateObject("WScript.Network")
Set CheckDrive = objNetwork.EnumNetworkDrives()
' А это уже путь, где будет создан файл с информацией
' о приложениях
strPath = "x:\"
strComputer = "localhost" ' Проверяем локальный компьютер
' Подключаем сетевой диск
objNetwork.MapNetworkDrive strDriveLetter, strRemotePath
' Запускаем процедуру сбора информации
GetInstalledSoftware()
' Отключаем сетевой диск
If CheckDrive.Item(intDrive) <> strDriveLetter Then ↵
objNetwork.RemoveNetworkDrive CheckDrive.Item(0), ↵
bforce
Sub GetInstalledSoftware()
On Error Resume next
Set objReg=GetObject("winmgmts: ↵
{impersonationLevel=impersonate}!\\" & _
strComputer & "\root\default:StdRegProv")
If Err <> "0" Then
Exit Sub
End If
' Путь к разделу реестра Uninstall, содержащему информацию
' об установленных компонентах
unKeyPath = "Software\Microsoft\Windows\ ↵
CurrentVersion\Uninstall"
unValueName = ("DisplayName")
objReg.EnumKey HKLM, unKeyPath, arrSubKeys
i=0
For Each Subkey in arrSubKeys
objDictionary2.Add i, unKeyPath & "\"& subkey & (Enter)
i=i+1
Next
pcName = "SYSTEM\CurrentControlSet\Control\ ↵
ComputerName\ActiveComputerName\"
pcNameValueName = "ComputerName"
userPath = "Software\Microsoft\Windows NT\ ↵
CurrentVersion\Winlogon\"
8
userValueName = "DefaultUserName"
objReg.GetStringValue HKLM,pcName,pcNameValueName,pcValue
objReg.GetStringValue HKLM,userPath,userValueName, ↵
userValue
strFileName = UserValue & "_" & "On" & "_" & PCValue ↵
& "_"& "Software" _
& year(date()) & right("0" & month(date()),2) _
& right("0" & day(date()),2) & ".txt"
Set objTextFile2 = objFSO.OpenTextFile(strPath ↵
& strFileName, ForWriting, True)
objTextFile2.WriteLine(vbCRLF & _
"Current Installed Software " & vbCRLF & Time & vbCRLF ↵
& Date _
& vbCRLF & "Software For:" & "" & userValue & vbCRLF ↵
& "On System:" _
& "" & pcValue & vbCRLF)
For Each objItem in objDictionary2
strKeyPath = objDictionary2.Item(objItem)
objReg.GetStringValue HKLM ,strKeyPath, ↵
unValueName, strValue
objTextFile2.WriteLine (strValue)
If Err Then
objDictionary2.Remove(objItem)
End If
Next
End Sub
wscript.Quit
Сбор урожая
Если в вашей локальной сети менее десяти компьютеров,
то запуск описанного выше сценария не составит особого
труда. Можно воспользоваться столь любимой всеми сис-
темными администраторами программой Remote Admin
и удаленно запустить сценарий на каждой клиентской ма-
шине. Однако все эти решения требуют от администрато-
ров много ручной работы, а это не слишком хорошо. В ори-
гинальной версии сценария [2] предлагалось использовать
следующую процедуру, которая сначала собирает данные
о машинах в домене, потом пытается запустить сценарий
на каждом из этих компьютеров.
Листинг 6. Запуск сценария на удаленных машинах домена
Set objPCTXTFile = objFSO.OpenTextFile("c:\test.txt", ↵
ForWriting, True)
' Получаем информацию о домене
Set objDomain = GetObject("WinNT://" & strDomain)
' Интересует объект компьютеры
objDomain.Filter = Array("Computer")
For Each pcObject In objDomain
objPCTXTFile.WriteLine pcObject.Name
Next
objPCTXTFile.close
' Читаем компьютеры из созданного файла
Set readPCFile = objFSO.OpenTextFile(strPath ↵
& strPCsFile, ForReading)
i = 0
Do Until readPCFile.AtEndOfStream
strNextLine = readPCFile.Readline
objDictionary.Add i, strNextLine
i = i + 1
Loop
readPCFile.Close
' Запускаем процедуру сбора информации на каждом компьютере
For each DomainPC in objDictionary
strComputer = objDictionary.Item(DomainPC)
GetInstalledSoftware()
Next
Такая конструкция, конечно, имеет право на жизнь, не-
смотря на свою некоторую неуклюжесть. Однако для то-
го чтобы с помощью такого цикла получить информацию
 администрирование
со всех компьютеров сети, необходимо, чтобы в момент
запуска сценария все машины были включены. Даже в не-
большой компании добиться этого не просто. Всегда есть
есть отсутствующие сотрудники, ноутбуки и удаленные фи-
лиалы, с которыми нет постоянного соединения.
Таким образом мы приходим к выводу, что вариант с од-
новременным опросом всех машин в сети нас не устраи-
вает. К тому же с помощью такой реализации практичес-
ки невозможно собрать информацию в сети, которая гео-
графически разнесена по разным регионам, когда в од-
ном офисе рабочий день только начинается, а в другом –
уже заканчивается.
Возможен еще другой вариант для запуска нашего сце-
нария на пользовательских машинах – это Logon Script.
Для доступа к нему необходимо в свойствах пользовате-
ля (или нескольких выбранных пользователей) в закладке
Profile указать путь к файлу сценария (см. рис. 2).
Тогда наш сценарий будет выполняться при входе поль-
зователя в домен. Такое решение уже более универсально,
чем предыдущее, но все равно от администратора требует- Рисунок 2. Указываем Logon Script
ся вручную выделить всех пользователей, у которых дол-
жен быть запущен сценарий. А если таких пользователей Здесь возможны два варианта «Startup» и «Shutdown».
сотни? К тому же если у нас несколько пользователей за- Логичнее будет использовать наш сценарий при запуске
ходят на один и тот же компьютер, то мы получим несколь- пользовательской машины.
ко одинаковых файлов отчета, различающихся только име- Нажимаем «Add» и добавляем файл сценария без па-
нем пользователя. Думаю, разбирать потом все это будет раметров. Все, теперь наш сценарий будет выполнен при
не слишком удобно. Так что такой вариант для больших се- следующем запуске компьютера. В случае если необходи-
тей тоже не подходит. мо использовать раздел «User Configuration», соответству-
Очевидно, что для подобных случаев лучше всего вы- ющие разделы будут «Windows Settings» и «Scripts (Logon/
полнять сценарии на клиенте с помощью групповых поли- Logoff)». Теперь остается только перетащить машины, к ко-
тик Active Directory. Групповую политику можно рассмат- торым будет применена данная групповая политика в со-
ривать как набор правил для управления пользователями зданную нами Organization Unit.
и компьютерами. Групповую политику разрешается приме- Следует сказать несколько слов о нагрузке на сеть, ко-
нять в нескольких доменах и в подгруппах внутри домена торую создаст наш сценарий в тот момент, когда пользо-
или индивидуальных системах. Параметры групповой по- ватели, придя утром на работу, начнут массово входить
литики хранятся в объекте групповой политики (Group policy в сеть. Что касается времени выполнения сценария и его
Object, GPO). К одному и тому же домену или подразделе- нагрузки на компьютер пользователя, то на средней маши-
нию можно применять несколько объектов GPO. Подроб- не с 20-30 установленными приложениями (хотя в тех ор-
нее о взаимодействии политик, свойствах Block Inheritance ганизациях, где люди прежде всего работают, таких при-
и No Override можно прочитать в [1]. ложений, как правило, меньше) время работы сценария бу-
Итак, создадим свою групповую политику и исполь- дет, не более трех секунд. По поводу трафика стоит отме-
зуем ее для автоматизации развертывания нашего сце- тить, что на той же машине с 30 установленными приложе-
нария. Для этого зайдем локально или удаленно на кон- ниями файл отчета займет около 3 килобайт, так что даже
троллер домена «Administrative Tools → Active Directory в моменты пиковой нагрузки речь может идти лишь о не-
Users and Computers → Домен». В меню «Action → New → скольких сотнях килобайт трафика.
Organization Unit» (введем название), затем в свойствах
созданной организационной единицы закладка «Group Подведение итогов
Policy», нажимаем «New», указываем имя новой политики Итак, мы собрали все необходимые нам сведения об ус-
и затем, нажав «Edit», попадаем в редактор объектов GPO. тановленных на пользовательских машинах приложениях
Для решения поставленной задачи развертывания сце- и сохранили их в виде отдельных файлов на сервере. Но та-
нария на машинах пользователей нам удобнее будет ис- кой способ хранения полученной информации не слишком
пользовать раздел «Computer Management», конечно, ес- удобен, к тому же мы не решили одну из задач, поставлен-
ли мы используем «Computer Management», ничего страш- ных в начале статьи, – сбор информации о количестве ус-
ного не произойдет, но, как и в случае с Logon Script, если тановленных приложений, необходимой для осуществления
за компьютером работают несколько пользователей, то мы лицензирования. Таким образом, нам требуется, во-первых,
рискуем получить несколько одинаковых файлов отчетов, собрать все данные в единый файл и, во-вторых, просум-
которые будут отличаться только именем пользователя мировать все одинаковые приложения. Обе эти задачи мы
в заголовке. В разделе «Computer Management» заходим решим с помощью Microsoft Excel. Напишем WSH-сценарий,
в «Windows Settings», далее «Scripts» (см. рис. 3). который необходимо будет разместить в том же каталоге,

№12, декабрь 2005 9

 администрирование

Рисунок 3. Объекты групповой политики Рисунок 4. Таблица Excel с результатами

что и файлы, которые мы получили. После запуска данный If i>6 Then
сценарий поочередно открывает каждый из файлов ката- s.Cells(n, 2) = strNextLine
objTextFile2.WriteLine (strNextLine)
лога и экспортирует данные о приложениях в таблицу Excel, n = n + 1
затем производится сбор сведений о количестве установок, End If
Loop
которые также экспортируются в Excel. В результате работы readPCFile.Close
сценария мы получаем книгу Excel, содержащую два лис- End If
Next
та: На первом таблица, состоящая из двух столбцов, – имя objTextFile2.close
компьютера и наименование приложений. f=3
Set objTextFile2 = objFSO.OpenTextFile("c:\temp\tmp", ↵
На втором листе список приложений и количество ус- ForReading)
тановок каждого из них. Do Until ObjTextFile2.AtEndOfStream
strNextLine = objTextFile2.Readline
Далее приводится фрагмент сценария, реализующего ' ищем вхождения имени приложения
все эти действия. Set fc = s1.Columns("A").Find(strNextLine)
If fc Is Nothing Then ' не нашли, тогда добавляем
s1.Cells(f,1)=strNextLine
Листинг 7. Создание документа Excel c результатами Set fc = s.Columns("B").Find(strNextLine)
……………. If Not fc Is Nothing Then
Set s = oE.Sheets(1) ' Лист 1 count=0
s.Name = "Список" With s.Columns("B")
Set s1 = oE.Sheets(2) ' Лист 2 Set c = .Find(strNextLine)
s1.Name = "Сумма" If Not c Is Nothing Then
s.Rows(1).RowHeight = 2 * s.StandardHeight firstAddress = c.Address
s.Cells(1,1) = "Список установленных приложений" Do
s.Cells(2,1) = "Имя компьютера" ' считаем количество установок
s.Cells(2,2) = "Приложения" count=count+1
s.Columns("A:B").Columns.AutoFit Set c = .FindNext(c)
With s.Range("A1:B1") Loop While Not c Is Nothing And c.Address <> ↵
.MergeCells = True firstAddress
.VerticalAlignment = xlCenter End If
.HorizontalAlignment = xlCenter End With
.Font.Size=14 s1.Cells(f,2)=Count ' сохраняем количество установок
End With End If
s1.Rows(1).RowHeight = 2 * s1.StandardHeight f=f+1
s1.Cells(1,1) = "Количество установленных приложений" End If
s1.Cells(2,1) = "Приложение" Loop
s1.Cells(2,2) = "Всего установок"
s1.Columns("A:B").Columns.AutoFit Теперь поставленная перед нами задача по сбору све-
With s1.Range("A1:B1")
.MergeCells = True дений об установленных на клиентских машинах приложе-
.VerticalAlignment = xlCenter ниях решена полностью. Мы получили таблицу Excel, кото-
.HorizontalAlignment = xlCenter
.Font.Size=14 рая содержит сведения о том, какие приложения установле-
End With ны на каждой конкретной машине, а также сведения о том,
Set objFSO = CreateObject("Scripting.FileSystemObject")
Set fso = CreateObject("Scripting.FileSystemObject") сколько установок того или иного приложения имеется в се-
' Получаем сведения о файлах, находящихся в данной папке ти. Лучше всего выполнять описанные выше сценарии ре-
Set fld = fso.GetFolder(".")
Set objTextFile2 = objFSO.OpenTextFile("c:\temp\tmp", ↵ гулярно, с частотой один раз в месяц, для того чтобы всег-
ForWriting, True) да иметь под рукой актуальную информацию об использу-
For Each fi In fld.Files
If fi.name<>"excel.vbs" AND fi.name<>"result.xls" Then емом программном обеспечении.
' Файл сценария и файл отчета не открывать
Set readPCFile = objFSO.OpenTextFile(fi, ForReading)
i = 0 Литература:
s.Cells(n, 1) = fi.name ' Имя файла – это имя компьютера 1. Windows Server 2003. Справочник администратора.
Do Until readPCFile.AtEndOfStream
strNextLine = readPCFile.Readline 2. http://www.computerperformance.co.uk – англоязычный сайт, со-
i = i + 1 держащий множество примеров WSH сценариев, с коммента-
' Первые 6 строк в файлах отчетах – это шапка,
' экспортировать не нужно риями.

10
 администрирование
Контролируем события с помощью
EventSentry
Администрирование большого количества компьютеров никогда не являлось простой задачей,
так как необходимо отслеживать и оперативно реагировать на происходящие события.
В качестве датчиков можно использовать жалобы пользователей, собственные скрипты
или специализированные утилиты, написанные сторонними разработчиками.
К
аждый из указанных способов
имеет свои достоинства и не-
достатки. Жалобы пользовате-
лей возникают, как правило, неожи-
данно, а от авральных работ не всегда
получаешь удовольствие. На написа-
ние скриптов требуется время и опыт.
Значит, будем использовать утилиту,
созданную другими людьми. Преем-
ник EventwatchNT утилита EventSentry
от netikus ltd. позволяет полностью
автоматизировать сбор информации
о состоянии компьютеров, работаю-
щих под управлением систем на базе
Windows NT/2000/XP и Windows Server
2003, а также контролировать работу
сервисов в сети. Утилита проста в ус-
тановке, понятна в настройке и ко все-
му прочему обладает удобным интер-
фейсом.
Возможности EventSentry
Система контроля, построенная с при-
менением EventSentry, состоит из не-
скольких компонентов: агенты про-
смотра журналов, системы и сервисов,
консоль управления (рис. 1) и веб-от-
четы. Запускаемые в системе в виде
сервисов агенты, собирают информа-
цию о событиях, основываясь на сис-
теме фильтров, которые настраивают-
ся пользователем при помощи консоли
управления. При наступлении отсле-
живаемого события или при превыше-
нии установленного барьера генериру-
ется целевой сигнал. Целевой сигнал
12
Сергей Яремчук
предназначен для оповещения, здесь мер, об активности процесса со време-
можно выбрать несколько вариантов. ни его запуска до момента остановки.
Например, отсылка почтового сообще- Все собранные данные (id процесса, id
ния на указанный адрес. При этом со- родительского процесса, путь, имя ис-
общение может быть в обычном текс- полняемого файла, имя пользователя,
товом формате, (X)HTML и так назы- домен, время) сохраняются, и при не-
ваемом MINI, подходящем для пейд- обходимости всегда можно просмот-
жеров и мобильных телефонов. Так- реть историю, узнать, кто, когда и с ка-
же информация о событии может быть кой частотой запускал программу. Что-
занесена в текстовый файл, здесь до- бы не нарушать корпоративные прави-
ступны также три формата: текстовый, ла, при трассировке процесса не соби-
csv и (X)HTML. Событие может быть рается информация о том, какой доку-
занесено через ODBC в базу данных, мент был открыт, также не отслежи-
отослано на удаленный syslog-сервер, ваются аргументы командной строки.
SNMP, параллельный порт или выдано Можно контролировать работу всех
в сеть как net send-сообщение. Кроме процессов («Track all processes except
того, можно проиграть звук, вывести those listed below»), исключить трасси-
сообщение на локальном компьютере ровку отдельных процессов или, на-
или выполнить произвольную коман- оборот, указать только на те процессы,
ду пользователя. Все эти настройки которые нуждаются в отслеживании.
производятся во вкладке Notifications Практически аналогичные по настрой-
(Targets) после указания всех парамет- ке фильтры позволяют контролировать
ров, вывод целевого сигнала обычно регистрацию и выход пользователей
можно сразу же протестировать нажа- из системы. Но это еще не все. Начи-
тием кнопки Test. ная с версии 2.30, EventSentry получил
Параметры систем контролиру- возможность контролировать некото-
ют два агента: Event Log Agent Control рые системные параметры. Например,
и Heartbeat Agent Control, каждый при помощи «Service Monitoring» адми-
из них отвечает за свой участок рабо- нистратор может узнать, когда и кем
ты. При помощи Event Log Agent Control были добавлены, удалены или измени-
EventSentry отслеживает параметры ли свои параметры сервисы и драйве-
локального компьютера, а Heartbeat ра. Сигнал поступит также и в том слу-
Agent Control предназначен для ра- чае, когда в реестр или в каталог «Ав-
боты с удаленными системами. Аген- тозагрузка» будет добавлена новая
ты позволяют собрать информацию программа, а также если сервис, ус-
о многих основных параметрах. Напри- тановленный в автозапуск, по каким
 администрирование
либо причинам не запустил- компьютеры рабочей груп-
ся. Вкладка «Disk Space» поз- пы или Active Directory. Даль-
воляет выставить параметры нейшую настройку парамет-
наблюдения за свободным ров сетевого контроля отде-
местом на разделах жестко- льных компьютеров, а также
го диска. Здесь указываются установленных на них агентов
логические разделы жесткого можно производить по щелч-
диска, подлежащие наблюде- ку на имени компьютера ли-
нию, процент или объем, при бо из контекстного меню. От-
заполнении которого будет сюда же можно управлять об-
выдано предупреждающее новлениями агентов. Щел-
сообщение, а также интервал чок левой кнопкой по пунк-
между проверками. ту «Computers» выдаст ре-
Идеальным дополнением зультат последней проверки.
к проверке журналов и сис- Выбор «View History» позво-
темных параметров является Рисунок 1. Внешний вид консоли управления EventSentry лит просмотреть историю за-
контроль за состоянием ком- ку предупреждения в «Full Event Log просов.
пьютеров и сетевых сервисов. Для это- Detection». На момент написания статьи бы-
го используются ICMP-запросы и про- Типичная схема контроля при по- ли доступны две версии продукта
верка работы TCP-портов, а также от- мощи EventSentry показана на рис. 2. EventSentry и EventSentry Light. Вторая
клик EventSentry-агентов, работающих Агенты собирают информацию и от- распространяется как freeware, но име-
на удаленных компьютерах. Кроме сылают по назначению для дальней- ет ограничения на количество конт-
прочего EventSentry эмулирует syslog шего анализа и принятия решений. ролируемых сервисов и параметров:
сервер, что вместе с наблюдением за При помощи одной консоли управ- не более одного параметра в каждом
сетевыми сервисами может использо- ления можно настроить и контроли- пункте контроля, и всего два вида опо-
ваться не только для контроля рабо- ровать работу не только локальных, вещения – e-mail и сообщение на рабо-
ты Windows-систем, но и доступности но и удаленных систем. Для этого нуж- чий стол также недоступны веб-отче-
сервисов, UNIX и Cisco-систем. И, на- ны права администратора, и на уда- ты. Но в принципе контролировать об-
конец, использовав внешний датчик, ленном компьютере должна быть за- щую работоспособность систем в сети
подключаемый к USB- или COM-пор- пущена служба «Удаленный реестр» даже с такими ограничениями вполне
ту, можно контролировать темпера- (REMOTE REGISTRY). Причем установ- возможно. Полная версия без регис-
туру и влажность в помещении. Если ку системы контроля можно произво- трации будет работоспособна в тече-
указанные параметры выйдут за пре- дить как локально, так и удаленно. Ес- ние 45 дней.
делы нормы, администратор получит ли нет необходимости в наличии консо- После установки, в ходе которой
предупреждение. ли управления на клиентских компью- можно ввести адрес SMTP-сервера
Всю собранную информацию мож- терах, то при установке ее можно уб- (основного и резервного), порт, почто-
но просмотреть при помощи системы рать из списка устанавливаемых ком- вый адрес, куда будут отсылаться со-
отчетов, доступных через GUI-интер- понентов. Хорошо продумана возмож- общения, данные для SMTP-аутенти-
фейс, либо ASP- или PHP-страницы, ность добавления новых компьютеров фикации (если нужно), можно присту-
через IIS или Apache. Отчеты разбиты в список контроля. Для этого щелка- пать к настройке агентов и фильтров.
по группам (Security, System, Aplication ем правой кнопкой мыши на заголов- Все настройки сохраняются в клю-
и другие), можно выбрать просмотр ке Computers и в контекстном меню вы- че реестра HKEY_LOCAL_MACHINE\
всех событий либо отсортировать бираем пункт «Add Computer/IP-адрес» netikus.net\EventSentry, который при
по типу (Error, Warning, Information, Audit для добавления одного компьютера необходимости можно экспортировать
Failure/Success). или «Import Computers» для импорти- и импортировать как через менеджер
Учитывая, что файлы журналов рования списка компьютеров. Во вто- управления, так и regedit.
имеют привычку разрастаться, при по- ром случае указать на файл, в котором
мощи консоли управления можно вы- указан список компьютеров, выбрать Заключение
ставить параметры их архивирования. Таким образом, применение EventSentry
Для их установки заходим во вкладку существенно может сэкономить время
«System Health → Backup Event Logs», и силы администратору, позволяя кон-
нажимаем «+» в «Shelude» и заполня- тролировать состояние систем и сер-
ем параметры: вид журнала (систем- висов, проводить аудит безопасности
ный, приложения и пр.), день и время и вовремя реагировать на возникаю-
операции, имя файла. Для удаления щие проблемы.
старого файла ставим галочку в пунк-
те «Clear Event Log». Для подстрахов- Ссылка:
ки, в том случае если журнал запол- Рисунок 2. Типичная схема контроля 1. Сайт программы EventSentry – http://
нится раньше, выставляем отправ- параметров компьютера www.netikus.net.

№12, декабрь 2005 13

администрирование

Мультизагрузка: стелим соломку

Сергей Супрунов
Любая система, прежде чем начнет работать, должна загрузиться. Если на вашей машине
установлено несколько ОС, еще нужно как-то выбрать, что именно загружать. И если при этом
возникнет проблема…

П
ожалуй, проблемы с загрузкой приятных. Ведь вы лишаетесь основно- можно было бы прояснить и исправить
и загрузочными секторами мож- го инструмента (своей любимой опера- сложившуюся ситуацию. Тем не менее,
но отнести к одним из самых не- ционной системы), с помощью которого безвыходных ситуаций не бывает…

14

Таблица 1. Формат MBR
Байты Назначение
0-445 MBR-код
446-461 Описание 1-го раздела
462-477 Описание 2-го раздела
478-493 Описание 3-го раздела
494-509 Описание 4-го раздела
510-511 Сигнатура 0xAA55
Таблица 2. Формат описателя раздела
Байты Назначение
0 Признак активности
1 Номер головки начала раздела
Номер сектора (биты 0-5) и старшие
2 биты (биты 6-7) номера цилиндра начала
раздела
Младшие биты номера цилиндра нача-
3
ла раздела
4 Тип файловой системы
5 Номер головки конца раздела
Номер сектора (биты 0-5) и старшие
6 биты (биты 6-7) номера цилиндра конца
раздела
Младшие биты номера цилиндра кон-
7
ца раздела
Номер первого сектора раздела
8-11
от начала диска
12-15 Количество секторов, занятых разделом
Нужно заметить, что существует не-
сколько схем разметки жестких дисков,
помимо привычного большинству поль-
зователей деления на разделы. Напри-
мер, FreeBSD может быть установлена
на целый диск без использования таб-
лицы разделов (так называемый ре-
жим «dangerously dedicated»). Windows
на платформах Itanium использует схе-
му GUID Partition Table (GPT) и так да-
лее. Но в данной статье речь будет ид-
ти о традиционной разметке ATA-дис-
ков, используемой большинством сис-
тем на платформе i386.
Что скрывают три буквы –
MBR?
Наиболее важный «субъект» проце-
дуры загрузки – первый сектор жес-
ткого диска. Как правило, его обоз-
начают аббревиатурой MBR (Master
Boot Record). Упрощенно формат MBR
представлен в таблице 1.
То есть он содержит код MBR-загруз-
чика, таблицу разделов (disk partition
table, DPT) и сигнатуру, позволяющую
распознать данный сектор как загру-
зочный.
Таблица разделов (64 байта) отво-
дит по 16 байт для описания каждого
раздела жесткого диска. Очевидно, что
№12, декабрь 2005
диск может содержать только 4 раз-
дела, описанные в MBR (такие разде-
лы называют первичными). Для обхо-
да этого ограничения используются
дополнительные (extended) разделы
(довольно часто можно встретить тер-
мин «расширенный раздел», хотя это
не совсем верно). Первый сектор та-
кого раздела аналогичен MBR и может
содержать описание логического раз-
дела (диска) и ссылку на следующий
дополнительный раздел. В результате
несколько дополнительных разделов
создают своего рода цепочку ссылок.
На рис. 1 показан пример разбиения
диска, поясняющий сказанное.
К слову, у логического диска, раз-
мещенного на каком-нибудь «дале-
ком» дополнительном разделе, гораз-
до больше шансов оказаться недоступ-
ным, т.к. в этом случае мы имеем боль-
ше секторов, повреждение одного из
которых разорвет всю цепочку. Поэто-
му систему старайтесь, по возможнос-
ти, инсталлировать на один из основ-
ных разделов.
В DPT для каждого раздела содер-
жатся его координаты, а также тип фай-
ловой системы и признак активности
раздела. Активным должен помечать-
ся только один раздел; о том, зачем это
нужно, поговорим чуть позже.
Координаты раздела записывают-
ся двумя способами – в виде номеров
«цилиндр-головка-сектор» (CHS) нача-
ла и конца раздела, а также указани-
ем «линейного» номера первого сек-
тора и количества секторов (см. таб-
лицу 2). Прочтите также врезку «Ска-
зание о 1024 цилиндре», где вопро-
сы геометрии рассмотрены несколь-
ко подробнее.
Наконец, программный код (в даль-
нейшем для него будет использовать-
ся термин «первичный загрузчик» или
«MBR-код»), располагающийся в на-
чале первого сек-
тора диска, в сво-
ем «каноническом»
виде предназначен
для анализа табли-
цы разделов, поис-
ка в ней раздела,
помеченного как
активный, загруз-
ки в память кода
из первого секто-
ра активного раз-
дела (boot-сектора) Рисунок 1. Пример
администрирование
и передачи ему управления. Именно по
такому алгоритму происходит загрузка
операционных систем семейства DOS
/ Windows 9x.
Загрузочный сектор
В первом секторе раздела, с которого
предусмотрена загрузка операцион-
ной системы, обычно располагается
код вторичного загрузчика, а сам сек-
тор именуется загрузочным. Он (код)
уже должен уметь работать с соответс-
твующей файловой системой, посколь-
ку в его задачу входит загрузка про-
граммы-«лоудера» (загрузчика 3-й сту-
пени) или непосредственно ядра опе-
рационной системы, которые, как пра-
вило, являются обычными файлами.
Загрузка непосредственно ядра
может использоваться для безуслов-
ной загрузки операционных систем се-
мейства DOS/Windows 9x, то есть тех,
где пользователю не предлагается вы-
бор системы или параметров загрузки
ядра, а требуется просто передать уп-
равление ядру системы, размещенно-
му в строго определенном месте (что-
бы его не приходилось искать).
В более сложных случаях 512 байт
этого сектора уже недостаточно для
размещения полнофункционального
кода, и поэтому запускается вспомо-
гательная программа – загрузчик яд-
ра, практически лишенная каких-ли-
бо ограничений дискового пространс-
тва (естественно, в разумных преде-
лах) и способная решать весьма ши-
рокий круг задач.
Рассмотрим в общих чертах ра-
боту наиболее популярных загрузчи-
ков (их подробное описание оставим
за рамками данной статьи).
Загрузка в стиле DOS
Поговорим немного подробнее о том,
как происходит загрузка систем DOS
разбиения диска на разделы
15
 администрирование
диционную папку C:\Windows и загру-
Соглашение о терминах  Вторичный загрузчик (boot-код) – за- жаться посредством io.sys.
Если говорить о процессе загрузки, то анг- грузочный код, размещаемый в boot- NTLoader обладает еще одним по-
лийский язык оказывается здесь несколько секторе раздела. лезным «навыком» – он умеет загру-
богаче русского. В нем есть два термина –  Загрузчик ядра (loader) – программа, жать образы загрузочных секторов из
booting и loading, описывающих разные эта- загружающая ядро ОС. файлов. Примеры практического ис-
пы загрузки ОС. Мы же вынуждены «пля- пользования этой функции можно най-
сать» вокруг одного слова – «загрузка», по- Термин «загрузчик» в зависимости ти далее в этой статье.
этому приведу небольшой словарик, кото- от контекста может обозначать либо один
рого будем придерживаться в этой статье из указанных кодов, либо весь набор про- LILO и GRUB –
(в скобках указаны синонимы): грамм, отвечающих за загрузку системы близнецы-братья
 Первичный загрузчик (MBR-код) – за- (например, BSD-загрузчик). Нет, конечно же, эти два популярных
грузочный код, размещаемый в MBR. в среде Linux менеджера загрузки
имеют ряд коренных отличий, одна-
и Windows. Эти системы во время ин- с файловыми системами (как с FAT, ко применительно к теме данной ста-
сталляции записывают в MBR класси- так и NTFS), благодаря чему существу- тьи принцип их работы схож. Они за-
ческий загрузчик, который ищет актив- ет возможность (скорее теоретическая, писывают в MBR код, который, безу-
ный раздел и передает управление ко- учитывая возможные проблемы из-за словно (независимо от установлен-
ду, размещенному в его первом секто- «обобществления» ряда системных ных признаков активности разделов),
ре. Этот код в свою очередь запускает каталогов, таких как «Program Files») передает управление вторичному за-
ядро системы. установить несколько систем семейс- грузчику (на этот раз он располагает-
Таким образом, в таблице раздела тва Windows на один раздел. Напри- ся непосредственно в файловой систе-
один из секторов обязательно должен мер, если boot.ini будет выглядеть та- ме, а не в boot-секторе, причем в неко-
быть помечен как активный, иначе за- ким образом: торых случаях это может быть не Linux-
грузчик не сможет его найти и вернет раздел; в случае GRUB возможно раз-
сообщение, что диск не является за- [boot loader] мещение части вторичного загрузчи-
timeout=30
грузочным. default=multi(0)disk(0)rdisk(0) ↵ ка – stage1_5 – и вне файловой систе-
В случае если загрузчик в MBR бу- partition(1)\WINNT мы). Эта программа отвечает за отоб-
[operating systems]
дет поврежден, восстановить его поз- multi(0)disk(0)rdisk(0) ↵ ражение меню выбора и (в случае, ес-
воляет команда fdisk /mbr (в современ- partition(1)\WINNT= ↵ ли выбрана загрузка Linux) передает
"Windows 2000Pro" /fastdetect
ных системах Windows вы ее, к сожа- C:\="Windows 98SE" управление загрузчику ядра.
лению, уже не найдете). Она перезапи- Благодаря такому подходу, раз-
сывает только код первичного загруз- то это позволит загрузить Windows 2000 работчики этих менеджеров загрузки
чика (первые 446 байт), не затрагивая из каталога WinNT диска C, в то время смогли обойти очень жесткое ограни-
таблицу разделов. как Windows 98 будет занимать тра- чение на размер загрузочного секто-

А вот в NT все немножко
сложнее
В операционных системах этого се-
мейства используется еще один «пос-
редник» – NTLoader. Эта программа
позволяет более гибко управлять за-
грузкой, указывая расположение яд-
ра системы или передавая управле-
ние на другие разделы диска. Ее за-
грузчик (вторичный применительно
к процедуре загрузки) устанавлива-
ется в boot-сектор активного диска,
а программа ntldr помещается в корне
этого диска, в терминологии Windows
это диск C: (при этом сама NT-система
может быть инсталлирована на другой
раздел, включая и логические диски).
NTLoader руководствуется в своей ра-
боте конфигурационным файлом boot.
ini (который размещается в корне фай-
ловой системы активного раздела, там
же, где и ntldr).
NTLoader у же умеет работать
Сказание о 1024 цилиндре
С давних времен умудренные опытом сис-
темные администраторы передают сво-
им молодым коллегам наказ – не ставить
операционную систему за пределами 1024
цилиндра. Что же это за магический ци-
линдр и насколько проблема актуальна
в наши дни?
Если посмотреть на структуру табли-
цы разделов (таблица 2), то будет вид-
но, что при CHS-адресации там отводит-
ся 6 бит для номера сектора, 8 – для го-
ловки и 10 – для цилиндра. В результа-
те мы получаем естественное (для BIOS)
ограничение на адресуемое пространс-
тво: 63 сектора * 256 головок * 1024 ци-
линдра (те самые) * 512 байт в секторе =
8 455 716 864 байт (диск около 8,4 Гб (как
правило, производители винчестеров ис-
пользуют «математику» 1 Кб = 1000 байт
(а не 1024), что, безусловно, более вы-
годно по маркетинговым соображениям)).
Код первичного загрузчика, если он для ра-
боты с диском использует функцию BIOS
INT13 (которая как раз и руководствуется
CHS-адресацией), просто не сможет «дотя-
нуться» до раздела, размещенного за ука-
занным пределом.
В современных BIOS используется, как
правило, расширенное прерывание INT13,
позволяющее обойти это ограничение.
В этом случае для доступа к разделу ис-
пользуется преобразование геометрии «на
лету» (например, для цилиндра 1800 и го-
ловки 16 возвращается «законный» номер
цилиндра 900 и головка 32). Кроме того, не-
которые менеджеры загрузки способны са-
мостоятельно рассчитывать местоположе-
ние разделов, основываясь на «линейных»
координатах, именуемых также LBA – Linear
Block Addressing (для указания первого
сектора раздела в DPT отводится 4 бай-
та, что позволяет адресовать порядка 2 Тб
данных: 232 сектора * 512 байт). Например,
так ведет себя LILO в случае использова-
ния опции linear в файле lilo.conf.

16
 администрирование

Особенности именования терминологии разделы именуются слайса- Таблица 3. Обозначения разделов диска
разделов ми (slice), а созданные в них подразделы – Раздел GRUB Linux FreeBSD
Это было бы смешно, если бы не было так собственно разделами (partition). Эти раз- Первый раздел
(hd0,0) hda1 ad0s1
грустно… Каждая система использует свои делы обозначаются буквами (первый раз- на первом диске
наименования разделов, в которых мож- дел первого слайса будет обозначаться Второй раздел
(hd0,1) hda2 ad0s2
но и запутаться. Таблица 3 должна по- как «ad0s1a». на первом диске

мочь вам (приведены лишь некоторые при- Обратите внимание еще на одну осо- Первый раздел
(hd1,0) hdb1 ad1s1
на втором диске
меры, об остальном несложно догадать- бенность – FreeBSD и Linux привязывают
ся). Как видите, FreeBSD и GRUB нумеру- нумерацию раздела к контроллеру и ре- Таблица 4. Соответствие между
обозначением и контроллерами
ют «винчестеры» начиная с нуля, Linux ис- жиму работы диска (таблица 4), в то вре-
Диск Linux FreeBSD
пользует для их обозначения буквы «a», «b» мя как GRUB считает реально присутству-
Primary Master hda ad0
и т. д. Разделы Linux и FreeBSD считают ющие диски. Например, если вы подклю-
Primary Slave hdb ad1
с единицы, в то время как GRUB – с нуля. чите только один диск как Primary Slave,
Кроме того, FreeBSD использует собс- то Linux будет рассматривать его как hdb, Secondary Master hdc ad2

твенную разметку внутри раздела. В ее в то время как GRUB – как (hd0). Secondary Slave hdd ad3

ра, но зато привязали себя (и пользо- ете новое ядро) эти файлы не переза- ма FreeBSD. Четвертый раздел не раз-
вателей) к Linux-разделу. То есть, если писываются, сохраняя оригинальное мечен, поэтому в меню не представ-
вы на свой компьютер с Windows реши- содержимое. А вот если вы пробова- лен. В качестве загрузки по умолча-
те поставить для пробы Linux (с LILO), ли ставить GRUB, затем снова верну- нию (Default) предлагается та система,
а затем по тем или иным причинам за- лись на LILO, то при выполнении вы- которая расположена на активном раз-
хотите его удалить, то после удаления шеозначенной команды вы получите деле. Причем BSD-загрузчик, ко все-
раздела с Linux ваша система потеря- в MBR ваш старый GRUB-код. му прочему, умеет перезаписывать
ет способность загружаться. Но в любом случае потеря возмож- таблицу разделов, отмечая как актив-
Впрочем, это довольно легко обой- ности загружаться не означает поте- ный тот раздел, который был выбран
ти с помощью «организационных» ме- рю операционной системы. Просто вы пользователем. То есть если вы сейчас
тодов, например, размещая каталог должны понимать, что произошло, что- нажмете F1, то загрузится, к примеру,
/boot на отдельном небольшом раз- бы не впадать в панику… Windows 98, и в следующий раз имен-
деле (и проследив, чтобы все нуж- но она будет предлагаться как систе-
ные загрузчику файлы располага- «Самый умный загрузчик» ма по умолчанию.
лись в нем). Разработчики BSD-систем пошли дру- Обратите внимание, что эта спо-
Если же вы не были столь предус- гим путем, и им удалось каким-то чу- собность перезаписывать таблицу раз-
мотрительны и при очередной загруз- дом «втолкать» в 446 байт, оставших- делов может стать источником про-
ке видите на экране одинокое «L», ся в MBR после размещения там таб- блем. Об этом подробно рассказа-
то решить эту проблему несложно: за- лицы разделов и сигнатуры, полно- но далее, при описании использова-
грузитесь с системной дискеты DOS ценный (полноценный в том плане, что ния BSD-загрузчика при работе с не-
или Windows 98 и выполните команду способен предоставить пользовате- сколькими жесткими дисками. При не-
«fdisk /mbr» для записи стандартного лю меню выбора системы только си- обходимости вы можете отключить пе-
загрузчика в MBR вместо LILO. лами MBR-кода) загрузчик (BootEasy). резапись DPT, жестко назначив раз-
Или перед тем, как удалять раз- Он способен проанализировать таб- дел по умолчанию, переустановив
дел, деинсталлируйте LILO следую- лицу разделов и на ее основе предло- BootEasy с помощью команды boot0cfg
щей командой: жить вам меню для выбора загружае- (а заодно и изменив время ожидания
мой системы. Конечно, доступное про- выбора с 10 секунд, скажем, до 30
# lilo -u странство не позволяет заниматься ук- (на самом деле, значение 10 секунд
рашательством, поэтому выглядит ме- выбрано не с потолка, и является хо-
Правда, нужно учитывать, что ню предельно лаконично: рошо сбалансированным, предостав-
восстановление произойдет успеш- ляя пользователю достаточно време-
F1 DOS
но только в том случае, если в систе- F2 ?? ни на реагирование, и в то же время
ме есть файлы с копией MBR до уста- F3 FreeBSD не затягивает чрезмерно «умолчаль-
новки LILO (обычно они располагаются Default: F3 _
ную» загрузку)):
в каталоге /boot с именами boot.XXYY,
например, boot.0300 для MBR первого Из этого примера видно, что загруз- # boot0cfg -o noupdate -s 3 -t 550
диска). Когда вы выполняете коман- чик нашел три раздела: на первом –
ду /sbin/lilo для инсталляции загрузчи- DOS (под это же обозначение попа- Здесь опция -s задает номер разде-
ка, нужные файлы должны создавать- дают и системы Windows 9x), на вто- ла (начиная с 1), который будет исполь-
ся автоматически; при повторных ин- ром – неизвестная загрузчику система зоваться по умолчанию, -t – задержку в
сталляциях (когда вы меняете конфи- (например, так может выглядеть раз- «тиках» (1 секунда примерно соответс-
гурацию загрузчика или устанавлива- дел Linux swap), а на третьем – систе- твует 18 тикам). Будьте предельно ос-

№12, декабрь 2005 17

 администрирование
торожны с этой командой и лучше ничего не делайте, если держки вновь проинсталлированных операционных систем.
не до конца представляете, что при этом произойдет (хотя Естественно, для этого придется загружаться в Linux (если
как же можно приобрести опыт, ничего не сломав?). вы только что установили Windows, для этого вам понадо-
бится загрузочный диск или дискета).
Грузим три системы с помощью Например, загрузка системы Windows, установленной
загрузчика BSD в первом разделе, может быть обеспечена такими строка-
Посмотрим, как можно загрузить Windows, Linux и FreeBSD ми в lilo.conf:
с помощью стандартного загрузчика FreeBSD. Собственно
говоря, это наиболее простой путь – просто инсталлируй- other = /dev/hda1 # Указываем загрузочный раздел Windows
table = /dev/hda # Таблицу разделов следует искать в MBR
те FreeBSD последней, разрешите установку загрузчика в label = windows # Наименование загружаемой системы
MBR, и больше ни о чем беспокоиться не нужно – загрузчик
сам будет определять доступные разделы и предлагать их Если Windows для загрузки использует NTLoader, то при
вам на выбор. Однако одним из серьезных недостатков яв- выборе пункта «windows» в меню LILO вы получите еще од-
ляется то, что BootEasy не умеет анализировать загрузоч- но меню – на этот раз соответствующее файлу C:\boot.ini.
ные сектора логических дисков (размещенных на дополни- Поскольку на самом деле строка «other» просто указы-
тельных разделах), поэтому выбор будет ограничен систе- вает на некоторый boot-сектор, коду которого должно быть
мами, установленными в основные разделы. (Впрочем, есть передано управление, то таким же образом можно загру-
сведения, что это ограничение преодолевается. Например, жать и другие системы, например, FreeBSD (указав соот-
DragonFly BSD (основанную на FreeBSD систему), по неко- ветствующий раздел).
торым слухам, можно устанавливать и на логические дис-
ки – но сам не проверял, поэтому врать не буду...). А наибольшую гибкость
Если FreeBSD у вас уже установлена, и вы хотите устано- обеспечивает GRUB
вить еще и Linux, сохранив загрузчик, установите LILO или Загрузчик GRUB может не только передать управление на
GRUB в загрузочный сектор Linux-раздела (большинство ин- указанный раздел, но и непосредственно загрузить файлы
сталляторов позволяют сделать соответствующий выбор). «чужих» систем (например, FreeBSD). В частности, следу-
В этом случае BSD-загрузчик передаст управление на этот ющий фрагмент конфигурационного файла обеспечит за-
boot-сектор, а остальное сделает уже Linux-загрузчик. грузку FreeBSD, минуя ее вторичный загрузчик:
Если же последней системой устанавливается Windows,
то тут без «реанимации» не обойтись – после инсталляции title FreeBSD # Указываем имя ОС
root (hd0,2,a) # Выбираем корневой раздел для загрузки
вы сможете загрузиться только в Windows, поскольку сис- kernel /boot/loader # Указываем файл для передачи управления
темы от Microsoft безо всяких вопросов перезаписывают
MBR тем кодом, какой им нужен. В этом случае вам при- В этом случае GRUB передаст управление сразу на за-
дется воспользоваться системной дискетой, дистрибутив- грузчик ядра FreeBSD, который и выполнит дальнейшую за-
ным диском или LiveCD, чтобы загрузить FreeBSD и восста- грузку. Обратите внимание, что в силу особенностей раз-
новить загрузчик, используя команду boot0cfg. биения раздела, присущих FreeBSD (см. врезку «Особен-
В данной статье, говоря о загрузчике FreeBSD, упомина- ности именования разделов»), нужно помимо диска и номе-
ется лишь устанавливаемый по умолчанию BootEasy, одна- ра раздела указать еще букву подраздела FreeBSD (в на-
ко нужно заметить, что он не единственный boot-менеджер шем случае – a).
для этой системы. В коллекции портов вы сможете найти Для загрузки Windows из GRUB больше подойдет ис-
несколько альтернатив, например, extipl (Extended IPL), gag пользование передачи управления «по цепочке»:
и даже grub. Если вы используете один из них, уточните в до-
кументации, как следует выполнять те или иные действия. title Windows
rootnoverify (hd0,0)
makeactive
Аналогичную задачу может chainloader +1
решить и LILO
Если вы делаете ставку на LILO, то здесь придется вручную То есть будет выбран первый раздел, сделан активным,
править его конфигурационный файл для включения под- и на него будет передано управление. Дальнейшая загруз-

Использование консоли Ус т а н о в к а н а д и с к в ы п о л н я е т- как следует из названия, перезаписыва-

восстановления
Как ни странно, но системы семейства
Windows NT не предоставляют пользова-
телю возможность использовать утилиту
fdisk или как-то иначе работать с MBR и за-
грузочными секторами. Для этого исполь-
зуется Recovery Console (консоль восста-
новления), которую можно проинсталлиро-
вать на диск либо использовать непосредс-
твенно с дистрибутивного CD.
ся из папки дистрибу тива командой:
«winnt32.exe /cmdcons».
При следующей перезагрузке вы уви-
дите новый пункт в меню NTLoader, вызы-
вающий загрузочный образ из места распо-
ложения файлов консоли восстановления
(обычно это C:\cmdcons\BOOTSECT.DAT).
Загрузившись в консоль, вы сможе-
те выполнить ряд команд, среди которых
интересные нам fixmbr и fixboot. Первая,
ет MBR стандартным кодом (не затраги-
вая таблицу разделов), вторая – заносит
код вторичного загрузчика в boot-сектор
активного раздела.
Конечно, консоль, установленная
на диске, в случае проблем с загруз-
кой, скорее всего, окажется недоступной.
В этом случае воспользуйтесь диском
с дистрибутивом или заранее приготов-
ленной дискетой.

18

Большая тайна маленькой дискетки
Вы никогда не задумывались, почему дискета, забытая в дис-
ководе, прерывает загрузку компьютера с выдачей сообщения
«Non-System disk or disk error»? Казалось бы, если дискета не за-
грузочная, то BIOS должен просто приступить к опросу следую-
щего по списку устройства…
Загрузитесь во FreeBSD или Linux и запишите в файл первый
сектор чистой дискеты, только что из коробочки:
# dd if=/dev/fd0 of=floppy.bs bs=512 count=1
Откройте его в каком-нибудь hex-просмотрщике (это мож-
но сделать и в Midnight Commander), и – о чудо! – мы видим и код,
и сигнатуру загрузочного раздела! То есть получается, что дис-
кета может быть системной или нет, но она всегда загрузочная.
И поэтому BIOS, обнаружив сигнатуру 0xAA55, отдает управле-
ние коду и «умывает руки». Все остальные сообщения – это уже
забота загрузчика, размещенного в boot-секторе нашей дискеты.
А он, как можно увидеть, только и умеет, что ругаться на экране
страшными для секретарш фразами.
Пошла такая «традиция», видимо, со старых добрых времен за-
рождения персональных компьютеров, когда жесткие диски были
непозволительной роскошью, и работа велась преимущественно с
дискет. Очевидно, что как-то нужно было предупредить пользовате-
ля о том, что он пытается загрузиться с «неправильной» дискеты.
ка, как и в случае с LILO, будет определяться настройками
NTLoader (если он имеется).
По цепочке может быть загружена практически любая
система, в том числе и FreeBSD, если такой способ кажет-
ся вам более удобным, чем приведенный выше:
title FreeBSD
chainloader (hd0,2)+1
Кстати говоря, по цепочке можно передать управление
не только на тот или иной сектор, но и на образ сектора,
сохраненный в файле. Например, если у вас установлены
системы Windows 98, Windows 2000 и Linux, то Windows 98
можно загрузить и сразу из GRUB, минуя меню NTLoader.
Для этого можно использовать такую конфигурацию:
title Windows 98
chainloader (hd0,0)/bootsect.dos
Файл bootsect.dos уже должен быть на вашем диске C:
(именно его использует NTLoader, когда вы выбираете за-
грузку Windows 9x из меню NT-загрузчика). Если в boot.ini ус-
тановить нулевую задержку и в качестве варианта по умол-
чанию выбрать загрузку Windows 2000, то вы вообще не бу-
дете видеть второе меню, делая выбор загружаемой сис-
темы только в меню GRUB.
А если я люблю NT?
Приложив некоторые усилия, можно заставить и NTLoader
загружать «альтернативные» системы. Как мы уже упоми-
нали выше, программа ntldr способна передавать управ-
ление образу загрузочного сектора, записанному в файл.
Например, если у вас в hda1 (в терминологии Linux) уста-
новлена Windows XP, а в hda2 – Linux, то вы можете проде-
лать следующее:
№12, декабрь 2005
администрирование
Кстати, эта особенность активно используется при созда-
нии загрузочных (не системных!) дискет в Windows NT/2000/XP –
при форматировании дискеты в этих системах в boot-сектор поме-
щается свой код (см. рис. 2). Даже без дизассемблирования вид-
но, что он ищет файл ntldr и выдает сообщения об ошибке только
в случае неудачи. Если же ntldr на дискете будет обнаружен, то он
загрузится в память, получит управление, считает boot.ini (его то-
же следует разместить на дискете), и выполнит загрузку системы
«как положено», даже в случае повреждения кода в MBR.
Рисунок 2. Первый сектор дискеты, отформатированной
в Windows XP
Загрузившись в Linux (например, с помощью дискеты;
можно воспользоваться и LiveCD-дистрибутивом), сохра-
ните первый сектор раздела hda2 в файл и скопируйте его
на Windows-раздел:
# dd if=/dev/hda2 of=bootsect.lnx
# mount /dev/hda1 /mnt
# cp bootsect.lnx /mnt
# umount /mnt
Команды монтирования в этом примере предполага-
ют, что Windows-раздел у вас описан в fstab. Иначе пот-
ребуется также указать тип монтируемой системы и, воз-
можно, некоторые дополнительные параметры. Данный
фрагмент сработает только в том случае, если на диске C:
вы используете файловую систему FAT.
В случае NTFS запись возможна, если файл назна-
чения уже создан и имеет нужный размер, хотя проще
и безопаснее воспользоваться «посредником», напри-
мер, дискетой или «флэшкой», для переноса образа на
диск C:.
Далее, перегрузившись в Windows, добавьте в файл
boot.ini такую строчку (описание в кавычках может быть
любым):
C:\bootsect.lnx="SUSE Linux 10.0"
Теперь, при следующей загрузке компьютера, вы обна-
ружите в предложенном вам меню новый пункт, выбрав ко-
торый, попадете в Linux.
В случае FreeBSD все еще проще – вам просто нужно
скопировать файл /boot/boot1 на диск C: под именем, ска-
жем, bootsect.bsd, и добавить соответствующий пункт в ме-
ню boot.ini.
19
 администрирование

Рисунок 3. Работа с диском в YaST (SUSE 10.0) Рисунок 4. Управление загрузкой в YaST (консольный вариант)

Такой подход может показаться удобным тем, кто пос- первый, то и поиск будет выполняться в его MBR-секторе.
тоянно работает с Windows, а Linux предназначается прос- В результате вы вместо загрузки системы получите сооб-
то для тестирования, поскольку в случае необходимости щение об ошибке.
вы в любое время можете удалить Linux-раздел, что никак Чтобы этого избежать, можно использовать образ MBR
не отразится на процедуре загрузки Windows. второго диска, в который должен быть установлен один
из загрузчиков, и передавать управление на него. В случае
Некоторые особенности работы с Linux особых проблем возникнуть не должно – во время
с несколькими дисками инсталляции укажите, что хотите поставить LILO или GRUB
Если у вас установлено несколько жестких дисков и, на- в MBR второго диска (hdb), а после установки системы со-
пример, FreeBSD установлена на второй из них (в то вре- храните в файл образ MBR:
мя как загрузка выполняется с первого), то нужно иметь
в виду следующую особенность. Вы не всегда можете пе- # dd if=/dev/hdb of=bootsect.hdb bs=512 count=1
редать управление на какой-либо раздел второго диска,
не сделав этот диск текущим (текущим будем называть Теперь перепишите этот файл в Windows-раздел и на-
диск, номер которого хранится в данный момент в регис- стройте NTLoader, как было описано выше, и при выборе со-
тре DL процессора, впрочем, для нашей статьи это уже ответствующего пункта меню вы попадете в LILO или GRUB,
страшные дебри). который сделает всю оставшуюся работу.
Такие менеджеры загрузки как LILO или GRUB умеют Однако будьте предельно осторожны с загрузчиком
это делать прозрачно для пользователя – в зависимос- BSD – он обязательно должен быть установлен, в нашем
ти от того, какое устройство указано в соответствующей случае – в MBR второго диска, и использовать лучше об-
строке конфигурационного файла, выполняются все необ- раз этого сектора, «снятый» утилитой dd. Если это не было
ходимые действия. сделано, то файл boot0 не будет содержать таблицы разде-
BootEasy для передачи управления на другой диск пред- лов. А, как вы, должно быть, помните, BSD-загрузчик пе-
ложит вам еще один вариант выбора – F5. Если в MBR вто- резаписывает MBR, чтобы проставить признак активнос-
рого диска также установлен BSD-загрузчик, то будет вы- ти раздела, загружавшегося последним. В итоге если вы
полнен анализ его таблицы разделов и сформировано ме- просто будете использовать boot0 в качестве образа MBR,
ню для этого диска. Вернуться на первый можно той же то получите следующую схему:
клавишей <F5>.  Стандартный загрузчик из MBR первого диска находит
А вот если вы используете NTLoader, то тут есть свои активный раздел и загружает его boot-сектор.
особенности…  Находящийся там NTLoader при выборе пунк та
В случае с LILO вы по-прежнему можете использо- «FreeBSD» загружает bootsect.bsd (который является
вать описанную выше схему – сохраняя в файл образ со- копией boot0).
ответствующего boot-сектора и подключая его в boot.ini.  Загрузчик BSD, получив управление, загружает выбран-
Но вот если на первом диске у вас установлена система ную систему, проставляет признак активности в пустой
Windows, а на втором – FreeBSD, и вы хотели бы исполь- таблице разделов и записывает ее в MBR.
зовать для загрузки NTLoader (в частности, чтобы иметь  Включив в следующий раз компьютер, вы обнаружите
возможность безболезненно отключить второй диск), свой винчестер девственно чистым.
то, просто передав управление на образ загрузочного раз-
дела (файл boot1), вы поставленную задачу не решите. Де- Однако не следует впадать в панику и начинать фор-
ло в том, что boot1 обращается к таблице разделов теку- матировать диск. Ваши данные никуда не делись – все
щего диска, чтобы определить координаты сектора с сис- на месте и ждут загрузки. Сломалась только таблица раз-
темой FreeBSD. А поскольку текущим диском останется делов, которую несложно восстановить. Если, конечно,

20

у вас будет под рукой нужный инструментарий (см. следу-
ющий раздел).
Страховка на все случаи жизни
Итак, что же нужно иметь под рукой, чтобы справиться
с большинством проблем, которые могут возникнуть при за-
грузке системы?
Если вы часто используете Windows и эта система вам
очень дорога, то непременно обзаведитесь двумя-тремя
(учитывая их непревзойденную «надежность») системными
дискетами, на которых хорошо бы держать и утилиты fdisk,
format и т. п. Даже если вы работаете только в Windows XP,
все равно подготовьте загрузочную дискету, например,
с Windows 98. Поверьте, это не самая лучшая ситуация, ког-
да вы не можете найти, откуда можно выполнить спаситель-
ную команду «fdisk /mbr».
При использовании Windows 2000 или XP не поленитесь
установить Recovery Console (см. врезку «Использование
консоли восстановления»). Конечно, если у вас всегда под
рукой инсталляционный диск, то это не является необходи-
мым. Впрочем, места на диске консоль восстановления за-
нимает немного, а выручить когда-нибудь сможет.
Для Linux и FreeBSD крайне полезны будут LiveCD, с ко-
торых можно будет загрузиться и устранить возникшую про-
блему. Также интересное решение было описано Алесанд-
ром Мичуриным в прошлом номере «Системного админис-
тратора» в статье «GRUB на CD, или Ещё один способ вос-
становить MBR».
Посмотрите, какие возможности по работе с диском
предлагает ваша система. Например, большинство сов-
ременных дистрибутивов Linux имеют очень развитые
и удобные инструменты для работы с диском и загрузчи-
ками (см. рис. 3, 4).
Неплохо также иметь под рукой и специализирован-
ный LiveCD, предназначенный для аварийно-восстанови-
тельных работ. В принципе вы можете создать и собствен-
ный дистрибутив, разместив на нем именно те инструмен-
ты, которые вы предпочитаете использовать. Но существу-
ют и готовые решения, одно из которых – Knoppix.
Много про этот дистрибутив писать не буду. Отмечу
лишь, что он несет на борту большое число утилит для раз-
биения и восстановления разделов диска – от традицион-
ных fdisk и cfdisk до QTParted, позволяющей производить
«визуальное» редактирование диска, в том числе и изме-
нение размеров разделов без потери информации (одна-
ко это не отменяет необходимость обязательного создания
резервных копий перед любыми манипуляциями с разде-
лами). В частности, попытаться восстановить таблицу раз-
делов, если она будет повреждена (например, в результате
неправильных манипуляций с BootEasy), можно с помощью
утилиты testdisk – она сканирует весь диск в поисках сиг-
натур и по ним пытается восстановить DPT. Меня она пару
раз выручала даже в условиях довольно сложной размет-
ки. Пример ее работы, а также некоторые другие инстру-
менты Knoppix показаны на рис. 5.
С помощью Knoppix вы сможете восстановить и ме-
неджеры загрузки. Например, чтобы восстановить LILO,
cмонтируйте ваш Linux-раздел, скажем, в /mnt (при нали-
чии нескольких разделов их тоже следует подключить, со-
№12, декабрь 2005
администрирование
Рисунок 5. Knoppix имеет инструменты почти на все
случаи жизни
храняя иерархию; например, раздел /boot смонтируйте как
/mnt/boot), с помощью команды «chroot /mnt» сделайте его
корневым и выполните команду /sbin/lilo для восстановле-
ния загрузчика.
Не поленитесь сохранить образы MBR и загрузочных сек-
торов. Места они практически не занимают, записываются
быстро, а вот восстановить с их помощью проблемный сек-
тор (той же командой dd) может оказаться на порядок про-
ще и быстрее, а главное – надежнее, чем с использованием
различных утилит, которые в принципе могут и ошибиться.
Единственное – не забывайте поддерживать этот архив в ак-
туальном состоянии, чтобы не «откатиться» на тот момент,
когда у вас не было установлено и половины систем.
Ну и неплохо также иметь записанную на бумаге таб-
лицу разделов (ее можно сформировать с помощью fdisk) –
иногда бывают секунды, когда все решают минуты… В об-
щем, порой оказывается намного проще (а то и единствен-
но возможно) восстановить таблицу разделов вручную с по-
мощью fdisk. А феноменальной памятью, чтобы запомнить
все сектора и цилиндры, обладают немногие.
Заключение
Как видите, проблемы с загрузчиками не представляют той
опасности, как может показаться на первый взгляд. Ника-
кие данные не теряются безвозвратно, даже в случае пов-
реждения таблицы разделов, и если у вас под рукой та-
кой замечательный инструмент, как Knoppix, то все мож-
но исправить.
Главное – не впадайте в панику и не совершайте скоро-
палительных действий. От того, броситесь вы восстанав-
ливать разделы сразу же после возникновения проблемы
или спустя неделю, ничего не изменится. А вот последствия
ошибок могут быть весьма плачевными. Поэтому сначала
попытайтесь «вычислить», что же произошло, и на основа-
нии этого составьте план восстановительных мероприятий.
Постарайтесь предугадать возможные проблемы, а также
подготовьте «точки отката» для каждого шага (например,
сохраняя образ текущего MBR, хоть он и может выглядеть
совершенно бесполезным). Только после этого приступай-
те к спасению своих данных.
Удачи вам и крепких нервов!
21
 администрирование

Круговорот почты в сети, или

Архитектура современных
почтовых систем
Евгений Прокопьев
Знание основ освобождает от необходимости запоминать тысячи фактов. Попробуем подойти
к построению почтовой системы, опираясь на этот принцип, и сделаем акцент не на настройку
компонентов почтового сервера, а на взаимосвязь между компонентами и на протоколы,
по которым они общаются между собой.

М
атериал этой статьи, наверное, ти, а иногда даже использовать без из- Другими часто используемыми за-
больше подходит для учебни- менения (см. рис. 1). головками являются:
ка по основам системного ад-  Сс (carbon copy) – кому отправить
министрирования. Однако до сих пор Как создаются почтовые копию письма (адресатов может
такого учебника я не видел, а практи- сообщения быть несколько), при этом и основ-
ка показывает, что даже многие адми- С точки зрения пользователя почто- ному адресату, и дополнительным
нистраторы с практическим опытом ра- вой системы существует только один будет об этом известно.
боты с трудом представляют себе об- компонент – это MUA (Mail User Agent),  Received – путь прохождения пись-
щую картину того, как в целом рабо- или, другими словами, его почтовый ма.
тают сервисы электронной почты. По- клиент (Mozilla, Outlook, The Bat!, KMail,  Content-Type – информация о том,
этому мы попытаемся заложить фун- mutt, pine, mailx, а также веб-приложе- каким образом письмо должно
дамент, необходимый для понимания ния аналогичного назначения), пред- быть отображено.
механизмов работы. назначенный для создания, отправ-
Для того чтобы упростить задачу, ки, получения и чтения почтовых со- Многие MUA позволяют указать
мы откажемся от рассмотрения та- общений. заголовок Bcc (Blind carbon copy) –
ких монстров, как Microsoft Exchange Формат почтовых сообщений опи- его получатели письма не увидят ни-
или Lotus Notes/Domino, и сосредото- сан в RFC 2822 (Internet Message когда. Получатели, упомянутые в To
чим внимание на открытом програм- Format) и в серии RFC с 2045 по 2049, и Cc, ничего не узнают о получателях,
мном обеспечении и стандартных поч- которые посвящены формату MIME – упомянутых в Bcc, а последние ничего
товых протоколах – их в большинстве Multipurpose Internet Mail Extensions не узнают друг о друге, но тем не ме-
случаев более чем достаточно. Не бу- (Format of Internet Message Bodies, Media нее они получат письмо и будут недо-
дем мы рассматривать и протокол Types, Message Header Extensions for умевать: как в их почтовом ящике ока-
UUCP – многие из тех, кто знал, что это Non-ASCII Text, Registration Procedures, залось сообщение, в числе адресатов
такое, уже успели про него забыть. Conformance Criteria and Examples). которого они не упомянуты? Этот за-
Если коротко, то любое почтовое головок используется преимуществен-
Взгляд с высоты птичьего сообщение состоит из заголовков и те- но спамерами.
полета ла, разделенных пустой строкой. Каж- Имена заголовков могут содержать
Главной отличительной чертой почто- дый заголовок, в свою очередь, состо- только 7-битные ASCII-символы. Зна-
вой системы, построенной на откры- ит из имени и значения, разделенных чения заголовков не ограничены сим-
том программном обеспечении, явля- двоеточием. волами ASCII, но при наличии не ASCII-
ется ее модульность. Отдельные ком- Следующие заголовки считаются символов они должны использо -
поненты являются взаимозаменяемы- обязательными: вать MIME-кодирование в форме
ми, для каждого компонента существу-  From – адрес и, возможно, полное «=?charset?encoding?encoded text?=».
ет несколько реализаций. Замена ком- имя отправителя. Существуют следующие типы ко-
понентов, предназначенных для одной  To – адрес и, возможно, полное имя дирования:
цели, в большинстве случаев катаст- того, кому адресовано письмо (ад-  7bit – до 998 октетов на строку
рофой не является: базовая функци- ресатов может быть несколько). из диапазона [1..127]\{CR, LF}. Ис-
ональность заменяемых компонентов  Subject – тема письма. пользуется по умолчанию.
в целом одинакова, настройки и дан-  Date – локальные дата и время от-  quoted-printable – используется
ные тоже, как правило, можно перенес- правления письма. в первую очередь для US-ASCII-

22

Рисунок 1. Принципиальная схема работы электронной почты
и способы взаимодействия между ее основными компонентами
символов, но также содержит символы из других диа-
пазонов.
 base64 – используется для двоичных данных.
 8bit – до 998 октетов на строку из диапазона [1..255]\{CR,
LF}. Этот тип кодирования в заголовках почтовых сооб-
щений использовать нежелательно, о причинах мы по-
говорим позже.
 binary – произвольная последовательность октетов
(фактически отсутствие какого бы то ни было кодиро-
вания). Этот тип кодирования использовать нельзя.
Таким же точно образом кодируется тело письма, при
этом кодировка и тип кодирования указывается в заголов-
ках Content-Type и Content-Transfer-Encoding. Вот пример ти-
пичного почтового сообщения:
Message-ID: <436F19FC.7050901@mail.domain1.com>
Date: Mon, 07 Nov 2005 12:10:20 +0300
From: User 1 <user1@domain1.com>
User-Agent: Mozilla Thunderbird 0.6 (X11/20040511)
X-Accept-Language: en-us, en
MIME-Version: 1.0
To: user2@domain2.com
Subject: =?KOI8-R?Q?=F4=C5=D3=D4?=
Content-Type: text/plain; charset=KOI8-R; format=flowed
Content-Transfer-Encoding: 8bit
Привет!
Тело почтового сообщения может состоять из несколь-
ких частей (которые используются для передачи вложе-
ний, не обязательно текстовых). Вот пример такого сооб-
щения:
Message-ID: <436F2097.5060703@mail.domain1.com>
Date: Mon, 07 Nov 2005 12:38:31 +0300
From: User 1 <user1@domain1.com>
User-Agent: Mozilla Thunderbird 0.6 (X11/20040511)
X-Accept-Language: en-us, en
MIME-Version: 1.0
To: user2@domain2.com
Subject: =?KOI8-R?Q?=F4=C5=D3=D4?=
Content-Type: multipart/mixed;
boundary="------------070102080309020306010600"
This is a multi-part message in MIME format.
--------------070102080309020306010600
Content-Type: text/plain; charset=KOI8-R; format=flowed
Content-Transfer-Encoding: 8bit
Привет!
№12, декабрь 2005
администрирование
--------------070102080309020306010600
Content-Type: text/plain;
name="file.txt"
Content-Transfer-Encoding: 7bit
Content-Disposition: inline;
filename="file.txt"
Text file content
--------------070102080309020306010600--
Как происходит отправка почтовых
сообщений
После создания сообщения MUA должен передать его MSA
(Mail Submission Agent). В RFC 2476 (Message Submission)
MSA описан как сервис, принимающий клиентские под-
ключения на порту 678 по TCP/IP, и выполняющий первич-
ную проверку почтовых сообщений на соответствие стан-
дартам, авторизацию пользователей и блокирование UCE
(Unsolicited Commercial Email – мы привыкли обозначать эту
корреспонденцию словом «спам») еще на этапе отправ-
ки. Затем MSA должен передать письмо MTA (Mail Transfer
Agent) – сервису, принимающему клиентские подключения
на порту 25 по TCP/IP, который, в свою очередь, уже дол-
жен заняться доставкой письма непосредственно адреса-
ту. И в первом, и во втором случае должен использоваться
протокол SMTP, описанный в RFC 2821 (Simple Mail Transfer
Protocol) и RFC 1869 (SMTP Service Extensions), но MUA
и MTA не должны общаться напрямую друг с другом.
На практике отдельных реализаций MSA не существует,
а большинство реализаций MTA способны также выполнять
функции MSA. Более того, для MSA практически никогда
не конфигурируется порт 678, а все почтовые сообщения
от MUA принимаются непосредственно на порт 25.
Поведение MTA после того, как он получил почтовое
сообщение от MUA или MSA, зависит от настроек самого
MTA, а также от домена, которому принадлежит почтовый
адрес получателя. В простейшем случае (в отсутствие пос-
тоянного подключения к Интернету, постоянного реально-
го IP-адреса и DNS-имени – в сегодняшних реалиях такое
происходит довольно редко) MTA вообще не берет на се-
бя ответственность за пересылку письма, а просто отдает
ее вышестоящему MTA, который для него является реле-
ем (relay – MTA, через который производится пересылка).
Релей может определить список сетей/хостов и/или спи-
сок логинов/паролей, которым разрешено пересылать че-
рез него свои почтовые сообщения. Домены, обслуживае-
мые релеем, как правило, являются исключением: для них
сообщения принимаются от кого угодно.
Релей, не устанавливающий никаких ограничений на пе-
ресылку почтовых сообщений, называется открытым релеем
(open relay). Все открытые релеи ждет одна и та же участь:
 Сначала их услугами начинают активно пользоваться
спаммеры.
 Затем релей попадает в какой-либо черный список,
и все MTA, выполняющие фильтрацию по черным спис-
кам (а их сейчас большинство), перестают принимать
от него почтовые сообщения.
МТА, принимающий на себя ответственность за пере-
сылку, сначала проверяет, обслуживает ли он домен адре-
23
 администрирование
сата. В случае отрицательного решения MTA предприни- MUA отправителя ↔ MTA отправителя:
мает попытку найти другой MTA, обслуживающий этот до-
Response: 220 mail.domain1.com ESMTP Postfix
мен. Для этого он с помощью DNS-запроса получает список Command: EHLO host1.domain1.com
MX-записей домена, каждая из которых содержит приори- Response: 250-mail.domain1.com
тет в виде целого числа – чем оно меньше, тем MTA «глав- Response: 250-PIPELINING
Response: 250-SIZE 10240000
нее». В первую очередь предпринимается попытка отпра- Response: 250-ETRN
вить почтовое сообщение на главный MTA домена, а в слу- Response: 250-STARTTLS
Response: 250-AUTH PLAIN
чае его недоступности – по очереди на следующие за ним по Response: 250 8BITMIME
приоритету (резервные) до тех пор, пока сообщение не бу- Command: MAIL FROM: user1@domain1.com
дет отправлено. Резервные MTA могут передать сообще- Response: 250 Ok
Command: RCPT TO: user2@domain2.com
ния на главный после восстановления его работоспособ- Response: 250 Ok
ности, а могут выполнить доставку сообщения в почтовый Command: DATA
Response: 354 End data with <CR><LF>.<CR><LF>
ящик адресата самостоятельно. Message: Hello!
Response: 250 Ok: queued as 24D501771C
Анатомия протокола SMTP Command: QUIT
Response: 221 Bye
Давайте отправим тестовое письмо, используя протокол
SMTP. Он является текстовым протоколом, поэтому для от- MTA отправителя ↔ MTA получателя:
правки сообщения вместо полнофункционального MUA Response: 220 mail.domain2.com ESMTP Sendmail 8.13.5/8.13.1;
мы можем использовать telnet (это необходимо для лучшего Mon, 7 Nov 2005 16:29:00 +0300 (MSK)
Command: EHLO mail.domain1.com
понимания общих принципов работы протокола SMTP, а так- Response: 250-mail.domain2.com Hello mail.domain1.com [xxx.xxx.xxx.xxx],
же может быть очень полезно при отладке MTA): pleased to meet you
Response: 250-ENHANCEDSTATUSCODES
Response: 250-PIPELINING
# telnet localhost 25 Response: 250-8BITMIME
Response: 250-SIZE
Trying 127.0.0.1... Response: 250-DSN
Connected to localhost. Response: 250-ETRN
Response: 250-AUTH DIGEST-MD5 CRAM-MD5 LOGIN PLAIN
Escape character is '^]'.
Response: 250-STARTTLS
220 mail.domain1.com ESMTP Postfix Response: 250-DELIVERBY
EHLO host1.domain1.com Response: 250 HELP
250-mail.domain1.com Command: MAIL FROM:<user1@domain1.com> SIZE=361
250-PIPELINING Response: 250 2.1.0 <user2@domain2.com>... Sender ok
250-SIZE 10240000 Message: Received: from host1 (host1.domain1.com [xxx.xxx.xxx.xxx])
250-ETRN Message: by mail.domain1.com (Postfix) with ESMTP id 24D501771C
250-STARTTLS Message: for <user2@domain2.com>; Mon, 7 Nov 2005 16:30:58 +0300 (MSK)
Message: Message-Id: <20051107133058.24D501771C@mail.domain.com>
250-AUTH PLAIN
Message: Date: Mon, 7 Nov 2005 16:30:58 +0300 (MSK)
250 8BITMIME Message: From: user1@domain1.com
MAIL FROM: user1@domain1.com Message: To: undisclosed-recipients:;
250 Ok Message:
RCPT TO: user2@domain2.com Message: Hello!
250 Ok Message: .
DATA Message: QUIT
Response: 250 2.0.0 jA7DT0o5090086 Message accepted for delivery
354 End data with <CR><LF>.<CR><LF>
Response: 221 2.0.0 mail.domain2.com closing connection
Hello!
. Наше однострочное сообщение обзавелось всеми не-
250 Ok: queued as 24D501771C
QUIT обходимыми заголовками, и теперь вполне соответству-
221 Bye ет стандартам – MTA также выполнил часть функций MSA.
Connection closed by foreign host.
Тем не менее полагаться на это поведение нельзя – другие
Немного о том, что происходит в telnet-сессии. Полу- MTA или тот же самый, но с более строгими настройками,
чив приглашение, мы представляемся с помощью команды вправе отказать нам в приеме такого сообщения.
EHLO, и в ответ получаем список расширений, поддержива-
емых тем MTA, к которому мы подключились. Сейчас нас не Что еще нужно знать об отправке
интересуют расширения, нам просто нужно отправить со- Протокол SMTP не позволяет однозначно идентифициро-
общение. Мы указываем отправителя с помощью команды вать отправителя сообщения, однако существует возмож-
MAIL FROM: и получателя c помощью команды RCPT TO:. ность потребовать от отправителя авторизоваться – для это-
После команды DATA мы вводим содержимое самого пись- го служит расширение AUTH, описанное в RFC 2554 (SMTP
ма и завершаем его точкой на новой строке. С помощью ко- Service Extension for Authentication). Для реализации этого
манды QUIT мы отключаемся от MTA. расширения MTA используют механизм SASL, описанный
Обратите внимание: содержимое письма, мягко говоря, в RFC 2222 (Simple Authentication and Security Layer), кото-
не соответствует никаким стандартам и совсем не похоже рый позволяет использовать различные способы переда-
на те примеры «правильных» писем, которые мы приводи- чи и хранения логина и пароля, в том числе и те, которые
ли. Тем не менее, MTA принял письмо. Если до отправки используют не сам пароль, а его хэш.
письма включить прослушивание SMTP-трафика с помо- Существует также возможность шифровать SMTP-тра-
щью ethereal, а затем обработать экспортированные текс- фик с помощью технологий TLS/SSL (Transport Security
товые логи средствами grep и sed, мы получим следующие Layer / Secure Socket Layer), для чего могут использовать-
протоколы обмена. ся 2 механизма:

24

 Устаревший протокол SMTPS – это фактически тот же
самый SMTP, но шифруется весь трафик, начиная от на-
чального приветствия MTA, при этом используется порт
465.
 Расширение STARTTLS, описанное в RFC 2487 (SMTP
Service Extension for Secure SMTP over TLS) – если кли-
ент MTA (MUA, MSA или другой MTA) поддерживает
его, то отправка сообщения может выглядеть, напри-
мер, так (при этом используется порт 25 – тот же самый,
что и для обмена незашифрованными сообщениями):
Response: 220 mail.domain1.com ESMTP Postfix
Command: EHLO host1.domain1.com
Response: 250-mail.domain1.com
Response: 250-PIPELINING
Response: 250-SIZE 10240000
Response: 250-ETRN
Response: 250-STARTTLS
Response: 250-AUTH PLAIN
Response: 250 8BITMIME
Message: STARTTLS
Response: 220 Ready to start TLS
Message: \026\003\001\000S\001\000\000O\003\001\000\033\2144\341\024A\
361\322EP\370yF\257\370x\273?\031<+\326\355\327\337X\347\207\305P\234\
000\000(\0009\0008\0005\0003\0002\000\004\000\005\000/\000\026\000\02
3\376\377\000
Message: \000\025\000\022\376\376\000\t\000d\000b\000\003\000\006\001\000
Расширение 8BITMIME, описанное в RFC 1652 (SMTP
Service Extension for 8bit-MIME transport), позволяет исполь-
зовать тип MIME-кодирования 8bit. Оно не является обяза-
тельным, поэтому использовать заголовки, закодирован-
ные таким образом, нежелательно.
Мы не будем рассматривать все расширения SMTP,
скажем только, что каждому из них посвящен отдельный
RFC, а искать их проще по названиям расширений в об-
щем списке RFC.
Кроме использования протокола SMTP существует
более простой способ отправить почтовое сообщение –
это так называемая локальная отправка, поддерживае-
мая почти всеми MTA. Общепринятым способом локаль-
ной отправки является использование pipe-интерфейса
программы sendmail, существуют MUA, которые поддержи-
вают этот способ отправки (KMail, mutt, pine), а mailx вооб-
ще никаких других способов, кроме этого, не поддержива-
ет. Простейший shell-скрипт, выполняющий локальную от-
правку, выглядит так:
#!/bin/sh
/usr/sbin/sendmail -t << EOF
From: user1@domain1.com
To: user2@domain2.com
Subject: Test Message
Hello!
EOF
Кто занимается транспортировкой
сообщений
До сих пор мы говорили только об интерфейсах, пре-
доставляемых MTA, но даже не произносили их на-
званий. Только в протоколах ethereal видно, что на уз-
ле mail.domain1.com в качестве MTA используется Postfix,
а на узле mail.domain2.com – Sendmail. Это именно та мо-
дульность, о которой говорилось выше: существует множес-
тво различных MTA, все они реализуют приблизительно од-
ну и ту же функциональность, используют одни и те же про-
№12, декабрь 2005
администрирование
токолы, а как уж они устроены внутри – это их личное дело.
Соответственно, дело администратора – выбрать тот MTA,
который проще и гибче настраивается, надежнее и быст-
рее работает, да и вообще, более симпатичен.
Кратко перечислим несколько наиболее распростра-
ненных MTA:
 Sendmail – старожил, самый первый MTA, до сих пор со-
храняющий свои позиции, отчасти по инерции (в BSD-
системах и во многих дистрибутивах Linux именно он ус-
танавливается по умолчанию), отчасти благодаря воз-
можности очень гибкой настройки. Однако процеду-
ра конфигурирования, монолитная архитектура, рабо-
та с полномочиями суперпользователя и регулярно об-
наруживаемые уязвимости вызывают множество наре-
каний, поэтому его использование уже становится дур-
ным тоном.
 Qmail – первая более защищенная и модульная аль-
тернатива Sendmail, за взлом которой учреждена до
сих пор никем не полученная премия. Однако этот MTA
так и не получил широкого распространения из-за ли-
цензионных ограничений, благодаря которым многие
дистрибутивы Linux не включают его в свой состав. Фак-
тически, уже несколько лет Qmail не развивается авто-
ром, и чтобы получить нормально работающую систе-
му на его основе, придется собирать его с множеством
патчей.
 Postfix – еще одна альтернатива Sendmail, получившая
значительно большее распространение благодаря вме-
няемой лицензионной политике, модульной архитекту-
ре, высокой производительности, простой процедуре
конфигурирования и использованию в некоторых дис-
трибутивах Linux и в Mac OS X по умолчанию. В журна-
ле уже публиковался цикл статей Андрея Бешкова, пос-
вященных Postfix, поэтому детально рассматривать этот
MTA мы не станем.
 Exim – монолитный MTA подобно Sendmail, однако с бе-
зопасностью у него дело обстоит гораздо лучше. Кро-
ме того, Exim претендует на звание MTA с максималь-
ной функциональностью и самой логичной системой
конфигурирования, которое, впрочем, требует боль-
ших усилий по сравнению с аналогичной процедурой
для Postfix. Exim используется по умолчанию в Debian
Linux. В журнале уже публиковались статьи, посвящен-
ные этому MTA, поэтому останавливаться на нем мы
не будем, а пойдем дальше.
Доставка почтовых сообщений
Количество MTA, через которые пройдет письмо, пока не
найдет своего адресата, в принципе не ограничено, хотя
в большинстве случаев достаточно двух MTA, если доме-
ны отправителя и получателя обслуживаются разными MTA
(и между ними есть прямой TCP/IP маршрут), или одного
в противном случае. Задачей MTA после получения пись-
ма для своего домена является сохранение письма в пос-
тоянное хранилище, откуда его сможет прочесть адресат
с помощью своего MUA. Доставкой письма в это хранили-
ще занимается очень широкий класс ПО, который носит об-
щее название MDA (Mail Delivery Agent).
Когда-то в процедуре доставки ничего сложного не было.
25
 администрирование
Использовалась исключительно push-технология: MTA пос- Subject: Test Message
Message-Id: <20051023123325.CEA8840F0@mail.domain1.com>
редством собственного локального MDA доставлял почто- Date: Sun, 23 Oct 2005 16:33:25 +0400 (MSD)
вые сообщения куда-нибудь в /var/mail или /var/spool/mail,
Hello!
а MUA, появившиеся в те времена (mailx, mutt, pine), читали
сообщения непосредственно оттуда – при этом они обязаны Хранение всех сообщений в одном файле приводит
были находиться на одной машине с MTA или монтировать к тому, что писать приложения, осуществляющие одно-
свои почтовые ящики, например, по NFS. Затем более по- временное добавление новых сообщений и редактирова-
пулярными стали pop-технологии: /var/mail и /var/spool/mail ние уже существующих, не так просто, как хотелось бы,
выродились в специализированные серверные хранилища не слишком надежно (возможностей повредить mbox пре-
почты с собственными специализированными средствами достаточно), а иногда и просто невозможно (блокировка
доставки почты, появились сервисы, предоставляющие до- mbox на запись при доставке сообщений делает невозмож-
ступ к этим хранилищам по протоколам POP3 и IMAP по за- ной параллельную доставку). Именно это и было причиной
просу самого MUA – причем новые MUA (Mozilla, Outlook, появления другого формата – Maildir.
The Bat!) по другому себе жизнь уже не мыслят и о /var/mail Maildir – это каталог с тремя подкаталогами внутри:
и /var/spool/mail ничего не знают. tmp, new, cur. При доставке сообщения оно помещается
в файл в подкаталоге tmp, имя файла формируется из теку-
Форматы серверных почтовых щего времени, имени хоста, идентификатора процесса, со-
хранилищ здавшего этот файл, и некоторого случайного числа – таким
На сегодняшний день существует два стандартных форма- образом гарантируется уникальность имен файлов. После
та серверных хранилищ почты (mbox и Maildir – их стандарт- записи в файл всего сообщения создается жесткая ссыл-
ность проявляется в том, что доставлять в них почту и извле- ка на этот файл в каталоге new, а текущая ссылка из tmp
кать ее оттуда могут различные MDA) и несколько нестан- удаляется – это делается для того, чтобы никакой другой
дартных (например, файловое хранилище Cyrus, похожее процесс не смог прочитать содержимое сообщения до тех
по идеологии на Maildir, но несовместимое с ним, и храни- пор, пока оно не будет записано полностью. По такому же
лище DBMail, использующее БД MySQL или PosgreSQL, – алгоритму при чтении сообщения (это может делать как
если использовать эти хранилища, то вместе с их преиму- MUA, так и другой MDA, предоставляющий доступ к Maildir
ществами мы одновременно резко ограничим себя в выбо- по протоколу POP3 или IMAP) оно перемещается в каталог
ре MDA для доставки и извлечения почты). Впрочем, в лю- cur, при этом название файла изменяется: к нему добавля-
бом случае мы говорим об открытых хранилищах, формат ются пометки о прочтении, ответе, удалении и т. д.
которых документирован (в худшем случае в исходных ко- Maildir++ – это дальнейшее усовершенствование Maildir
дах MDA), поэтому нет никаких препятствий к тому, чтобы с поддержкой вложенных каталогов IMAP (они должны на-
написать конвертор из одного хранилища в другое (и та- читаться с «.») и квот.
кие конверторы есть).
Нестандартные хранилища (Cyrus и DBMail) и MDA, ра- Кто занимается доставкой сообщений
ботающие с этими хранилищами, лучше будет рассмотреть в серверные хранилища
в отдельных статьях (статья о DBMail планируется опубли- Все MTA содержат в своем составе локальные MDA для до-
ковать в следующем номере журнала, статья о Cyrus IMAP ставки в mbox, а иногда и в Maildir, но часто для доставки
уже публиковалась), а сейчас мы сосредоточим свое вни- выгоднее бывает использовать внешние MDA общего на-
мание на стандатных хранилищах: mbox и Maildir. значения, позволяющие выполнить дополнительные опера-
Mbox – это целое семейство не совсем совместимых ции с почтовыми сообщениями: переложить в другой поч-
друг с другом форматов, различные модификации кото- товый ящик, переслать на другой почтовый адрес, пере-
рых используются как в хранилищах почты на серверах, дать другой программе по pipe-интерфейсу для дальней-
так и локально в MUA. Все эти форматы объединяет то, шей обработки и т.д.
что все сообщения хранятся в одном файле, начинаются Самыми распространенными внешними MDA общего
с поля From и отделены друг от друга пустой строкой. В про- назначения являются:
цессе доставки новые сообщения дописываются в конец  Procmail – в основном используется для доставки со-
mbox-файла. Если вернуться к нашему примеру письма общений в mbox (хотя существует патч для поддержки
от user1@domain1.com к user2@domain2.com, то после его Maildir).
сохранения в конце mbox-файла (скорее всего, это файл  Maildrop – является частью проекта Courier, может до-
будет называться /var/mail/user2 или /var/spool/mail/user2) ставлять почту в mbox, но чаще используется для до-
добавится следующее: ставки почты в Maildir. Более эффективно расходует сис-
From user1@domain1.com Sun Oct 23 16:26:52 2005
темные ресурсы, чем Procmail, поддерживает виртуаль-
Return-Path: <user1@domain1.com> ных пользователей, информация о которых может хра-
Received: from mail.domain1.com (mail.domain1.com [xxx.xxx.xxx.xxx])
by mail.domain2.com (8.13.5/8.13.1) with ESMTP id j9NCQqTZ012628
ниться в Berkley DB, LDAP, MySQL и PostgreSQL.
for <user2@domain2.com>; Sun, 23 Oct 2005 16:26:52 +0400 (MSD)
(envelope-from user1@domain1.com)
Received: from host1.domain1.com (host1.domain.com [xxx.xxx.xxx.xxx])
И Procmail, и Maildrop используют pipe-интерфейс
by mail.domain1.com (Postfix) with ESMTP id CEA8840F0 для приема почты от MTA: для каждого почтового сообще-
for <user2@domain2.com>; Sun, 23 Oct 2005 16:33:25 +0400 (MSD)
From: user1@domain1.com
ния создается отдельный процесс MDA, получающий со-
To: user2@domain2.com общение на stdin. Это не слишком экономный способ об-

26

работки почты, особенно при больших объемах, поэтому
MTA предлагают еще один способ получения сообщений –
протокол LMTP, описанный в RFC 2033 (Local Mail Transfer
Protocol). MDA, использующий LMTP, принимает сообще-
ния по TCP/IP или UNIX-сокету подобно MTA, поэтому со-
здавать отдельный процесс на каждое сообщение не нуж-
но. Cyrus и DBMail предлагают MDA, использующие LMTP,
для доставки в собственные хранилища, а вот для mbox
и Maildrop таких MDA нет.
Кроме фильтрующих MDA общего назначения в про-
цессе доставки сообщения в серверное хранилище также
могут использоваться специализированные контент-филь-
тры. Такие фильтры могут выполнять функцию отсеива-
ния спама и вирусов, в этом качестве часто используют-
ся SpamAssassin и SpamOracle в связке с популярными ан-
тивирусами. Они могут использовать как pipe-интерфейс,
так и интерфейс LMTP. Последний вариант, как правило,
является более производительным, но затрудняет исполь-
зование контент-фильтра в MDA общего назначения – ос-
тается использовать MDA из комплекта MTA.
Организация доступа к серверным
хранилищам
Наиболее популярными MDA, предоставляющими доступ к
mbox и Maildir по протоколам POP3 и IMAP, являются:
 UW IMAP – самый простой из всех перечисленных. Ра-
ботает под inetd/xinetd, не имеет вообще никаких настро-
ек, в качестве механизма аутентификации использует
только PAM, по умолчанию работает только с mbox (хотя
существует патч для поддержки Maildir). Предоставля-
ет доступ ко всем файлам в домашнем каталоге поль-
зователя как к каталогам IMAP, даже если они не явля-
ются mbox – обязанность отображения только нужных
файлов (действительно являющихся mbox) возлагает-
ся на MUA. Да и история безопасности у него очень не-
хорошая.
 Courier IMAP – часть проекта Courier, в который также
входят собственный (но не слишком распространен-
ный) MTA, уже упоминавшийся Maildrop, менеджер спис-
ков рассылки, средства совместной работы (groupware)
и средства доступа к почте через Web. В качестве фор-
мата хранилища поддерживается только Maildir. Для ау-
тентификации и Courier IMAP, и Maildrop используют об-
щую библиотеку Courier Authentication Library, которая
поддерживает хранение логинов, паролей, пути к Maildir
пользователя и квот Maildir в Berkley DB, LDAP, MySQL
и PostgreSQL – таким образом, почтовые пользовате-
ли не обязаны иметь системные учетные записи. Кро-
ме того, для аутентификации возможно использование
PAM.
 Dovecot – позиционируется как сервер POP3/IMAP,
при написании которого в первую очередь учитыва-
лась безопасность: другими словами, он относится к UW
IMAP и Courier IMAP, как Qmail и Postfix к Sendmail. В ка-
честве формата хранилища поддерживается как mbox,
так и Maildir, для увеличения производительности (ко-
торая всегда была слабым местом при работе с mbox)
используются специальные индексы. Для аутентифика-
ции используется уже упоминавшийся механизм SASL –
№12, декабрь 2005
администрирование
его же для аутентификации используют многие MTA
и Сyrus IMAP. Но в целом по функциональности Dovecot
пока не дотягивает до Courier IMAP.
 Cyrus IMAP – наиболее продвинутая почтовая система,
которая помимо уже перечисленных возможностей, до-
ступных в других MDA, включает возможности класте-
ризации и проксирования, быстрый и гибкий механизм
фильтрации почтовых сообщений Sieve (описанный
в RFC 3028). Однако все компоненты Cyrus используют
собственный формат хранилища почтовых сообщений
и не умеют работать со стандартными mbox и Maildir.
В тех случаях, когда поддержка протокола IMAP не тре-
буется, возможно использование более простых MDA, пре-
доставляющих доступ к mbox и Maildir только по протоколу
POP3: к их числу относятся Cubic Circle (cucipop), QPopper
и Popa3d.
Как происходит получение сообщений
И MDA, используемые для доставки почты в mbox и Maildir,
и MDA, предоставляющие доступ к ним по протоколам POP3
и IMAP, взаимозаменяемы точно так же, как и различные
MTA. MUA ничего не знает о типе хранилища и о том, с каким
POP3/IMAP-сервером он работает, он всего лишь использу-
ет протоколы POP3 и IMAP для доступа к хранилищу.
Протокол POP3, описанный в RFC 1939 (Post Office
Protocol – Version 3), подразумевает, что пользователи за-
бирают сообщения из серверного хранилища и работают
с ними в локальном хранилище своего MUA. Продемонстри-
руем использование этого протокола с помощью telnet:
# telnet localhost 110
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.
+OK Hello there.
USER user1
+OK Password required.
PASS pwd1
+OK logged in.
STAT
+OK 1 422
LIST
+OK POP3 clients that break here, they violate STD53.
1 422
.
RETR 1
+OK 422 octets follow.
Return-Path: <user1@domain1.com>
Received: from mail.domain1.com (mail.domain1.com [xxx.xxx.xxx.xxx])
by mail.domain2.com (8.13.5/8.13.1) with ESMTP id j9NCQqTZ012628
for <user2@domain2.com>; Sun, 23 Oct 2005 16:26:52 +0400 (MSD)
(envelope-from user1@domain1.com)
Received: from host1.domain1.com (host1.domain.com [xxx.xxx.xxx.xxx])
by mail.domain1.com (Postfix) with ESMTP id CEA8840F0
for <user2@domain2.com>; Sun, 23 Oct 2005 16:33:25 +0400 (MSD)
From: user1@domain1.com
To: user2@domain2.com
Subject: Test Message
Message-Id: <20051023123325.CEA8840F0@mail.domain1.com>
Date: Sun, 23 Oct 2005 16:33:25 +0400 (MSD)
Hello!
.
DELE 1
+OK Deleted.
QUIT
+OK Bye-bye.
После аутентификации с помощью команд USER и PASS
мы получаем количество сообщений в почтовом ящике
27
 администрирование
и их общий размер – для этого мы используем STAT. С по- командой STORE 1 +FLAGS (Seen), закрываем почтовый
мощью LIST мы получаем список сообщений и их разме- ящик и отключаемся от сервера – для этого мы использу-
ры. Затем мы запрашиваем текст первого (и единственно- ем CLOSE и LOGOUT.
го) сообщения с помощью RETR, удаляем его из сервер-
ного хранилища с помощью DELE и отключаемся от сер- Что еще нужно знать о получении
вера – для этого служит команда QUIT. сообщений
Теперь посмотрим, как происходит то же самое, но про- Разумеется, функциональность POP3, а особенно IMAP
токолу IMAP, описанному в RFC 3501 (INTERNET MESSAGE приведенными командами не ограничивается. Например,
ACCESS PROTOCOL – VERSION 4rev1). Он подразумевает, IMAP включает в себя также механизм подписки на ката-
что все сообщения даже после прочтения хранятся на сер- логи IMAP, возможность совместной работы с общими ката-
вере с пометкой о том, что они прочитаны, соответственно логами под различными учетными записями (shared folders),
пользователи могут работать с одним и тем же почтовым поиск в каталогах средствами сервера, частичную загруз-
ящиком с разных рабочих станций с помощью различных ку сообщений (в примере мы запросили все сообщение
MUA одновременно. целиком, а могли бы запросить только некоторые интере-
сующие нас заголовки) и т. д. POP3 и IMAP поддерживают
# telnet localhost 143 шифрование, причем эта поддержка, как и в случае SMTP,
Trying 127.0.0.1... возможна в 2 вариантах:
Connected to localhost.
Escape character is '^]'.
 Использование отдельных портов, на которых шифру-
* OK [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPACE ется весь трафик (995 для POP3 и 993 для IMAP).
THREAD=ORDEREDSUBJECT THREAD=REFERENCES SORT QUOTA IDLE ACL ACL2=UNION
STARTTLS] Courier-IMAP ready. Copyright 1998-2004 Double Precision, Inc.
 Механизм TLS: используются стандартные порты,
See COPYING for distribution information. но после подключения MUA может инициировать шиф-
1 LOGIN "user1" "pwd1"
1 OK LOGIN Ok. рование с помощью команды STARTTLS.
2 SELECT "INBOX"
* FLAGS (\Draft \Answered \Flagged \Deleted \Seen \Recent)
* OK [PERMANENTFLAGS (\* \Draft \Answered \Flagged \Deleted \Seen)] Существуют специализированные MUA, предназна-
Limited ченные для получения почтовых сообщений по протоко-
* 1 EXISTS
* 1 RECENT лам POP3/IMAP и отправки их дальше в автономном ре-
* OK [UIDVALIDITY 1131530433] Ok жиме. Такой механизм может быть полезен для сбора поч-
* OK [MYRIGHTS "acdilrsw"] ACL
2 OK [READ-WRITE] Ok товой корреспонденции в один почтовый ящик из разных
3 FETCH 1:* (FLAGS) ящиков в разных доменах. Как и использование для MTA
* 1 FETCH (FLAGS (\Recent))
3 OK FETCH completed. внешнего релея, этот механизм незаменим для почтового
4 FETCH 1 (UID RFC822.SIZE FLAGS BODY.PEEK[]) сервера, не имеющего постоянного подключенния к интер-
* 1 FETCH (UID 1 RFC822.SIZE 443 FLAGS (\Recent) BODY[] {443}
Return-Path: <user1@domain1.com> нет, постоянного реального IP-адреса и DNS-имени, и под-
Received: from mail.domain1.com (mail.domain1.com [xxx.xxx.xxx.xxx]) ключающегося к провайдеру периодически для приема
by mail.domain2.com (8.13.5/8.13.1) with ESMTP id j9NCQqTZ012628
for <user2@domain2.com>; Sun, 23 Oct 2005 16:26:52 +0400 (MSD) и отправки почты.
(envelope-from user1@domain1.com) К числу автономных MUA относятся:
Received: from host1.domain1.com (host1.domain.com [xxx.xxx.xxx.xxx])
by mail.domain1.com (Postfix) with ESMTP id CEA8840F0  Getmail – после получения почты по POP3/IMAP он со-
for <user2@domain2.com>; Sun, 23 Oct 2005 16:33:25 +0400 (MSD)
From: user1@domain1.com
храняет ее в серверное хранилище (mbox или Maildir)
To: user2@domain2.com либо передает ее какому-нибудь фильтрующему MDA
Subject: Test Message
Message-Id: <20051023123325.CEA8840F0@mail.domain1.com>
общего назначения (Procmail или Maildrop).
Date: Sun, 23 Oct 2005 16:33:25 +0400 (MSD)  Fetchmail – после получения почты по POP3/IMAP он пе-
Hello!
ресылает ее указанному в конфигурационном файле
) MTA.
4 OK FETCH completed.
5 STORE 1 +FLAGS (Seen)
MUA замыкают круговорот почтовых сообщений. Пере-
* FLAGS (Seen \Draft \Answered \Flagged \Deleted \Seen \Recent)
* OK [PERMANENTFLAGS (Seen \* \Draft \Answered \Flagged \Deleted \Seen)]
Limited сылка существующих писем или создание новых – это то,
* 1 FETCH (FLAGS (\Recent Seen)) с чего мы начинали. Можно вернуться к схеме, с которой
5 OK STORE completed.
6 CLOSE начиналась статья, и к описанию MTA – теперь ему решать,
6 OK mailbox closed. что делать с письмом дальше.
7 LOGOUT
* BYE Courier-IMAP server shutting down Рассмотренные нами компоненты позволяют строить
7 OK LOGOUT completed почтовые системы какой угодно сложности. Именно это
Connection closed by foreign host.
и называется UNIX Way: вместо одной огромной и монс-
После аутентификации средствами команды LOGIN трообразной программы, пытающейся уметь все, для ре-
мы переходим в каталог IMAP INBOX с помощью SELECT шения задачи используется набор строительных блоков,
“INBOX”, при этом мы получаем количество существую- из которых и собирается почтовый сервер – быстро, ка-
щих и еще не прочитанных сообщений. С помощью ко- чественно и надежно.
манды FETCH 1:* (FLAGS) мы читаем список всех сообще-
ний с флагами, а с помощью FETCH 1 (UID RFC822.SIZE Источники:
FLAGS BODY.PEEK[]) – первое (и единственное) сообще- 1. http://en.wikipedia.org.
ние. Затем мы помечаем это сообщение как прочитанное 2. http://www.faqs.org/rfcs.

28
 администрирование
Спам или антиспам: кто кого?
В современном мире сложно найти человека, знающего, что такое e-mail и ни разу
не столкнувшегося со спамом. Электронная почта и спам стали неотделимыми друг
от друга понятиями.
Е
сли допустить лёгкий налёт ро-
мантики, то можно смело ут-
верждать – борьба со спамом
давно приобрела характер извест-
ного противостояния «меча и щита».
По одну сторону баррикад находятся
спамеры, занимающиеся постоянным
сбором почтовых адресов пользова-
телей Интернета, изобретением и мо-
дификацией технологий отправки спа-
ма, а также обхода средств его блоки-
рования. По другую сторону находят-
ся все остальные пользователи элек-
тронной почты:
 Это простые пользователи, кото-
рые ежедневно удаляют из своих
ящиков от единиц до сотен спам-
сообщений, а более тесно «дружа-
щие» с программным обеспече-
нием обучают персональные поч-
товые программы по возможнос-
ти распознавать и удалять сооб-
щения (как вариант, маркировать
специальным образом или изоли-
ровать в специально отведённом
месте), содержащие мусор.
 Это системные администраторы
компаний, устанавливающие и обу-
30
Алексей Коршунов
чающие специальные антиспам- мере, известный) из наших соотечест-
фильтры для уменьшения потока венников – это Михаил Армалинский.
нежелательной корреспонденции. В наше время, по информации
 Это компании и корпорации, тратя- спам-аналитиков лаборатории Кас-
щие немалые средства на покупку, перского на 2005 год, спам составля-
внедрение и модификацию анти- ет 70-80% от общего объёма почто-
спам-технологий. вого трафика, то есть на каждые 2-3
 Это компании – разработчики раз- обычных письма приходится 7-8 спа-
личного программного обеспече- мерских. Точной цифры по ежеднев-
ния, позволяющего в какой-то ме- ному количеству рассылаемого спама,
ре сократить миллионы ежеднев- по понятным причинам, быть не может.
ных сообщений, которые попада- Но цифры, озвучиваемые различными
ют в почтовые ящики пользовате- источниками, внушают опасение за бу-
лей. дущее электронной корреспонденции,
так как любая крупная компания, рабо-
История развития тающая с почтой, находится под угро-
спамерских технологий зой быть просто погребённой под не-
Родоначальницей спама можно счи- вообразимым количеством почтово-
тать рассылку от 2 мая 1978 года, ког-го мусора.
да было разослано 600 спам-сообще-
ний для приглашения на презентацию Среда передачи
DEC. С этого дня можно начинать от- Технологии рассылки спам-сообще-
счёт века спам-сообщений. 12 апре- ний развивались достаточно бурно.
ля 1994 года Лоренс Кантер и Марта Началось всё с обычной прямой от-
Сигель впервые использовали спе- правки респондентам, указанным
циальное программное обеспечение в поле CC и BCC. Однако этот метод
для рассылки спама в конференциях быстро ушёл в историю ввиду своей
USENET. Первый спамер (по крайней неэффективности.
 администрирование

Тёмная история RBL –
средство фильтрации
или помеха?
В недалёком прошлом при использова-
нии общеизвестных и доступных rbl-спис-
ков (некоторые из наиболее популярных
указаны на сайте http://rbls.org) возника-
ли проблемы с хождением почты. Сейчас
крупнейшие почтовые системы (такие как
mail.ru) используют собственные rbl-спис-
ки, что даёт им возможность больше не ог-
лядываться на держателей какого-нибудь
сервиса. Разумеется, есть и те, кто по сей
день предпочитают общедоступные ресур-
сы, ведь можно выбрать тот, который наибо-
лее вам подходит (например, только список,
содержащий пространства модемных пулов
провайдеров). Проблемы прохождения поч-
ты были обусловлены тем, что разные поч-
товые системы могли использовать неиден-
тичные списки «чёрных адресов», хотя для
возможного отказа в доставке, разумеет-
ся, хватало применения этого метода толь-
ко на системе-получателе. Другими слова-
ми, две почтовые системы могли оказать-
ся в роли своеобразных пейджеров, когда
почта от пользователей системы А доходит
до системы Б, а вот в обратную сторону уже
нет. Так как система Б находится в каком-
нибудь чёрном списке, по которому прове-
ряет отправителей система А. Причем при-
чин, по которым система Б могла оказать-
ся в сколь угодно большом количестве чёр-
ных списков, было не мало. Начиная от жа-
лобы одного из пользователей сервиса rbl,
заканчивая проверкой самим сервисом на
Open Relay серверов, попадающих в скани-
руемый диапазон IP-адресов. То есть при-
мерно по тому же принципу, как сканируют
сеть поисковые системы. В некоторых слу-
чаях на исключение легальной системы из
чёрного списка могло уйти от нескольких
дней до месяцев. Известны так же случаи,
когда администрацией какого-либо серви-
са rbl заносились в базу «чёрных» вполне
легальные сервера, а за исключение про-
сили некоторую плату.
После всех мытарств и приключений
с rbl-сервисами, очень многие админис-
траторы почтовых системы были вынуж-
дены отключить использование rbl в сво-
их системах. Пользователи были силь-
но недовольны «гаданием», дошла ли их
корреспонденция до получателей или нет,
так как далеко не все способны понять от-
вет сервера-получателя об отказе достав-
ки. Да и что таить, мало кто вообще на от-
чёты серверов обращал внимания. Зачас-
тую такие письма удалялись без предвари-
тельного прочтения, а уже спустя продол-
жительное время, когда становилось из-
вестно, что получатель письма не получил –
начинались «разборы полётов». В резуль-
тате чего и выяснялось, что пользователь
получил некий отчёт, но не обратил на не-
го внимания. После этого системные адми-
нистраторы уже начинали выяснять причи-
ну и связываться с администраторами нуж-
ной почтовой системы для урегулирова-
ния вопроса прохождения почты. Полагаю,
системные администраторы отказывались
от этого (ставшего уже популярным) мето-
да фильтрации с лёгким сердцем, так как
это значительно проще, чем каждый раз
вести переговоры с другими сисадмина-
ми о проблемах прохождения почты через
их системы. К слову сказать, именно в тот
период времени, как мне кажется, в голо-
вах многих руководителей осело неверное
представление о борьбе со спамом. Сре-
ди многих известных мне руководителей
популярно мнение, что фильтрация спама
ведёт к потере важной корреспонденции.
К примеру, в одной из компаний, где я ког-
да-то работал, мне так и не удалось угово-
рить начальство использовать фильтра-
цию спама (всего лишь маркируя поле те-
мы сообщения меткой «SPAM») несмотря
на то, что количество ежедневной нежела-
тельной корреспонденции, получаемой со-
трудниками, превышало средне-месячный
трафик легальной почты (трафик был ус-
тановлен посредством анализа лог-фай-
ла почтовой системы). А в другой компа-
нии мне пришлось сразу же после трудоус-
тройства выключить систему фильтрации,
так как менеджеры буквально объявили
забастовку из-за постоянной потери поч-
ты, в которой они обвиняли спам-оборону
компании (реальная причина потерь оказа-
лась значительно прозаичнее и не имела
никакого отношения к фильтрам).

Следующим шагом стало исполь-
зование модемных пулов провайде-
ров. Каждому пользователю Интерне-
та известна система – по бесплатно-
му гостевому доступу на сайт провай-
дера регистрируется учетная запись,
оплачивается и пожалуйста – мож-
но приступать к отправке сколь угод-
но большого количества спама. Разу-
меется, среда передачи данных силь-
но ограничивала возможности такого
метода, однако на тот период времени
этого уже было более чем достаточно
для заметного всплеска нежелатель-
ной корреспонденции в ящиках поль-
зователей. Количество времени, тре-
буемое на написание жалобы и рас-
смотрение её провайдером, было до-
статочно велико. А ведь далеко не каж-
дый, получивший спам, станет озада-
чиваться выявлением источника спа-
ма и обращением к службе техничес-
кой поддержки провайдера, «прикор-
мившего» мерзавца. Таким образом, у ляющих любому желающему отправ-
спамера было предостаточно времени лять через себя сколь угодно много
для осуществления своих намерений. корреспонденции по абсолютно лю-
Да и реакция со стороны провайдера бым адресам. Эта проблема возник-
в виде блокирования аккаунта не яв- ла из-за того, что изначально, до 90-х
лялась проблемой. Ведь никто не ме- годов, практически все сервера были
шал заново пройти всю цепочку, опи- «открытыми». Они позволяли переда-
санную выше, для повторного получе- вать почтовые сообщения на другие
ния доступа через этого же провай- сервера без ограничений на отправи-
дера или, на крайний случай, друго- теля. Эта проблема была решена мо-
го. Эта проблема была отчасти реше- дификацией программного обеспече-
на службами провайдеров с помощью ния почтовых серверов Интернета. Од-
установки АОН (автоматических опре- нако, как показывает сухая статистика,
делителей номеров) на оборудовании, даже в наше время количество Open
обслуживающем абонентов. А отчасти Relay серверов исчисляется тысячами.
с помощью введения некоторых огра- Причин для этого множество – некор-
ничений на отправку сообщений поль- ректные настройки, а также несовер-
зователями. шенство используемого программного
Большой проблемой в тот период обеспечения. Да-да, как это ни удиви-
времени являлось наличие огромно- тельно, некоторые почтовые сервера
го количества открытых для бесконт- по сей день используют сервисы, прос-
рольной пересылки почтовых серверов то не обученные средствам предотвра-
(так называемых Open Relay), позво- щения использования их, как дойных

№12, декабрь 2005 31

 администрирование
коров. Поэтому основным средством
борьбы, в итоге, стало использование
rbl-списков (Realtime Blackhole List ), со-
держащих перечень выявленных уяз-
вимых серверов. Некоторым спискам,
которые призваны вести учёт таких
серверов, известно более 225 тысяч
уязвимых систем (из них более 2500
находятся в России). Но в наше вре-
мя такая цифра уже не считается ог-
ромной и составляет всего лишь 0,65%
хостов-отправителей спама (по инфор-
мации mail.ru).
Когда вышеназванные средства
стали не столь эффективны, как то-
го хотелось бы спамерам, они нашли
новое средство. Использование собс-
твенных серверов. Они покупали сер-
вера, размещали их на площадке про-
вайдера и занимались рассылками,
используя немалую мощь оборудо-
вания телекоммуникационных компа-
ний. Количество времени, которое от-
водилось спамерам для их деятель-
ности, исчислялось лишь тем, сколь-
ко согласны были закрывать глаза на
деятельность своих хостеров службы
провайдера. Всё упиралось в те же жа-
лобы от пользователей, пострадавших
от действий спамеров. Но и количество
спама, который был отправлен – весь-
ма и весьма велико. Да и перенос сер-
вера на другую площадку не состав-
лял большой трудности. После чего
можно было снова заниматься рас-
сылкой. Однако ужесточение политики
предоставления хостинга провайдера-
ми, а также использование всё тех же
rbl-листов привело к плавному уходу
от такого способа рассылки спама.
Использование ворованных арен-
дованных серверов оказалось гораздо
более выгодным средством для спаме-
ров. Добытые различными средствами
(нелегальными, как правило, напри-
мер, методами социального инжини-
ринга) учётные записи владельцев ле-
гальных ресурсов давали возможность
весьма продолжительного по времени
использования их сервера для чёрных
замыслов спамеров. Количество вре-
мени, которое требовалось для «при-
крывания лавочки», могло исчислять-
ся днями или годами. Это зависело
исключительно от методов исполь-
зования данного сервера – однократ-
ные рассылки с большими перерыва-
ми между ними, или многократные от-
правки из рассчёта максимум сейчас,
32
а потом – смена хоста. В первом слу- ные «письма счастья» и прочая кор-
чае хозяин ресурса мог очень долго на- респонденция, автор которой сможет
ходиться в неведении, да и провайдер убедить получателя переслать дан-
не всегда реагирует на первую же поя- ное письмо другим. Их отличительная
вившуюся претензию. особенность – небольшой размер пер-
Логичным продолжением исполь- воначальной рассылки. Массовость
зования «ворованных» серверов ста- достигается посредством усилий са-
ли сети «зомби-компьютеров». Бур- мих получателей, которые «покупают-
ное развитие вирусных технологий ся» на предложение отправить письмо
и их сращивание с технологиями спа- по всей адресной книге (или, как ва-
меров породило обширнейшие воз- риант, по всему контакт-листу IM-пей-
можности. Компьютер пользователя джера). Ярким примером может слу-
инфицируется, после чего устанавли- жить поиск родителей нашедшего-
вает соединение с irc-сервом и входит ся в Таиланде мальчика в январе это-
в специальную «комнату» (невидимую го года. Бороться с этим видом спа-
в общих списках и защищённую паро- ма техническими средствами практи-
лем), созданную программным обес- чески невозможно. Кто из нас не полу-
печением автора вируса. Таким об- чал письма с различными вложениями
разом «владелец» компьютеров-зом- от знакомых? Да и жалуются на спам
би мог видеть количество инфициро- от знакомых пользователи гораздо ме-
ванных машин и, соответственно, уп- нее охотно.
равлять ими, отдавая команды. В том
числе на обновление вирусного кода. Содержимое спама
В среде спамеров даже есть место кон- Помимо развития среды передачи, ме-
куренции – когда один вирус находит нялось и само содержимое сообщений.
своего «коллегу», он пытается его бло- Эту мутацию естественным образом
кировать и перевести управление ком- породили технологии борьбы со спа-
пьютером на себя. Компьютеры поль- мом. В то время, как фильтры обуча-
зователей превратились в театры во- лись распознавать всё больше видов
енных действий за ресурсы незащи- спам-сообщений, спамеры придумы-
щённых систем. Интересно, что для вали всё больше новых ухищрений,
организации канала общения виру- для того, чтобы эти фильтры обойти.
сов используются общедоступные ре- Менялось содержимое письма:
сурсы. Владельцы irc-серверов по ме-  Включения адреса получателя
ре возможности (читай, обнаружения) в текст сообщения.
пытаются удалить эти «комнаты», од-  Случайные последовательнос-
нако миграция на другой сервер в но- ти. (Помните сообщения в виде
вую комнату не занимает большого ко- «Hhiiii dduuuddee. Do y.ou ne.e.d
личества времени. Более того, в неко- sommmmeeeething?».)
торых случаях irc-сервер может быть  Фрагменты литературных произве-
создан даже на отдельно взятой ин- дений, анекдоты. Включение части
фицированной машине. Решением та- стихотворения после прайса или
кой проблемы может стать обычный рекламы сбивает фильтры с толку.
персональный firewall, установленный  Вариативность частей письма (со-
на машине пользователя, блокиру- держимое «полезной» части пись-
ющий любые несанкционированные ма и мусора, для одурачивания
соединения с внешним миром. Одна- фильтров, могло меняться много-
ко всем нам известно, что до карти- кратно).
ны всех компьютеров, полностью при-  Изменения текста письма по ходу
крытых firewall, находящихся во все- рассылки, обратная связь. Перед
мирной сети, ещё очень далеко. Ситу- началом рассылки спама он прове-
ация усугубляется активным внедрени- рялся на популярных системах. Ес-
ем высокоскоростного доступа и пос- ли системы принимали письмо как
тоянного соединения с всемирной се- нормальное, начиналась рассылка.
тью, что, в свою очередь, играет на ру- Если нет – производилась модифи-
ку злоумышленникам. кация тела сообщения, пока серве-
Последнее, на что хотелось бы об- ры не принимали его.
ратить внимание, – социальный ин-
жиниринг. Сюда входят всевозмож- Некоторые изменения в текстах

сообщений привели даже к тому, что
появилась некая новая форма язы-
ка (как в пункте два), которую многие
даже понимают. Почему я делаю та-
кой вывод? Ну обращаются же люди
в компании, которые рекламируют та-
ким образом.
Не стоит забывать и спам, возни-
кающий из-за неидеальных почтовых
серверов. Имеются в виду различные
отчёты. Как пример можно привести
настоящий бум отчётов от антивиру-
сов о найденном в теле письма виру-
се. Разумеется, речь идёт о тех случа-
ях, когда поле отправителя является
поддельным и пользователь получа-
ет отчёты о письмах, которые в дейс-
твительности не отправлял. Сюда же
относятся многочисленные автомати-
чески генерируемые отчёты о невоз-
можности доставки сообщения полу-
чателю. Ситуация та же – поле отпра-
вителя подделано. К этому можно от-
носиться, как к необходимой отладоч-
ной информации, если вы работаете
системным администратором или яв-
ляетесь продвинутым пользователем.
Или же как к неизбежному, но от то-
го не менее надоедливому «техничес-
кому» спаму, если вы руководитель
или менеджер, почта которого «пест-
рит» отчётами о письмах, которых он
не отправлял.
Менялось и оформление спам-
письма:
 Близкие по начертанию, но раз-
ные символы. Например, буква «А»
в русской и английской раскладке.
 Невидимый текст в HTML.
 Картинки, зашумление картинок.
Если сначала фильтры научились
по подсчитанной сумме выявлять
одинаковые сообщения, то внесе-
ние невидимых глазу незначитель-
ных изменений избавляет от этой
«проблемы».
 Подделка технической части пись-
ма. Думаю, каждый хоть раз в жиз-
ни видел отчёт от SpamAssassin
в виде «forged outlook header».
Противостояние спамеров и ан-
тиспамерских технологий порождает
всё больше новых ухищрений со сто-
роны первых. Однако, судя по инфор-
мации от спам-аналитиков лаборато-
рии Касперского и других источников,
2005 год не дал новаторских техноло-
гий спамерам. По-видимому, их впол-
№12, декабрь 2005
не устраивает имеющийся на данный
момент результат.
Фишинг
Говоря о спаме, невозможно прой-
ти мимо такого явления, как фишинг.
Фишинг – это мошеннические рас-
сылки («нигерийские письма», подде-
льные извещения о выигрыше и т. д.).
Дословно фишинг можно перевести
как “ловля на удочку”. Как правило, та-
кие письма призывают совершить ка-
кое-то действие (например, пройти по
ссылке или просто заплатить деньги),
но не за нечто реальное, как в случае
рекламного спама, а за нечто несу-
ществующее.
Целью фишинг-рассылок являют-
ся персональные данные пользовате-
ля (логины, пароли, пин-коды, номе-
ра кредитных карт и тому подобное).
В дальнейшем, как не сложно дога-
даться, эти данные используются зло-
умышленниками для получения воз-
можной наживы. Как правило, фишин-
говые письма весьма талантливо ими-
тируют настоящие сообщения реаль-
но существующих организаций. На-
иболее часто они пародируют различ-
ные платёжные системы (ebay, paypal).
В таких письмах содержится ссыл-
ка, пройдя по которой, потенциаль-
ная жертва попадает на поддельную
страницу, специально изготовленную
мошенником. Страница выглядит как
реально существующая на сайте ком-
пании, от имени которой было отправ-
лено письмо. На фальшивом сайте под
тем или иным предлогом жертве пред-
лагается ввести свои личные данные
для авторизации. Как итог – личная ин-
формация посетителя попадает в ба-
зы мошенников.
Если верить статистике из разных
источников, фишинг пока что не яв-
ляется чрезмерно опасным явлением.
На данный момент даже «писем счас-
тья» пользователям приходит значи-
тельно больше, чем фишинговых со-
общений. Однако, наиболее вероят-
но, что такое положение дел времен-
ное. Индустрия фишинга в России ещё
не доросла до таких «поставленных
на рельсы» механизмов, как реальный
спам. Сейчас энтузиасты только обка-
тывают новые технологии на рунетов-
ских пользователях. Но, по прогнозам
mail.ru, уже к 2006-2007 году доля та-
кого спама окажется на уровне, соиз-
администрирование
меримом с уровнем рекламного спа-
ма. Не стоит забывать и о том, что каж-
дое фишинговое письмо потенциально
способно причинить в сотни раз боль-
ший ущерб (в случае успешного «об-
лапошивания» получателя), чем тыся-
чи сообщений обычного рекламного
спама. Если потери от чтения рекла-
мы можно свести к трафику и затратам
времени на его отсеивание, то потери
от фишинга могут быть поистине фа-
тальными для финансового положения
«попавшегося» пользователя. К сожа-
лению, есть достаточно много факто-
ров, затрудняющих борьбу с фишин-
гом, то есть при одинаковом допусти-
мом проценте ложных срабатываний
любая современная антиспам-систе-
ма пропустит меньше рекламных со-
общений, чем фишинговых.
Историю фишинга, скорее всего,
следует начинать с середины 90-х го-
дов. Тогда в компании AOL были силь-
но распространены сообщения, подпи-
санные якобы администрацией. В этих
сообщениях предлагали (объясняя это
разными причинами) прислать пароль
от своего аккаунта, который в против-
ном случае угрожали закрыть.
Разумеется, со временем до поль-
зователей довели информацию, что па-
роли в письмах не запрашиваются и не
отсылаются, поэтому эффективность
этого метода стала стремиться к ну-
лю. Однако новая уловка мошенни-
ков не заставила себя долго ждать.
Немного изменив содержимое писем,
они стали сообщать о каком-либо со-
бытии на сервере (например, PayPal),
требующем от пользователя некой ре-
акции. В теле сообщения была ссылка,
которая, как уже было сказано выше,
вела на поддельную страницу легаль-
ного сайта. Где ничего не подозрева-
ющие пользователи и оставляли свои
персональные данные, так как мало
кто привык смотреть в адресную стро-
ку браузера. (Я лично несколько раз
наблюдал, что у некоторых пользова-
телей адресная строка вообще скры-
та. На мой вопрос, как они работают,
был дан гениальный ответ – я сам(а)
ничего не набираю, только ссылки от-
крываю.) На этом возможные злоклю-
чения пользователей могли не закон-
читься, потому что на поддельной стра-
нице мог оказаться троян, который
впоследствии «высасывал» из ком-
пьютера все пароли и учётные запи-
33
 администрирование
си. Последствия представить не со- Как вы можете догадаться, если «ло- систем анализа и фильтрации контен-
ставляет труда. пух» выдавал учётную запись «богачу», та сообщений.
Однако время шло, пользова- то свои средства с этого счёта он уже Современные системы борьбы
тели стали больше внимания уде- больше никогда не видел. со спамом используют комплекс-
лять тому, на чьём сайте они нахо- В России в роли «нигирейских чи- ные инструменты для отсева спама
дятся и вводят персональные дан- новников» выступают члены правле- без ущерба для нормальной почты.
ные. Тогда злоумышленники проде- ния ЮКОСа, Ходорковский и прочие Это и занесение в чёрные списки се-
лали путь от бесплатного хостинга не менее популярные (и богатые) лич- тей, в которых, как заведомо извес-
(вида paypal.narod.ru) до ухищрений ности. К сожалению, как показывает тно, не могут находиться легальные
с адресной строкой. Например, url вида практика, доверчивые и жадные до ха- почтовые сервера (например, dial-up
http://www.paypal.com@somesite.com. лявы находятся. и dsl-диапазоны IP-адресов провайде-
На руку злодеям играли и уязвимос- Последним писком моды у спаме- ров), и bayes-технологии, и белые спис-
ти наиболее популярного браузера ров являются мошеннические «пись- ки, работающие по принципу повтора
(Internet Explorer). Так, например, од- ма счастья». Самым ярким примером почтовых адресов. Считается, что ес-
на из его версий позволяла скрыть такого спама была недавняя эпидемия ли письмо приходит с адреса, нахо-
весь адрес после «собаки». Догадать- Golden Stream. Наверное, все видели дящегося в адресной книге получате-
ся о подмене в таком случае станови- письмо, которое начиналось со слов ля или адреса, на который получатель
лось значительно сложнее и зачас- «Это НЕ спам, а действительно выгод- сам отправил несколько писем, – оно
тую слишком поздно. В наше время ное предложение...». В последующем не может быть спамом. И прочие но-
такая адресация запрещена в IE и вы- тексте объяснялась простейшая пира- вые технологии, появляющиеся, если
зывает специальное предупреждение мидальная схема – вам предлагалось и не каждый месяц, то каждые полго-
в Mozilla Firefox. заплатить 100 рублей автору письма, да-год точно. Во всяком случае их пре-
К сожалению, даже в наше время а потом переслать это письмо дальше, подносят, как новые.
в России работают старые уловки 90-х получив от каждого получателя по 100 Но не на все ухищрения можно
годов. Например, зарегестрировав поч- рублей. Как итог обещалось полное найти технологическую управу. Если
товый адрес mail.ru.admin@mail.ru и ра- счастье и всеобщее обогащение. Осо- те же «нигерийские письма» можно
зослав пару сотен сообщений с пред- бенностью рассылки является прямое фильтровать известными средства-
ложением «активации почтового ящи- вымогание денег и эффективность про- ми с весьма большим успехом (приме-
ка», всё ещё можно получить несколь- бивания фильтров «письмами счастья». няя весь арсенал – от чёрных списков,
ко ответов с персональными данны- К слову сказать, рассылка «писем счас- лингвистического анализа до сравне-
ми пользователей. А ведь контроль тья» не избежала и систем мгновенно- ния с известными образцами), полу-
над почтой даёт весьма обширные го обмена сообщениями типа icq. Час- чая на выходе хороший процент отсе-
возможности по извлечению с его то можно встретить сообщения вида: ва. То с «письмами счастья» всё да-
помощью и других учётных записей «Привет. UIN такой-то рассылает ви- леко не так просто. Те же самые бе-
(например, через различные службы русы! Не добавляй его в контакт-лист лые списки, о которых говорится выше,
напоминания забытых паролей). Ра- и сообщи всем своим знакомым!!!» начинают играть «против» антиспамо-
зумеется, это сработает только если Как показывает практика, остаётся до- вых систем. Причины, думаю, понятны.
украдена учётная информация основ- бавить в тело сообщения ссылку с тек- Проблемы возникают от сугубо техни-
ного ящика пользователя. стом вроде: «На всякий случай, лекарс- ческих до морально-этических. Напри-
Возможные варианты фишинга ог- тво от вируса находится здесь URL.» мер, нельзя поместить в чёрный спи-
раничиваются только фантазией зло- и, пожалуйста, – готова почва для весь- сок адрес отправителя, переславшего
умышленника и невнимательностью ма обширного инфицирования. Разуме- письмо счастья только на этом основа-
пользователей. Простор огромный, ется, не все откликнутся на такие сооб- нии, ведь он и нормальную корреспон-
а уровень компьютерной грамотности щения, но учитывая широкие контакт- денцию пишет. В таких случаях помо-
всё ещё оставляет желать лучшего. листы современного пользователя Ин- гает только активное проведение лик-
Одной из популярных схем мощен- тернета – и 10% отреагировавших хва- беза, но кто же будет этим занимать-
ничества были так называемые «ниге- тит для начала эпидемии. ся? В пределах одной организации это
рийские письма». Своё название они может быть и реально, а в пределах
получили по первому зарегестриро- Развитие антиспамерских mail.ru, yandex.ru, gmail.com?
ванному случаю в Нигерии. Суть их технологий У разных антиспам-систем раз-
сводится к тому, что якобы некий высо- Разумеется, в то время, когда спаме- ный подход и свои технические ре-
копоставленный чиновник (видный де- ры придумывали всё новые и новые шения, но их описание заняло бы ещё
ятель, актёр, криминальный деятель) возможности обмануть пользовате- несколько полос и выходит за рам-
сумел сделать себе немалое состо- лей и программные фильтры почтовых ки статьи.
яние, но теперь стоит перед пробле- систем, антиспамеры также не сидели
мой вывоза капитала из страны. Для без дела. Был пройден значительный Состояние спама
отмывания денег (разумеется, за боль- путь от банального ограничения бес- на 2005 год
шие комиссионные) ему нужен бан- контрольной пересылки почты через По информации спам-аналитиков ла-
ковский счёт какого-нибудь «лопуха». любой сервер до установки хитрых боратории Касперского 2005 год при-

34
 администрирование
нёс стабилизацию спама по части го подражания западным «коллегам» редко называют рупором мирового
объёмов рассылок и доходов, полу- и приспособился к рунету. Спамеры терроризма.
чаемых от спам-рекламы. Однако на- начали активно предлагать услуги
ращивание темпа всё же составляет по недвижимости, полиграфическую Прогнозы на будущее
5-6% в год. продукцию и услуги, крупную быто- В 2006 году ожидается в первую оче-
Стабилизация объёмов спама обус- вую технику, различные другие услуги редь последующее увеличение коли-
ловлена близостью к границе, за ко- (например, услуги грузчиков). В запад- чества спама. Спамеры, скорее все-
торой целесообразность использова- ном спаме таких предложений практи- го, станут умнее. Так как сейчас про-
ния электронной почты как средства чески нет, так как они не находят от- исходит повсеместный отказ почтовых
коммуникации находится под сомне- клика у аудитории. серверов от принятия почты с DSL-пу-
нием. Всё чаще отправителю сообще- Настораживает явная криминали- лов провайдеров, то и использование
ния приходится уведомлять получате- зация спама. Всё больше и больше мо- зомби-машин для отсылки сообщений
ля о факте отправки или же контроли- шеннических предложений попадает напрямую на сервера станет неэффек-
ровать процесс доставки сообщения, в ящики пользователей. Наиболее из- тивным. Вместо этого, наиболее веро-
так как выкинуть нужное письмо, за- вестные и обсуждаемые сейчас виды – ятно, начнут использоваться smtp-про-
терявшееся в полусотне спам-сооб- фишинг и фарминг. (Суть фарминга вадейров, настроенных пользователя-
щений, не составляет труда. сводится к автоматическому перена- ми инфицированных машин.
Экономическая эффективность правлению пользователей на фаль- Ожидается и увеличение доли «руч-
электронной почты снижается, пос- шивые сайты. В отличие от фишин- ного» спама за счёт растущей популяр-
кольку спам наносит существенный га новый метод хищения данных поч- ности фишинга и за счёт использова-
ущерб пользователям почты. Легко ти не требует участия потенциальной ния тех же технологий «писем счастья»
представить работника, получающе- жертвы.) Очевидно, что спам как биз- в рекламном спаме. «Ручной» спам по-
го почту без предварительной её филь- нес криминализируется. Об этом го- лучил своё название от способа его от-
трации и тратящего на её просмотр ворит и слияние спамерских и хакер- правки «вручную» без использования
половину рабочего дня. А это означа- ских технологий. Современное про- специализированного спамерского
ет снижение производительности со- граммное обеспечение спамера вклю- программного обеспечения.
трудника и убытки для работодателя. чает в себя специальные модули, поз- Технология отказа от сообщений
Не говоря уже о том, что, учитывая сто- воляющие производить рассылки че- с DSL-блоков станет повсеместной.
имость трафика в регионах, некоторые рез инфицированные троянами маши- По прогнозам, эпоха такого спама за-
компании вынуждены терпеть боль- ны пользователей, то есть изначально кончится в 2006-2007 году.
шие финансовые потери из-за беспо- рассчитано на взаимодействие с тро- Использование вирусами smtp-про-
лезного по сути трафика, генерируе- янской частью. вайдеров, настроенных пользователя-
мого спам-сообщениями. За последние два года мы име- ми, скорее всего, приведёт в свою оче-
На конференции «Проблема спама ли возможноть убедиться, что спам редь к ужесточению политики провай-
и её решения» основными тенденция- превращается в мощное оружие по- деров на отправку сообщений пользо-
ми спама за 2005 год были названы: литических игр и инструмент влияния вателями. Возможно, провайдеры при-
 Стабилизация количества и тема- на общественное сознание. По «зо- мут решение на установку контентной
тик спама. не покрытия» и эффективности спам фильтрации, так как в случае бездейс-
 Тематическое и техническое раз- вполне сопоставим с телевизионной твия они рискуют оказаться в чёрных
деление спама на разные геозоны рекламой, однако значительно дешев- списках большинства систем, что вряд
Интернета (рунет и «западный» Ин- ле обходится. Разумеется, при усло- ли обрадует пользователей.
тернет). вии, что подобный спам обошёл анти- Дальнейшее развитие спам-бизнеса
 Криминализация спама. спам фильтры. Агитационные листов- может закончиться как угодно. Вплоть
 Использование спама как инстру- ки больше не ограничены своими бу- до того, что в какой-то момент будет при-
мента информационных и полити- мажными носителями и мигрировали нято решение об оплате каждого элек-
ческих войн. в мир цифровой. тронного сообщения (на манер марок
В 2005 году лабораторией Каспер- бумажной почты) или введения ценза
В 2005 году наметилось явное раз- ского был зафиксирован новый тип на почтовую переписку с тотальным её
граничение спама для западных полу- «политического» спама. Речь идёт контролем. Вполне возможно, что это
чателей и русскоязычных. Спам для о спамерских кампаниях, направлен- окажется закатом электронной почты,
русских эволюционировал от прямо- ных на формирование необходимо- как основного средства коммуникации
го общественного мнения по вопро- в Интернете. Есть ещё и другие факто-
Лидеры спамерских рассылок в этом
году сам внутренней политики государс- ры, такие как криминализация и полити-
тва. Эти спам-атаки отличает хоро- зация спам-индустрии и перевешивание
Приглашения на семинары и курсы 14%
шая спланированность. Примером та- криминальной части спама по сравне-
Предложения «для взрослых» 12%
кой информационной кампании мо- нию с его рекламной составляющей.
Компьютерное мошенничество 11% жет служить спам со ссылками на не- При подготовке статьи использо-
Предложение лекарственных препаратов 9% безызвестный сайт «Кавказ-центр», ваны материалы с конференции «Про-
Дешёвый софт 7% который российские спец-службы не- блемы спама и её решения».

№12, декабрь 2005 35

 администрирование

IСQ: разрешить нельзя запретить

Павел Закляков
Если вы сомневаетесь, где правильнее в заголовке поставить запятую, то эта статья точно
для вас. Из неё вы узнаете о сути возникновения проблемы, а мы предложим два оптимальных
варианта решений, при которых «и волки сыты, и овцы целы».

У
ж сколько раз твердили миру, ные меры и зарабатываете дополни- ты среди персонала есть возможность
что русскому человеку нельзя тельные очки как руководитель, поз- потерять кадры, также не стоит забы-
вот так просто сказать «нет» воляете сотрудникам общаться по де- вать закон Нейсдра, что «можно сде-
ни по какому вопросу, потому что мы ловым вопросам с помощью этого за- лать защиту от дурака, но только от не-
можем обидеться и пользы от этого ни- мечательного средства с партнёрами. изобретательного».
кому не будет. Также не следует забы- Экономите время фирмы и нервы со- Средств по обходу «закрытой ICQ»
вать, что мы настолько изобретатель- трудников. Общение по ICQ – это быс- на сегодня масса и постоянно приду-
ная нация и у нас столько невостребо- тро и удобно. Телефон не занят звон- мываются новые. Так, если вы закрыли
ванных талантов, что мы тут же начнём ками по мелким вопросам. Если че- стандартный для ICQ порт 5190, то про-
искать, как обойти тот или иной запрет. ловек отошёл с рабочего места – со- грамма, путём небольших усилий,
Самое интересное, что решение обя- общения попадают в очередь. Удобно без проблем умеет работать по дру-
зательно будет найдено. В то же время и выгодно общаться с оппонентами гим портам. Если вы закрыли доступ
нас легко одурачить и ввести в заблуж- из других городов, а тем более дру- к основным серверам, то всегда мож-
дение. Поэтому руководитель, решаю- гих стран. С другой стороны, вы рис- но найти альтернативные, либо вос-
щий извечный вопрос: «ICQ в офисе: куете тем, что некоторые сотрудники пользоваться прокси. Если же вы за-
быть или не быть» должен учитывать будут отвлекаться от работы личным крыли доступ к прокси на обычных пор-
все эти нюансы. общением. тах, то пользователь может использо-
Принять решение бывает очень не- Принимая противоположное реше- вать какой-нибудь CGI-proxy [1-3], уста-
просто, открывая доступ к ICQ, с од- ние и закрывая доступ, вы должны по- новленный добрым дядей на далёком
ной стороны, вы принимаете популяр- нимать, что без разъяснительной рабо- сервере. Если есть удалённый хостинг

36

с Perl, то можно сделать ICQ самому
(http://www.gonzo.kiev.ua/projects/vicq),
но это не так просто как воспользо-
ваться готовым веб-сайтом, подде-
рживающим общение по ICQ. Именно
по ICQ, а не только между пользова-
телями сайта.
До последнего времени работал
веб-проект www.aska.ru, для того что-
бы воспользоваться своей ICQ, на-
до было просто зайти на этот сайт
и ввести свой логин и пароль. Се-
годня работающим проектом являет-
ся http://911.ru. Воспользоваться им
под силу даже персоналу, далёко-
му от техники. Аналогичный сервис
под названием icq2go есть и на офи-
циальном сайте ICQ. Если официаль-
ный сайт можно постараться закрыть,
то не стоит думать, что если закрыли
ICQ на всех портах, то и закроют все
известные веб-ICQ, а также будут пос-
тоянно отслеживать появление новых.
Практика жизни показывает, что это
не так даже в банках. В дело вступа-
ет человеческий фактор. Дотошных
админов, закрывающих аськи, нет
по той причине, что все они получа-
ют либо небольшую, либо конечную
зарплату, в то время как у них обыч-
но полно других дел. Однако следует
хорошо понимать, что уж если кто-то
необоснованно чем-то насолил адми-
ну, то он скорее из принципа, с особой
тщательностью и забесплатно, выпол-
нит указание руководства и всё закро-
ет по максимуму.
Другие подобные сайты появля-
ются постоянно и регулярно и так бу-
дет и дальше, поскольку это хоро-
шая возможность привлечь посети-
телей на свой сайт, чтобы показывать
баннеры и зарабатывать на этом де-
ньги. Например, на момент написа-
ния статьи веб-ICQ можно было най-
ти на http://www.domeni.info, http://www.
riska.ru/modules.php?name=web_icq
и др. При этом, если эти сайты окажут-
ся закрыты, то к ним также можно об-
ращаться через всякие анонимайзеры
и cgi-proxy, которые аналогично «мно-
жатся и дохнут как мухи». В общем, это
скорее философский вопрос борьбы
оружия и брони. Для наглядности по-
дытожим всё вышенаписанное в ви-
де таблицы.
Как видно, принять однозначное
решение, где поставить запятую в за-
головке, сложно. Я не хочу склонять
№12, декабрь 2005
администрирование
Таблица. Основные доводы «за» и «против» использования ICQ
Разрешить ICQ Запретить ICQ
«+»: Простота, быстрота и удобство общения с посто- «+»: Сотрудники не будут отвлекаться от работы.
янными партнёрами, меньше проблем и бюрокра- «-»: Угроза безопасности: есть вероятность появления
тии. «левых» шлюзов в Интернет, в обход основного
«+»: Ниже затраты на телефонные переговоры, теле- канала.
фонные линии меньше заняты. «-»: Повышение уровня занятости телефонных линий
«+»: Популярная мера. и рост расходов на связь.
«+»: Короткое общение снимает стресс. «-»: Не популярная мера.
«-»: Угроза безопасности: возможна утечка нежела- «-»: Больше времени тратится на общение с труднодо-
тельной информации. ступными и удалёнными партнёрами.
«-»: Угроза безопасности: если программу ICQ-клиен- «-»: Психологический момент запрета для тех, кто при-
та ставит пользователь – возможны вирусы. вык пользоваться.
«-»: Отвлечение от основной работы и «болтовня» «-»: Затраты времени сотрудников на обдумывание
не по делу. вопроса «Как обмануть систему?».
«-»: Есть небольшая вероятность увольнения сотруд-
ников.
вас к выбору того или иного решения, часть на том же сервере, которая, мас-
ведь у вас могут быть и другие влия- кируясь под того или иного пользовате-
тельные факторы, однако я хотел бы ля, подключалась бы к настоящим сер-
предложить два возможных варианта верам от его имени. При этом клиент-
решения проблемы. ская часть могла бы получать сообще-
Первый вариант более интересный, ния и помещать их во внутреннюю БД,
но в то же время более сложный, поэ- делая их доступными для внутренне-
тому я про него расскажу лишь толь- го пользования. Также она бы могла
ко в качестве идеи с задатком на воз- отправлять сообщения во внешний
можную будущую реализацию. мир. Клиентов, в том числе и распро-
Второй вариант решения пробле- страняемых под лицензией GNU Public
мы попроще, его практическое реше- License, множество. Значит, реали-
ние мы сегодня рассмотрим. зация этой идеи лишь дело времени
и желания.
Интерактивный Теперь, если предположить что
фильтрующий идея реализовалась и мы имеем рабо-
ICQ-прокси-сервер чий ICQ-прокси-сервер, то почему мы
Не помню, как давно я попал на стра- не можем сделать на нём фильтрацию
ничку Александра Шутко с его проек- сообщений (см. рис. 1)?
том IServerd [4] по созданию ICQ-сер- Руководитель, отвечающий за то,
вера на базе Linux/*BSD с хранени- кому можно пользоваться ICQ, а кому
ем всех сообщений в БД PostgreSQL, нет, через специальную форму адми-
но именно в тот момент я понял, на- нистрирования в определённую таб-
сколько этот проект интересен и куда личку БД прописывает разрешённые
его можно развить. Как мне кажется, ICQ-контакты. Например, для поль-
на базе данного проекта сделать пред- зователей отдела бухгалтерии, ко-
лагаемую реализацию будет гораздо му с кем можно общаться. Также про-
проще. Также на сайте [4] имеется до- писываются разрешённые контакты
статочно информации по протоколам для каждого ICQ-пользователя из от-
ICQ и всем с ними связанным. дела продаж, с кем они могут общать-
Если можно сделать свой собствен- ся, аналогично и для всех остальных
ный сервер ICQ и обязать пользовате- отделов. Если пользователю по дол-
лей оправлять сообщения через него, гу службы нужна ICQ, то с разрешён-
то почему нельзя сделать клиентскую ными контактами работа идёт в про-
Рисунок 1. Схема фильтрации сообщений
37
 администрирование
зрачном режиме без каких-либо про-
блем. В то же время, общение с дру-
гими (не разрешёнными) пользовате-
лями фильтруется. А чтобы сообще-
ния не терялись, сервер может высы-
лать ответные сообщения о недостав-
ке внешним пользователям. Например:
«Ваше сообщение «.....», отправлен-
ное пользователю Ivanov нашей се-
ти, не было доставлено, так как обще-
ние по ICQ в рабочее время на фирме
XXXXX запрещено решением руко-
водства №148 от 29.09.2005».
Внутренним пользователям может
выдаваться сообщение другого содер-
жания, например «Общение с поль-
зователем ICQ 32323232 вам запре-
щено, если общение вам необходи-
мо по работе – обратитесь к началь-
нику IT-отдела для получения разре-
шения». Как вариант, можно сделать
временные рамки, когда будет рабо-
тать фильтрация, скажем с 9 до 18.
Можно даже учесть обеденный пере-
рыв. А фильтруемые сообщения ра-
зумнее не выбрасывать, а сохранять
в буфер, чтобы их можно было полу-
чить в разрешённый для работы ин-
тервал времени.
Как появится возможность, плани-
рую создать проект и заняться реали-
зацией задуманного. Даже если меня
кто-то опередит и создаст свой проект
раньше, то пишите, я с удовольствием
стану его участником. Форум журнала
(http://samag.ru/cgi-bin/yabb/YaBB.pl) –
отличное место для старта описан-
ной идеи.
Просмотр сообщений ICQ
Если фильтрующий прокси-сервер
может работать без участия людей
и обойти его при грамотной реализа-
ции невозможно, то данная схема бо-
лее простая и более лояльная. Также
она требует сдерживающего фактора
вроде человека на случай, если кто-то
будет превышать рамки допустимого
в общении и будет сильно отвлекаться
от работы. Как говорится: «на то и щу-
ка, чтобы карась не дремал».
Я не психолог и не кадровый работ-
ник, чтобы оценить, какая из двух схем
более эффективна с точки зрения мо-
тивации сотрудников к работе, но мо-
гу предположить, что в той или иной
степени полезны будут обе. Все запре-
ты обычно исходят не из соображений
«запретить из принципа» (хотя и такое
38
Рисунок 2. Нормальное распределение.
«Всплески» превышающие утроенное
средне квадратическое отклонение
можно считать практически невозможными
[18]
бывает), а скорее из разумности и но-
сят статистический характер. Как бы
мы ни хотели, но от теории вероят-
ностей и нормального распределения
нам никуда не уйти потому как это на-
ша жизнь. Мы, люди – «аналоговые
существа», а не цифровые компью-
теры с нулями и единицами. Хотя, на-
сколько компьютеры цифровые мож-
но поспорить, для этого достаточно
посмотреть на нечёткую логику, ней-
ронные сети и на те же «прямоуголь-
ные» тактовые импульсы в увеличении
и убедиться, что они никакие не пря-
моугольные, как это принято считать
при первом приближении. Нельзя нам
сказать «0», то есть «нет», достаточ-
но вспомнить известную русскую по-
говорку «если нельзя, но очень хочет-
ся, то можно», чем вам не иллюстра-
ция выбросов за пределы интервала
в три сигма при нормальном распре-
делении (см. рис. 2)?
Причём избежать или защититься
от этих выбросов вы вряд ли сможете,
потому как в теории существует не ну-
левая вероятность очень больших от-
клонений. И тут уже сложно предуга-
дать, кто окажется сильнее, вы или
выброс. Если вы начальник, то не на-
до безумствовать, закручивая гай-
ки при принятии своих решений, ра-
но или поздно вы можете столкнуть-
ся с тем, что вы пытаетесь сжать жид-
кость, которая, как известно из курса
общей физики, плохо поддаётся сжа-
тию. Скорее всего, протечёт в дру-
гом месте.
Например, нет гарантии, что ка-
кой-нибудь продвинутый пользова-
тель не подключит к своему компью-
теру телефон Sky-Link или GPRS с це-
лью обойти ваш запрет по ICQ и тог-
да ваши чрезмерные усилия приведут
к появлению лишнего шлюза из гло-
бальной сети в локальную, что вряд ли
одобрит служба безопасности фирмы.
Никто в жизни не будет закрывать вы-
пускной клапан у скороварки, так как
её от этого может разорвать. Согласи-
тесь, ситуации очень похожие. Поэто-
му, «если какое-то движение не под-
даётся вашему контролю, то надо его
возглавить!», чем мы займёмся.
Мы создадим страничку, на ко-
торой руководство или контролиру-
ющее лицо, а также сами пользова-
тели, смогут смотреть свои и чужие
сообщения. В результате просмот-
ра будет получен однозначный ответ
«а по каким вопросам общаются поль-
зователи сети, не отвлекаются ли они
от работы?». При этом можно публич-
но и «прозрачно» наказывать, либо
отчитывать на общих собраниях тех
или иных провинившихся пользова-
телей. И тут, при грамотной реализа-
ции сдерживающего фактора («кнута»,
а возможность общения – это «пря-
ник»), реализуется принцип свободы
выбора, при котором психологически
люди себя чувствуют лучше, чем в ок-
ружении железных запретов. Лучше
чувствуют – значит есть вероятность,
что лучше будут работать.
Чем лучше хватать
ICQ-сообщения?
Я не хочу обсуждать вопросы этичнос-
ти, морали, тайны переписки и закон-
ности, каждый на эту тему пусть поду-
мает самостоятельно, но программ, ре-
ализующих перехват и показ ICQ со-
общений на сегодня существует мно-
жество. Вот лишь ссылки [5-9] на не-
которые наиболее популярные из них.
Из массы просмотренных программ не
подошла ни одна по тем или иным при-
чинам. Почти все программы работа-
ют под Windows и не имеют исходных
текстов, то есть что-то подправить и на-
строить под собственные запросы бу-
дет сложно. Помимо этого, многие про-
граммы коммерческие, а их «триаль-
ные» и урезанные версии не самое
лучшее решение.
Перехватчиков много по той при-
чине, что все хотят заработать на этом
денег, а написать такую программу
специалисту не очень сложно. ICQ-со-
общения передаются по сети в откры-
том виде, поэтому даже вы у себя мо-
жете поставить эксперимент. Взять се-
тевой сниффер под любую операци-
онную систему и запустить его, что-
бы он перехватывал пакеты целиком,
а не только заголовки. Далее, просто
просматривая всё перехваченное гла-
 администрирование
зами, вы быстро найдёте читаемый текст сообщений среди взять всё остальное. Библиотеку pcap можно скачать тут:
прочего нечитаемого мусора. Фактически все программы, ftp://ftp.ee.lbl.gov/libpcap.tar.Z. Все остальные perl-моду-
делающие перехват ICQ-сообщений, просматривают дан- ли стоит искать на http://search.cpan.org, вводя их имена
ные за вас, находят сообщения и выводят вам их в краси- в окошке для поиска.
вых окошках и табличках. Иногда эти функции дополняют- В результате поисков получаем конечные ссылки
ся некоторым удобным сервисом вроде поиска, фильтра- для скачивания:
ции и пр. Даже если «менюшечный» сервис очень удобен,  http://search.cpan.org/CPAN/authors/id/T/TI/TIMPOTTER/
выделять отдельный компьютер для просмотра ICQ-сооб- Net-Pcap-0.04.tar.gz
щений – это дорого, поэтому проще всего перехватывать их  http://search.cpan.org/CPAN/authors/id/A/AT/ATRAK/
на шлюзе. А шлюзы обычно делают на FreeBSD или Linux, NetPacket-0.04.tar.gz
поэтому для нашей задачи надо найти что-то более подхо-  http://search.cpan.org/CPAN/authors/id/G/GA/GAAS/
дящее, с открытым кодом, желательно под лицензией GPL Unicode-String-2.07.tar.gz
и умеющее работать с базами данных.  http://search.cpan.org/CPAN/authors/id/E/EH/EHOOD/Proc-
Не желая писать программу, я занялся поиском, и единс- Daemon-0.03.tar.gz
твенное наиболее удачное, что я нашёл в сети, – это про-  http://search.cpan.org/CPAN/authors/id/M/MS/MSCHILLI/
ект AIM Sniff [10] (автор Shawn Grimes). Поскольку ICQ была Proc-Simple-1.21.tar.gz
выкуплена фирмой America Online (AOL), то используемый  h t t p : / / s e a r c h . c p a n . o r g / C PA N / a u t h o r s / i d / M / M H /
в последних версиях ICQ протокол OSCAR (Open System MHARNISCH/Syslog-0.97.tar.gz
for Communication in Realtime) и протокол AIM, как бра-  http://search.cpan.org/CPAN/authors/id/C/CA/CAPTTOFU/
тья-близнецы, очень похожи, если не сказать, что это поч- DBD-mysql-3.0002.tar.gz
ти одно и то же, поэтому слово AIM не должно вас пугать.
На сегодня AIM Sniff – это живой проект, с автором кото- Если вы решите сделать «по-своему» и не делать вы-
рого можно связаться по почте. На сайте имеется действу- вод в БД, то можете модуль DBD::mysql не скачивать
ющий форум, где не очень бурно обсуждаются различные и не ставить.
проблемы проекта. Ставим libpcap.tar.Z., для этого распаковываем архив,
например, в директорию /progi:
Реализация с помощью AIM Sniff
AIM Sniff, если говорить о версии 0.9d, – это небольшая # cat libpcap.tar.Z|tar -xvz -C /progi
(~43 Кб) программа на Perl – aimSniff.pl +6 дополнитель-
ных файлов: Заходим внутрь:
 ChangeLog – изменения в версиях.
 README – документация и информация об установке; # cd /progi/libpcap-0.4
 aimsniff.config – шаблон конфигурационного файла.
 install.pl – программа, помогающая автоматизировать Запускаем конфигурирование и создание Makefile
процесс установки AIM Sniff и необходимых для него под вашу систему:
модулей (можно обойтись и без неё).
 rc.aimsniff – скрипт автоматизации запуска для помеще- # ./configure
ния в /etc/rc.d/init.d.
 table.struct – SQL-файл, создающий необходимую струк- Запускаем компиляцию:
туру таблиц в БД MySQL.
# make
Несмотря на кажущуюся первоначальную простоту,
для успешного запуска потребуются, естественно, язык Perl, Устанавливаем скомпилированное:
библиотека pcap (libpcap.tar.Z) и установленные модули:
 Net::Pcap  DBD::mysql # make install
 NetPacket::Ethernet  Unicode::String
 NetPacket::IP  Proc::Daemon Далее ставим модули. Каждый модуль аналогичным об-
 NetPacket::TCP  Proc::Simple разом распаковываем:
 NetPacket::UDP  Unix::Syslog
 DBI # cat файл_архива_модуля.tar.gz|tar -xvz -C /progi

Все эти модули в процессе инсталляции могут быть Заходим внутрь:

установлены автоматически, если использовать install.
pl. Однако я с неохотой доверяю подобным непроверен- # cd /progi/директория_модуля
ным средствам, так как не редки случаи сбоев, и пред-
почитаю ставить всё «руками», поэтапно решая задачу Запускаем конфигурирование и создание Makefile
и более глубоко вникая в то, что происходит. Предпола- под вашу систему:
гая, что perl у вас скорее всего стоит, не будем рассмат-
ривать его установку, а рассмотрим ссылки, где можно # perl Makefile.PL

№12, декабрь 2005 39

 администрирование
Запускаем компиляцию: нацию. После чего адаптация их программ под наши зада-
чи кажется делом пустяковым.
# make С учётом того, что Shawn Grimes согласился разместить
у себя на страничке http://www.aimsniff.com/downloads.html
Как вариант можно запустить тесты: модифицированный aimSniff.pl, не имеет смысл рассказы-
вать о том, что и как было исправлено, поэтому просто ска-
# make test чиваем «Cyrillic Patched AIM Sniff». Распаковываем архив
и используем вместо aimSniff.pl файл aimSniff.Cyr.pl. Если же
однако смысла особого в этом нет, потому как у меня неко- кому-то интересно, какие были внесены изменения, и есть
торые тесты не прошли, а программа работала правильно. желание присоединиться к проекту, то добро пожаловать
Чтобы не тратить время, сразу после компиляции устанав- на форум сайта.
ливаем скомпилированные модули: Замечание. На момент написания статьи случайно вы-
яснилось, что небольшой процент русских сообщений не-
# make install правильно декодируется. Скорее всего, к выходу журнала
из печати эта проблема будет уже решена.
После того как все модули установлены, можно попы-
таться запустить файл aimSniff.pl, если все модули стоят, Тестовый запуск
то он успешно запустится и начнёт перехватывать пакеты, Как сказано в README, пробуем запустить программу
если же чего-то не стоит, то вы увидите сообщение об ошиб- в тестовом режиме:
ке, что-то вроде:
# ./aimSniff.Cyr.pl -nodb
# ./aimSniff.pl
Can’t locate NetPacket/Ethernet.pm in @INC Возможно, будет проще отдельно на шлюзе времен-
(@INC contains: /usr/lib/perl5/5.6.1/i386-linux но запустить сниффер, который скинет в файл часть тра-
/usr/lib/perl5/5.6.1 /usr/lib/perl5/site_perl/5.6.1/i386-linux
/usr/lib/perl5/site_perl/5.6.1 фика:
/usr/lib/perl5/site_perl /usr/lib/perl5/vendor_perl/5.6.1/i386-linux
/usr/lib/perl5/vendor_perl/5.6.1 # tcpdump -s 10000 -i eth0 src or dst port 5190 ↵
/usr/lib/perl5/vendor_perl .) at ./aimSniff.pl line 37. -w /path/traffic_dump.bin
BEGIN failed--compilation aborted at ./aimSniff.pl line 37.
(Учитывая, что MTU обычно 1500, snap length(ключ -s)
или в 10000 может показаться большим, но тут от этого явно
хуже не будет.) после файл дампа переписать на компью-
# ./aimSniff.pl тер с AIM Sniff и запустить команду:
Can’t locate Unicode/String.pm in @INC
(@INC contains: /usr/lib/perl5/5.6.1/i386-linux # ./aimSniff.Cyr.pl --nodb -r=traffic_dump.bin
/usr/lib/perl5/5.6.1 /usr/lib/perl5/site_perl/5.6.1/i386-linux
/usr/lib/perl5/site_perl/5.6.1
/usr/lib/perl5/site_perl /usr/lib/perl5/vendor_perl/5.6.1/i386-linux вы должны увидеть не экране перехваченные сообщения
/usr/lib/perl5/vendor_perl/5.6.1
/usr/lib/perl5/vendor_perl .) at ./aimSniff.pl line 42. в читаемом виде.
BEGIN failed--compilation aborted at ./aimSniff.pl line 42. При желании сообщения можно перенаправить в текс-
товый файл, например:
откуда легко понять, какой модуль вы ещё не установи-
ли. Если программа запустилась без ошибок, выдав что- # ./aimSniff.Cyr.pl --nodb>>/var/www/html/icq_messages_log.txt
то вида:
А этот файл уже можно скачивать и просматривать с по-
############################# мощью веб-сервера и браузера. Однако несмотря на то,
AIM Sniff v. 0.9d
Developed by: Shawn Grimes что в текстовом файле можно делать поиск, на мой взгляд,
############################# лучше сообщения сохранять в базу данных, где при гра-
мотной организации возможности по работе с сообщени-
Beginning Sniff...
FILTER: port 5190 ями намного шире.
Если тестовый запуск прошёл успешно, то, возможно,
то это лишь только половина успеха, потому как пользова- имеет смысл скопировать файл aimSniff.Cyr.pl в директорию
тели зарубежной части Интернета часто и не знают о су- /usr/local/bin и запускать его в дальнейшем оттуда.
ществовании великого и могучего русского языка, не го-
воря уже о наших изобретательных админах, талантливых Запись сообщений в базу данных
программистах и прочих специалистах. Если в своё время AIM Sniff умеет работать с СУБД MySQL [15-17]. Предпола-
мы подковали их блоху, а наши космонавты умудрились гаю, эта СУБД у вас уже установлена.
починить американский космический корабль за два часа, Для организации сохранения в базу данных необходи-
который, по словам американцев, они не смогли починить мо сделать три вещи:
за два месяца, с помощью «молотка, зубила и какой-то ма- 1. Создать базу данных aimsniff с необходимой структурой
тери», то от этого начинаешь чувствовать гордость за нашу таблиц.

40

2. Создать учётную запись пользователя для работы с БД
aimsniff, установить ей пароль и дать соответствующие
права.
3. Прописать настройки в конфигурационный файл, что-
бы не вводить их каждый раз в командной строчке.
Первая делается довольно просто, с консоли компьютера,
где установлена СУБД MySQL, запускаем две команды:
администрирование
Третье, конфигурационный файл не обязателен, но его
использование упрощает жизнь, хотя он и является потен-
циально уязвимым местом в том случае, если там будут хра-
ниться пароли к БД. Проще всего воспользоваться шабло-
ном aimsniff.config. Если у вас есть возможность – напиши-
те этот файл с нуля, потому как шаблон «кривой». Если же
набирать лень – найдите утилиту dos2unix и с её помощью
исправьте символы перевода строк с «0D 0A» на «0A»:

# mysqladmin create aimsniff # dos2unix -n aimsniff.config aimsniff.conf

# mysql aimsniff < table.struct

В результате, вначале будет создана БД aimsniff, а за-Если у вас нет под рукой dos2unix, возможно, вас вы-
тем в ней четыре таблицы: ручит команда tr.
 buddies  logs В остальном шаблон очень простой и маленький (менее
 handles  versions одного экрана), поэтому заполнить все параметры, в том
числе и относящиеся к БД: host, user, password, database,
Если у вас БД находится под паролем, то вторая ко- nodb, должно быть не сложно даже при отсутствии ком-
манда будет: ментариев.
После проделанных шагов AIM Sniff можно запускать
# mysql -D aimsniff -u root -p ↵ командой:
[пароль_root_в_СУБД_MySQL]< table.struct

Пароль можно ввести как с консоли, так и в команд- # /usr/local/bin/aimSniff.Cyr.pl ↵

ной строчке. Подключившись к БД, мы можем увидеть,
что структура таблиц не очень сложная:
# mysql -D aimsniff -u root -p
mysql> describe имя_таблицы;
-C=/путь/конфигурационный_файл.conf
Для постоянной работы программы это не очень удобно,
потому как занимается консоль. Можно, конечно, запустить
команду со знаком «&» в конце (повесив процесс выпол-
няться в фоновом режиме) и «nohup» перед ней (на случай
если вы соберётесь вдруг закрыть консоль) или даже запус-
тить программу в режиме демона, указав ключ -D, но это
не спасёт вас от сбоев и перезагрузок. Сбои надо отслежи-
вать отдельно, например, написав небольшой скрипт и ор-
ганизовав его запуск через crontab. Этого мы делать не бу-
дем, а вот как организовать автоматический останов и за-
пуск программы, рассмотрим ниже.

Автоматический запуск
Изобретать велосипед не придётся, воспользуемся стан-
дартной системой многоуровневой загрузки, взятой из UNIX
System V и используемой в RedHat Linux, Fedora Core
и других дистрибутивах Linux. Для этого поместим файл
rc.aimsniff в /etc/rc.d/init.d, переименовав в aimsniff:

# cp /progi/aimsniff-0.9d/rc.aimsniff /etc/rc.d/init.d/aimsniff

Установим атрибут выполнимости

Второй момент решается средствами СУБД при помо-
щи следующей команды:
mysql> GRANT ALL ON aimsniff.* TO aimsniff@hotsname ↵
IDENTIFIED BY 'пароль_к_БД_aimsniff';
# chmod +x /etc/rc.d/init.d/aimsniff
Далее, в зависимости от того, где у вас находится про-
грамма и её конфигурационный файл, правим в нём стро-
ку запуска:

где hostname – имя хоста, с которого будет осуществлять- /usr/local/bin/aimSniff.Cyr.pl -C=/usr/local/etc/aimsniff.conf

ся обращение к БД, скорее всего, у вас это будет localhost.
Также не забудьте дать команду: После чего запуск можно осуществлять командами:

mysql> FLUSH PRIVILEGES; # /etc/rc.d/init.d/aimsniff start

чтобы изменения сразу вступили в силу. или

№12, декабрь 2005 41

 администрирование
# service aimsniff start

а для остановки можно использовать те же команды с па-

раметром stop. Далее необходимо сделать ссылки для тре-
буемых уровней загрузки.
Если вы использовали install.pl для установки, последую-
щие процедуры вам всё равно придётся проделать руками.

# ln -s ../init.d/aimsniff /etc/rc.d/rc3.d/S89aimsniff
# ln -s ../init.d/aimsniff /etc/rc.d/rc0.d/K10aimsniff
# ln -s ../init.d/aimsniff /etc/rc.d/rc6.d/K10aimsniff

Цифры 89 и 10 у вас могут быть другими. В моём слу-

чае они выбраны из тех соображений, что у меня СУБД
MySQL и AIM Sniff расположены на одной машине, поэто-
му есть файлы S78mysqld и K12mysqld, отвечающие за за-
пуск и останов MySQL. Получается: 10<12, а 89>78, то есть Рисунок 3. Результаты работы программы script1.php
запуск AIM Sniff будет выполняться после того как старто-
вала база данных, а останов, наоборот, раньше. echo "<td>".$row[6]."</td>";
echo "</tr>";
В результате создания ссылок, система записи сооб- }
щений в БД должна автоматически стартовать на третьем echo "</table>";
?>
уровне и завершать свою работу при переходе на нулевой </body>
(останов) или шестой (перезагрузка). </html>

Просмотр перехваченных Результат работы скрипта см. на рис. 3.

ICQ-сообщений из БД Меняя запросы в переменной $request, например
После того как сообщения попали в БД, мы встречаемся на «SELECT * FROM logs WHERE id>100 LIMIT 100», мож-
с ещё одной проблемой – как их просматривать. Обычно эта но вывести следующие 100 сообщений или вывести все
проблема не стоит остро, потому как есть универсальный сообщения за последние три дня: «SELECT * FROM logs
phpMyAdmin[19]. В нашем случае данные довольно просты, WHERE unix_timestamp(now())-unix_timestamp(ts)<3*24*60*
поэтому напишем небольшой скрипт на php. Он будет под- 60». В целом, если вы умеете писать запросы к БД, то всё
ключаться к БД, делать запрос на получение данных и да- довольно просто и все дальнейшие возможности находят-
лее будет печатать на экран их в виде таблицы. Файл на- ся в ваших руках.
зовём script1.php
Лучшее – враг хорошего
<html> Для удобства использования можно создать две таблицы
<head>
<title>ICQ message database</title> в БД. В одной, например, можно хранить IP-адреса (если
<meta name="content" http-equiv="Content-Type" ↵ они статические) локальных пользователей с их именами
CONTENT="text/html; charset=koi8-r">
</head> и внутренними телефонами.
<body> CREATE TABLE 'localusers' (
<?php 'ip' VARCHAR(20) NOT NULL ,
$server="localhost:3306"; 'name' VARCHAR(30) NOT NULL ,
$login="aimsniff"; 'phone' VARCHAR(10) NOT NULL ,
$password="aimpassword"; PRIMARY KEY ('ip')
);
$conn=mysql_connect($server,$login,$password);
$color=1;
$request="SELECT * FROM logs LIMIT 100"; А в другой – IСQ-номера с никами или комментариями.
$result=mysql("aimsniff",$request,$conn);
echo "<table border=\"1\">";
echo "<tr align=\"center\" bgcolor=\"lightgrey\"><td>id</td> CREATE TABLE 'nicnames' (
<td>timestamp</td> 'icq' VARCHAR(255) NOT NULL ,
<td>local IP</td> 'nickname' VARCHAR(50) NOT NULL ,
<td>from UID</td> PRIMARY KEY ('icq')
<td>to UIN</td> );
<td>direction</td>
<td>message</td></tr>»; (Типы полей не оптимальны, они выбраны из соображения
while($row=mysql_fetch_array($result))
{ совместимости с имеющейся БД aimsniff.)
if ($color) { echo "<tr bgcolor=\"#FBE0E0\">"; $color=0; } Теперь вместо непонятных IP-адресов можно выводить
else { echo "<tr>»; $color=1; }
echo "<td>".$row[0]."</td>"; вполне понятные имена и номера телефонов. Скажем, что-
echo "<td>".$row[1]."</td>"; бы можно было позвонить нерадивому пользователю и на-
echo "<td>".$row[2]."</td>";
echo "<td>".$row[3]."</td>"; помнить о том, что на работе работают, а не болтают по лич-
echo "<td>".$row[4]."</td>"; ным вопросам.
if ($row[5]=="00040007") { echo "<td>&lt;--</td>"; }
elseif ($row[5]=="00040006") { echo "<td>--&gt;</td>"; } Варианты реализации могут быть разными. Мне ка-
else { echo "<td>".$row[5]."</td>"; } жется, что проще сделать несколько усложнённый запрос

42

к БД, содержащий в себе, например, левое внешнее объ-
единение:
$request="SELECT logs.id,logs.ts,logs.ip,logs.fromHandle,
logs.handle,logs.direction,logs.message,
localusers.name
FROM logs LEFT JOIN localusers ON ↵
logs.ip=localusers.ip LIMIT 100";
Вывод будет на один столбец больше (чем в скрипте).
В «лишнем» столбце будет указываться имя локального
пользователя.
Для того чтобы его увидеть на веб-странице, надо прос-
то дописать ещё одну строчку:
echo "<td>".$row[6]."</td>";
Думаю, и так понятно где. Как вариант, количество стол-
бцов можно не увеличивать. Например, в графе «local IP»
можно выводить имена, если они известны, либо IP-адре-
са в противном случае. Наглядно данный вопрос реализу-
ется следующим кодом:
if ($row[7]) { echo "<td>".$row[7]."</td>"; } <meta http-equiv="Content-Type" ↵
else { echo "<td>".$row[2]."</td>";
Кому-то может показаться более удобным использова-
ние имён столбцов в том виде, как они выводятся из базы
данных, вместо подсчёта номеров начиная с нуля, тогда вы-
вод будет выглядеть так:
if ($row['name']) { echo "<td>".$row['name']."</td>";
else { echo "<td>".$row['ip']."</td>"; }
Аналогичным образом можно заменить номера ICQ ни-
ками из другой таблицы. Те же, кто хорошо знаком с язы-
ком SQL, могут попробовать решить эту задачу средства-
ми СУБД.
Web AIM Sniff (WAS)
На сайте проекта www.aimsniff.com вы также можете най-
ти Web AIM Sniff (WAS) – это небольшая программка, точ-
нее несколько скриптов на PHP, специально написанных
для просмотра сообщений из БД, создаваемой програм-
мой AIM Sniff. Поставляются они отдельно, и для их рабо-
ты необходимо, чтобы у вас уже были установлены язык
PHP с поддержкой MySQL и веб-сервер Apache. По сути
это то, во что может развиться написание вами собствен-
ного скрипта. Скачать WAS можно на том же сайте в раз-
деле Download. Однако на сегодня программа (во всех её
версиях) является «сырой» и рекомендовать её читателям
мне не хотелось бы, поскольку она адаптирована для AIM,
пока ещё не понимает русских букв и не может даже отоб-
разить сообщения, хотя может строить красивые графи-
ки. Shawn Grimes не очень оперативно, но реагирует на за-
мечания и присылаемые ему патчи, так что есть надежда,
что в будущем (может, и благодаря вашим усилиям) ситуа-
ция изменится, так что следите за сайтом и форумом.
Если же кто-то захочет рискнуть и разобраться с про-
ектом WAS самостоятельно, вам пригодятся несколько со-
ветов:
 Скачивайте CVS-версию, там исправлена ошибка деле-
ния на 0 при отсутствии сообщений в БД.
№12, декабрь 2005
администрирование
 WAS использует упрощенные теги «<? ?>» (вместо бо-
лее правильных «<?php ?>»), поэтому необходимо их
включить. Для этого надо в /etc/php.ini прописать «short_
open_tag = On».
 Конфигурационный файл .config.php. Если вы не може-
те сменить конфигурацию во вкладке «admin», а туда
вы, наверно, обратитесь в первую очередь, чтобы про-
писать вашу БД, то, скорее всего, у вас проблемы с пра-
вами доступа к файлу конфигурации. Решить эту про-
блему можно, задав для файла группу apache (так как
от этого имени скорее всего работает ваш веб-сервер,
а значит и все выполняемые им скрипты, т.е. в том числе
и WAS) и открыть для на неё разрешение на запись:
# chgrp apache .config.php
# chgrp g+w .config.php
 Вывод сообщений, содержащих кириллицу, может не ра-
ботать так, как вы этого ожидаете, по той причине, что
все php-файлы в своём заголовке содержат другую ко-
дировку.
content="text/html; charset=iso-8859-1">
Вопрос решается заменой кодировки на koi8-r (или
windows-1251 в зависимости от вашего случая) во всех
неправильно отображающих php-файлах. Так же
в aimSniff.Cyr.pl есть пара строчек, отвечающих за пе-
рекодирование русских букв, которые без проблем на-
} ходятся при просмотре «вручную», либо через поиск
по ключевым словам «translation» или «cp1251». Навер-
ное, было бы разумнее везде использовать utf-8, но про-
цесс перехода на эту кодировку, особенно на старых
серверах, идёт со скрипом и без энтузиазма.
Замечание 1. Так как изначально планировалось раз-
мещать все сообщения на всеобщее обозрение, может
возникнуть ситуация, когда тот же начальник, решивший
организовать у себя эту систему, может оказаться под её
просмотром, чего ему или ей, естественно, не хотелось бы.
В этом случае можно поступить двумя способами. Первый,
демократический – смириться с тем, что правила для всех
должны быть едины. Второй, как всегда, – сделать исключе-
ние. В этом случае можно сделать небольшую фильтрацию
по «закрытым» номерам ICQ, сообщения которых не долж-
ны показываться. Дописав, например, к запросу:
WHERE fromHandle <>'1111112' AND handle<>'1111112'
При желании можно вообще сделать два скрипта, а в иде-
але, можно усложнить БД, организовав некоторое подобие
мандатной политики безопасности, присвоив каждому но-
меру ICQ свой уровень в отдельной таблице. Аналогичные
уровни можно присвоить и просматривающим. Можно коп-
нуть ещё глубже и внести изменения в AIM Sniff, тогда со-
общения даже в базу данных попадать не будут. Тут тоже
всё зависит от вашей фантазии и возможностей, например,
для удобства можно даже какое-нибудь ключевое слово или
последовательность, встречая которые в теле сообщения
разборщик не будет вносить сообщения в базу.
43
 администрирование
Замечание 2. Если просматривающий скрипт вместе
с веб-сервером будут запущены на шлюзе, имеющем до-
ступ из сети Интернет, то может возникнуть необходимость
создания защиты от просмотра сообщений «чужим глазом».
Если доступ к веб-серверу снаружи не нужен, то вопрос
можно решить парой правил для iptables:

# iptables -I INPUT -i $exterbal_interface -p tcp

-d $perver_ip --dport 80 -j DROP
# iptables -I INPUT -i $exterbal_interface -p tcp
-d $perver_ip --dport 443 -j DROP

но чаще доступ нужен и снаружи тоже. В этом слу-

чае ограничивать доступ придётся правами самого веб-
сервера. Для этого правим конфигурационный файл
/etc/httpd/conf/httpd.conf, дописав туда строчки:

<Directory /var/www/html/was>
Order deny,allow
Deny from all
Allow from 192.168.0.0/255.255.255.0
</Directory>

где 192.168.0.0/255.255.255.0 – есть адреса локальной се-
ти, откуда доступ разрешён. Если диапазон внутренних ад-
ресов жёстко не определён или также нужен доступ сна-
ружи, скажем из других филиалов, то можно организовать
парольную защиту. Для этого необходимо создать файл
с учётными записями пользователей, куда занести инфор-
мацию, например, о пользователе user1:
# htpasswd -c /путь/файл_с_учётными_записями user1
После запуска команды необходимо ввести пароль.
(Если файл с учётными записями уже имеется, ключ -c
следует опустить.) После, в конфигурационном файле веб-
сервера пишем:
<Directory /var/www/html/was>
AuthType Basic
AuthName "Web AIM Shiff"
AuthUserFile /путь/файл_с_учётными_записями
Require user user1
AllowOverride None
</Directory>
При желании можно совместить проверку IP-адреса, от-
куда идёт обращение с авторизацией. После перезапуска 11.
веб-сервера изменения должны вступить в силу. Сделать 12.
это можно командой: 13.
# /etc/rc.d/init.d/httpd restart
После чего логин и пароль от системы просмотра надо
раздать всем сотрудникам, например, объявив на общем
собрании, тогда ничьи права не будут нарушены.
Заключение
Хотелось бы верить, что всё изложенное выше будет ис-
пользоваться только с благими намерениями, а моральные 18.
качества и авторитет системного администратора останут-
ся на высоте. Руководители сделают правильные выводы
о том, разрешать пользоваться ICQ или нет, а жизнь поль- 19.
зователей в новом году станет только лучше.
Рисунок 4. Cкриншот сайта www.aimsniff.org
Спасибо за помощь в исправлении ошибок и координа-
цию моих мыслей: Рыжакову Глебу, tuziha и Realtex-sux.
Литература, ссылки:
1. PHProxy – http://sourceforge.net/projects/poxy.
2. Simple Browser Proxy – http://sourceforge.net/projects/sbp.
3. CGIProxy – http://www.jmarshall.com/tools/cgiproxy.
4. IServerd project (Александр В. Шутко) – http://iserverd.khstu.ru.
5. IRC, EMail, SMB, MSN, AIM, ICQ sniffer – http://www.ufasoft.com/
icqsnif.
6. EtherBoss Monitor (for ICQ Monitoring) – http://www.etherboss.
com/icq.
7. Shadow IM Sniffer – ICQ Sniffer,MSN Sniffer, AOL Sniffer, Yahoo
Sniffer – http://www.safety-lab.com/en/products/imsniffer.htm.
8. Spy ICQ: SpyArsenal ICQ Logger – http://www.spyarsenal.com/
spy-icq-sniffer.
9. Network Sniffer: Give-Me-Too – invisible net sniffer – http://www.
spyarsenal.com/network-sniffer.
10. Проект Aim Sniff – http://www.aimsniff.com, http://sourceforge.net/
projects/aimsniff.
ICQ2000 сделай сам – http://icq2000cc.hobi.ru/index.html.
ICQ library icqlib – http://kicq.sourceforge.net/icqlib.shtml.
Miranda Instant Messenger – http://www.miranda-im.org.
14. Всё для &RQ – http://andrq.org.
15. Леон Аткинсон. MySQL. Библиотека профессионала.: Пер.
с англ. – М.: Издательский дом «Вильямс», 2002 г. (ISBN-5-
8459-0291-6).
16. Поль Дюбуа. MySQL, 2-е изд.: Пер. с англ. – М.: Издательский
дом «Вильямс», 2004 г. (ISBN-5-8459-0515-X)б
17. Компания MySQL AB. MySQL. Справочник по языку. : Пер.
с англ. – М.: Издательский дом «Вильямс», 2005 г. (ISBN 5-
8459-0804-3).
Гмурман В.Е. Теория вероятностей и математическая статис-
тика. Учеб. пособие для вузов. Изд 7-е, стер. – М.:Высш. шк.,
2000 г. (ISBN 5-06-003464-X).
phpMyAdmin MySQL Database Administration Tool – http://www.
phpmyadmin.net.

44
 безопасность

Защита электронной почты средствами

Сергей Яремчук
Тяжело представить сегодняшний бизнес без электронной почты, которая позволяет
оперативно обмениваться информацией с минимальными затратами. В то же время
в ящик пользователя помимо полезных писем попадает спам, а почта часто используется
для распространения компьютерных вирусов.

С
егодня в качестве платформы роятно, благодаря надежности и своим ционные файлы и сценарии обновле-
для почтового сервера доволь- возможностям MailScanner заслужил ния антивирусных баз для большинс-
но часто используются различ- похвалу и стал стандартным решени- тва из них. Он совместим с наиболее
ные варианты UNIX-систем. Обладая ем, предназначенным для организа- популярными МТА – Mail Transfer Agent
большей устойчивостью и защищен- ции защиты почты на многих серверах (Postfix, Sendmail, Exim, Qmail, ZMailer).
ностью, они привлекают внимание ад- в Европе и Великобритании. Его со- Хотя в принципе этот сканер может
министраторов. Но не секрет, что вза- здатель Julian Field за свою разработ- быть легко встроен в любую почто-
мен требуются знания, опыт и время, ку стал в 2004 году обладателем Open вую систему независимо от использу-
необходимое для установки и настрой- Source Award от UKUUG (UK UNIX and емого в ней программного обеспече-
ки нужного сервиса. Open Systems User Group). Эта награ- ния. Кроме того, он очень прост в ус-
Проект, начатый в 2000 году после да ежегодно вручается наиболее вы- тановке и для своей работы практичес-
5 лет работы из простого антивирус- дающимся деятелям мира бесплатно- ки не требует переконфигурации поч-
ного сканера, превратился в мощную го и открытого программного обеспе- товых серверов, а при использовании
систему, защищающую тысячи ком- чения. А различные версии продукта Sendmail его появление в системе пол-
пьютеров от вирусов и спама. Напи- с сайта проекта были скачаны более ностью прозрачно.
сан MailScanner на Perl, распростра- полумиллиона раз. Своего антивируса MailScanner
няется по лицензии GNU GPL. Модель не имеет, как не является обязатель-
разработки все же немного отличает- Возможности MailScanner ным к употреблению любая програм-
ся от других подобных проектов. Ав- В отличие от многих коммерческих ма для защиты от спама. Хотя для эф-
тор сохраняет полный контроль над ис- решений, поддерживающих обыч- фективной идентификации спама мо-
ходным кодом, другие пользователи но 2-3 антивируса, MailScanner спо- жет использоваться SpamAssassin
не имеют доступа к архиву CVS. Объ- собен работать более чем с 20 анти- (http://www.spamassassin.org), имею-
ясняется это большим значением, ко- вирусами (Sophos, McAfee, Command, щий развитую систему контекстно-
торое придается электронной почте, Kaspersky, Inoculate, Inoculan, Nod32, го лингвистического анализа, систе-
а использование непротестированно- F-Secure, F-Prot, Panda, RAV, AntiVir, му обучения и самообучения. При же-
го кода может навредить как пользо- Clam, BitDefender, Vscan и др.). В ком- лании его можно заменить или допол-
вателям, так и репутации проекта. Ве- плекте имеются готовые конфигура- нить любым другим внешним скане-

№12, декабрь 2005 45

 безопасность
ром спама и антивирусом, или использовать параллельно при их появлении в тексте. При использовании патча кро-
сразу несколько программ. ме самого сообщения могут проверяться присоединенные
Кроме проверки на наличие вирусов, сканер анализи- документы Microsoft Word.
рует наличие во вложении файлов с потенциально опас- Кроме вышеописанных методов, используются прави-
ным именем или нежелательные типы файлов (самораспа- ла, занесенные в файл с расширением .rules. Каждый файл
ковывающиеся архивы, исполняемые файлы, видео и про- сопоставлен с некой категорией, например BlackList, и при
чее). Определяются в том числе и файлы с двойным рас- совпадении параметра внутри к письму применяется ука-
ширением вроде «.txt.vbs», «.doc.exe» (файлы с повторяю- занное действие. Правило внутри такого файла может со-
щимся расширением (*.zip.zip) по умолчанию разрешены), стоять из 3 или 6 полей вида:
которые часто используются для рассылки вирусов. Про-
веряются распространенные типы архивов (zip, rar, gzip Направление: образец результат
и др.) и MIME, в том числе и «application/ms-tnef». Если ар-
хив защищен паролем, то для их содержимого выполняет- или
ся проверка имен файлов. Настройки позволяют защитить-
ся от DOS-атак, направленных на почтовые сервисы. Еще Направление: образец and направление2: ↵
образец2 результат
одной особенностью MailScanner является анализ содержи-
мого письма. Анализируя почту, MailScanner способен об- В качестве направления движения сообщения выби-
наруживать атаки, направленные против некоторых кли- раются значения из: From, To, FromOrTo, FromAndTo, Virus.
ентов электронной почты (Outlook, Outlook Express, Internet Образец описывает адрес отправителя сообщения, здесь
Explorer, Eudora), а также Cyrus IMAP, но можно добавить можно указать конкретный почтовый адрес, имя отправи-
и другие приложения, отредактировав конфигурационный теля/получателя, домен, IP-адрес. Поддерживаются регу-
файл. Теги HTML <IFrame>, <Form>, <Script> и другие, ко- лярные выражения. Результат показывает действие, при-
торые могут быть использованы для загрузки файлов без меняемое к сообщению. Самым простым результатом яв-
ведома пользователей или изображений, часто использу- ляется yes (правило совпадает) и no (не совпадает). А вот
емые спамерами, могут быть удалены. В MailScanner реа- что будет с письмом, уже зависит от файла, в котором за-
лизован контроль за подменой адреса, прием, часто при- писаны эти правила. Так если файл описывает черный спи-
меняемый фишерами. Так, если пользователь получит со- сок, то yes покажет на спам и к нему будут применены соот-
общение, содержащее строку: ветствующие действия, а если в файле описан белый спи-
сок, то при yes письмо беспрепятственно пройдет проверку.
<a href="http://www.nasty.com /"> www.bank.com</a> Кроме этого результат можно установить таким:
 deliver – доставить сообщение.
в письмо будет вставлено предупреждение:  delete – удалить сообщение.
 store – сохранить в карантине.
MailScanner has detected a possible fraud attempt
by "www.nasty.com" claiming to be www.bank.com
 bounce – отослать отказ отправителю.
 forward user@domain.com – переслать копию по указан-
В некоторых случаях такая проверка вызывает ложную ному почтовому адресу.
тревогу, например, ссылки, используемые Microsoft. В этом  striphtml – конвертировать HTML в текст.
случае сайты, которые не должны проверяться на фишинг,  attachment – преобразовать сообщение в файл, присо-
заносятся в специальный файл phishing.safe.sites.conf. единенный к письму.
Для ускорения работы системы можно указать список ад-  notify – отсылка получателю уведомления о блокиров-
ресов или доменов, чьи письма не будут или, наоборот, бу- ке спама.
дут проверяться. Также в MailScanner заложена возможность  header “name: value” – добавление в заголовок name зна-
задания групп пользователей, чьи письма будут архивиро- чения value.
ваться в отдельный каталог и пересылаться на другой ад-
рес. Причем, кроме создания новых правил для черных спис- Возможна и комбинация некоторых параметров. При-
ков, эта особенность может быть использована, например, мер правил:
при проверке лояльности служащих. Для этих же целей ис-
пользуется возможность блокировки зашифрованных сооб- To: bad.customer.com no
From: /^192\.168\.1[4567]\./ store forward ↵
щений глобально или в только определенные домены. Хотя user@domain.com
существует и обратная возможность, блокирующая отправ- FromAndTo: *@*.domain.com yes
FromOrTo: default (или *@* т.е. любой) yes
ку незашифрованных сообщений, что позволяет предохра-
нить конфиденциальную информацию от перехвата. Но проще всего определить, совпадает ли значение
Предотвратить утечку конфиденциальной информа- (т.е. yes/no), а действие указать глобально в конфигура-
ции позволяет еще одна технология, называемая Message ционном файле.
Content Protection (MCP). Представляющая собой запуск
еще одной копии SpamAssassin, но без выполнения слож- Как работает MailScanner
ных антиспам проверок. Администратор сам заносит в от- В общем случае принцип работы сканера прост. Поступив-
дельный файл ключевые слова и фразы, дает им оцен- шее по SMTP письмо МТА помещает в специальную папку,
ку и указывает на действия, которые должны произойти на которую указывает переменная Incoming Queue Dir. Пос-

46

ле проведения всех проверок оно помещается уже в дру-
гую папку (Outgoing Queue Dir), откуда забирается МТА
и отсылается по назначению. Отличие здесь в работе ис-
пользуемых МТА. Например, структура sendmail позволяет
MailScanner без перекомпиляции и изменений в конфигу-
рационных файлах принять сообщение от одного процесса,
а затем после проверки запустить второй процесс.
Все необходимые подготовки могут быть сделаны пос-
редством редактирования команд запуска sendmail. Не-
сколько другая ситуация с Exim, в котором прием и отправ-
ка сообщений являются полностью независимыми процес-
сами. Все вроде бы хорошо, но вот указать Exim на то, что-
бы он использовал для приема/передачи отдельные оче-
реди, проходящие через MailScanner, нет возможности.
Поэтому приходится использовать два отдельных процес-
са Exim, каждый со своим собственным конфигурацион-
ным файлом.
При этом процесс-получатель почты не должен иметь
возможности отправлять сообщение. При компилирова-
нии Exim-получателя местонахождение конфигурационно-
го файла указывается на этапе конфигурирования. А за-
пуском Exim-отправителя занимается MailScanner, который
и передаст ему необходимые параметры.
С Postfix легче всего, так как использование независи-
мых резидентных модулей позволяет одной копией серве-
ра управлять поступающей и уходящей SMTP почтой. Итак,
письмо положено в папку, предназначенную для входящих
сообщений, после чего проходит несколько тестов, некото-
рые из них являются необязательными и могут отключать-
ся. Тест RBL (Real time Blackhole List) – производится срав-
нение адреса отправителя с известными спамерскими ад-
ресами, если письмо отправлено с такого адреса, то оно
отбрасывается. Стоит отметить, что тест RBL в зависи-
мости от настроек может производиться на трех уровнях
со своими характеристиками: MTA (письмо отбрасывает-
ся), MailScanner (возможен выбор – удалить, пропустить, за-
архивировать и т. д.) и SpamAssassin (наиболее тонкий, но
в то же время ресурсоемкий). Далее оценкой письма зани-
мается SpamAssassin, после чего MCP, тест на вирусы и на-
конец анализ типа, имени присоединенного файла и поиск
атак, направленных на почтовых клиентов. После прохож-
дения тестов в тело письма могут добавляться специфи-
ческие метки, вроде X-Spam-Status: yes. Далее сообщение
попадает в модуль принятия решений. Если все тесты прой-
дены, оно ложится в папку для исходящих писем и отправ-
ляется получателю. Письмо, содержащее вирус или спам,
в зависимости от настроек удаляется либо направляется
в карантин. Далее вирус удаляется, в сообщение добавля-
ется оповещение о вирусе, оповещаются также локальный
администратор и отправитель письма.
Установка MailScanner
Про установку различных МТА журнал писал неоднократ-
но, поэтому останавливаться на этом подробно не бу-
ду. На странице закачки можно найти готовые пакеты
для RedHat, Fedora, Mandriva, SuSE, Debian, Solaris,
FreeBSD. Если вашего дистрибутива в списке нет, то вос-
пользуйтесь tar-архивом, содержащим исходные тексты
MailScanner-install-4.45.4-1.tar.gz. Базовый комплект не со-
№12, декабрь 2005
безопасность
держит ClamAV и SpamAssassin, если планируется их ис-
пользование, то лучше воспользоваться готовым комплек-
том install-Clam-SA.tar.gz, который можно взять со страницы
Downloads раздел Other stuff. Установка из rpm- и tar-архи-
вов, в том числе и пакета install-Clam-SA, довольно проста.
Разработчики избавили администраторов от поиска паке-
тов для удовлетворения зависимостей, а всего требуется
около 30 Perl-модулей и программ, включив все необходи-
мое в единый архив. После распаковки требуется ввести
лишь ./install.sh. Скрипт произведет анализ системы и ус-
тановит все компоненты в каталог /opt/MailScanner. Конеч-
но же, этот путь можно изменить, покопавшись в скриптах,
или просто перенести каталог в другое место, изменив за-
тем путь в стартовых скриптах. В случае с архивом, содер-
жащим MailScanner, при установке не должно быть сооб-
щений об ошибке, а скрипт внутри install-Clam сам предуп-
реждает, когда ошибки можно игнорировать.
Do not worry about warnings or errors from the next 3 commands
./install.sh: line 192: groupadd: command not found
./install.sh: line 193: useradd: command not found
You can start worrying about errors again now
Конфигурационный файл
MailScanner.conf
MailScanner является гибким инструментом, обладающим
большим количеством возможностей. Все доступные па-
раметры настраиваются в одном конфигурационном фай-
ле /opt/MailScanner/etc/MailScanner.conf.
Строение файла стандартно для UNIX-программ. На-
стройки указываются в виде строк option = value, знак ре-
шетки (#) указывает на комментарий, пустые строки и про-
белы игнорируются. В значениях можно использовать лю-
бые переменные оболочки вроде $HOSTNAME. Для удобс-
тва восприятия файл разбит на несколько секций, все па-
раметры можно не трогать. В принципе и в конфигурации
по умолчанию MailScanner способен защитить систему. Кро-
ме того, можно добавить и свои параметры, подправив файл
CustomConfig.pm, лежащий в подкаталоге lib.
# Main configuration file for the MailScanner E-Mail
# Virus Scanner
# Здесь указывается каталог, в котором содержатся все
# сообщения, на нужном языке. К сожалению, русского нет,
# этим придется заниматься самому
%report-dir% = /opt/MailScanner/etc/reports/en
# Ниже идут стандартные каталоги, в которых содержатся
# настройки и правила, если вы выбрали другой каталог,
# для запуска MailScanner все их необходимо переопределить
%etc-dir% = /opt/MailScanner/etc
# Здесь лежат правила
%rules-dir% = /opt/MailScanner/etc/rules
# Настройки Message Content Protection
%mcp-dir% = /opt/MailScanner/etc/mcp
# Название организации короткое, длинное (без пробелов)
# и веб-сайт
%org-name% = yoursite
%org-long-name% = Your Organisation Name Here
%web-site% = www.your-organisation.com
# System settings
# Количество одновременных процессов MailScanner.
# При мощном процессоре и большой нагрузке можно
# увеличить эту цифру. Один процесс занимает около 20 Мб
Max Children = 5
47
безопасность
# По умолчанию MailScanner работает от имени пользователя
# и группы sendmail.
# В некоторых системах его нужно изменить
Run As User = postfix
Run As Group = postfix
# Время (в секундах), через которое будет производиться
# проверка папок на наличие новых сообщений
Queue Scan Interval = 6
# Папка, в которую будут помещаться входящие сообщения.
# Можно задать имя каталога – /var/spool/mqueue.in
# Шаблон – /var/spool/mqueue.in/*
# Имя файла, в котором описаны каталоги
# /opt/MailScanner/etc/mqueue.in.list.conf
Incoming Queue Dir = /var/spool/postfix/hold
# Каталог, куда будут складываться письма, прошедшие
# проверку (исходящий)
Outgoing Queue Dir = /var/spool/postfix/incoming
# Каталог, в котором почта перед проверкой будет
# распаковываться. При достаточном количестве ОЗУ можно
# использовать tmpfs или ramdisk
Incoming Work Dir = /var/spool/MailScanner/incoming
# Каталог для хранения зараженных сообщений (карантин)
Quarantine Dir = /var/spool/MailScanner/quarantine
# Местонахождение pid-файла
PID file = /opt/MailScanner/var/MailScanner.pid
# Во избежание утечки ресурсов MailScanner периодически
# перезапускается. Здесь указывается время в секундах
Restart Every = 14400
# Установка МТА – postfix, sendmail, exim или zmailer
MTA = postfix
# Ниже описываются местонахождение и параметры запуска
# второй копии MTA. Postfix и Qmail здесь не настраиваются
# (см.выше).
# Sendmail = /usr/lib/sendmail
# Sendmail2 используется для запуска Exim
# For Exim users: Sendmail2 = /usr/sbin/exim ↵
-C /etc/exim/exim_send.conf
# For sendmail users: Sendmail2 = /usr/lib/sendmail
# Sendmail2 = /usr/sbin/sendmail -C /etc/exim/exim_send.conf
# Sendmail2 = /usr/lib/sendmail
# # можно отключить
# Incoming Work Dir Settings
# File Timeout = 20
# Ниже указываются настройки для каталога входящих
# сообщений, в большинстве случаев трогать их не надо
# Здесь можно указать пользователя отличного
# от «Run As User» и «Run As Group».
# Эта опция может понадобиться при работе с некоторыми
# антивирусами
Incoming Work User =
Incoming Work Group =
# Права доступа к файлам, если не используется внешний
# антивирус, то ставим 0600, иначе заносим пользователя,
# от имени которого работает антивирус, в группу,
# в нашем случае postfix и ставим 0640.
# Хотя возможен вариант и с 0644
Incoming Work Permissions = 0640
# # использовать файл правил
# Quarantine and Archive Settings
#
# То же что и выше, только для файлов, которые попадут
# в карантин. Если захотите дать к ним доступ при помощи
# внешней программы, например, веб-интерфейс,
# то переопределяем их
Quarantine User =
Quarantine Group =
Quarantine Permissions = 0600
# Ниже идут параметры проверки входящих сообщений.
# Ограничения по размеру (в байтах) и количеству
Max Unscanned Bytes Per Scan = 100000000
Max Unsafe Bytes Per Scan = 50000000
Max Unscanned Messages Per Scan = 30
Max Unsafe Messages Per Scan = 30
48
# Количество сообщений в очереди, превышение этого числа
# приведет к переключению в «ускоренный» режим
# сканирования, когда сообщения проверяются не по дате,
# а в порядке поступления
Max Normal Queue Size = 800
# Опция ниже включает проверку на вирусы и спам для всех
# сообщений, установка в «no» приведет к тому, что почта
# проверяться не будет. Можно использовать файл с правилами,
# где указать, какие сообщения сканировать, а какие нет
# checked *at all*, and so any viruses or other problems
# will be ignored.
# Если используется файл правил
# /etc/MailScanner/rules/scan.messages.rules,
# то используем строку:
# Scan Messages = %rules-dir%/scan.messages.rules.
# Иначе включаем проверку для всей почты
Scan Messages = yes
# Максимально разрешенное количество вложений в одном
# письме. Некоторые почтовые системы сохраняют информацию
# при переписке в виде присоединения к письму, их распаковка
# занимает много времени
Maximum Attachments Per Message = 20
# Проверка TNEF (Microsoft’s Transport Neutral Encapsulaton
# Format) при помощи внешней программы.
# Некоторые антивирусы (Sophos, McAfee) самостоятельно
# проверяют такие вложения, в этом случае ставим «no».
Expand TNEF = yes
# Некоторые версии Microsoft Outlook генерируют неправильный
# TNEF, который используемый модуль проверить не может.
# Здесь можно запретить пропуск сообщений с таким
# присоединением. Как вариант можно использовать файл правил
Deliver Unparsable TNEF = no
# Команда запуска декодера TNEF, как вариант указывается
# ключевое слово «internal», подключающее Perl-модуль,
# выполняющий ту же работу. Можно использовать файл правил
#TNEF Expander = internal
TNEF Expander = /opt/MailScanner/bin/tnef --
maxsize=100000000
# Максимальное время для работы с одним сообщением TNEF
# (в секундах)
TNEF Timeout = 120
# Месторасположение команды «file», позволяющей определить
# тип файла. Если не планируется проверка типа файлов,
File Command = /usr/bin/file
Unrar Command = /usr/bin/unrar
Unrar Timeout = 50
# Максимальный размер сообщений, включая заголовки.
# Установка в 0 снимает ограничения. Можно использовать
# файл правил и использовать возможность принудительного
# ограничения размера сообщения более тонко
Maximum Message Size = 0
# Максимальный размер в байтах для вложений.
# Установка в 0 запретит вложения, -1 снимает ограничения.
# Более тонко настройки можно указать в файле правил
Maximum Attachment Size = -1
# Минимальный размер вложений, опция бывает полезна
# при удалении очищенных антивирусом файлов, можно
Minimum Attachment Size = -1
# Максимальная глубина распаковки архивов zip,
# для проверки имен и типов файлов
Maximum Archive Depth = 2
# Обнаружение архивов не только по имени,
# но и по содержимому, можно использовать файл правил
Find Archives By Content = yes
# Проверка писем на вирусы.
# Можно использовать файл правил.
Virus Scanning = yes
# Установка используемого вирусного сканера.
# В конфигурационном файле приведены примеры для всех
# поддерживаемых антивирусов. Можно добавить любой другой,

# для этого его необходимо описать в файле
# %etc-dir%/virus.scanners.conf, в который необходимо
# занести 3 позиции: имя сканера, сценарий для запуска
# и месторасположение (в некоторых системах путь придется
# подправить). Например, для СlamAV строка в этом файле
# выглядит так:
# clamav /opt/MailScanner/lib/clamav-wrapper /usr/local
# Установка в none отключает проверку.
# Если планируется использование сразу нескольких
# антивирусов, они перечисляются через пробел
# Virus Scanners = drweb kaspersky mcafee
#
Virus Scanners = clamav
Virus Scanner Timeout = 300
# Удаление вируса с зараженного файла, очищенное сообщение
# присоединяется как файл «VirusWarning.txt».
# Можно использовать файл правил.
Deliver Disinfected Files = yes
# Строка, которую ищет MailScanner на выходе антивируса.
# При обнаружении этих строк отправитель не предупреждается,
# вирус очищается, а дойдет ли письмо до получателя – зависит
# от «Still Deliver Silent Viruses».
# Для обозначения используются 5 ключевых слов:
# HTML-IFrame, HTML-Codebase, HTML-Script, HTML-Form
# и Zip-Password.
# Опция All-Viruses соответствует поиску всех вариантов.
# Можно использовать файл правил
Silent Viruses = All-Viruses
# Доставлять ли сообщение получателю после очистки?
# Можно использовать файл правил
Still Deliver Silent Viruses = no
# Опция противоположная предыдущей, при обнаружении
# указанных строк все участники получат предупреждения
Non-Forging Viruses = Joke/ OF97/ WM97/ W97M/ eicar
# Запрет отправки зашифрованных сообщений.
# Можно использовать файл правил
Block Encrypted Messages = no
# Запрет отправки незашифрованных сообщений.
# Можно использовать файл правил
Block Unencrypted Messages = no
# Разрешение использования зашифрованных архивов.
# Можно использовать файл правил
Allow Password-Protected Archives = no
# %report-dir%/deleted.filename.message.txt
# Options specific to ClamAV Anti-Virus
# %report-dir%/deleted.virus.message.txt
# В файле имеются предустановки для некоторых антивирусов.
# В большинстве случаев достаточно проверить все пути
Monitors for ClamAV Updates = /usr/local/share/clamav/*.cvd
ClamAVmodule Maximum Recursion Level = 5
ClamAVmodule Maximum Files = 1000
ClamAVmodule Maximum File Size = 10000000 # (10 Mб)
ClamAVmodule Maximum Compression Ratio = 250
# Далее указываются параметры работы MailScanner с
# потенциально опасным контентом. Практически везде можно
# использовать файл с правилами. Включение всех проверок
Dangerous Content Scanning = yes
# Работа с неполным вложением
Allow Partial Messages = no
# Разрешение сообщений, загружающих контент из Интернета.
# Запрещаем однозначно
Allow External Message Bodies = no
# Поиск подмены адресов
Find Phishing Fraud = yes
# Обычно в легальных письмах редко используется IP-адрес,
# фишеры же прибегают к этому способу для обмана. Запрещаем
Also Find Numeric Phishing = yes
# Вставка предупреждения о подмене
Highlight Phishing Fraud = yes
# Список сайтов, которые игнорируются при поиске фишеров
Phishing Safe Sites File = %etc-dir%/phishing.safe.sites.conf
№12, декабрь 2005
безопасность
# Разрешение соответствующих тегов в сообщении
# yes => Разрешает
# no => запрещает
# disarm => Разрешает, но нейтрализует тег
Allow IFrame Tags = disarm
Allow Form Tags = disarm
Allow Script Tags = disarm
Allow Object Codebase Tags = disarm
# То же для <Img>, но только два действия yes и disarm
Allow WebBugs = disarm
# Эта опция перекликается с «Allow ... Tags», т.е. при
# разрешении тега сообщение может быть преобразовано
# из HTML в текст
Convert HTML To Text = no
# Проверка вложений.
# Указываем файл с правилами, содержащий описание типов
# и имен файлов и производимым действием при обнаружении
# определенного типа и имени
# allow/deny/deny+delete
Filename Rules = %etc-dir%/filename.rules.conf
Filetype Rules = %etc-dir%/filetype.rules.conf
#
# Reports and Responses
# Действия с потенциально опасными объектами, во многих
# случаях возможно использование файла правил.
# Использование карантина для зараженных сообщений
Quarantine Infections = yes
Quarantine Silent Viruses = no
# Копии сообщений с модифицированным HTML
# (вариант файл правил)
Quarantine Modified Body = no
# Сохранение всего сообщения или только зараженной части
Quarantine Whole Message = no
# Сохранение в оригинальном или удобочитаемом виде
Quarantine Whole Messages As Queue Files = no
# Сохранение зараженного спама или MCP
Keep Spam And MCP Archive Clean = no
# Файлы, содержащие сообщения, выдаваемые пользователю
Language Strings = %report-dir%/languages.conf
Deleted Bad Content Message Report = ↵
%report-dir%/deleted.content.message.txt
Deleted Bad Filename Message Report = ↵
Deleted Virus Message Report = ↵
Stored Bad Content Message Report = ↵
%report-dir%/stored.content.message.txt
Stored Bad Filename Message Report = ↵
%report-dir%/stored.filename.message.txt
Stored Virus Message Report = ↵
%report-dir%/stored.virus.message.txt
Disinfected Report = %report-dir%/disinfected.report.txt
Inline HTML Signature = %report-dir%/inline.sig.html
Inline Text Signature = %report-dir%/inline.sig.txt
Inline HTML Warning = %report-dir%/inline.warning.html
Inline Text Warning = %report-dir%/inline.warning.txt
Sender Content Report = ↵
%report-dir%/sender.content.report.txt
Sender Error Report = ↵
%report-dir%/sender.error.report.txt
Sender Bad Filename Report = ↵
%report-dir%/sender.filename.report.txt
Sender Virus Report = ↵
%report-dir%/sender.virus.report.txt
# Скрываем полный путь к каталогу, в который помещен
# вирус. Эта опция может понадобиться для сокрытия
# настроек системы
Hide Incoming Work Dir = yes
# Включение имени сканера в отчеты
Include Scanner Name In Reports = yes
# Добавление дополнительных заголовков и конвертов к
# обработанной почте (возможно использование файла правил)
Mail Header = X-%org-name%-MailScanner:
Spam Header = X-%org-name%-MailScanner-SpamCheck:
Spam Score Header = X-%org-name%-MailScanner-SpamScore:
Information Header = X-%org-name%-MailScanner-Information:
49
безопасность
Add Envelope From Header = yes
Add Envelope To Header = no
Envelope From Header = X-%org-name%-MailScanner-From:
Envelope To Header = X-%org-name%-MailScanner-To:
# Символ, который будет использоваться для вывода оценки
# спамовости сообщения. Установка x при значении 3 может
# быть воспринята неправильно, т.е. xxx, некоторые
# другие знаки #, @, *, ?, точка могут вызвать проблемы
# с procmail и др.
Spam Score Character = s
# Вставка оценки спама в сообщение
SpamScore Number Instead Of Stars = no
# Минимальное число оценки спама, вставляемое в сообщение
Minimum Stars If On Spam List = 0
# Заголовок clean/infected/disinfected сообщений
Clean Header Value = Found to be clean
Infected Header Value = Found to be infected
Disinfected Header Value = Disinfected
Information Header Value = Please contact the ISP for ↵
more information
# Полный отчет о спаме
Detailed Spam Report = yes
# Оценка SpamAssassin или просто название
Include Scores In SpamAssassin Report = yes
# Включение отчета о спаме в любом случае, даже если спам
# обнаружен не был
Always Include SpamAssassin Report = no
# Тесты MailScanner могут добавлять свои заголовки в
# сообщение. Здесь указывается, как поступать с такими
# заголовками. Варианты: «append», «add или «replace»
Multiple Headers = append
# Имя узла, если требуется скрыть реальное
Hostname = the %org-name% ($HOSTNAME) MailScanner
# Подпись сообщения уже обработанного другой копией
# MailScanner
Sign Messages Already Processed = no
# Добавление «Inline HTML Signature» или «Inline Text
# Signature» в очищенное сообщение
Sign Clean Messages = yes
Mark Infected Messages = yes
# Маркировать ли не просканированные антивирусом сообщения?
Mark Unscanned Messages = yes
# И текст такой маркировки
Unscanned Header Value = Not scanned: please contact your ↵
Internet E-Mail Service Provider for details
# Все заголовки в сообщении, содержащие эти строки, будут
# удалены. Опция может быть полезна при удалении
# сообщения о доставке или прочтении сгенерированных
# почтовым клиентом
Remove These Headers = X-Mozilla-Status: ↵
Disposition-Notification-To: Return-Receipt-To
# Доставлять ли очищенные от вирусов сообщения
Deliver Cleaned Messages = yes
# Отправка уведомления отправителю о том, что в сообщении
# содержится вирус или файл с подозрительным именем.
# Лучше использовать файл с правилами, где указать
# своих корреспондентов
Notify Senders = yes
# Опция, переопределяющая предыдущую, при установке в no
# сообщения отправителям об обнаруженном вирусе отсылаться
# не будет. Учитывая, что обратный адрес часто
# подделывается, лучше оставить, как есть. Вариант –
# использование файла правил
Notify Senders Of Viruses = no
# Сообщение о блокировании файла по имени или типу
Notify Senders Of Blocked Filenames Or Filetypes = yes
# И всего прочего
Notify Senders Of Other Blocked Content = yes
Never Notify Senders Of Precedence = list bulk
50
# Опции изменения поля Subject могут использоваться
# для удобства фильтрации в почтовом клиенте.
# Варианты no, start (добавить в начало) и end.
# Все варианты поддерживают правила
Scanned Modify Subject = no # end
# Здесь текст, добавляемый к Subject
Scanned Subject Text = {Scanned}
# Сообщение о вирусе, добавляемое в тему
Virus Modify Subject = yes
Virus Subject Text = {Virus?}
# Сообщение о проверке имени файла
Filename Modify Subject = yes
Filename Subject Text = {Filename?}
# Проверке содержимого
Content Modify Subject = yes
Content Subject Text = {Dangerous Content?}
# О нейтрализации HTML
Disarmed Modify Subject = yes
Disarmed Subject Text = {Disarmed}
# О подделке адреса
Phishing Modify Subject = no
Phishing Subject Text = {Fraud?}
# О спаме
Spam Modify Subject = yes
# Значение «_SCORE_» будет заменен числовой оценкой
# SpamAssassin.
# Строка «_STARS_» будет заменена звездочками
Spam Subject Text = {Spam?}
# То же, что и предыдущее, но только при превышении
# значения «High SpamAssassin Score»
High Scoring Spam Modify Subject = yes
High Scoring Spam Subject Text = {Spam?}
# Изменения в теле сообщения. Многие опции допускают
# использование файла правил. Предупреждение об удалении
# записывается в само сообщение или присоединяется к файлу
Warning Is Attachment = no
# Имя файла такого вложения.
Attachment Warning Filename = %org-name%-Attachment-Warning.txt
Attachment Encoding Charset = СР-1251
# Архивирование и мониторинг почты.
# Указывается почтовый адрес, каталог или имя файла.
# Возможно добавление переменных в имени вроде _DATE_,
# которая будет заменена текущим временем.
# Можно использовать правила
#
Archive Mail = /var/spool/MailScanner/archive
# Предупреждения локальному администратору.
# Можно использовать правила
Send Notices = yes
Notices Include Full Headers = yes
Hide Incoming Work Dir in Notices = no
Notice Signature = -- \nMailScanner\nEmail ↵
Virus Scanner\nwww.mailscanner.info
# Поле «From:»
Notices From = MailScanner
Notices To = postmaster
Local Postmaster = postmaster
# Имена файлов, транслирующих имена spam-списков и областей
# в реальные области DNS. Другие варианты можно поискать
# http://www.declude.com/JunkMail/Support/ip4r.htm
Spam List Definitions = %etc-dir%/spam.lists.conf
Virus Scanner Definitions = %etc-dir%/virus.scanners.conf
# Проверка на спам по адресу отправителя. Везде можно
# использовать правила. Отключение следующей опции приведет
# к остановке проверки на спам как самим MailScanner,
# так и SpamAssassin
Spam Checks = yes
# Выбор используемого spam blacklists (RBLs)
# Смотри файл указанный в «Spam List Definitions»
Spam List = ORDB-RBL SBL+XBL SORBS-DNSBL CBL RSL ↵
DSBL spamcop
Spam Domain List = RFC-IGNORANT-DSN
 безопасность
# Число одинаковых сообщений, начиная с которого # Настройка параметров журналирования. Включать большую
# они будут рассматриваться как спам, # часть лучше только при отладке. Следующая опция
Spam Lists To Be Spam = 1 # определяет взаимодействие с syslog
Spam Lists To Reach High Score = 3 Syslog Facility = mail
Spam List Timeout = 10 Log Speed = no
Max Spam List Timeouts = 7 Log Spam = no
Spam List Timeouts History = 10 Log Non Spam = no
Log Permitted Filenames = no
# «Белый список». Сообщения, принятые с попавших в этот Log Permitted Filetypes = no
# список узлов, не будут рассматриваться как спам Log Silent Viruses = no
#Is Definitely Not Spam = no Log Dangerous HTML Tags = no
Is Definitely Not Spam = %rules-dir%/spam.whitelist.rules
# Настройка некоторых параметров SpamAssassin.
# «Черный список» узлов спамеров. Эта величина # Может понадобиться, если SpamAssassin установлен в другой
# переопределяется значением «Is Definitely Not Spam». # каталог или процесс не может получить доступ к файлам.
# При no все, не вошедшие в 1 список, являются # Параметры понятны, приводиться не будут
# потенциальными спамерами
# Is Definitely Spam = %rules-dir%/spam.blacklist.rules # Настройки MCP
Is Definitely Spam = no MCP Checks = no
# Что проверяется первым: spam или mcp
Definite Spam Is High Scoring = no First Check = mcp
# Если количество получателей превышает число, то «белый # Ниже идут опции, значение которых аналогично таковым
# список» игнорируется, и письмо обрабатывается обычным # при проверке на спам, приводиться они не будут
# образом
Ignore Spam Whitelist If Recipients Exceed = 20

# Использование SpamAssassin.
Это не все опции, которые можно настроить при помо-
# Можно применить правила и обработать письма более тонко щи файла конфигурации. Среди оставшихся: работа с LDAP,
Use SpamAssassin = yes запуск процесса в фоне, обработка поля «To:», в случае ког-
# Если письмо превышает указанный размер (в байтах), да сообщение адресовано нескольким получателям, фор-
# SpamAssassin просматривать его не будет. матирование заголовков, отладка и прочее.
# Письма спамеров редко бывают большими, а рисунки и др.
# определяются другими опциями
Max SpamAssassin Size = 30000 Настройка Рostfix
# Переопределение значения «required_hits», если оценка Установка Postfix хорошо описана в [2] , если он уже настро-
# достигает его – это спам ен и нормально работает, осталось сделать немного. Как
Required SpamAssassin Score = 6
High SpamAssassin Score = 10 говорилось выше, Рostfix удобен тем, что одна копия про-
# Включение автоматического «белого списка», функции доступной
цесса позволяет управлять как входящей, так и исходящей
# в SpamAssassin, начиная с версии 3.0. Подробности в [3] почтой. Но в принципе можно использовать и две разных
SpamAssassin Auto Whitelist = no копии со своими конфигурационными файлами, применяя
SpamAssassin Prefs File = %etc-dir%/spam.assassin.prefs.conf
SpamAssassin Timeout = 75 схему работы Exim. Мы используем первый вариант.
Max SpamAssassin Timeouts = 10 В конфигурационном файле /etc/postfix/main.cf раском-
SpamAssassin Timeouts History = 30
ментируем следующую строку:
# Проверять ли сообщение, если оно находится в спам-списке
Check SpamAssassin If On Spam List = no
header_checks = regexp:/etc/postfix/header_checks
# Включение оценки спама в сообщение
Spam Score = yes
Создаем /etc/postfix/header_checks и добавляем следу-
# Перестройка Bayesian-статистики. ющую строку:
# 0 отключает такую возможность. Например, перестройка
# раз в сутки
Rebuild Bayes Every = 86400 /^Received:/ HOLD
# Отключение проверки на время перестройки
Wait During Bayes Rebuild = no После этого Рostfix будет складывать поступающие со-
# В этом разделе описываются параметры работы Custom общения в /var/spool/postfix/hold.
# Spam Scanner, написанного самим пользователем. Запускаем:
# Подробности в
# lib/MailScanner/CustomFunctions/GenericSpamScanner.pm
Use Custom Spam Scanner = no # /etc/init.d/postfix start
# /opt/MailScanner/bin/check_mailscanner
# Что делаем со спамом?
Spam Actions = deliver Если права доступа к каталогам установлены правиль-
High Scoring Spam Actions = deliver
Non Spam Actions = deliver но, то система будет работать. Если что-то не получается,
# Файлы с сообщениями, выдаваемыми пользователю
журналы вам в помощь.
Sender Spam Report = ↵
%report-dir%/sender.spam.report.txt Литература, ссылки:
Sender Spam List Report = ↵
%report-dir%/sender.spam.rbl.report.txt 1. Сайт проекта MailScanner – http://www.mailscanner.info.
Sender SpamAssassin Report = ↵ 2. Бешков А. Почтовая система для среднего и малого офи-
%report-dir%/sender.spam.sa.report.txt
Inline Spam Warning = ↵ са. – Журнал «Системный Администратор», №5, май 2003 г. –
%report-dir%/inline.spam.warning.txt 46-54 с.
Recipient Spam Report = ↵
%report-dir%/recipient.spam.report.txt 3. Супрунов С. Профессия – убивать спам. Все, что вы хотели
Enable Spam Bounce = %rules-dir%/bounce.rules узнать о тонкостях настройки Spamassassin. – Журнал «Сис-
Bounce Spam As Attachment = no
темный Администратор», №10, октябрь 2005 г. – 10-17 с.

№12, декабрь 2005 51

 безопасность

Настраиваем Cisco PIX Firewall 520

для трансляции соединений между
сетями

Малик Абдугалыев
Обычно для тех, кто впервые начинает настройку firewall, принципы работы трансляции
соединений становятся одним из наиболее сложных моментов для понимания, поэтому
основной упор мы сделали на описании этих принципов на примере типовой схемы.

Краткие сведения ля 2001-го, не выпускает обновлений ся достаточно интересным устройс-

о Cisco PIX Firewall 520 программного обеспечения с июня твом, особенно с учётом его нынеш-
520-я серия firewall компании Cisco 2004-го, а поддержка аппаратной час- ней стоимости.
устарела довольно давно – произво- ти закончится в июне 2006 года. Но не- С виду данный firewall представляет
дитель более не поставляет их с ию- смотря на это firewall всё ещё остаёт- собой несколько модернизированный

52
 безопасность
ПК – корпус, материнская плата, блок питания, 3.5” привод
для гибких дисков, которые с виду такие же, как у обычно-
го ПК. Жёсткого диска у этого устройства, к счастью, нет,
а в качестве долговременной памяти используется флеш-
память, которая размещёна на отдельной PCI-плате расши-
рения вместе с другими схемами, реализующими специфич-
ные функции, такие как консольный порт и интерфейс пере-
крытия сбоев (Failover), который позволяет дублировать ос-
новной firewall резервным в случае выхода его из строя.
Для интереса приведу основные технические характе-
Рисунок 1. Схема сети
ристики устройства, используемого в описанном случае –
768 Мб RAM, CPU Pentium III 848 МГц, Flash 16 Мб, 4 сете- На третий интерфейс (www) с адресом 192.168.255.5:
вых адаптера 10/100. 255.255.255.252, подключен веб-сервер, имеющий адрес
Операционная система, по словам представителей 192.168.255.6:255.255.255.252.
компании Cisco, специально разработана для данных за-
дач, что позволяет устройству обрабатывать намного боль- Настройка firewall
ший поток данных, нежели обычные операционные систе- После того как схема сети рассмотрена, переходим не-
мы для ПК. Версия операционной системы в конкретном посредственно к настройке firewall. Подробно будут опи-
случае – 6.3(4). саны только моменты, непосредственно касающиеся на-
Интерфейс командной строки весьма схож с интерфей- шей схемы.
сом маршрутизаторов Cisco, но имеет некоторые недостат-
ки, впрочем, не настолько существенные, чтобы их отде- Общие настройки
льно описывать. Первоначальная настройка должна производиться через
консольный порт. Затем можно будет управлять firewall
Схема сети удалённо по протоколу ssh.
Простая типовая схема, которая довольно часто использу- Я полагаю, что нет необходимости подробно объяс-
ется в небольших сетях (см. рис. 1). нять использование базовых команд, таких как пере-
Firewall одним интерфейсом подключен к интернет-про- ход в привилегированный режим (enable), просмотр кон-
вайдеру. фигурации (show run), переход в режим конфигуриро-
Ко второму интерфейсу подключен сервер, за которым вания (configure terminal), смена имени хоста (hostname)
находится локальная сеть. и домена (domain-name), установка паролей (passwd
На третий интерфейc отдельно вынесен веб-сервер. и enable password) и т. п.
Это сделано из соображений безопасности, т.к. веб-сервер Приведу лишь простой пример:
потенциально более уязвим, нежели другие наши службы,
и поэтому должен быть отделён от остальной сети, чтобы pix> enable
в случае его взлома уменьшить опасность для других ком- Password: *******
пьютеров нашей сети. Кроме взлома сервера, нарушить
pix# configure terminal
работу сети может и большое количество запросов к нему, pix(config)# hostname pix-gtw
в этом случае отделение веб-сервера позволит локализо- pix-gtw(config)# domain-name my.domain.tld
pix-gtw(config)# clock timezone KGT +6
вать подобную проблему. pix-gtw(config)# clock set 11:59:00 09 dec 2005
Зачастую для обозначения отдельного сегмента сети, pix-gtw(config)# [Ctrl - Z]
pix-gtw# write mem
предназначенного для размещения общедоступных сер- pix-gtw# quit
висов, применяется термин DMZ (ДМЗ – демилитаризо-
ванная зона). Это название используется и в документа- При смене имени или домена, например командой:
ции к firewall. В нашем же случае использовано название
«www», которое является более простым и наглядным для # domain-name my.domain.tld
описываемой схемы.
На внешнем интерфейсе (outside) firewall имеется один появится следующее предупреждение:
реальный IP-адрес, например 1.2.3.246:255.255.255.252,
%Key pair with hostname my.domain.tld will be invalid
полученный от провайдера. Адрес со стороны провайдера
на нашем соединении – 1.2.3.245, для нас он будет марш- Дело в том, что имя и домен используются при гене-
рутом по умолчанию. рировании RSA-ключей, которые необходимы для цифро-
На внутреннем интерфейсе (inside) с адресом из при- вых сертификатов и подписей, в том числе для подключе-
ватной подсети 192.168.255.1:255.255.255.252. К нему под- ние по ssh. В этом случае следует перегенерировать и со-
ключен сервер с адресом 192.168.255.2:255.255.255.252. хранить новые ключи, возможно, потребуется сначала уда-
На второй интерфейс сервера подключена локальная сеть лить старые:
с адресами из сети 10.0.1.0:255.255.255.0.
Доменное имя, используемое в нашей сети, определим pix-gtw(config)# ca zeroize rsa
pix-gtw(config)# ca generate rsa key 512
как «my.domain.tld». pix-gtw(config)# ca save all

№12, декабрь 2005 53

 безопасность
Если этого не сделать, то вы не сможете в следующий раз
подключиться удалённо, только через консольный порт.
Ключи хранятся в специальной области флеш-памяти,
посмотреть их можно командой:
К интерфейсу можно привязать списки доступа
(access-list) для входящего и исходящего направлений, на-
пример список доступа 101 для входящего потока на ин-
терфейсе outside:

show ca mypubkey rsa access-group 101 in interface outside

Сохранить текущую конфигурацию в долговременную Сам список создаётся примерно как и на маршрутиза-
память можно командой: торах Cisco, например:

write mem access-list 101 permit tcp host 4.5.6.100 any eq 22

Записать конфигурацию на сервере по tftp-протоколу
можно командой:
write net 192.168.255.2:pix-gtw
где 192.168.255.2 – адрес tftp-сервера, а pix-gtw – имя файла.
Сетевые интерфейсы
Эти интерфейсы имеют аппаратные идентификаторы
(hardware_id), например ethernet0. Для каждого интерфейса
задаётся его скорость и административное состояние:
access-list 101 deny tcp any any eq 22
access-list 101 permit ip any any
Данный пример намеренно упрощён для того, чтобы
подчеркнуть его неполноту.
Следует помнить о том, что в списках доступа подразу-
мевается ещё и последнее, неявное правило, которое за-
прещает весь остальной трафик, для которого не описано
подходящего правила.
Статическая маршрутизация
Командой route можно добавить статический маршрут. Фор-
мат команды прост:

interface ethernet0 auto route имя_интерфейса сеть маска шлюз [метрика]

interface ethernet1 auto
interface ethernet2 auto
interface ethernet3 auto shutdown Нам нужно добавить по меньшей мере маршрут по умол-
чанию, в нашем случае указывающий на адрес 1.2.3.245,
В данном случае все интерфейсы в режиме автоопре- и доступный через интерфейс outside:
деления скорости, при этом последний отключен за нена-
добностью. route outside 0.0.0.0 0.0.0.0 1.2.3.245
Кроме аппаратного идентификатора, интерфейсы име-
ют и имя, которое мы вольны задать сами. Вот пример за-
дания имён интерфейсов: Протокол ICMP
Протокол ICMP необходим для нормальной работы се-
nameif ethernet0 outside security0 ти на базе стека протоколов TCP/IP, но некоторые ти-
nameif ethernet1 inside security100
nameif ethernet2 www security20 пы сообщений данного протокола могут быть исполь-
nameif ethernet3 not_used security25 зованы злоумышленниками для сбора сведений о сети
или для нарушения её нормальной работы. Поэтому для
Последний параметр – уровень безопасности (security внешнего интерфейса firewall следует разрешить толь-
level) нуждается в пояснении. Число от 0 до 100 задаёт уро- ко самые необходимые типы сообщений ICMP, в данном
вень безопасности данного интерфейса относительно дру- случае, это сообщения о недоступности хоста или сети
гих интерфейсов – чем выше число, тем безопаснее счи- (unreachable) и сообщения об окончании времени жизни
тается сеть. Это число абстрактно, т.е. само по себе не яв- пакета (time-exceeded).
ляется показателем безопасности сети. Этот параметр ис- В следующем примере разрешаем весь ICMP на интер-
пользуется системой для определения возможности и спо- фейсе outside для одной сети и одного хоста, затем два ти-
соба обмена данными между интерфейсами – для доступа па сообщений на внешнем интерфейсе и весь ICMP на ин-
из более безопасной сети в менее безопасную должны ис- терфейсах inside и www:
пользоваться команды nat и global, а для доступа из менее
безопасной сети в более безопасную – static и access-list. icmp permit 3.4.5.0 255.255.255.0 outside
icmp permit host 4.5.6.100 outside
Интерфейсы же с одинаковыми уровнями безопаснос- icmp permit any unreachable outside
ти вообще не могут работать друг с другом. icmp permit any time-exceeded outside
icmp permit any inside
Указываем IP-адреса на интерфейсах: icmp permit any www

ip address outside 1.2.3.246 255.255.255.252

ip address inside 192.168.255.1 255.255.255.252
ip address www 192.168.255.5 255.255.255.252
К сожалению на один интерфейс можно назначить толь-
ко один адрес.
Доступ к firewall по ssh
Если firewall уже соответствующим образом настроен, то к
нему можно подключиться по ssh с именем пользователя
pix, например:

54
 безопасность
ssh pix@192.168.255.1 ного диапазона глобальных адресов (пула). Количество ло-
кальных адресов, которые должны транслироваться, долж-
Доступ к firewall нужно ограничить минимально необ- но равняться количеству глобальных адресов.
ходимым количеством хостов. Сделать это можно коман- Данные о соответствии локальных и глобальных адре-
дой ssh: сов хранятся в таблице трансляций. Идентификация тра-
фика производится по соответствию локального и глобаль-
ssh 4.5.6.100 255.255.255.255 outside ного адресов.
ssh 192.168.255.2 255.255.255.255 inside
PAT позволяет транслировать локальные адреса в один
Маска и интерфейс являются необязательными пара- глобальный, случайным образом назначая для каждого со-
метрами. единения новый порт на глобальном интерфейсе. Иденти-
Кроме этого доступ к ssh-порту должен быть открыт фикация трафика производится по соответствию адресов
и в соответствующих списках доступа. и портов. Статический PAT позволяет задать постоянное со-
ответствие локальных и глобальных адресов и портов.
Сохранение логов на сервере Механизм работы трансляций достаточно прост – в па-
Для удобства использования и хранения системных сооб- кете, полученном от локального хоста, адрес отправителя
щений firewall лучше передать их на syslog-сервер. К при- меняется на глобальный, а в случае использования дина-
меру, передаём логи на хост 192.168.255.2 с идентификато- мического PAT, также меняется (на случайный) номер пор-
ром LOCAL7 (по нумерации firewall – 23), с уровнем warnings та отправителя. В таком виде пакет и отправляется полу-
и выше (critical, alerts, emergencies), а также с идентифика- чателю во внешней сети, который отсылает ответный па-
тором устройства «pix-gtw»: кет на указанные адрес и номер порта отправителя. Полу-
чив пакет из внешней сети, firewall ищет в таблице трансля-
logging on ций соответствующую запись и, если таковая имеется, мо-
logging trap warnings
logging facility 23 дифицирует полученный пакет, заменяя глобальный адрес
logging device-id string pix-gtw получателя локальным и в случае динамического PAT так-
logging host inside 192.168.255.2
же и номер порта получателя, после этого пакет отсылает-
На указанном хосте должен быть доступен по сети ся локальному хосту.
syslog-демон, а в конфигурации демона должна быть за- Практически все прикладные программы могут рабо-
пись для логов с нашим идентификатором, указывающая тать через NAT без каких-либо затруднений, т.к. произво-
на существующий файл: дится только замена локального адреса, в случае же при-
менения PAT не будут работать некоторые приложения, ко-
local7.* /var/log/pix.log торые, например, используют разные порты для входяще-
го и исходящего трафика.
Эти логи будут очень полезны при настройке и отладке Один из особых вариантов NAT – исключение из NAT
конфигурации firewall. (NAT Exemption). Исключение из NAT настраивается ко-
Не забудьте настроить архивацию этих логов, чтобы они мандой:
не занимали слишком много места.
nat 0 access-list
NAT и PAT
Трансляции предназначены для того, чтобы дать возмож- и отключает трансляцию для адресов, указанных в спис-
ность локальным хостам обращаться к хостам во внешнем ке доступа, т.е. обмен идёт без какой-либо трансляции во-
мире. Кроме этого, трансляции скрывают адреса локальных обще.
хостов, что положительно сказывается на безопасности.
В Cisco PIX используются два вида трансляций Network Зависимость трансляций от уровней
Address Translation (NAT) и Port Address Translation (PAT), безопасности интерфейсов
которые, в свою очередь могут быть статическими или ди- Как уже говорилось выше, способ настройки трансляции за-
намическими. висит от уровня безопасности интерфейсов – для настрой-
NAT позволяет транслировать каждый локальный адрес ки доступа из более безопасной сети в менее безопасную
в соответствующий ему глобальный один к одному. При ста- нужно использовать команду nat, а для доступа из менее
тическом NAT это соответствие задаётся жёстко. При дина- безопасной сети в более безопасную – static.
мическом NAT используются свободные адреса из задан- Для просмотра уровней безопасности можно восполь-
Таблица соответствий зоваться командой:
Откуда Куда Команда
show nameif
inside outside nat
inside www nat
которая также покажет и имена интерфейсов:
www outside nat
www inside static nameif ethernet0 outside security0
nameif ethernet1 inside security100
outside inside static
nameif ethernet2 www security20
outside www static nameif ethernet3 not_used security25

№12, декабрь 2005 55

 безопасность
Применительно к нашей конфигурации сети можно со-
ставить простую таблицу (см. таблицу).
Таблица трансляций (xlate)
Для трансляции соединений firewall создаёт таблицу соот-
ветствий, которая в терминологии Cisco PIX 520 называется
xlate или translation slots. Мы можем посмотреть уже сущес-
твующие записи в таблице командой «show xlate», а очис-
тить всю таблицу – командой «clear xlate». Кстати, послед-
нюю операцию рекомендуется делать после изменений пра-
вил трансляции, но учтите, что это приведёт к разрыву уже
установленных соединений, если они созданы с использо-
ванием какой-либо трансляции.
Для удаления только определённых записей можно
указать глобальный или локальный адрес и, если это PAT,
то и соответствующий порт:
clear xlate global 1.2.3.246
clear xlate local 192.168.255.6 lport 80
При отсутствии обмена записи в таблице трансляций
удаляются по истечении тайм-аута, который задаётся ко-
мандой «timeout xlate» и по умолчанию равен трём часам.
Записи для протокола UDP удаляются через 30 секунд пос-
ле закрытия соединения, независимо от заданного значе-
ния тайм-аута.
Обращения с сервера во внешний мир
Для настройки обращений сервера во внешний мир исполь-
зуются команды «global» и «nat».
Команда «global» создаёт пул глобальных адресов,
т.е. реальных адресов на внешнем интерфейсе, которые
используются определённой трансляцией. В нашем случае
пул состоит только лишь из одного адреса, который непос-
редственно указан на внешнем интерфейсе firewall, поэто-
му мы можем использовать ключевое слово interface вмес-
то собственно IP-адреса.
Следующей командой мы создаём глобальный пул ку приветствия нашего SMTP-сервера, заменяя почти всё
с номером 1 на внешнем интерфейсе, использующий ад- звёздочками. Например, из строки:
рес этого интерфейса, т.е. все обращения из этого пула бу-
дут уходить во внешний мир с нашего глобального адре-
са 1.2.3.246:
global (outside) 1 interface
Команда «nat» позволяет нам указать локальные ад-
реса, которые должны транслироваться, и задаёт соот-
ветствие с пулом глобальных адресов, описанным коман-
дой «global».
Следующей командой мы задаём, что обращения с хос-
та 192.168.255.2, подключенного на интерфейсе inside, бу-
дут транслироваться через глобальный пул номер 1:
nat (inside) 1 192.168.255.2 255.255.255.255
Соответствие глобальных и локальных пулов опреде-
ляется по номеру (NAT ID), который указывается в этих ко-
мандах.
Всё, можно проверять доступность внешнего мира
с сервера.
56
При изменении правил трансляции не забывайте вы-
полнять команду «clear xlate».
Обращения из внешнего мира к серверу
На нашем сервере есть несколько служб, которые долж-
ны быть доступны извне, в нашем случае это DNS, SSH,
SMTP, FTP.
Для настройки трансляции с интерфейса outside на ин-
терфейс inside используется команда «static».
Команда static позволяет задать статическую транс-
ляцию, указав точное соответствие локального адреса и
глобального адреса и порта. В качестве порта можно ука-
зать его номер или имя. Соответствие номеров и имён пор-
тов описано в документации. В конфигурации firewall все
номера портов заменяются их именами, если таковые из-
вестны.
Кроме самой команды «static», необходимые разреши-
тельные правила должны быть указаны в соответствующих
списках доступа (access-list).
Синтаксис команды «static», используемый в данном
случае, достаточно прост:
static (локальный_интерфейс, глобальный_интерфейс) ↵
протокол глобальный_адрес локальный_адрес
Так же как в описанном ранее случае использования ко-
манды «global» мы можем в качестве глобального адреса
указать ключевое слово interface.
Следующей командой мы задаём статическую трансля-
цию с глобального интерфейса outside на локальный интер-
фейс inside для протокола tcp с 25-го порта глобального ин-
терфейса на 25-й порт хоста 192.168.255.2:
static (inside,outside) tcp interface 25 192.168.255.2 25
Применительно к SMTP-протоколу нужно упомянуть,
что firewall из соображений безопасности изменяет стро-
220 mail.domain.tld ESMTP Sendmail 8.13.0/8.13.0; Mon, 5 Dec 2005
18:01:32 +0600 (KGT)
получается что-то вроде этого:
220 ********************************0******0********** ***200****
*0***0 *0*00 *****
По аналогии с предыдущей командой выполняем сле-
дующие:
static (inside,outside) tcp interface 20 192.168.255.2 20
static (inside,outside) tcp interface 21 192.168.255.2 21
static (inside,outside) udp interface 53 192.168.255.2 53
Для настройки подключения к серверу по протоко-
лу ssh придётся использовать отличный от стандартного
порт, т.к. 22-й занят самим firewall. Следующей командой
мы задаём соответствие свободного порта на внешнем ин-
терфейсе firewall (например 222) и стандартного ssh-пор-
та сервера:
static (inside,outside) tcp interface 222 192.168.255.2 22

Теперь при подключении к серверу извне нужно будет
указать номер порта. Например, для клиента из пакета
openssh команда будет выглядеть вот так:
ssh -p 222 malik@1.2.3.246
В то время как подключение к самому firewall будет про-
изводиться как обычно:
ssh pix@1.2.3.246
Ну и конечно, в списке доступа на внешнем интерфей-
се должны быть соответствующие разрешающие правила
для обращений на порты, для которых мы настроили ста-
тическую трансляцию:
access-list 101 permit tcp any host 1.2.3.246 eq 20
access-list 101 permit tcp any host 1.2.3.246 eq 21
access-list 101 permit tcp any host 1.2.3.246 eq 25
access-list 101 permit udp any host 1.2.3.246 eq 53
access-list 101 permit tcp host 4.5.6.100 ↵
host 1.2.3.246 eq 222
Доступ к веб-сайту из внешнего мира
Вот этой командой мы задаём статическую трансляцию
с интерфейса outside на интерфейс www для протокола
tcp с 80-го порта внешнего интерфейса на 80-й порт хос-
та 192.168.255.6:
static (www,outside) tcp interface 80 192.168.255.6 80
В список доступа на внешнем интерфейсе добавляем
разрешительное правило для 80-го порта:
access-list 101 permit tcp any host 1.2.3.246 eq 80
Инициировать исходящие соединения с веб-сервера
мы не позволяем в целях повышения безопасности веб-
сервера.
Поэтому более никаких трансляций на внешнем интер-
фейсе для этого сервера мы не задаём.
Доступ из локальной сети к веб-серверу
Если из локальной сети доступ к веб-сайту будет осущест-
вляться также, как и из внешнего мира, т.е. только по прото-
колу http и на тот же глобальный адрес (1.2.3.246), то и до-
статочно будет статической транляции http-порта, но те-
перь нам нужно будет указать не ключевое слово interface,
а именно IP-адрес, под которым мы бы хотели видеть веб-
сервер:
static (www,inside) tcp 1.2.3.246 80 192.168.255.6 80
Если же мы хотим, чтобы веб-сервер был напрямую до-
ступен с хостов локальной сети и от нашего сервера и об-
ращения к нему вообще не транслировались, то надо ис-
пользовать конструкцию «nat 0 access-list» и соответству-
ющий список доступа:
nat (inside) 0 access-list 110
№12, декабрь 2005
безопасность
access-list 110 permit ip 10.0.1.0 255.255.255.0 ↵
host 192.168.255.6
access-list 110 permit ip host 192.168.255.2 ↵
host 192.168.255.6
Конечно же, firewall должен иметь маршрут для адре-
сов локальной сети:
route inside 10.0.1.0 255.255.255.0 192.168.255.2
Этот маршрут на firewall необходим и для взаимодейс-
твия веб-сервера с локальной сетью, т.к. firewall является
для веб-сервера маршрутизатором по умолчанию.
Дополнительные примеры трансляций
Возможно, кого-то заинтересуют несколько примеров
трансляций, не имеющих прямого отношения к нашей схе-
ме. Соответственно и адреса в примерах не имеют отно-
шения к описанной схеме.
Первый пример
У нас есть несколько глобальных адресов, и мы хотим, что-
бы обращения из внешнего мира на какой-либо их порт
транслировались на определённые локальные адреса:
static (inside,outside) tcp 1.2.4.1 80 192.168.0.1 80
static (inside,outside) tcp 1.2.4.2 80 192.168.0.2 80
Второй пример
У нас есть несколько глобальных адресов, и мы хотим, что-
бы все обращения от некоторых локальных хостов уходили
во внешний мир со строго определённых глобальных ад-
ресов – настраиваем два разных глобальных пула и соот-
ветствующие им NAT:
global (outside) 1 1.2.4.1
global (outside) 2 1.2.4.2
nat (inside) 1 192.168.0.1 255.255.255.255
nat (inside) 2 192.168.0.2 255.255.255.255
т.е. обращения с хоста 192.168.0.1 уйдут во внешний мир
с адреса 1.2.4.1, а обращения с хоста 192.168.0.2 уйдут с ад-
реса 1.2.4.2.
А если при этом мы хотим, чтобы ещё и обращения из-
вне на определённые глобальные адреса транслировались
на соответствующие локальные, то нам надо сделать и об-
ратную трансляцию:
static (inside,outside) 1.2.4.1 192.168.0.1
static (inside,outside) 1.2.4.2 192.168.0.2
В итоге у нас получается двунаправленная трансляция
с соответствием глобальных и локальных адресов.
Документация
Вся документация, использованная для настройки firewall и на-
писания данной статьи, была взята с сайта компании Cisco
(http://www.cisco.com):
1. Cisco PIX Firewall and VPN Configuration Guide.
2. Cisco PIX Firewall Command Reference.
3. Using NAT and PAT Statements on the Cisco Secure PIX
Firewall.
57
 web

Печатаем документы с веб-сервера

Дмитрий Острецов
Информационные системы, на которые мы смотрим через окно браузера, хороши всем,
кроме одного, – в них трудно организовать печать документов, пригодных для официального
документооборота. Предлагаем вам один из способов преодоления этой трудности.

В
этой статье я хочу поделиться
с вами опытом организации пе-
чати документов в корпоратив-
ной информационной системе, постро-
енной на основе веб-технологий.
Для чего нужны корпоративные
информационные системы, понятно
всем. Большие и сложные обычно по-
купаются у сторонних производите-
лей, но не о них речь. Нередко подоб-
ные системы создаются силами ИТ-от-
делов. Для этого обычно применяет-
ся некий инструментарий, объединя-
ющий в себе средства создания эк-
ранных форм, работы с БД и созда-
ния печатных отчетов. Однако созда-
ние информационной системы на ба-
зе веб-технологий позволяет обой-
тись без этих средств – работа с фор-
мами и БД средствами CGI-скриптов
на PHP или Perl реализуется без про-
блем. При этом мы получаем про-
грамму, не требующую для своей ра-
боты у клиента ничего, кроме браузе-
ра, и позволяющую организовать уда-
ленный доступ.
И только одна проблема, элемен-
тарная для MS Access, не имеет адек-
ватного решения для веб-программис-
та. Это печать документов.
В чем заключаются
проблемы печати
в системе, основанной
на веб?
Мы хотим распечатывать именно до-
кументы, поэтому просто печать стра-
ницы из браузера не годится – сверху
и снизу печатается служебная инфор-
мация (номера страниц, URL и т. д.), от-
ключение этих полей представляет со-
бой задачу, не имеющую универсаль-
ного решения. Кроме того, документы
бывают книжной и альбомной ориен-
тации, а способа указать, как должен
быть ориентирован HTML-документ,

58

при печати, нет. (Вернее, в стандарте есть способ это ука-
зать [2], но вот когда это будет реализовано в браузерах,
не известно.)
Этих проблем лишен формат PDF. Но тут встает во
весь рост вопрос формирования документа. Библиоте-
ки для работы с PDF существуют, но сформировать кра-
сивый документ с их помощью будет непросто. А как быть
с необходимостью изменять документы время от време-
ни (взять хотя бы счет-фактуру)? Программист на Access
просто подправит документ (report), возможно, одним дви-
жением мыши…
Я предлагаю организовать печать с веб-сайта при помо-
щи пакета OpenOffice. Цепочка действий будет такой: мы де-
лаем в OpenOffice макет документа и помещаем его на сер-
вер. Веб-скрипт заполнит поля в макете и добавит необхо-
димые строки, в результате чего получится готовый доку-
мент, который останется только отправить на принтер.
Что такое OpenOffice?
OpenOffice – это бесплатный пакет офисных программ [3].
Данный проект возник по инициативе и существует при
поддержке фирмы Sun. Недавно вышла версия 2.0, но опи-
сываемая здесь технология реализована мной для версий
1.1.*, хотя есть основания полагать, что все будет работать
и с последней версией, несмотря на переименование суф-
фиксов у файлов документов. OpenOffice способен откры-
вать и редактировать основные форматы MS Office и ра-
ботает практически под любой ОС. Проект прилично доку-
ментирован. В рамках данной статьи нас будет интересо-
вать собственный формат документов OpenOffice.
Разные приложения OpenOffice (Writer, Calc…) исполь-
зуют собственный суффикс для файлов, но файлы эти
имеют почти схожую структуру – это ZIP, который содер-
жит главный файл content.xml и вспомогательные, содер-
жащие стили, пользовательские настройки, ресурсы и т. д.
Content.xml – это обычный XML-файл, который можно обра-
батывать при помощи всех известных XML-средств.
Итак, мы будем самостоятельно формировать файл
формата OpenOffice и распечатывать его при помощи са-
мого OpenOffice. Для этого OpenOffice должен быть установ-
лен или на машине клиента, или на самом сервере. Как мне
кажется, для внутрикорпоративной системы более предпоч-
тителен серверный вариант. При помощи OpenOffice легко
получить и PDF, но об этом в конце статьи.
Как сгенерировать файл
С точки зрения оформления документа, возможностей ре-
дактора OpenOffice (OOWriter) вполне достаточно, поэто-
му я ограничусь примерами использования файлов фор-
мата SXW, хотя предлагаемая технология будет работать
практически с любым файлом, созданным приложениями
из пакета OpenOffice. В версии 2.0 основной формат доку-
ментов OOWriter имеет суффикс ODT, но структура фай-
лов очень похожа.
Для начала мы создаем макет в OOWriter. Макет – это
почти готовый документ, в котором программно заполняе-
мые поля обозначаются специальными сигнальными фра-
зами. Выделяется специальными маркерами и табличная
часть, если таковая имеется. Щедро используем шрифты,
№12, декабрь 2005
web
Рисунок 1. Макет
рамки, графические элементы, колонтитулы, устанавли-
ваем необходимую ориентацию документа. Макет исполь-
зуется многократно, и при необходимости внести в форму
документа изменения его нужно просто загрузить в редак-
тор. Пример макета представлен на рис. 1.
В рамках описываемой технологии мы выделяем три
части документа: начальную часть, табличную часть (груп-
пу повторяющихся строк) и конечную часть, содержащую
суммы, линии для подписей и т. д. Если документ не со-
держит табличной части, то он состоит только из одной на-
чальной.
Любая часть может содержать поля. Поле – это просто
текст с именем поля, который будет заменен значением по-
ля при генерации документа. Имя поля может быть набра-
но любым шрифтом и отформатировано любым способом,
и должно соответствовать такому шаблону:
fl.<part>.<field>
fl – это метка начала имени поля, <part> – указатель части
документа (hd – начальная часть, ft – конечная, или имя ви-
да строки табличной части), <field> – имя поля данной час-
ти документа. Например:
fl.ft.Total
Части документа явным образом никак не задаются и
определяются по наличию соответствующих полей. Соот-
ветственно поля различных частей не могут перемешивать-
ся и должны следовать в строгом порядке: сначала все по-
ля начальной части, затем табличной и конечной.
Табличная часть у документа может быть только одна,
но зато видов строк у нее может быть несколько. У доку-
мента на рис. 1 два вида строк. Эти виды могут отличать-
ся составом полей или оформлением. В данном случае
два вида строк заведены для создания документа с «по-
лосатой» таблицей.
Строка табличной части должна представлять собой
вполне определенный элемент документа. Определенный,
потому что при разборе макета скрипт должен будет выде-
лить эту самую строку табличной части и размножить ее
по числу строк в таблице. При размножении имена полей
в строке табличной части будут заменяться соответствую-
щими значениями.
59
 web
Это место требует пояснения. Под элементом я имею в
виду XML-элемент файла OpenOffice. Именно с этими эле-
ментами имеет дело скрипт при обработке файла. Однако
при редактировании макета в OO.Writer никаких тегов не
видно (этот редактор такой же WYSWYG, как и WinWord).
Как же в нем указывать XML-элемент для строки табличной
части? Тем не менее никакой особой сложности нет. Опыт
показал, что наиболее удобно в качестве строки табличной
части использовать или параграф, или строку размечен-
ной таблицы. Просто аккуратно оформляем каждую стро-
ку табличной части в виде параграфа или размечаем таб-
лицу средствами редактора. В примере на рис. 1 строкой
табличной части является параграф, а для фиксирования
ширины полей служат соответственно расставленные та-
буляции. При настройке скрипта останется только указать,
что строка табличной части будет элементом типа <text:p>.
Рисунок 2. Фрагмент XML-кода табличной части макета
Если мы будем использовать размеченную таблицу, то ука-
жем тег <table:table-row>. После примера это станет более-
менее понятно, а пока последнее трудное место.
Конец табличной части должен быть явно обозначен.
Это принципиально для работы скрипта. Для обозначения
используется элемент того же типа, что и строка таблич-
ной части, но содержащий только текст «fl.EOT».В приме-
ре на рис. 1 хорошо виден такой параграф. А вот как вы-
глядят эти параграфы табличной части непосредственно
в XML (см. рис. 2).

Пример скрипта
Что, собственно, нужно сделать? Распаковать ZIP, «прой-
тись» по XML-файлу и заменить одни текстовые значения
на другие. Отыскать элемент строки табличной части, раз-
множить его по числу строк, опять же, заменяя поля значе-
ниями. Наконец нужно поместить новый XML в копию стар-
го ZIP и сохранить ZIP под новым именем.
Возможность работы с ZIP и XML сейчас имеется, навер-
ное, во всех языках. Здесь представлен пример реализа-
ции на PHP. Собственно операции по обработке SXW-фай-
ла убраны в библиотечный файл OODocFiller.php. Библио-
тека очень незатейлива, но все же для публикации ее тек-
ста в журнале великовата. Скачать ее можно по ссылке [1],
никаких условий по ее применению автор не накладывает.
Платформа может быть любой, для работы самого скрип-
та OpenOffice не нужен (он понадобится для печати). PHP
должен быть скомпилирован со следующими модулями: ZIP,
XPATH (для разбора XML), ENCODE (для перекодирования
текстовых значений в UTF 8). К сожалению, в 4 версии PHP
нет штатного модуля для создания ZIP-файлов, поэтому я
использую библиотеку zip.lib.php из состава дистрибутива
phpMyAdmin. Скачать ее можно с [1] или [4].
Представленный ниже скрипт будет создавать документ
OpenOffice, используя макет из рис. 1. Макет лежит в фай-
ле template.sxw в той же директории, что и скрипт.
01: include('OODocFiller.php');
02:
03: // Подключаем макет
04: $doc = new OODocFiller('template.sxw');
05: // Задаем параметры
06: $doc->SetParameter("RowElement", 'text:p');
07: $doc->SetParameter("Encoding", "WINDOWS-1251");
08:
09: // Определяем поля в начальной части
Рисунок 3. Сформированный документ
10: $hdr = &$doc->GetHeaderPart("Number", "Date", "Byer");
11: // Определяем поля в 2 типах строк табличной части
12: // (С белым и серым фоном)
13: $row1 = &$doc->GetNewRow("tb1", "Description", ↵
"Numb", "Price", "Amount");
14: $row2 = &$doc->GetNewRow("tb2", "Description", ↵
"Numb", "Price", "Amount");
15: // Определяем поле в конечной части
16: $ftr = &$doc->GetFooterPart("Total");
17:
18: // Формирование документа
19: // Заполняем начальную часть
20: $hdr->Fill("12", "1.10.2005", "И.И. Иванов");
21: // Заполняем табличную часть
22: // Виды строк чередуются для «полосатости»
23: $row1->Fill("Сапоги»,"2","12,50", "25,00");
24: $row2->Fill("Пироги»,"1","10,00", "10,00");
25: $row1->Fill("Плюшки»,"10","1,00", "10,00");
26: $row2->Fill("DVD+R","1","5,00", "5,00");
27: // Заполняем конечную часть
28: $ftr->Fill(«50,00»);
29: // Остается только сохранить сформированный документ ↵
в файл
30: if($doc->Error == ""){
31: $fd = fopen ("report.sxw", "wb");
32: $out = fwrite ($fd, $doc->GetBinaryResult());
33: fclose($fd);
34: }
35: else{
36: print "Error: ".$doc->Error;
37: }
После запуска скрипт должен создать файл report.sxw
в этой же директории (см. рис. 3). Если, конечно, вы не за-
были обеспечить соответствующие права.
Небольшие пояснения. Строки 6 и 7 задают параметры.
Параметров у этой библиотеки хватает, ознакомиться с ни-

60

ми можно в файле OODocFiller.php. Все они имеют значе-
ния по умолчанию, поэтому если вас устроят стандартные
настройки, то явно задавать ничего не нужно. Даже здесь
строки 6 и 7 избыточны (даны для примера), они задают
значения, которые используются по умолчанию. Внутрен-
нее представление OpenOffice – UTF-8, поэтому важно пра-
вильно задать кодировку, в которой ваш скрипт будет давать
значения полей при вызове библиотечных функций.
Строка 10, создавая ссылку на обьект начальной час-
ти, определяет и имена полей в ней. Строка 16 полностью
идентична 10, 13 и 14 задают два типа строк табличной час-
ти. Внутри макета они идентифицируются по именам, ко-
торые задаются в качестве первого параметра. Остальные
параметры тоже имена полей.
Строка 20 заполняет поля начальной части. Парметр Fill
может быть единым массивом значений, что удобно при ра-
боте с БД. Вместо строк 23-26 обычно находится цикл вы-
борки значений из таблицы БД.
Печать
Итак, мы получили файл. Как отправить его на принтер?
Первый способ – это печать с клиента. Для этого на кли-
енте должен быть установлен OpenOffice. При инсталляции
он добавляет свои типы файлов в системный MIME, поэто-
му серверу достаточно передать сгенерированный файл
с нужным HTTP-заголовком, и OpenOffice будет автомати-
чески запущен браузером.
Вот пример скрипта, который отправляет файл подоб-
ным образом:
$content = file_get_contents("report.sxw");
header("Pragma: public");
header("Expires: 0");
header("Cache-Control: must-revalidate, post-check=0, ↵
pre-check=0");
header("Cache-Control: private",false);
header("Content-type: application/vnd.sun.xml.writer");
header("Content-Disposition: attachment; filename= ↵
report.sxw;");
header("Content-Transfer-Encoding: binary");
header("Content-Length: ".filesize("report.sxw"));
print $content;
Второй способ – это отправка на печать непосредствен- дет продолжен.
но с сервера (мы ведь ведем речь о внутрикорпоративной
информационной системе).
Для отправки документа на печать из-под Windows до- всегда печатает на принтере, являющимся по умолчанию
статочно запустить следующее:
<путь к исп.файлам OO>\SOFFICE.EXE –pt"<принтер>" <документ> OpenOffice 2.0, а для версии 1.1.* вышли из положения при
или при печати на принтер по умолчанию:
<путь к исп.файлам OO>\SOFFICE.EXE –p <документ>
На Linux-сервере все будет немного сложнее, плюс
для настройки потребуются привилегии root. Но преодоле-
ние трудностей всегда раздвигало горизонты.
Прежде всего, для OpenOffice, даже для работы в пакет-
ном режиме, необходимо наличие запущенного X-термина-
ла. На сайте oooforum.org [5] можно найти рецепты, как орга-
низовать для этих целей виртуальный терминал, например
Xvfb [6], который вовсе не имеет доступа к экрану. Мы же
№12, декабрь 2005
web
на своем сервере организовали вторую X-консоль. Вот что
мы добавили в наш /etc/inittab файл:
x1:5:respawn:/usr/X11R6/bin/xinit /usr/X11R6/bin/xclock ↵
-- /usr/X11R6/bin/Xorg :1
Смысл полей этой строки примерно следующий:
 x1 – это просто уникальный идентификатор строки;
 5 – это уровень инициализации, при котором строка бу-
дет использоваться (5 – графический режим);
 respawn – перезапускать при завершении;
 xinit xclock – Xorg-запуск графической консоли с про-
граммой часы (наличие часов не дает xinit завершить-
ся);
 1 – номер создаваемого графического экрана. Этот но-
мер экрана мы будем сообщать OpenOffice при запуске
в пакетном режиме.
Теперь нужно определиться, под каким пользователем
веб-сервер будет запускать скрипты для печати. Этот поль-
зователь должен обязательно иметь домашнюю директо-
рию. Необходимо один раз зайти этим пользователем и за-
пустить любую программу OpenOffice. При этом в домашней
директории создадутся персональные файлы OpenOffice.
Без этих файлов пакетный режим, к сожалению, не срабо-
тает, поэтому важно, чтобы при работе скрипта перемен-
ная окружения HOME была определена и указывала имен-
но на домашнюю директорию этого пользователя.
Если все требования соблюдены, то теперь скрипт, ра-
ботающий под упомянутым пользователем, при помощи
команды:
<путь к исп.файлам OO>/soffice -display :1 –p <документ>
распечатает документ на принтер, установленный по умол-
чанию. Обратите внимание, что число у display – это номер
графического экрана из inittab.
Если же на вашем Linux-сервере определено несколько
принтеров и вы хотите при печати иметь возможность вы-
бора принтера, то познавательный процесс настроек бу-
Дело в том, что в версиях 1.1.* не убрали какую-то отла-
дочную заглушку. Поэтому в пакетном режиме OpenOffice
на момент старта программы.
Как же быть? Мы еще не тестировали на этот счет
помощи печати через PDF. Файлы PDF печатаются систем-
ными средствами Linux куда угодно, и кроме того, возмож-
ность генерации PDF имеет самостоятельную ценность.
Как конвертировать SXW в PDF
OpenOffice хорошо сохраняет свои файлы в PDF. Можно это
делать и в пакетном режиме. Вот как выглядит подготовка
Linux-сервера для реализации такой возможности.
Прежде всего необходимо добавить макрос в среду
OpenOffice. Заходим в систему пользователем, под кото-
рым будут работать скрипты, и запускаем OpenOffice. Про-
ходим по меню «Tools → Macros → Macro» и нажимаем кноп-
ку «Organizer», выбираем закладку (tab) «Libraries» и в выпа-
61
 web
Рисунок 4. Окно редактора basic скрипта OpenOffice
дающем списке «Application/Document» выбираем «soffice».
Нажимаем кнопку «New» и вводим имя своей библиоте-
ки, например Example. Переходим на закладку «Modules»
и выбираем свою библиотеку (Example) из списка. Нажи-
маем кнопку «New Module» и даем ему имя (Print). Теперь
выделяем появившийся модуль и нажимаем «Edit». Добра-
лись (см. рис. 4)!
Мы в более-менее привычном редакторе языка Basic.
Текст необходимых процедур:
Sub ConvertWordToPDF( cFile )
On Error GoTo ErrHandler
' Открываем файл
cURL = ConvertToURL( cFile )
oDoc = StarDesktop.loadComponentFromURL(cURL, ↵
"_blank", 0, Array(MakePropertyValue( "Hidden", ↵
True ),))
' Получаем имя для PDF-файла
cFile = Left( cFile, Len( cFile ) - 4 ) + ".pdf"
' Сохраняем через PDF-фильтр
cURL = ConvertToURL( cFile )
oDoc.storeToURL( cURL, Array(MakePropertyValue( ↵
"FilterName", "writer_pdf_Export" ),)
oDoc.close( True )
ExitSub:
Exit Sub
ErrHandler:
Shell("logger", 6, "-t ooffice ConvertWordToPDF: ↵
" + Error$)
End Sub
Function MakePropertyValue( Optional cName As String, ↵
Optional uValue ) As com.sun.star.beans.PropertyValue
Dim oPropertyValue As New com.sun.star.beans ↵
.PropertyValue
If Not IsMissing( cName ) Then
oPropertyValue.Name = cName
EndIf
If Not IsMissing( uValue ) Then
oPropertyValue.Value = uValue
EndIf
MakePropertyValue() = oPropertyValue
End Function
Это все есть в файле print.bas на [1] – открываем его ка-
ким-нибудь редактором и копируем содержимое в модуль.
Сохраняемся и выходим из OpenOffice.
Для упрощения использования механизма печати через
PDF создадим небольшой shell-скрипт, который разместим
в директории, упоминаемой в PATH, например, пусть пол-
ное имя будет /usr/local/lib/ooprint:
62
#!/bin/bash
# Первый параметр – имя принтера,
# второй – имя (лучше полное) SXW-файла.
Printer=$1
# Получаем имя для PDF-файла
PDFname=${2/.sxw/.pdf}
# Внимание, замените :1 на номер графического дисплея,
# который вы указали в inittab
# Если вы назвали свою библиотеку не Example,
# то не забудьте подправить и это
/usr/lib/ooo-1.1/program/soffice -display :1 ↵
"macro:///Example.Print.ConvertWordToPDF($2)"
# В предыдущей строке мы создали PDF-файл с тем же
# именем (кроме суффикса) и в том же месте, что и SXW
# А теперь печатаем PDF
lp -s -d $Printer $PDFname
# Удаляем PDF
rm $PDFname
Теперь, чтобы напечатать SXW-документ, нам доста-
точно запустить:
ooprint myprinter report.sxw
Если же вместо печати нужна просто конвертация в PDF,
то нужно создать модифицированную версию ooprint. Наде-
юсь, что это ни для кого не составит трудности.
Заключение
Смысл данной статьи заключается не в описании представ-
ленной библиотеки, а в демонстрации идеи. Для того что-
бы добавить в веб-систему функцию печати, вовсе не обя-
зательно покупать что-то вроде CrystalReport. Обработка
XML не сложна и может быть осуществлена на любом язы-
ке. Кроме того, в качестве принт-процессора можно ис-
пользовать, например, TeX. Главное, берем макет, отыски-
ваем в нем поля…
Но OpenOffice все-таки заслуживает внимания. В целом
это зрелый и устойчивый продукт.
Описанная реализация вполне работоспособна, но тре-
бует дальнейшего развития. Например, печать каждого эк-
земпляра документа требует запуска тяжелого приложения
(soffice). Это может оказаться не быстро. Тут есть разные
пути модернизации.
Во-первых, у OpenOffice есть резидентный модуль
quickstart, который должен ускорять запуск. Можно попы-
таться запускать quickstart из inittab.
Во-вторых, у OpenOffice есть серверный режим, при ко-
тором он будет обслуживать удаленные запросы. Есть API.
Но с этим разбираться и разбираться.
Успехов!
Ссылки:
1. Файлы к статье – http://samag.ru/cgi-bin/go.pl?q=source.
2. Cпецификация w3c для CSS 2 – http://www.w3.org/TR/REC-
CSS2/page.html.
3. OpenOffice – http://www.openoffice.org.
4. PhpMyAdmin – http://www.phpmyadmin.net.
5. Форум по OpenOffice – http://www.oooforum.org.
6. Virtual framebuffer X server for X Version 11 – http://www.xfree86.
org/current/Xvfb.1.html.
 web

Многоликий Apache
Размещаем несколько сайтов на одном веб-сервере

Павел Малахов
Установив веб-сервер Apache и предоставив через него на всеобщее обозрение свой сайт,
некоторые и не подозревают, каким мощным инструментом они владеют. С его помощью
можно управлять сотнями сайтов с разными именами и уровнями доступа. Денежная
стоимость и временные затраты на добавление каждого сайта при этом минимальны.

В
еб-сервер Apache, популярный благодаря своей про-  Сделать перенаправление нескольких имён на один
зрачности для программистов и администраторов сайт.
и не в последнюю очередь благодаря бесплатнос-
ти, реализован под все более-менее популярные опера- Делаем
ционные системы. Его настройки для всех ОС одинаковы, Пойдём от простого к сложному. Для начала рассмотрим
различаются только пути, где хранятся конфигурационные случай, когда у нас два сайта и два имени teo.mynetwork.ru
файлы. На одном сервере может быть запущено несколь- и logos.mynetwork.ru. Эти имена должны быть доступны,
ко экземпляров Apache, прослушивающих разные адреса т.е. держатель зоны mynetwork.ru должен прописать в ней
и/или порты. Один экземпляр может обслуживать несколь- узлы teo и logos.
ко сайтов (подробнее об этом ниже). Проект настолько попу- Для каждого сайта создаём каталог в корневом ка-
лярен, что постоянно обрастает новой функциональностью. талоге документов Apache (teo и logos соответственно).
О степени популярности можно судить либо по статистике, Для Linux это по умолчанию /var/www/html, но чтобы убе-
что, на мой взгляд, довольно опрометчиво, либо по конкрет- диться, где он расположен на нашем сервере, смотрим зна-
ным фактам. Фактов популярности Apache мы приведём два. чение директивы DocumentRoot в /etc/httpd/conf/httpd.conf.
Во-первых, его наличие в качестве веб-сервера по умолча- Итак, создаём:
нию в большинстве UNIX-подобных операционных систем.
Во-вторых, такой гигант в области ИТ, как компания Oracle, # mkdir /var/www/html/teo /var/www/html/logos
принял его в состав своего продукта Oracle Application
Server 10g, где он играет одну из ключевых ролей. Мы будем разделять журналы для каждого сайта, поэ-
тому создадим соответствующие каталоги:
У нас есть
 Компьютер с установленным пакетом Apache 1.3 # mkdir /var/log/httpd/teo /var/log/httpd/logos
или 2.0.
 А д р е с с е р ве ра в Ин те р н ете: 10.0.10.15 и и м я : Если у нас уже был создан сайт, то всё его содержимое
teo.mynetwork.ru. переносим в созданный для него каталог, т.е. из /var/www/html
 Адрес сервера в локальной сети: 192.168.100.18. в /var/www/html/teo. Новый сайт logos.mynetwork.ru размеща-
 Несколько сайтов. ем в /var/www/html/logos.
 Несколько имён для одного сайта. Теперь настраиваем Apache. Добавляем в конец файла
/etc/httpd/conf/httpd.conf:
Хотим
 Разместить все сайты на одном сервере. NameVirtualHost 10.0.10.15
<VirtualHost teo.mynetwork.ru>
 Сделать доступ к каждому сайту по отдельному URL. DocumentRoot /var/www/html/teo
 Ограничить доступ к некоторым сайтам. ServerName teo.mynetwork.ru

№12, декабрь 2005 63

 web
ErrorLog /var/log/httpd/teo/error_log Redirect /samag http://samag.ru
CustomLog /var/log/httpd/teo/access_log combined Redirect /ftp/ ftp://citkit.ru/pub/
</VirtualHost> Redirect /find/ya.htm http://yandex.ru
<VirtualHost logos.mynetwork.ru>
DocumentRoot /var/www/html/logos
ServerName logos.mynetwork.ru При этом Apache воспринимает первый параметр ди-
ErrorLog /var/log/httpd/logos/error_log рективы Redirect не как URL, а как набор символов, при
CustomLog /var/log/httpd/logos/access_log combined
</VirtualHost> совпадении с которым происходит перенаправление. От-
сюда следует, что он не проверяет наличие указанных ка-
Все настройки, не заданные для сайта явным образом талогов и файлов, а ссылки /samag и /samag/ не считает
в директиве VirtualHost, наследуются от глобальных настро- одинаковыми.
ек Apache, указанных выше в этом же файле.
Перезапускаем Apache: Ограничиваем доступ к сайтам
Теперь если пользователь обратится к нам по IP-адресу либо
# /etc/init.d/httpd restart по имени, на которые наш сервер откликается (см. врезку),
то Apache сначала определяет, не удовлетворяет ли запрос
Теперь, обращаясь по DNS-именам, мы будем получать описанным директивами VirtualHost сайтам, и если не нахо-
разные сайты. Если обратиться по IP-адресу, то получим дит ни один из них, то выдаёт сайт по умолчанию, который
сайт teo.mynetwork.ru, т.к. он подключен первым. находится в каталоге, заданном глобальной директивой
DocumentRoot, т.е. уровнем выше остальных. Таким обра-
Создаём ссылки с нескольких зом, получается, что пользователь может попасть на любой
DNS-адресов на один сайт из виртуальных сайтов не тем путём, какой мы для него при-
Это можно осуществить двумя способами: созданием си- готовили, т.е. http://logos.mynetwork.ru/. Например, набрав
нонимов или перенаправлением всех обращений с друго- в адресной строке браузера «http://192.168.100.18/logos/»,
го сайта. он получит сайт logos.mynetwork.ru. Правда, в этом случае
Синонимы задаются директивой ServerAlias, могут со- документы, использующие ссылки на ресурсы этого же сай-
держать маску и разделяются пробелом. Вот несколько при- та, будут некорректно отображаться, потому что ссылки де-
меров создания синонимов: лаются относительно корня сайта, и если это была ссыл-
ка /img/picture.jpg, то во втором случае этот же файл уже
ServerAlias www.teo.mynetwork.ru нужно искать по ссылке /logos/img/picture.jpg, этого же брау-
ServerAlias *.teo.mynetwork.ru
ServerAlias www.teo.mynetwork.ru god.mynetwork.ru pantheon.ru зер не знает. Таким образом, здесь все зависит от того, до-
гадывается ли пользователь, в каких каталогах мы храним
Синоним – это DNS-имя. Имена могут быть абсолют- наши сайты. В принципе в этом нет ничего плохого, ведь
но любыми, в том числе и из разных доменов, но все они мы в любом случае выложили сайты, чтобы их посещали
должны разрешаться в IP-адреса, то есть их предваритель- (правила по ограничению доступа к ресурсу всё равно бу-
но нужно зарегистрировать в DNS. дут действовать, о них мы поговорим чуть позже), но как-
Перенаправление задаётся директивой Redirect. Создаём то это выглядит некрасиво (для того и двери, чтобы в окна
новый пустой сайт pantheon.ru. Как и для предыдущих сайтов, не лазить). Чтобы устранить эту некрасивость, можно по-
это делается в три шага: создание каталога для документов, местить сайт по умолчанию на тот же уровень, что и осталь-
для журналов и добавление конфигурации в httpd.conf: ные сайты, т.е. создать каталог /var/www/html/default и ука-
зать его в двух директивах глобальных настроек (т.е. до опи-
<VirtualHost pantheon.ru> сания виртуальных сайтов).
DocumentRoot /var/www/html/pantheon
ServerName pantheon.ru
ErrorLog /var/log/httpd/pantheon/error_log DocumentRoot "/var/www/html/default"
CustomLog /var/log/httpd/pantheon/access_log combined ...
Redirect / http://teo.mynetwork.ru # This should be changed to whatever you set DocumentRoot to
</VirtualHost> <Directory "/var/www/html/default">

Можно перенаправлять не со всего сайта, а только с оп-
ределённого каталога или даже документа:
Особенности директив Listen и NameVirtualHost
Директива Listen имеет больший приоритет чем, NameVirtualHost.
Она говорит, откуда принимать запросы. В то время как послед-
няя определяет, как обрабатывать полученный запрос. Это значит,
что если указано значение «Listen 80», то Apache будет прослуши-
вать порт 80 на всех IP-адресах, и директива «NameVirtualHost
10.0.10.15» не ограничивает запросы, пришедшие на другие адреса,
и они будут обрабатываться наравне с указанным адресом, а ес-
ли указано значение «Listen 10.0.10.15:80», то «NameVirtualHost
192.168.100.18» не возымеет действия, и сайт будет не доступен
из локальной сети.
Теперь перейдём непосредственно к раздаче прав до-
ступа. Существует два способа указать права доступа к ка-
талогу веб-сайта средствами Apache: поместить в каталог
файл .htaccess либо использовать директиву <Directory>
в файле конфигурации. В обоих случаях правила распро-
страняются и на вложенные каталоги.
Перечислим преимущества использования файла
.htaccess:
 при его изменении не нужно перезапускать Apache;
 при одинаковом уровне доступа к разным ресурсам мож-
но пользоваться ссылками на один файл .htaccess;
 можно предоставить пользователю право редактирова-
ния этого файла, что удобно, если у нас сервер с мно-
жеством клиентских сайтов.

64
 web
Есть и недостатки: Options +Indexes
Order deny,allow
 для того чтобы ответить на вопрос: «какие ограничения Deny from all
доступа существуют на сайте?» – администратору не- Allow from 192.168.100.11
Allow from 192.168.100.17
обходимо помнить, в каких каталогах лежат эти файлы
и ссылки; и файл /var/www/html/logos/info2/.htaccess:
 если сайт будет переноситься на другой сервер,
и, что очень вероятно, будет размещён в другом ка- AuthType Basic
AuthName "Boss"
талоге, то для корректировки ссылок уйдёт много AuthUserFile "/var/www/main_users"
времени; Require valid-user
 повышается нагрузка сервера, т.к. при каждом запро-
се на ресурс он обращается к .htaccess в этом каталоге Оба варианта настройки равноправны и создают сле-
и всех верхних по иерархии, наследуя их настройки т.е. за- дующие ограничения.
прос на ресурс http://teo.mynetwork.ru/olimp/staff/zeus.htm Доступ к ресурсу http://logos.mynetwork.ru/info1/ смо-
инициирует проверку .htaccess-файлов в каталогах гут получить только два пользователя из локальной се-
«./», «./olimp/», «./olimp/staff/». ти с указанными IP-адресами (хотя такие ресурсы луч-
ше хранить на внутренних веб-серверах), ещё мы дали
Определяя настройки доступа к каталогам сайта с по- разрешение Apache, в случае отсутствия в каталоге на-
мощью директивы <Directory> в одном конфигурацион- чальной страницы генерировать html-документ с содер-
ном файле всего сайта, мы получим следующие преиму- жимым каталога.
щества: Для доступа к ресурсу http://logos.mynetwork.ru/info2/
 можно быть уверенным, что ничего не пропустим, если будут запрошены имя пользователя и пароль, которые бу-
вдруг нужно изменить уровень доступа к какому-нибудь дут сверены с данными в файле /var/www/main_users. Со-
ресурсу; здадим этот файл:
 повышаем скорость реакции сервера на запросы,
т.к. все настройки загружаются при старте Apache. # touch /var/www/main_users
# chown root.webmaster /var/www/main_users

Ну а мириться придётся с тем, что для каждого ката-
лога необходимо описывать права отдельно (помним, что
для подкаталогов права наследуются), даже если они оди-
наковые.
Правда, есть поддержка масок, например:
<Directory ~ "^/www/.*/[0-9]{3}">
будет соответствовать именам каталогов в /www/ состоя-
щим из трёх цифр, но это не всегда может облегчить си-
туацию.
Мы рассмотрим оба способа и изменим права доступа
к двум каталогам сайта logos.
Первый. Описываем права доступа к каталогам в глав-
ном конфигурационном файле httpd.conf:
<VirtualHost logos.mynetwork.ru>
DocumentRoot /var/www/html/logos
ServerName logos.mynetwork.ru
ErrorLog /var/log/httpd/logos/error_log
CustomLog /var/log/httpd/logos/access_log combined
<Directory /var/www/html/logos/info1>
Options +Indexes
Order deny,allow
Deny from all
Allow from 192.168.100.11
Allow from 192.168.100.17
</Directory>
<Directory /var/www/html/logos/info2>
AuthType Basic
AuthName "Boss"
AuthUserFile "/var/www/main_users"
Require valid-user
</Directory>
</VirtualHost>
Второй. Чтобы предоставить такие же права с помо-
щью файлов .htaccess, нужно создать соответственно файл
/var/www/html/logos/info1/.htaccess:
Добавим в него пользователя chef:
# /usr/bin/htpasswd /var/www/main_users chef
Остальных пользователей добавляем аналогичным спо-
собом. Такие файлы создаём для каждой группы пользо-
вателей с одинаковыми правами доступа к ресурсу. Одни
и те же группы можно использовать во всех сайтах.
Последние штрихи
В заключение можно для изящности выделить настрой-
ку каждого сайта в отдельный файл, и подключить их
в httpd.conf:
Include /etc/httpd/conf/vhosts/teo.conf
Include /etc/httpd/conf/vhosts/logos.conf
Include /etc/httpd/conf/vhosts/pantheon.conf
Кроме изящности мы получаем удобство в быстром
подключении и отключении сайта путём добавления/сня-
тия символа комментария «#» в начале строки. Это особен-
но актуально, когда настройка каждого сайта раздувается
на несколько десятков строк.
Также нелишне будет настроить ротацию журналов с по-
мощью logrotate.
Ссылки:
1. http://httpd.apache.org/docs/1.3/vhosts – официальная докумен-
тация по созданию виртуальных сайтов.
2. http://httpd.apache.org/docs/2.0/vhosts – другая версия этой же
документации для версии Apache 2.0. Отличия, на мой взгляд,
коснулись только формы самой документации.
3. http://httpd.apache.org/docs/2.0/ru/howto/htaccess.html – посо-
бие по настройке .htaccess-файлов.

№12, декабрь 2005 65

 web

AJAX: заработавший
JavaScript

Вячеслав Родионов
Уже более 10 лет в Интернете не наблюдалось таких cущественных перемен.
Ajax – технология, основанная на JavaScript, которая изменит представление о Всемирной
сети. Благодаря ей через несколько лет мы не увидим скучных сайтов, ограниченных
в функциональности – интернет-страницы будут иметь такой же внешний вид и возможности,
как и современные десктоп-приложения. Похоже, JavaScript дожил наконец до своего
звёздного часа.

Т
ехнология Ajax, о которой пойдёт и понимания идеи его революционнос- нит) конца 90-х годов – ужасные цвета,
речь, медленно, но верно захва- ти для Всемирной паутины. полное отсутствие стиля, нелепый фон,
тывает просторы Интернета. Всем только мешающий читать текст, и в до-
известные примеры, такие как GMail Эволюция Интернета вершение всего – полная неструктури-
и GoogleMaps – это только цветочки. Для людей, хоть немного имеющих рованность контента. С тех пор очень
У новой платформы очень большие отношение к веб-программированию, многое изменилось. Сейчас такие
амбиции. Сайты, написанные на Ajax, уже давно не секрет, что со времён сайты являются максимум поводом
появляются со скоростью, сравнимой 1995 года, когда появились первые для ухмылки и искреннего непонима-
со скоростью появления приложений полноценные динамические веб-при- ния, на что вообще рассчитывают ав-
после изобретения микропроцессоров. ложения, Интернет остаётcя по своей торы этих произведений?
Именно с технологией Ajax связыва- сути почти неизменным. Внешне, ко- Д а, Интернет изменилс я вне -
ют громкую и многообещающую кон- нечно же, что-то менялось за эти го- шне, и это очень важный шаг вперёд,
цепцию под названием Web 2.0 (http:// ды: по крайней мере, само наполне- но суть его осталась прежней. Меха-
www.paulgraham.com/web20.html). Поэ- ние сайтов постоянно трансформиро- низм получения информации клиен-
тому Ajax стоит как минимум того, что- валось и выходило на всё более качес- том от сервера не менялся. Клиент
бы потратить полчаса на изучение ос- твенный уровень. Вспомните типичные был вынужден либо ввести URL требу-
новных принципов функционирования веб-странички (если кто-то ещё их пом- емой страницы непосредственно в ад-

66

ресную строку своего браузера, либо ввести тот же URL
косвенно, заполнив данные формы и отправив их серве-
ру на обработку. В любом случае пользователю приходи-
лось проводить некоторое время в бездействии, сидя перед
пустым или постепенно заполняющимся экраном. Минусов
у такого подхода очень много, ведь пользователь, особен-
но в нашей стране, не всегда имеет достаточно быстрый
канал, чтобы постоянно гонять поток килобайтов по сети
туда и обратно, кроме того, новая страничка зачастую бо-
лее чем на 90% состоит из информации, которую вы уже
загружали раньше. Выходит, что, кроме времени, вы ещё
и впустую тратите свои деньги за трафик. Всех этих мину-
сов лишён подход написания страниц, использующий тех-
нологию Ajax.
Зачем нужен Ajax
Что же обещает нам новая платформа? Чтобы понять это,
нужно не только овладеть принципами Ajax, но и узнать при-
чины, которые привели к созданию данной технологии.
Рынок клиентских компьютерных приложений имеет
классическое разделение на два сектора: рынок десктоп-
приложений и рынок веб-приложений. Каждое из этих на-
правлений до недавнего времени имело свои ярко выражен-
ные особенности, свои плюсы и свои минусы, которые ис-
ключали возможность появления программы, которую мож-
но было бы назвать как полноценным десктоп-приложением,
так и полноценным веб-приложением. Программы, ориен-
тированные на десктоп, как правило, привязаны к конкрет-
ной операционной системе, они часто имеют внушительные
размеры и системные требования и необходима процеду-
ра установки на компьютер пользователя. Они часто отли-
чаются красивым и очень функциональным интерфейсом,
который позволяет не только кликать по областям прило-
жения и вводить текст, но и переносить объекты из одного
приложения в другое и пользоваться удобными меню. Кро-
ме того, всё это происходит без значительных задержек и
не заставляет пользователя долго ждать реакции прило-
жения на его действия. Десктоп-приложения выполняются
на машине пользователя и оперируют в основном локаль-
ными данными (исключение составляют так называемые
«толстые» клиенты, которые, тем не менее, остаются деск-
топ-приложениями). В последнее время десктоп-приложе-
ния всё чаще поддерживают систему обновления через Ин-
тернет, которая хоть и значительно улучшает процесс при-
обретения новых версий, что крайне важно для таких при-
ложений, как антивирусы, тем не менее является доволь-
но долгой и сложной для конечного пользователя процеду-
рой. Веб-приложения, напротив, отличаются крайне малы-
ми размерами, хранятся на удаленном сервере, не требуя
для себя места на жёстком диске клиента, и даже не имеют
возможности воспользоваться данными, расположенными
на компьютере пользователя. Эти приложения имеют, как
правило, довольно однотипный интерфейс, который не от-
личается особой вычурностью и функциональностью. С дру-
гой стороны, веб-приложения всегда доступны вам в своей
последней возможной версии и не требуют от вас никаких
усилий по установке и поддержке, предоставляя возмож-
ности, которые недоступны при пользовании десктоп-при-
ложениями (такие, как участие во всевозможных конферен-
№12, декабрь 2005
web
циях и форумах, поиск информации по всему миру, участие
в онлайн-аукционах и прочие возможности).
Так продолжалось очень долго, и рано или поздно ситу-
ация должна была измениться. Почти незаметно на сцену
вышла новая технология, которая, как вы увидите позже,
на самом деле оказалась удачным совместным использо-
ванием уже существующих платформ. Эта технология при-
звана если не стереть, то по крайней мере размыть грани-
цу между десктоп- и веб-приложениями.
Ajax в действии
Давайте наконец посмотрим, из чего состоит Ajax. Техно-
логия Ajax является совместным использованием таких
технологий, как:
 HTML (а точнее, XHTML) и CSS – языки, которые необ-
ходимы, как и прежде, для визуального представления
данных приложения пользователю.
 JavaScript – язык, который является основной движу-
щей силой Ajax и который отвечает за взаимодействие
между клиентом и сервером.
 DHTML – динамический HTML, технология, которая по-
могает обновлять компоненты страницы динамически,
не перегружая саму страничку.
 XML – собственно язык, на котором в Ajax общаются сер-
вер и клиент и который является «материалом» для пос-
троения сайта.
 DOM – объектная модель документа, технология, кото-
рая нужна как для обработки и управления структурой
сайта (HTML), так и для обработки возвращаемых сер-
вером данных (XML).
Кстати, само название Ajax имеет определённый смысл,
это сокращение от «Asynchronous JavaScript and XML» (асин-
хронный JavaScript и XML). Данная аббревиатура была вве-
дена Джессом Джеймсом Гарреттом (Jesse James Garrett)
из Adaptive Path в статье, впервые описавшей собственно
саму технологию Ajax.
Как видите, все технологии существуют не первый день
и достаточно хорошо известны любому современному про-
граммисту. Основной трюк при написании Ajax-приложе-
ния – это использование объекта XMLHttpRequest. Как бы
странно это ни звучало, но этот объект – то единственное
новшество, которое есть в Ajax. Никаких других новых тех-
нологий в этой платформе нет. Но, как оказалось, и этого
вполне достаточно для того, чтобы в корне изменить пове-
дение веб-приложений. Так что давайте перейдём к непос-
редственному написанию кода, чтобы понять, как работает
этот самый объект, который вызвал такой ажиотаж.
Чтобы написать Ajax-приложение, нам понадобится со-
здать экземпляр объекта XMLHttpRequest. В случае, соот-
ветствующем стандартам программирования, это будет
выглядеть так:
<script language="javascript" type="text/javascipt">
var xmlhttp = new XMLHttpRequest();
</script>
Как всегда, этот пример будет работать везде, кроме
браузера компании Microsoft – Internet Explorer. Эти тради-
ции неизменны с 1995 года и, как всегда, мы должны об-
67
 web
рабатывать отдельно случай IE и случай не-IE. Но об этом //здесь идёт обработка полученных данных
}
ещё пойдёт речь. }
Рассмотрим стандартный механизм. Обычно пользова-
тель, чтобы совершить какое-либо действие на странице, Думаю, будет проще это понять, если вы немного зна-
должен фактически заполнить некоторую форму, отправить комы с объектно-ориентированным программированием
её серверу, тот должен обработать и вернуть новую странич- и технологией обратного вызова. Но даже в случае, если
ку браузеру, который отобразит её вместо текущей. Имен- об ООП вы только слышали, то нетрудно понять, что всё,
но этот механизм мы и собираемся изменить. Вместо ожи- что мы делаем, – это назначаем функцию, которая будет
дания новой страницы от сервера мы собираемся передать вызываться при поступлении данных от сервера. Сле-
данные из формы на обработку JavaScript-функции. После дует знать и понимать, что this во время вызова функ-
этого из объекта xmlhttp будет сформирован и отправлен ции onreadystatechange (функции обратного вызова) бу-
запрос к серверу. Важное отличие такого подхода заключа- дет объектом xmlHttp, а responseText будет соотвествен-
ется в том, что процесс отсылки данных пройдёт незаметно но переменной этого объекта, в которую будет помещён
для пользователя. Он сможет продолжать перемещаться по ответ сервера. Тонкость в том, что мы не знаем, когда
страничке и даже использовать Javascript-функции. А когда именно ждать ответа сервера, поэтому мы не будем его
от сервера придут данные, то опять же с помощью Javascript- ждать вообще, вместо этого, когда придет ответ, то про-
функционала будет решено, что с этими данными делать, изойдёт 3 события: будет изменено состояние объекта
и изменения можно будет внести в страничку без перезаг- xmlHttp (xmlHttp.readyState), ответ будет помещён в пе-
рузки, просто добавив, убрав или изменив определённые ременную xmlHttp.responseText и будет вызвана функция
элементы в объектной модели документа. xmlHttp.onreadystatechange().
Рассмотрим этот механизм подробнее на примере про- Надеюсь, механизм прояснился более или менее. Оста-
стейшего Ajax-приложения. лось лишь одно тёмное место – состояния объекта. Что же
это такое?
Листинг 2. В общем-то, ничего сложного. Просто для того, чтобы
<script language="javascript" type="text/javascipt">
function connectServer(){ мы могли узнать, что и когда делать, объект xmlHttp име-
var xmlHttp = new XMLHttpRequest(); ет 5 состояний:
xmlHttp.open("GET", ↵
"http://ourserver.org/ajax_service.php",true);  0 – «uninitialized» – объект не инициализирован;
xmlHttp.onreadystatechange = function(){
 1 – «loading» – объект подгружает свои данные;
if (xmlHttp.readyState == 4) {  2 – «loaded» – объект загружен;
var xmlData = this.responseText;  3 – «interactive» – можно работать, хотя ещё не весь от-
//здесь идёт обработка полученных данных
} вет сервера прочитан;
}  4 – «complete» – можно работать, всё загружено.
xmlHttp.overrideMimeType('text/xml');
xmlHttp.send(null);
} Пока что нас интересует только состояние 4. Его мы
</script>
и обрабатываем.
Возможно, код немного напугал вас своей экстраваган- Рассмотрим код дальше. Осталось самое простое:
тностью, но не спешите закрывать статью. Сейчас мы пой-
мём, что всё написано абсолютно логично и чётко, а глав- xmlHttp.overrideMimeType('text/xml');
xmlHttp.send(null);
ное, просто. Первая непонятная строчка выглядит так:
В первой строчке мы говорим серверу о том, что хо-
xmlHttp.open("GET", ↵ тим получить ответ, соответствующий mime-типу text/xml.
"http://ourserver.org/ajax_service.php",true);
Это своего рода формальность, так как не все браузеры
Здесь мы вызываем метод open, необходимый умеют обрабатывать ответ сервера только в строго опре-
для установления соединения между нашим объектом делённом формате. Вторая строчка – это собственно от-
XMLHttpRequest и сервером. Первый параметр указывает правка данных на сервер. Аргументом являются параметры,
на метод передачи данных («POST» и «HEAD» тоже можно отправляемые серверу, если мы используем метод «POST»
использовать, но мы пока этого случая касаться не будем), для передачи данных. Так как мы отсылаем GET-запрос,
второй – на URL, которому отправляется запрос, и от кото- то и передавать ничего не будем.
рого приходит ответ. Третий параметр устанавливает ре- В нашем примере мы вообще не передаём никаких па-
жим асинхронной передачи данных. Это значит, что рабо- раметров, но если бы мы этого хотели, то в вызов xmlHttp.
та веб-приложения не будет остановлена в ожидании отве- open следовало бы вставить стандартный GET-запрос ви-
та сервера. Наоборот, в поведении странички ровным счё- да http://ourserver.org/ajax_service.php?name=foo&value=bar.
том ничего не изменится, и только тогда, когда придет от- В примере, в конце статьи мы так и поступим.
вет от сервера, мы увидим изменения. Итак, теперь вы знакомы с базовым механизмом рабо-
У людей, не владеющих тонкостями JavaScript, навер- ты Ajax-приложения. Осталось написать программу, кото-
няка вызвали беспокойство строчки: рая будет иметь какой-либо практический смысл, пусть да-
же совершенно условный.
xmlHttp.onreadystatechange = function(){ Напишем приложение для проверки почты в системе
if (xmlHttp.readyState == 4) {
var xmlData = this.responseText; Gmail:

68
 web
<html> Во-вторых, не обращайте внимание на усложнившуюся
<head>
<meta HTTP-EQUIV="content-type" ↵ схему получения объекта XMLHttpRequest, она нужна лишь
CONTENT="text/html; charset=UTF-8"> для того, чтобы скрипт работал и в Internet Explorer. Кста-
<title>Проверка почты с помощью новейших ↵
технологий</title> ти, скрипт следует запускать именно с локальной машины
</head> (не сервера), потому как иначе браузер не разрешит вам
<body>
<script language="javascript" type="text/javascript"> обратиться с одного сервера к другому.
Следующее, что может быть непонятно, – это строки:
var xmlHttp = false;

function callServer(name, password) { var xmlobject = (new DOMParser()).parseFromString ↵

(xmlData, "text/xml");
try { var root = xmlobject.getElementsByTagName('feed')[0];
netscape.security.PrivilegeManager. ↵ var number = root.getElementsByTagName("fullcount");
enablePrivilege("UniversalBrowserRead"); alert(name+ ", количество писем в вашем ящике: " ↵
} catch (e) { + number[0].firstChild.nodeValue);
alert("Недостаточно прав, чтобы использовать ↵
Ajax!");
} Здесь мы используем DOM-модель док умен-
та для прохода по xml-дереву полученных от серве-
//обычный браузер
if (window.XMLHttpRequest) { ра данных. Ищем корневой элемент <feed>...</feed>
try { (getElementsByTagName(‘feed’)), затем в нём находим тэг
xmlHttp = new XMLHttpRequest();
} catch(e) { <fullcount></fullcount> (getElementsByTagName(“fullcount”))
xmlHttp = false; и выводим значение, которое находится в этом тэге
}
} else (number[0].firstChild.nodeValue). Изначальный xml-код вы-
глядит примерно так:
/ случай IE
if (window.ActiveXObject) {
try { <feed version="0.3">
xmlHttp = new ActiveXObject ↵ <title>Gmail - Inbox for Vasya_Pupkin@gmail.com</title>
("Msxml2.XMLHTTP"); <tagline>New messages in your Gmail Inbox</tagline>
} catch(e) { <fullcount>1</fullcount>
try { <link rel="alternate" ↵
xmlHttp = new ActiveXObject ↵ href="http://mail.google.com/mail"type="text/html"/>
("Microsoft.XMLHTTP"); ...
} catch(e) { </feed>
xmlHttp = false;
} Чтобы скрипт корректно работал на вашей машине, же-
}
} лательно иметь Mozilla-совместимый браузер и быть авто-
ризованным в системе GMail (http://gmail.com).
xmlHttp.onreadystatechange = function() {
if (xmlHttp.readyState == 4) {
var xmlData = xmlHttp.responseText; Заключение
var xmlobject = (new DOMParser()).parseFromString ↵
(xmlData, "text/xml"); Мы разобрались с основами Ajax, с самым базовым функци-
var root = xmlobject.getElementsByTagName ↵ оналом, который использует любое ajax-приложение. В сле-
('feed')[0];
var number = root.getElementsByTagName ↵ дующих статьях я постараюсь показать всю мощь этой тех-
("fullcount"); нологии. Будет рассказано о таких вещах, как соединение
alert(name+ ", количество писем в вашем ящике: ↵
" + number[0].firstChild.nodeValue); с SQL-сервером, создание оконного интерфейса с подде-
} ржкой техники Drag&Drop. Вы узнаете о доступных фрейм-
}
xmlHttp.open('GET', 'https://'+name+':'+password+ ↵ ворках и различных средах разработки, позволяющих зна-
'@gmail.google.com/gmail/feed/atom', true); чительно упростить жизнь ajax-разработчика.
xmlHttp.overrideMimeType('text/xml');
xmlHttp.send(null); Напоследок, чтобы еще больше подогреть ваш инте-
} рес к этой замечательной технологии, приведу несколь-
</script> ко ссылок наиболее впечатляющих проектов, выполнен-
<form name='gmail'> ных с помощью Ajax.
Имя: <input name="name" type="text">
Пароль: <input name="password" type="password"> <br />
<a href="#" onclick="javascript:callServer ↵ Ссылки:
(gmail.name.value, gmail.name.password);"> ↵
Проверить почту</a> 1. http://www.backbase.com/demos/RSS – Backbase Ajax RSS
</form> reader, «читалка» RSS-лент новостей. Пока что в демо-режи-
</body>
</html> ме, но посмотреть на это стоит.
2. http://www.squarefree.com/htmledit – Real-time HTML Editor, поз-
Посмотрим, что нового здесь появилось. Во-первых, воляет редактировать HTML-код и одновременно его просмат-
следует вас предупредить, что по умолчанию ваш брау- ривать.
зер не позволит загрузить данные с нелокального ресурса. 3. http://www.unwieldy.net/ajaxim – icq- и jabber-подобный клиент
Поэтому мы попробуем изменить свои привилегии для до- для обмена сообщениями. Пока что тоже только в демо-ре-
ступа к данным Gmail: жиме.
4. http://demo.primalgrasp.com/spell/check_spelling – проверка ор-
netscape.security.PrivilegeManager.enablePrivilege ↵ фографии, не выходя из браузера.
("UniversalBrowserRead");
5. http://code.jalenack.com/periodic – таблица Менделеева.

№12, декабрь 2005 69

web

PHP: делаем отладку на стороне клиента,

или Операции под наркозом

Серафим Пикалов
У клиента что-то сломалось, а у нас всё работает. Проклиная всё на свете, идём в код
к клиенту. Исправлять нужно срочно, отладчика нет, а скрипты продолжают эксплуатироваться
пользователями. Как искать ошибку, ничего не ломая, как отладить исправленный код,
как не показать никому ничего лишнего?

70
 web

В
се мы прекрасно знаем, что любой код перед уста- Ответ на поставленную проблему напрашивается сам
новкой клиенту должен быть тщательно оттестиро- собой: мы хотим, чтобы скрипт однозначно определял,
ван, все ошибочные ситуации описаны, и сообщения кто перед ним – разработчик или обычный пользователь,
о них должны быть максимально информативны. и в соответствии с этим работал по-разному. Для этого от-
С другой стороны, все мы знаем, что теория и практи- ладочный код выведем в условный блок, условием вхо-
ка – две разные вещи. Обнаружив ошибку, которую на тес- да в который будет то, что пользователь является разра-
товой версии системы смоделировать не удалось, мы стал- ботчиком.
киваемся с необходимостью редактировать код, уже уста- О том, как это установить смотрим ниже.
новленный клиенту и скорее всего выполняющийся в этот
момент. Тут возникает необходимость сделать всё как мож- Специальная GET-переменная
но более незаметно и безопасно. Довольно небезопасный способ, но нередко встречаемый.
О некоторых методах того, как это сделать, мы погово- Смысл заключается в помещении отладочного кода в ус-
рим в этой статье. ловный блок, проверяющий, установлена ли определённая
глобальная переменная.
Условия работы Например, так:
В рассматриваемой ситуации нам придётся работать со
скриптами, которые уже установлены у клиента и могут //---код скрипта
if (isset($_GET[‘debug’])) {
быть востребованы в любой момент. echo ‘Debug info!’;
Поэтому необходимо ввести некоторые ограничения: }
//---код скрипта
 Нам необходимо локализовать и исправить ошибку,
не испортив правильно работающие скрипты. Плюс метода – быстрота доступа к режиму отладки.
 Процесс нашей отладки должен быть виден только нам, Минус в том, что, зная имя переменной, отладку может
пользователи не должны ничего заметить. увидеть любой желающий, кроме того, метод не подходит,
 Мы не можем установить или перенастроить ПО на сер- если POST передает параметры скрипту.
вере, т.е. использование сторонних отладочных систем
невозможно, но мы можем добавлять новые или редак- Идентификация по IP
тировать старые php-скрипты. Очень удобный и довольно надёжный способ. Как и во всех
 Мы имеем только ssh (и/или telnet) и http-доступ. описанных тут методах, отладочный код помещается в ус-
ловный блок, условие – совпадение IP-пользователя с ус-
Теперь полностью прояснив, что нам можно, а чего не- тановленным разработчиком.
льзя, попробуем сделать нашу работу наиболее комфорт- Пример:
ной и продуктивной.
If ($_SERVER[‘REMOTE_ADDR’]==='123.234.234.15') {
Echo ‘Debug info2!’;
Идентификация разработчика }
В процессе поиска и исправления ошибки нам придётся
менять порядок работы программы и получать различную Плюс – вывод отладки не зависит от того, что мы пере-
информацию. даём скрипту.
Безусловно, можно пойти старым проверенным спосо- Минусы в следующем. Во-первых, не редактируя код,
бом и выводить отладку в error_log, но этот метод заста- мы не можем отключить отладку, т.е. для того чтобы пос-
вит нас метаться между браузером и файлом лога, замед- мотреть, как было и как стало, нам придётся редактиро-
лит выполнение скрипта для всех пользователей и засорит вать код.
лог, т.к. исполняться он будет для всех одинаково. Но да- Во-вторых, при использовании proxy-сервером REMOTE_
же смирившись с такими неудобствами, нельзя забывать, ADDR однозначно не определяет компьютер. Но даже про-
что код, который вы вводите в скрипт, также не застрахо- верка на значение HTTP_X_FORWARDED_FOR не даёт
ван от ошибок. 100% гарантии, т.к. эти значения зависят от того, что воз-

Определяем основные термины ют сложную вложенность, из-за этого информация интерпрета-

Мы будем оперировать некоторыми понятиями, значения ко-
торых зависят от контекста. Во избежание неточностей опре-
делим их.
Ошибкой в этой статье будем считать как PHP-ошибку (Fatal
error, Warning, Notice), так и ошибку в алгоритме программы
(т.е. когда интерпретатор без проблем выполнил скрипт, но ре-
зультат выполнения не соответствует нашим ожиданиям).
Под отслеживанием ошибки будет подразумеваться процесс
сбора максимального количества информации, такой как значе-
ния переменных скрипта в момент возникновения ошибки и путь
к ошибке. Тут надо сделать пояснение. Как правило, крупные
проекты разбиты на множество отдельных скриптов и часто име-
тора PHP о месте возникновения ошибки для нас недостаточна.
Действительно, представим ситуацию, когда сообщение об ошиб-
ке указывает на одну из часто используемых функций, в какой-
либо общеиспользуемой библиотеке. Это знание нам мало чем
поможет, если функция достаточно часто используется, намно-
го важней для нас найти место её вызова. Информацию о том,
где вызывается эта функция в основном скрипте (и/или подгру-
жается скрипт, где эта функция была вызвана), будем называть
путём к ошибке.
Под отладкой будем подразумевать любые действия по из-
менению и анализу кода для получения правильно работающе-
го скрипта.

№12, декабрь 2005 71

 web
вращает веб-сервер и proxy, а доверять им можно толь- ка определённым сроком после последней модификации
ко отчасти. файла, например, так:

Идентификация по cookie if ( ( time() - filemtime(__FILE__) ) < BLOCK_LIFE_TIME) {

Пожалуй, самый надёжный способ определить в пользо-
вателе разработчика – поставить условие на исполнение
отладочного блока – наличие определённой в cookie пе-
ременной.
Пример:
if (!empty($_COOKIE[‘debug’])) {
echo ‘Debug info3!’;
} несколько вспомогательных функций и подгружать их
Плюс в том, что отладку будет видеть только тот поль-
зователь, у которого установлена cookie для данного ресур-
са с определённой переменной. Это позволяет достаточ-
но просто давать доступ к отладочной информации толь-
ко тем, кому это разрешено. Также очень удобно переклю-
чаться между режимами, выставляя и убирая cookie-пе-
ременную.
Минусы в том, что опять же возможно получение не-
санкционированного доступа к отладочной информации.
Если злоумышленник узнает, какая cookie-переменная уп-
равляет выводом, он может сформировать такую же cookie,
но этого достаточно просто избежать, меняя имя перемен-
ной, или способом, описанным чуть ниже.
Для удобства управлением отладки можно написать
и установить у клиента скрипт по установке и удалению
нужной cookie-переменной.
//…
}
где BLOCK_LIFE_TIME – константа, определяющая вре-
менной промежуток. Кстати, подключив фантазию, мож-
но, например, сделать систему оповещения о забытой от-
ладке.
Всё вышеописанное очень удобно собрать в одну или
как include при необходимости.
Подставной файл
Зачастую количество отладочных блоков превышает до-
пустимый порог, и скрипт превращается в смесь разроз-
ненных кусков кода. Чтобы этого не было, можно использо-
вать метод подставного скрипта. Суть метода в том, что мы
разделяем наш скрипт на стабильный и нестабильный. До-
ступ к нашему скрипту осуществляется через специаль-
ный подставной скрипт, который определяет, что за поль-
зователь перед ним и подгружает стабильный или неста-
бильный код.
Например, мы ведём серьёзные работы со скриптом
myscript.php.
Переименуем стабильную версию в myscript.php.stable,
а нестабильную – в myscript.php.unstable и создадим сле-
дующий подставной скрипт myscript.php:

Комбинированный способ <?php

$d_file=__FILE__;
Два вышеописанных способа можно скомбинировать в один //is_debug функция, проверяющая, кто использует скрипт –
и таким образом избежать проблем, связанных как с неуни- //обычный пользователь или разработчик
if (is_debug()) {
кальным IP, так и с кражей cookies. onyma_include($d_file.'.unstable');
Пример: }
else {
onyma_include($d_file.'.stable');
if (!empty($_COOKIE['DBG']) }
&&($_SERVER[‘REMOTE_ADDR’]=== '123.234.234.15')) { ?>
echo ‘Debug4’;
} Таким образом, каждый будет работать с той версией,
которая необходима.
В принципе, используя скрипт установки cookie-пе- Нетрудно заметить, что приведённый подставной скрипт
ременной со случайным именем из предыдущего разде- является универсальным и при использовании с другими
ла с авторизацией в начале работы, можно IP вносить как скриптами не требует ничего, кроме изменения своего име-
значение в cookie (параноики могут его ещё и кодировать), ни. Так же обратите внимание на то, что мы меняем расши-
и тогда отладочный блок примет более удобный и универ- рения у скриптов, и без специальной настройки веб-серве-
сальный вид. ра их можно будет загрузить как обычный текст!
Теперь управлять режимом выполнения удалённого
скрипта можно, не изменяя код. Отслеживание ошибки
Теперь, когда мы можем делать почти всё что захотим, не бо-
Время жизни отладки ясь быть замеченными, поговорим непосредственно о по-
Чтобы, исправив ошибку и случайно забыв об одном за- иске самой ошибки.
терявшемся блоке, потом не ломать голову, почему это у
нас всё работает не так, удобно ограничить время жизни Ошибка PHP
отладки. Рассмотрим самую простую ситуацию, когда интерпрета-
Если использовать метод с cookie, то тут всё просто – тор сообщает нам о возникновении ошибки в конкретной
указываем время жизни cookie в функции setcookie, и де- строке конкретного файла.
ло в шляпе (null означает время жизни до закрытия браузе- В этом случае удобней всего установить свой обра-
ра). Но если этот способ нам по каким-то причинам не под- ботчик ошибкой (error_handler) и внутри вызвать стан-
ходит, то можно ограничить время жизни отладочного бло- дартную PHP-функцию debug_backtrace() (однозначно

72

определит путь к ошибке), вывести значения элемен-
тов суперглобального массива $GLOBALS и параметра
error_context.
Пример:
If (is_debug()) {
Function debug_eh($errno, $errstr, $errfile, $errline, ↵
$errcontext) {
/*вывод необходимой информации*/
print_r(debug_backtrace());
print_r($GLOBALS);
print_r($error_context);
}
$eh=set_error_handler(‘debug_eh’);
} менной, по сути дела, мы сделали аналог функции watch
// место перед возникновением ошибки
If (is_debug()) {
set_error_handler($eh);
}
Таким образом, мы получим полную информацию о том,
где и как возникла ошибка. Очень часто достаточно прос-
то вывести debug_backtrace в месте её возникновения.
Ошибка в алгоритме
Теперь рассмотрим задачку посложней. Допустим, код вы-
полняется без ошибок, но результат не совпадает с наши-
ми ожиданиями. Очевидно, что ошибка где-то в алгоритме,
но как же её локализовать?
Для начала нужно чётко определить, что мы должны
получить, и чем ожидаемый результат отличается от по-
лученного.
Свести различия нужно к какому-нибудь конкретному
тезису, к примеру: «Тут мы должны были увидеть две стро-
ки, а видим только одну». После этого нам придётся про-
вести анализ кода и определить переменные, от которых
зависит вывод данных строк.
Сделать это можно, к примеру, такими способами:
Ограничиваем код выводом двух отладочных сообще-
ний и сдвигаем их друг к другу до тех пор, пока они не будут
обрамлять строки, считаемые нами ошибочными.
Второй способ заключается в анализе вывода скрип-
та. Для этого включаем буферизацию вывода и обработ-
чик на каждый тик PHP:
<?php
define('FIND_PATERN','/some_str/');
function find_str() {
if (preg_match(FIND_PATERN,ob_get_contents())) {
$db=debug_backtrace();
print_r($db);
unregister_tick_function('find_str');
} // может воспрепятствовать пошаговому выполнению
ob_flush(); // Это необходимо для сбрасывания буфера
}
ob_start();
register_tick_function('find_str');
// тут можно поставить побольше, хотя от этого зависит
// точность места определения
declare (ticks=1);
//код программы...
ob_end_flush();
?>
Таким образом, на каждом тике мы проверяем буфер
вывода, ищем там необходимую подстроку, выводим путь
№12, декабрь 2005
web
к месту, где она выводится, и отключаем анализатор, что-
бы не выполнять напрасную работу.
Подобным же методом можно найти место вывода
и формирования нужной строки или выполнения некото-
рой операции, а также отслеживать «жизнь» глобальных
переменных (только глобальных) – своего рода Watch-фун-
кция отладчика.
Реализация отладчиков
В последнем описанном приёме мы использовали конс-
трукцию declare для отслеживания истории жизни пере-
в отладчике.
Далее мы рассмотрим, как с помощью этой конструкции
реализовать простенькое подобие отладчика.
Сетевой отладчик
Для реализации сетевого отладчика нам будет необходи-
мо, чтобы PHP был собран с поддержкой сокетов. В ка-
честве сервера управления отладкой проще всего вы-
брать приложение терминального типа (например, в Linux
удобно использовать netcat), которое будет запускаться
в качестве сервера, ожидающего соединения, к примеру,
на порт 9998. Клиентом будет наш отлаживаемый скрипт,
который будет получать команды и возвращать результа-
ты действия, а функцию отладки реализуем с помощью
тик-функции.
Схема работы будет следующая: при запуске скрипта
создаётся сокетное соединения с сервером отладки. Пос-
ле этого при каждом тике запускается нами определённая
функция отладки, которая посылает данные о текущем со-
стоянии к серверу и ждёт ответа – команды:
 s (step) – один шаг вперёд.
 bp (break point) – точка останова. Определяется как но-
мер строки и имя файла.
 st (stop) – немедленная остановка выполнения.
 g (go) – выполнить скрипт до конца.
После получения одной из описанных команд отладчик
её обрабатывает и выполняет необходимые действия.
Приведем код:
<?php
// Отключим буферизацию, чтобы видеть пошаговое
// выполнение программы
ob_implicit_flush();
// Убираем лимит времени на выполнение скрипта, т.к. это
set_time_limit(0);
// Функция посылки сообщения отладчику
function D_write($msg) {
global $fp;
if (is_resource($fp)) {
fwrite($fp,"$msg\n");
}
}
// Функция принятия сообщения от отладчика
function D_read() {
global $fp;
// Приглашение на ввод команды
D_write('Enter command = [g, s, bp ↵
[line number]:[file name], st]');
if (is_resource($fp)) {
return fread($fp, 8192);
}
}
73
 web
// Функция отладки Или интерфейс управления формируется в начале от-
function debug_func() {
global $fp; лаживаемого скрипта и по средствам AJAX обращается
static $GO=false; к другому скрипту, создающему файл с необходимой ко-
static $STOP_LINE,$STOP_FILE;
$db=debug_backtrace(); мандой. То есть в самом начале выполнения в браузер от-
// Проверка: не достигли ли мы точки останова, сылается небольшой AJAX-движок и несколько управляю-
// (break point) и если нет, то уходим из функции
// отладки (функцию is_bp реализуйте сами) щих кнопок. При нажатии на определённую кнопку с помо-
if (!is_bp($db,$STOP_FILE,$STOP_LINE)) return; щью JavaScript посылается определённая команда к скрип-
// Посылаем текущее состояние. Сюда же можно добавить
// другую необходимую информацию ту, единственная функция которого – создать файл и по-
D_write(print_r($db,1)); местить туда эту команду.
// Ожидаем команду от сервера
$ret=D_read(); Второй способ немного удобней, т.к. управление про-
// Анализируем поступившую команду исходит из того же окна, где и выполняется отлаживае-
switch (substr($ret,0,2)) {
case 'st': { мый скрипт.
fclose($fp); Привидём код, опустив аналогичные чати:
exit('Stop by debuger<br>');
}
case 'bp': { // Начало такое же
// Выставляем точку остановки // Функция посылки сообщения о процессе отладки
list($STOP_LINE,$STOP_FILE)= ↵ function D_write($msg) {
split(':',substr($ret,3, ↵ //Для простоты будем считать, что такой вывод
strlen($ret)-4)); // не нарушит структуру документа
break; echo "<script language=JavaScript>";
} // Будем выводить отладку в отдельный div
case “g\n”: { // (другой вариант, например, писать информацию
// Так как необходимо выполнить // во временный файл, вставлять его с помощью iframe
// скрипт до конца без остановки, // и тут этот iframe перегружать)
// убираем вызов функции отладки echo "dbg_div=document.getElementById('dbg_div');";
unregister_tick_function ('debug_func'); echo "dbg_div.innerHTML=dbg_div.innerHTML+'<HR>$msg';";
break; echo "</script>";
} }
case “s\n”: // Функция принятия сообщения от отладчика
default: { function D_read() {
break; global $fp;
} while (!file_exists($fp)) ;
// Думаю, длина команды не более 600 байт
} return fread($fp, 600);
}
}
// debug_func() практически не изменился, за исключением
//подключаемся к серверу управления отладкой // того, что после обработки полученной команды
$fp = fsockopen('10.0.2.145', 9998); // необходимо зачистить (удалить) файл с командой, чтобы
register_tick_function('debug_func'); //включаем отладчик // она повторно не обрабатывалась
declare (ticks=1);
/*Код программы*/ // Вместо сокета открываем файл
fclose($fp); $fp = fopen('dbg_cmd.txt', 'r');
?>
// Вставляем управляющие элементы в начало скрипта.
// В ajax.js помещаем AJAX-движок с функцией Send2Dbg(cmd)
Этот довольно простой код с лёгкостью можно рас- // отправки команды скрипту dbgfile.php, который создаёт
ширить, обезопасить, введя авторизацию, и реализовать // dbg_cmd.txt и пишет туда команду
echo "<script language='JavaScript' src=ajax.js></script>"
как отдельный include. echo '<div id="dbg_cntrls">';
echo '<a href="javascript: Send2Dbg(\'st\');">STOP</a>&nbsp;';
echo '<a href="javascript: Send2Dbg(\'g\');">GO</a>&nbsp;';
Отладчик без использования сокетов // и т.д.
Вполне может сложиться ситуация, что клиент, у которого echo '</div>';
echo '<div id="dbg_dib"></div>';
мы установили систему, в целях безопасности установил // Далее всё так же
PHP без сокетов, в таком случае описанный ранее отлад-
чик работать не будет. Нельзя забывать, что подгружать эти отладчики необхо-
Реализуем такой же по функциональности код, но без димо, только если к скрипту обратился программист. Как это
использования сокетов. сделать, мы уже описали ранее.
Поскольку соединение с удалённой машиной создать
нельзя, для передачи данных мы будем использовать фай- Заключение
ловую систему, а точнее – один файл. Мы разобрали несколько несложных приемов по реализа-
Схема работы теперь приобретет следующий вид: ции невидимой работы с уже используемым кодом. Будем
при каждом тике в браузер выдается информация о теку- надеяться, описанные выше способы помогут вам в реа-
щем состоянии, и запускается нами определённая функция лизации и улучшении собственных механизмов исправле-
отладки, которая ожидает появление в определённой ди- ния ошибок на работающей системе, но в любом случае
ректории определённого файла, как только файл появля- всё описанное выше призвано решать проблемы, кото-
ется, из него считывается команда, и он удаляется. рые не должны появляется, их необходимо предотвращать
Управление отладкой можно реализовать двумя спо- ещё на этапе разработки. Серьёзное тестирование и хоро-
собам. шо реализованная система сообщения об ошибках могут
Создаётся отдельный скрипт, который генерирует ин- значительно облегчить поддержку. Так что лучше оставь-
терфейс управления и создаёт файл с командой. те эти методы на самый крайний случай.

74
 сети

TCP поверх TCP –

не такая уж плохая идея!

Алексей Барабанов
Есть расхожее мнение, что сетевые туннели выгоднее делать на основе протоколов
низкого уровня с минимальными размерами заголовков и очень простым протоколом.
Считается, что TCP как несущий протокол создает много проблем. Так ли это?

И
спользование TCP стало столь
привычным, что большинс -
тво просто не задумывается
о заложенных в этот протокол меха-
низмах и во всех случаях полагает-
ся на «интеллект» системы. Одновре-
менно с этим, если встречаются какие-
то сведения, объясняющие что-то в его
поведении, или теории, построенные
на основе, так сказать, «упрощенных»
представлений, то у многих просто не-
достает знаний правильно оценить по-
лученную информацию. Что приводит
к появлению технологических мифов.
Один из которых, порожденный ста-
тьей [1] Олафа Титца (Olaf Titz), здесь
и попробуем опровергнуть. К сожа-
лению, в России все, что написано
на иностранном языке да еще разме-
щено на зарубежном сайте, воспри-
нимается как святое откровение. Хотя
многие далее вынесенного в ее заголо-
вок тезиса «Why TCP Over TCP Is A Bad
Idea» и не читают. Чтобы уравнять шан-
сы тех, кто имеет затруднения с анг-
лийским языком, предложим дослов-
ный технический перевод упомянуто-
го опуса [2]. В переводе не использо-
вались никакие литературные экстра-
поляции, чтобы максимально точно до-

76
 сети
нести идеи автора и ни в коем зогнаться, а несущее тем не
случае не исправить на этапе менее оставалось медлен-
перевода что-то из многочис- ным. Это просто невозмож-
ленных его ошибок. Разберем но, так как противоречит за-
текст этой статьи. конам сохранения, действую-
щим в нашей Вселенной. На-
Суть проблемы до признать, что именно здесь
Итак, первое, что по мнению Олафа «понесло». Он увле-
Олафа, мешает эффектив- ченно живописует, как внут-
ной работе TCP в качестве ренний слой, такой быстрый
туннеля, это повторные пе- и такой «несчастный», будет,
редачи. Если отбросить ту- не получая подтверждений,
манные рассуждения о на- посылать пакет за пакетом
сыщении канала (meltdown) и тем самым – вот оно, ста-
из-за мифического фиксиро- рое ружье выстрелило – со-
ванного тайм-аута, которого Рисунок 1. Схема инкапсуляции здаст «внутренний meltdown-
нет в TCP, то в «сухом остатке» в пер- кими деталями, Олаф связывает уве- эффект». Здесь замечу, что термин
вом разделе статьи лишь утвержде- личение периодов проверки на обрыв «внутренний meltdown-эффект» изоб-
ние об экспоненциальном росте тайм- соединения с борьбой с насыщением, ретен просто «на ходу». Жаль разо-
аута, если, цитирую, «сегмент задер- то есть с тем самым meltdown, который, чаровывать Олафа, но после непод-
живается сверх тайм-аута». Рассмот- как ружье со стены в известной пьесе, тверждения пакета и в отсутствие во-
рим подробнее. Автор упорно не жела- если упомянуто в первом акте, то да- обще всяких подтверждений TCP на-
ет использовать общепринятую терми- лее обязательно «выстрелит». Таким чинает процедуру медленного старта,
нологию и предпочитает изъясняться образом, поскольку экспоненциаль- в ходе которой поток TCP снова будет
как колдун-друид. Но так как в тексте ного роста задержек передачи в TCP искать предельную передающую воз-
упоминается RFC2001, то можно вос- нет, то измышления первой части об- можность среды, постепенно увеличи-
пользоваться ссылкой [3] и попытать- суждаемой статьи [1] не имеют отно- вая скорость передачи, начиная с са-
ся догадаться, на что намекает Олаф шения к реализации TCP в нашей с ва- мых минимальных значений. Иначе го-
Титц. Единственный показатель, име- ми Вселенной. воря, TCP не снижает темп передачи,
ющий в RFC2001 экспоненциальный Рассуждения Олафа, где он счита- а вообще прекращает ее и затем во-
рост, – это CWND (congestion window). ет, что трафик TCP в Интернете регу- зобновляет снова со стартовых значе-
Но окно насыщения, или CWND, свя- лируется тайм-аутами, просто выки- ний. И это, кстати, дает гарантию, что
зано с пропускной способностью пря- нем, как не соответствующие реаль- внутренний TCP никогда не будет ра-
мой зависимостью. Автор же намека- ности и потому не актуальные. Конеч- ботать быстрее внешнего, того, что об-
ет, что задержки растут по экспонен- но, можно было бы везде, где в тексте разует туннель. Так как, если парамет-
те и это якобы приводит к снижению встречается «timeout», при переводе ры внутреннего TCP приведут к тому,
темпа передачи. Задержки – это RTT подставить «таймер», что сильно при- что он разгонится быстрее туннельно-
(round trip time), или время обраще- близит многие рассуждения к дейс- го, то после же столкновения он сбро-
ния, на основании которых высчиты- твительному положению дел, но тог- сится снова к состоянию медленного
вается RTO (retransmission time out), да пришлось бы исправить и многое старта и снова начнет «догонять» тун-
или таймер повтора. Об этом нет ни- другое. Но, как уже было сказано вы- нельный TCP.
чего в RFC2001. Но по другим доку- ше, перевод сделан самым безжалос- Давайте представим, что реаль-
ментам можно узнать, как это проис- тным способом. но может случиться из-за потерь сег-
ходит. Например, в RFC793 [4], упоми- Второе, что смутило Олафа Титца – ментов (именно так и следует далее их
наемом также в статье, описан метод это взаимодействие транспортного называть, а не пакетами) в таком тун-
расчета RTO для каждого текущего па- TCP и транспортируемого. Для яснос- неле. Во-первых, просто обрыв свя-
кета. Так вот, там используется пока- ти обратимся к схеме инкапсуляции, зи будет обработан и тем и другим
затель SRTT (smooted round trip time), которая обсуждается в [1]. Скопируем TCP соответственно и в пределах пе-
или взвешенное время обращения. ее в переводном варианте и добавим речисленных RFC. А вот с повторами,
Подчеркиваю – взвешенное! Где тут немного комментариев. и правда, могут возникнуть некоторые
Олаф «раскопал» экспоненту? Конеч- Автор утверждает, что эти два по- проблемы. Покажем на схеме (рис. 2),
но, можно догадаться, что автор спу- тока TCP (см. рис. 1) могут иметь раз- что будет происходить, если в пути по-
тал расчет RTO при задержке с рас- ные таймеры. Дословно: «может так теряется сегмент с данными.
четом RTO при потере! Вот, если бы случиться, что соединение нижне- Предположим, что пропал сегмент
сегмент вообще пропал и от получа- го уровня имеет медленные таймеры, D4. Тогда оба стека протоколов полу-
теля нет никаких ответов, тогда алго- возможно как остаток с периода мед- чат повторный ACK с последним при-
ритм TCP на самом деле требует про- ленного или ненадежного основного нятым номером и согласно алгоритму
извести повторы с экспоненциальным соединения». То есть автор предпо- Fast Retransmission, или быстрой пов-
замедлением. Но, не смущаясь мел- ложил, что вложенное TCP успело ра- торной передачи, пропущенный пакет

№12, декабрь 2005 77

 сети
будет повторен. На рисунке изображена ситуация, когда мом деле, повторы следует запретить в нижнем туннель-
оба стека имеют одинаковый RTT и, значит, близкие RTO. ном TCP.
Тогда транспортный TCP сформирует повтор пропавше- Во-первых, потому что туннель это одно TCP-соедине-
го сегмента T4-4 и точно так же добавит в поток сегмент ние, а вложенных может быть множество.
T7-4, содержащий сегмент с данными D4, повторенный в Во-вторых, потому что туннель создается на специаль-
транспортируемом TCP. Это самый худший вариант разви- ном хосте, а внутренние потоки соединяют разные клиент-
тия событий. Иначе говоря, если потери канала составля- ские компьютеры со стандартным TCP-стеком. И, наконец,
ют 10%, то из полезной емкости канала будет изъято уже в-третьих, кроме TCP есть еще много разных протоколов,
20%. Но, как уже замечено, это предельно плохой вариант. сегменты c которыми все-таки очень не бесполезно восста-
Поскольку RTT туннеля и RTT транспортируемого TCP на новить при потере, а отличить их от TCP может только стек
практике не совпадают, то, скорее всего, реальные потери туннеля. Но такое расширение TCP-туннелей пока не реали-
полосы будут гораздо меньше. зовано. Здесь лишь рассматривается гипотетическая воз-
Может показаться, что в этих рассуждениях упущена можность. Но ничего не мешает в практической ситуации
ситуация, когда будет потерян не сегмент с данными, а его для пробы запретить повторы через параметры sysctl ли-
подтверждение. Но если это произойдет, все случится точ- нуксового ядра на тех хостах, между которыми поднят тун-
но так же, как и на рис. 2. нель, и проверить действенность такой настройки.
Для TCP нет разницы между потерянным сегментом Итак, и вторая часть рассуждений о проблемах TCP
и потерянным подтверждением, если и те и другие вы- не выдерживает элементарной проверки. Быть может,
сылаются не так, как рассуждает Олаф, а сериями в пре- в разделе «Практический опыт» нам откроется истина?
делах размера CWND. Но, с другой стороны, теперь уже Рассмотрим и его повнимательнее.
для TCP-трафика происходит теоретическое учетверение В практической части статьи [1] содержится информа-
потерь, то есть из полезной емкости канала будет изымать- ция, которая может стать разгадкой всех проблем Олафа
ся уже 40%. Хотя это лишь «на бумаге», то есть снова здесь Титца. Оказывается, у автора этой статьи, цитирую, «ис-
приведен самый плохой вариант. пользовалась волоконно-оптическая связь, которая стра-
Теперь, глядя на рис. 2, ответьте, в каком TCP надо за- дала частыми потерями пакетов, иногда 10-20%». Стран-
претить повторы? Олаф Титц делает вывод, что повторы ная связь! Вероятно, на карманных фонариках. Последн-
надо запретить в верхнем транспортируемом TCP. На са- нее конечно шутка, но тем не менее это позволяет точно
определить условия применения тезисов автора упомяну-
той статьи. Обратимся к RFC 2001 [3]. Там однозначно ус-
тановлено, что все алгоритмы TCP рассчитаны при допуще-
нии, что потери в канале составляют менее 1%. Вероятно,
у Олафа были проблемы с кабельщиком. Быть может, суро-
вому монтеру не понравилась его прическа [5] и он решил
таким путем выразить свое возмущение. Олаф утверждает,
что, создав CIPE [6], смог решить проблемы и обеспечить
надежную работу на канале с потерями до 20%. И если не
проверить утверждения автора с помощью тестов с тунне-
лем на подобном канале, то получится, что здесь предла-
гается рассуждения Олафа Титца заменить рассуждени-
ями Алексея Барабанова. Лишь опыт позволит рассудить,
на чьей стороне правда (или правдоподобность). Посколь-
ку нет простой возможности создать искусственную линию
связи с характеристиками, похожими на те, что создали так
много проблем Олафу, то заменим реальные, обычно моду-
Рисунок 2. Последствия потери сегмента лированные, помехи случайными. И дополнительно ограни-
чим их 10-процентными. Думаю, что эта замена, не помеша-
ет понять суть происходящих процессов, так как на практи-
ке и 10% и 20% значительно больше указанного в RFC 1%,
и отличаются лишь временем, затраченным на проведение
эксперимента, поскольку чем больше потери, тем меньше
скорость передачи.

Рисунок 3. Схема тестовой сети
Тестовая сеть
Проверку будем проводить путем передачи тестового мас-
сива псевдослучайных данных в одном направлении че-
рез TCP- и UDP-туннели. Это, конечно, примитивная мо-
дель взаимодействия, но только так можно в чистом виде
попытаться определить зависимость характеристик кана-
ла и свойств полученного потока данных. Дополнительно

78
 сети
в центре маршрута ограничим полосу, например до 10 Мбит, ки OpenVPN в режиме клиента TCP-туннеля будут произво-
и внесем случайные потери в трафик. Конечно, 10 Мбит зна- диться согласно следующему файлу конфигурации:
чительно выше типичной скорости канала, предоставлен-
ного ISP для подключения к Интернету. Но иначе придет- # cat /etc/openvpn/test.conf
ся уменьшить объем пересылаемых данных, чтобы в при- proto tcp-client
емлемое время провести эксперимент. Перечислим эле- tcp-queue-limit 1000
remote 192.168.11.2
менты, которые нужны для организации таких проверок. dev tun
Во-первых, хост-отправитель и хост-получатель трафика. port 5000
tcqueuelen 1000
Во-вторых, два хоста, между которыми проложен туннель. secret /etc/openvpn/static.key
Поскольку «удаленный» конец туннеля может совпадать с ifconfig 192.168.12.1 192.168.12.2
route 192.168.12.0 255.255.255.0 192.168.12.1
хостом-получателем, то, кроме перечисленных трех хос-
тов, нужен еще один, где будет эмулироваться «узкое мес- Для станции wskostja все аналогично, меняются лишь
то» в сети. Итого, достаточно будет 4 компьютера соединить адреса, протокол на tcp-server и удаляется строка remote,
последовательно. Строго говоря, хост-отправитель можно что переводит туннель в состояние прослушивания. В ре-
совместить с «ближним» концом туннеля. Но надо учесть, жиме UDP на обоих концах протокол просто переключает-
что вход в туннель тоже является своего рода ограничите- ся в udp и удаляется параметр tcp-queue-limit. И теперь путь
лем трафика, или шейпером, поэтому пусть будут в тес- между wstovert до wskostja проходит через туннель.
товой сети четыре компьютера, которые назовем wstovert,
wsalekseybb, wskostja и server. Общий вид полученной сети # traceroute 192.168.12.2
представлен на рис. 3, и дальнейший комментарий будем traceroute to 192.168.12.2 (192.168.12.2), 30 hops max, 40 byte packets
1 192.168.10.2 0.000 ms 0.000 ms 0.000 ms
вести согласно изображенной там схемы. 2 192.168.12.2 7.088 ms 5.756 ms 0.787 ms
Все компьютеры включены в общую сеть 192.168.0.0/24,
объединены общей кабельной системой с помощью ком- Чтобы доказать, что сам туннель проходит через
мутатора 1 Гбит и обмениваются данными по протоколу server, проверим путь до удаленного конца туннеля
1000BaseTX, то есть значительно выше проверяемых ско- от wsalekseybb:
ростей передачи, что позволит максимально снизить сис-
тематическую ошибку. На эту сеть наложены две виртуаль- # traceroute 192.168.11.2
ные сети. Первая из них, с адресом 192.168.10.0/24 вклю- traceroute to 192.168.11.2 (192.168.11.2), 30 hops max, 40 byte packets
1 192.168.10.1 0.195 ms 0.106 ms 0.120 ms
чает wstovert, wsalekseybb и server, а вторая – с адресом 2 192.168.11.2 0.233 ms 0.000 ms 0.000 ms
192.168.11.0/24 – только server и wskostja. Практически все
компьютеры могут резолвить адреса друг друга с помо- Таким образом, можно, отправляя трафик со станции
щью arp и обмениваться пакетами через общий коммута- wstovert до станции wskostja, осуществлять на промежуточ-
тор. Но нам ведь нам надо обеспечить передачу трафика ном хосте server нужные манипуляции в соответствии с ис-
между компьютерами так, будто они включены последова- следуемой моделью канала.
тельно один за другим. Поэтому с помощью правил мар- Для работы создадим на всех участвующих в экспери-
шрутизации и преобразования адресов заставим трафик ментах хостах специального пользователя tovert и разместим
от wstovert проходить до wskostja через wsalekseybb и server в его домашних директориях в файле .ssh/authorized_keys2
так, как указывает стрелка на рис. 3. Для этого на каждом специально подготовленные ключи, чтобы можно было вы-
компьютере укажем статический маршрут до следующей по полнять необходимые действия в автоматическом режиме
ходу движения стрелки на рисунке 3 сети через соседний с одной из станций. И для удобства разрешим через sudo
компьютер, а на том включим NAT так, чтобы заменять в та- выполнение пользователем tovert команд с привилегиями
ком маршруте адрес отправителя на собственный. Оконча- суперпользователя без ввода пароля.
тельно должно получиться так: На wstovert подготовим файл с данными, которые будут
посылаться в тестовых сеансах:
# traceroute 192.168.11.2
traceroute to 192.168.11.2 (192.168.11.2), 30 hops max, 40 byte packets # ssh tovert@wstovert "dd if=/dev/urandom ↵
1 192.168.10.2 0.000 ms 0.000 ms 0.000 ms of=~/100M.bin bs=1024 count=102400"
2 192.168.10.1 0.566 ms 0.086 ms 0.088 ms
3 192.168.11.2 0.145 ms 0.170 ms 0.241 ms Симуляцию TCP-трафика будем создавать с помощью
команды, отправляющей 100 Мб из файла на целевой хост.
Поскольку главный вопрос заключается в изучении по- В качестве слушателя TCP используем sshd, который пере-
ведения инкапсулированного трафика, то в тестовой се- шлет все принятые данные в /dev/null, чтобы не помешала
ти настроим также и туннель. Воспользуемся програм- буферизация. Причем для сокращения затрат на загрузку
мным обеспечением, которое позволит поднять туннель, файла с диска каждую тестовую отправку будем предва-
как на основе UDP-транспорта, так и TCP. По этой причине рять локальным копированием в /dev/null:
CIPE [6] не подходит. Выберем OpenVPN [7]. Тем более что
согласно сравнительной таблице [8] этот проект рекордсмен # dd if=/home/tovert/100M.bin bs=1024 count=102400 >>/dev/null
# dd if=/home/tovert/100M.bin bs=1024 count=102400 | ↵
в разделе Popularity. Туннельная сеть образует виртуальное ssh tovert@192.168.12.2 "cat - >>/dev/null"
соединение между wsalekseybb и wskostja, определенное
как сеть 192.168.12.0/24. Для станции wsalekseybb настрой- Симуляция UDP-трафика будет производить утилитой

№12, декабрь 2005 79

 сети
Таблица 1. Передача TCP-трафика в туннелях
Протокол Объем Скорость Шейпер, Шейпер,
Режим Передано Шейпер, Идеальный трафик шейпера /
передачи отправленных передачи, передано число Потери, %
туннеля в tun0, Мб передано Мб трафик шейпера
данных данных, Мб Мбайт/сек пакетов задержек

TCP 105 TCP 103.9 1.2 112 81218 100951 0 1

0.177
TCP 105 TCP 103.9 128 152585 5504 10 1.14
(до 0.188)

TCP 105 TCP 117.2 0.0736 130 157852 4318 10+10 1.16

TCP 105 UDP 103.9 1.2 112 144877 144581 0 1

0.18
TCP 105 UDP 103.9 124 161677 7995 10 1.11
(до 0.19)

TCP 105 UDP 117.1 0.0791 126 164227 6281 10+10 1.13

netcat, точно так же предварительно произведя локальное # iptables -L INPUT

копирование:
Chain INPUT (policy ACCEPT)
target prot opt source destination
# dd if=/home/tovert/100M.bin bs=1024 count=102400 >>/dev/null DROP all -- anywhere 192.168.12.2 random 10%
# dd if=/home/tovert/100M.bin bs=1024 count=102400 | ↵ ACCEPT all -- anywhere 192.168.12.2
netcat -vu -w 1 192.168.12.2 22222
Тут проницательный читатель заметит, что недостает
На приемной стороне UDP-трафик будет приниматься еще эмулятора помех для обратного трафика. Но какой
специальным слушателем и подсчитываться: может быть обратный трафик у UDP? И внося еще поме-
хи для пакетов, движущихся в обратную сторону, мы явно
# netcat -vlnu -s 192.168.12.2 -w 15 -p 22222 | wc -c ухудшаем характеристики всех TCP-соединений, которые
принципиально всегда интерактивны, в отличие от UDP.
В точке прохождения трафика через хост server включим Скажите несправедливо? Ну и пусть! Нам нечего бояться.
ограничитель полосы типа HTB (Hierarchical Token Buckets) Сделаем так:
на 10 Мбит со следующей конфигурацией:
# iptables -n -L OUTPUT
qdisc htb 1: r2q 10 default 0 direct_packets_stat 0 Chain OUTPUT (policy ACCEPT)
Sent 0 bytes 0 pkts (dropped 0, overlimits 0) target prot opt source destination
class htb 1:1 root rate 10Mbit ceil 10Mbit burst 14704b ↵ DROP all -- 192.168.12.2 0.0.0.0/0 random 10%
cburst 14704b ACCEPT all -- 192.168.12.2 0.0.0.0/0
Sent 0 bytes 0 pkts (dropped 0, overlimits 0)
lended: 0 borrowed: 0 giants: 0
tokens: 9191 ctokens: 9191 Чуть выше уже было замечено, что это очень грубая ими-
class htb 1:10 parent 1:1 prio 0 rate 10Mbit ceil 10Mbit ↵ тация линии с потерями. Дело в том, что потери являются
burst 14704b cburst 14704b функцией линии передачи, а не числа переданных пакетов,
Sent 0 bytes 0 pkts (dropped 0, overlimits 0)
lended: 0 borrowed: 0 giants: 0 как в нашем случае. Но даже такая модель позволит понять,
tokens: 9191 ctokens: 9191 что же происходит с трафиком в ненадежных сетях.
filter parent 1: protocol ip pref 1 fw Теперь все окружение построено. Договоримся о точ-
filter parent 1: protocol ip pref 1 fw handle 0xa ↵ ках, где будут сниматься данные. В условиях эксперимен-
classid 1:10
та будет тип трафика, тип туннеля, объем отправленных
Так что фильтр будет направлять в шейпер только тра- с wstovert данных. Скорость передачи нам сообщит ко-
фик, помеченный маркером 10 (0xa). Весь непомеченный манда dd на wstovert. Объем данных, поступивших в тун-
трафик будет проходить в обход шейпера, так как в HTB нель, и число уничтоженных на входе пакетов узнаем через
не указан поток по умолчанию. Метиться будут лишь паке- ifconfig tun0 на wsalekseybb. Статистика шейпера на server
ты, направляемые на виртуальный адрес wskostja: покажет, сколько данных и пакетов прошло через ограничи-
тель трафика, сколько пакетов было уничтожено. На счет-
# traceroute 192.168.11.2 чиках iptables на wskostja узнаем, сколько данных добра-
Chain POSTROUTING (policy ACCEPT) лось до назначения и сколько было уничтожено как ими-
target prot opt source destination
MARK all -- anywhere 192.168.11.2 MARK set 0xa
тация потерь в линии связи. И для UDP после отключения
слушателя netcat получим объем реально полученных дан-
Последняя деталь – эмулятор помех. По логике, ес- ных, подсчитанный командой wc.
ли шейпер на исходящем интерфейсе хоста server имити- С примерами некоторых скриптов, использованных
рует сужение канала, то участок с потерями должен нахо- для настроек, можно ознакомиться в архиве [9].
диться за ним.
И у нас не остается иного места, где можно внести Передача TCP в туннелях
(или точнее изъять) потери в трафик, кроме входного ин- Сначала проверим самую главную версию, что трафик TCP
терфейса wskostja: внутри TCP-туннеля якобы плохо передается, а вот внутри

80

Таблица 2. Передача UDP-трафика в туннелях
Протокол Объем
Режим Передано
передачи отправленных
туннеля в tun0, Мб
данных данных, Мб
UDP 105 TCP 1.8
UDP 105 TCP 2.1
UDP 105 UDP 5.3
UDP 105 UDP 8.0
туннеля UDP напротив очень хорошо.
Для этого поднимем туннель OpenVPN
сначала в режиме TCP, затем в режи-
ме UDP, и в каждом состоянии прове-
дем тестовую пересылку без потерь,
с потерями 10% и с двухсторонними
потерями. Полученные числа собе-
рем в таблицу. К сожалению, так как
используется высокоскоростная сеть,
тестовый файл невелик, а время не
позволяет делать сотни прогонов
и затем производить сглаживание ре-
зультатов, то в таблицу 1 будут зане-
сены наиболее показательные дан-
ные из 2-3 прогонов на каждом усло-
вии и дополнительно указан возмож-
ный разброс.
Колонка 5 не выявила никакого пре-
имущества UDP-туннелей в скорости.
Средний разброс показателей +/-5%.
То есть независимо от несущего про-
токола внутренний TCP рано или поз-
дно подстраивался под условия пе-
редачи и находил примерно одинако-
вый максимум. А вот показатели ко-
лонки 6 имеют более интересную ин-
терпретацию. Итак, в идеальных ус-
ловиях на шейпере насчитано 112 Мб,
как в TCP-туннеле, так и в туннеле UDP.
Но, как только включаем уничтожение
10% трафика, туннель UDP ведет се-
бя пропорционально потерям и добав-
ляет уничтоженное повторной пере-
сылкой дополнительных 10% объема
112*11=123,2, что примерно равно по-
лученным 124 Мб на счетчике шейпе-
ра (все индексы в колонке 10). Туннель
TCP реагирует на уничтожение трафи-
ка предсказанным способом – выпол-
няет дублирование повторов, и трафик
на шейпере возрастает, но, как это то-
же было предсказано, не на полные
20%, а лишь на 14%. Как только вклю-
чаем уничтожение обратного трафика,
то потери еще выше, но опять не 40%,
как при полных повторах, и не 20%,
а всего лишь 16%! Если сопоставить
показатели трафика через туннель-
ный интерфейс (колонка 4) и через
шейпер (колонка 6), то использова-
№12, декабрь 2005
Шейпер,
Потеряно Шейпер,
передано
в tun0 пакетов передано Мб
пакетов
75375 1.94 1406
75195 2.29 1729
72744 3.5 4490
70678 5.02 6441
ние TCP-транспорта добавляет толь-
ко 4% к переданному объему по срав-
нению с применением UDP-туннеля. То
есть, 10% трафика «честно» пропада-
ет в линии передачи, а погрешности
двойного дублирования не превыша-
ют 4%. Замечу, туннель достаточно ус-
ловен, сетка высокоскоростная, и рас-
хождения RTT минимальны, что пока-
зала и утилита traceroute выше по тек-
сту. И все равно не получается полного
удвоения или учетверения. В условиях
реального туннеля, где RTT будут раз-
личаться больше, скорости будут ниже,
а потери, скорее всего, будут меньше,
разница в условиях прохождения TCP-
трафика через TCP- и UDP-туннель ста-
нет совсем незаметной.
Другими словами, никакого су-
щественного ухудшения TCP внутри
TCP в нашем эксперименте замечено
не было. Но если нет ухудшения при
работе через TCP-туннель, то, быть мо-
жет, надо искать улучшение при работе
через UDP-туннель? И если проверка
TCP-трафика не выявила преимущес-
тва одного над другим, то может, сто-
ит проверить, как передается UDP-тра-
фик в таких туннелях.
Передача UDP в туннелях
Передача UDP-трафика – это весьма
условное понятие. Фактически это бо-
лее похоже на ветер. И поэтому поня-
тие «скорость передачи» теряет всякий
смысл. В тестовых проверках скорость
случайным образом определялась
в диапазоне от 13 до 29 Мбайт/сек.
Но если на пути такого «ветра» встре-
чается участок с меньшей полосой
пропускания, недостаточной, чтобы
передать все имитированные паке-
ты, то излишки просто уничтожаются.
Как показали прогоны трафика через
туннель OpenVPN вместе с шейпером,
настроенным на большие предельные
скорости, чем 10 Мбит/сек, сам тун-
нель является скрытым ограничите-
лем полосы. При настройках, соглас-
но, указанным выше, туннель в режиме
сети
Шейпер,
Отправлено /
уничтожено Потери, % Реально прибыло, Мб
прибыло
пакетов
0 0 1.73 1.04
0 10 1.867 1.12
1611 0 3.125 1.69
2611 10 4.08 1.96
UDP ограничивает полосу скоростью
5,9 Мбайт/сек, а в режиме TCP даже
еще ниже 2,9 Мбайт/сек. Вероятно, это
связано с тем, что туннель организован
как программа, работающая не в про-
странстве ядра, а в пользовательском
пространстве. Но, так или иначе, по-
тери UDP-трафика начнутся сразу же
на входном интерфейсе туннеля, даже
если в нем не настроен собственный
шейпер. Второй барьер для UDP бу-
дет создавать ограничитель трафика,
имитирующий «узкое место», взведен-
ный в нашем случае после хоста server.
Ну и, наконец, в тестах с потерей тра-
фика дополнительную убыль пакетов
UDP обеспечит фильтрация на входе
wskostja. Обратный трафик «портить»
не будем, так как это не скажется су-
щественно на выводах. Результаты
тестов сведены в таблице 2.
Судя по колонке 4, неявный шей-
пинг самого туннеля привел к тому,
что в режиме TCP «пролетело» в ин-
терфейс в два раза меньше пакетов,
чем в режиме UDP. Ну и как следс-
твие, окончательно попало в точку на-
значения (колонка 10) меньше в режи-
ме TCP, чем в UDP. Поскольку туннель
TCP, кроме всего прочего, может под-
страиваться под реальную пропускную
способность туннеля, то в TCP-режиме
на шейпере после server нет потерь,
а в UDP они присутствуют. Но самые
интересные результаты дает расчет
отношения трафика, реально отправ-
ленного через туннель, и того, что был
получен в точке назначения. И в том
и в другом режиме работы туннеля
это соотношение подчиняется пра-
вилу, что трафик в проверке работы
с потерями выше трафика в идеаль-
ном случае примерно на величину по-
терь. Например, для TCP 1,04*1,1=1,14
приблизительно равно 1,12, получен-
ному в эксперименте. Или для UDP –
1,69*1,1=1,86 приблизительно рав-
но 1,86, что показал тестовый про-
гон. Но вот само базовое соотноше-
ние пропорции доставки неутешитель-
81
 сети
но для UDP. Получается, что в идеаль-
ном случае для TCP-туннеля достав-
ляются практически все пакеты – ко-
эффициент 1,04 , а вот в туннеле UDP
лишь не более чем два из трех – коэф-
фициент 1,69. Здесь еще раз видно, что
полученные результаты могут носить
лишь оценочный характер. Ясно же,
что коэффициент передачи TCP-тун-
неля должен в идеальном случае рав-
няться единице. Но реальные значения
счетчиков интерфейсов интерпретиру-
ют по-разному пакеты, их заголовки
и даже константы пересчета байт в ки-
лобайты. Однако общий смысл ясен:
UDP-туннель совсем не способствует
полноте доставки данных до получате-
ля. Главная причина в том, что UDP-по-
ток не может подстраиваться под фак-
тическую ширину канала по маршру-
ту роутинга. И именно этим объясня-
ется присутствие специальной опции
ограничения канала на входе тунне-
ля OpenVPN. В настоящих настройках
она не применялась, а в реальной жиз-
ни ее использование позволит сокра-
тить расходы на оплату трафика, кото-
рый в противном случае будет «поре-
зан» одним из маршрутизаторов уже
после того как «провернутся» счетчи-
ки ISP. Обращаю внимание, в OpenVPN
такая опция есть, а вот в CIPE отсутс-
твует, что вообще не свидетельствует
в пользу этого проекта.
Итак, трафик UDP тоже не приобре-
тает ничего хорошего от завертывания
его в туннель UDP. Быть может, никако-
го особого улучшения связи из-за при-
менения CIPE и не происходило? Быть
может, все это лишь проказы шаловли-
вого кабельщика? Сейчас трудно разо-
браться, но безымянного кабельщика
надо поблагодарить. Ведь именно из-
за его работы Олаф Титц, как Колумб,
«поплыл в Индию, а прибыл в Амери-
ку», то есть не важно, о чем он там ду-
мал, когда создавал CIPE, но, безу-
словно, что его инициатива подтолкну-
ла многих других разработчиков сход-
ных программных средств.
Практические выводы
Без этой части статья не будет выгля-
деть завершенной. Если такие выводы
были у Олафа, то почему бы и здесь им
не появиться. Поскольку в процессе
практической проверки никаких осо-
бых выгод от использования UDP-тун-
нелей не замечено, то вопрос, что ис-
82
пользовать, переходит в плоскость экс-
пертных оценок. Перечислю их, и пусть
читатели сами решат, подходят ли им
такие рекомендации.
Во-первых, современные сети яв-
ляются в большей степени TCP-сетя-
ми. Они приспособлены для транспор-
тировки именно такого трафика. Сис-
темы ограничения полос взаимодейс-
твуют с потоками TCP-трафика и пу-
тем накопления и торможения сегмен-
тов в очередях заставляют отправите-
лей TCP замедлять трафик без потерь.
Технология предотвращения перегруз-
ки RED (Random early detection) рабо-
тает только в отношении TCP-потоков.
Разрабатываются дополнительные
функциональные расширения, ори-
ентированные на управление именно
TCP-трафиком в первую очередь. На-
пример, явное уведомление о пере-
грузке, или ECN, предложенное в RFC
3168 [10], реализовано как расширение
формата TCP. И в том же RFC более
половины его содержания посвящено
проблеме, как транзитный маршрути-
затор сможет управлять с помощью
ECN трафиком, завернутым в IPsec.
Отдельно там же сказаны и «добрые»
слова в отношении других не-TCP-тун-
нелей. Про UDP-туннели слов нет, пос-
кольку UDP как достойный транспорт
не рассматривается вообще. Конечно,
если очень озаботиться, то в Интернете
можно разыскать документ «A proposal
for the use of ECN bits with UDP flows».
Но предлагаю попробовать найти за-
регистрированный RFC на эту же тему.
Или попытаться его дождаться.
Во-вторых, если в вашей сети си-
туация «не на высоте» и вопрос сто-
ит не о соответствии последним тех-
нологическим новациям, а просто об
удовлетворительном уровне работы,
то и здесь следует предпочесть TCP-
транспорт. Очень часто проблемы се-
тевого взаимодействия связаны с по-
терями UDP-пакетов. Например, за-
медленный резолвинг сетевых адре-
сов может доставить много неприят-
ностей. На ненадежных подключениях
к Интернету браузеры могут или не от-
крывать запрошенные ресурсы или де-
лать это лишь со второго раза. И учи-
тывая, что UDP-трафик самый «безза-
щитный», то даже на проводных сетях
в условиях сильной загруженности бу-
дет происходить вытеснение UDP-па-
кетов в первую очередь. Завернув UDP-
трафик в TCP-туннель, можно сделать
его более надежным и предсказуе-
мым. И часы у ваших компьютеров бу-
дут корректироваться чаще, и DNS бу-
дет работать стабильнее. А если в та-
кой туннель завернуть ICMP, то и мо-
ниторинг внешних ресурсов также бу-
дет стабильнее.
Нет, решительно невозможно об-
наружить никаких аргументов против
туннелирования в TCP. Быть может, на
дату написания статьи [1] все обстоя-
ло иначе? Ну, разве что RFC 3168 бы-
ло в стадии утверждения. А все осталь-
ные механизмы регулирования TCP
были реализованы задолго до рожде-
ния столь оригинальной мысли о не-
приемлемости туннелирования тра-
фика внутри TCP. Конечно, не стоит
забывать о таком эффекте, как вытес-
нение TCP-потока (TCP-starvation/UDP-
dominance) именно за счет его управля-
емости. То есть, если два типа трафика
смешиваются в одной полосе регули-
рования, то TCP-трафик, поддающий-
ся регулирующему воздействию, будет
уступать полосу UDP. Быть может, это
и послужило причиной того, что TCP-
туннель у Олафа Титца не работал как
надо. Но тогда, кроме признания из-
вестного недружелюбного кабельщи-
ка, надо согласиться с существовани-
ем нерадивого сотрудника ISP. Мне ка-
жется, это уже слишком.
Ссылки:
1. Olaf Titz. Why TCP Over TCP Is A Bad
Idea – http://sites.inka.de/sites/bigred/
devel/tcp-tcp.html.
2. Олаф Титц. Почему TCP поверх TCP
плохая идея. Перевод А. Барабанова –
http://www.barabanov.ru/arts/tcp_over_
tcp/Tcp_over_tcp_rusint.pdf.
3. RFC 2001 – http://www.protocols.ru/files/
RFC/rfc2001.pdf.
4. RFC 793 – http://www.protocols.ru/files/
RFC/rfc793.pdf.
5. Персональная страница Олафа Титца –
http://sites.inka.de/bigred/index.html.
6. Домашняя страница CIPE – http://sites.
inka.de/~bigred/devel/cipe.html.
7. Домашняя страница OpenVPN – http://
openvpn.net.
8. Сравнительная таблица VPN – http://mia.
ece.uic.edu/~papers/volans/table.html.
9. П р и м е р ы с к р и п т о в – ht t p : / / w w w.
barabanov.ru/arts/tcp/tovert.tgz.
10. RFC 3168 – http://sysadmins.ru /rfc /
rfc3168.html.
 bugtraq

Множественные уязвимости Обход ограничений безопасности

в Microsoft Internet Explorer в Sun Java JRE
Программа: Microsoft Internet Explorer 5.01, 5.5, 6.0. Программа: Sun Java SDK 1.4.x, Sun Java SDK 1.3.x, Sun
Опасность: Критическая. Java JRE 1.5.x/5.x, Sun Java JRE 1.4.x, Sun Java JRE 1.3.x,
Описание: Обнаруженные уязвимости позволяют удален- Sun Java JDK 1.5.x.
ному пользователю обойти ограничения безопасности и вы- Опасность: Критическая.
полнить произвольный код на целевой системе. Описание: Неизвестная ошибка позволяет недоверенно-
1. Ошибка дизайна при обработке быстрых клавиш му апплету получить доступ на чтение, запись и выполне-
для определенных диалоговых окон может позволить зло- ние приложений на системе.
умышленнику задержать показ диалогового окна загруз- Уязвимость существует в JDK/JRE 5.0 Update 3 и более
ки файла и заставить пользователя нажать на клавишу «r» ранних версиях на платформах Windows, Solaris и Linux.
для выполнения злонамеренного .bat-файла. Уязвимость обнаружена из-за ошибки в использовании
2. Ошибка дизайна при нажатии на клавишу мыши в но- reflection API. Недоверенный апплет может получить доступ
вом окне браузера может позволить злоумышленнику вы- на чтение, запись и выполнение приложений на системе.
полнить произвольный файл на целевой системе. Уязвимость существует в следующих продуктах на плат-
3. Ошибка обнаружена при использовании HTTPS-прок- формах Windows, Solaris и Linux: SDK and JRE 1.3.1_15 и бо-
си сервера, который требует использовать обычный тип ау- лее ранние версии; SDK and JRE 1.4.2_08 и более ранние
тентификации. Удаленный пользователь может получить версии; JDK and JRE 5.0 Update 3 и более ранние версии.
веб-адрес посещаемой страницы, даже если использует- Ошибка в реализации JMX (Java Management Extensions),
ся HTTPS-соединение. входящим в состав JRE, может позволить злоумышленни-
4. Ошибка существует при инициализации определен- ку просмотреть и записать произвольные файлы, а также
ных COM-объектов. Удаленный пользователь может выпол- выполнить произвольные приложения на системе. Уязви-
нить произвольный код на целевой системе с привилегия- мость обнаружена в JDK/JRE 5.0 Update 3 и более ранних
ми пользователя, запустившего Internet Explorer. версиях на платформах Windows, Solaris и Linux.
5. Ошибка существует при инициализации определен- URL производителя: www.sun.com.
ных объектов, если используется функция windows() в со- Решение: Установите последнюю версию с сайта произ-
бытии <body onload>. Удаленный пользователь может с по- водителя.
мощью специально сформированной веб-страницы выпол-
нить произвольный код на целевой системе.
URL производителя: www.microsoft.com. Отказ в обслуживании в Microsoft IIS
Решение: Установите исправление с сайта производите- Программа: Microsoft IIS 5.1.
ля. Опасность: Низкая.
Описание: Уязвимость существует при обработке URL. Уда-
ленный пользователь может послать веб-серверу специ-
Переполнение динамической памяти ально сформированный HTTP GET-запрос и аварийно за-
в Panda Antivirus при обработке вершить работу приложения inetinfo.exe. Уязвимость может
ZOO-архивов быть эксплуатирована, если для директории установлены
Программа: Panda SendmailSecure Antivirus, Panda привилегии на выполнение сценариев и приложений. При-
QmailSecure Antivirus, Panda ProxySecure Antivirus, Panda мером такой директории является «/_vti_bin».
PostfixSecure Antivirus, Panda PerimeterScan, Panda ISASecure Пример:
Antivirus, Panda FileSecure Antivirus, Panda ExchangeSecure
http://www.example.xom/_vti_bin/.dll/*\~0
Antivirus, Panda DominoSecure Antivirus, Panda CVPSecure
Antivirus, Panda CommandlineSecure Antivirus, Panda AntiVirus Страницу следует обновить 4 раза.
Titanium, Panda AntiVirus Small Business Edition, Panda Вместо «*» могут использоваться символы:
AntiVirus Platinum 7.x, Panda AntiVirus Enterprise Suite.
%01-%1f, %3f, ", *, :, <, >
Опасность: Критическая.
Описание: Уязвимость существует из-за ошибки в библио- Последняя цифра, после тильды, может быть от 0 до 9.
теке pskcmp.dll во время Lempel-Ziv-декомпрессии ZOO-ар- URL производителя: www.microsoft.com.
хивов. Удаленный пользователь может создать специаль- Решение: Способов устранения уязвимости не существу-
но сформированный ZOO-архив, вызвать переполнение ди- ет в настоящее время. В качестве временного решения ре-
намической памяти и выполнить произвольный код на це- комендуется блокировать входящие запросы, содержащие:
левой системе. «~0», «~1», «~2», «~3», «~4», «~5», «~6», «~7», «~8», или «~9».
URL производителя: www.pandasoftware.com. Согласно уведомлению, исправление выйдет вместе с SP3
Решение: Способов устранения уязвимости не сущес- для Windows XP.
твует в настоящее время. В качестве временного реше-
ния рекомендуется фильтровать ZOO-архивы на email Составил Александр Антипов
или proxy-шлюзах.

№12, декабрь 2005 83

 ретроспектива

Сломленная, но не сдавшаяся:
история операционной системы BeOS

Дмитрий Мороз
«Взрыв сверхновой звезды» – именно так можно было охарактеризовать появление на рынке
в 1996 году компьютера BeBox и операционной системы BeOS. Прошло время, и звезда
постепенно угасла. Но, похоже, в скором времени настанет черёд повторного взрыва.

Прелюдия сился. Руководство Apple также не воз- мандами разработчиков проекта «Ягу-
Если покопаться в анналах мировой ис- ражало, правда, поставило лишь одно ар» и оригинального Macintosh вынуди-
тории развития вычислительной тех- условие – новый компьютер не должен ли управляющего Apple Джона Скал-
ники и выудить из них компанию Apple, стоить больше 8000 долларов. ли в июне 1990 г. закрыть сделанный
BeOS берёт своё начало именно с про- Работа закипела. Благодаря невы- на 50% проект.
изводителя «яблочных» компьютеров. сокой цене чипа Motorola 88100 инжене- Впоследствии Жан-Луи Гассе, дис-
Жана-Луи Гассе знает, наверное, прак- ры смогли установить в первые прото- кредитировавший себя выпуском пер-
тически каждый обладатель Macintosh типы сразу четыре штуки. Платформа вого ноутбука компании Macintosh
(рис. 1). Человек, в одно время руко- на новом процессоре требовала и но- Portable, а также вступивший в личную
водивший представительством Apple вой операционной системы, поэтому борьбу со Скалли, был вынужден по-
во Франции, благодаря своим успехам группой из 80 программистов за пару дать в отставку. Случилось это в сере-
со временем занял должность началь- месяцев была разработана новая ОС дине 1990 года.
ника всех исследовательских и произ- под кодовым названием Bojole, осно-
водственных подразделений компании. ванная на микроядре Mach. Созданное Гассе отправляется
На его счету выпуск моделей Mac Plus, в недрах университета Карнеги-Мелло- в свободное плавание
Macintosh II и Macintosh SE, снискавших на, оно было основано на исходных ко- Уйдя из Apple, Гассе тем не менее
большую популярность у покупателей. дах операционной системы UNIX, и од- не расстался с мыслью разрабаты-
Но мало кто знает о секретных проек- но из немногих в то время обладало вы- вать новые компьютеры. Однажды он
тах, которыми руководил Гассе. Ими яв- тесняющей многозадачностью и подде- встретился с Ирвином Гаулдом, управ-
лялись Aquarius – процессор на базе рживало защищённый режим памяти. ляющим Commodore Business Machines.
RISC-архитектуры, и Jaguar – профес- Четыре процессора и быстрая опе- По словам самого Гассе: «Он хотел, что-
сиональная рабочая станция. Именно рационная система позволили ново- бы я возглавил отдел исследований
второй проект нас и интересует. му компьютеру ещё на стадии разра- и разработок компании Commodore
Целью «Ягуара» являлось созда- ботки свободно обрабатывать аудио- Amiga (разрабатывавшей одноимённые
ние высокопроизводительной рабо- и видеоданные, а также трёхмерную компьютеры), но я сказал: «Нет, я уже
чей станции на основе RISC-процессо- графику, а встроенные стереодина- проходил через это. Я хочу управлять
ра Motorola 88110. Стратегия «правого мики и камера для проведения видео- компанией». Гаулд ответил, что у не-
верхнего угла», согласно которой в не- конференций подняли возможности го уже имеется прекрасная кандидату-
драх компании разрабатывались ком- «Ягуара» на уровень графических ра- ра, что означало отказ. Тем не менее
пьютеры с высокой производительнос- бочих станций, стоивших десятки ты- Жан-Луи извлёк из встречи некоторые
тью и расширяемостью, обладавшие сяч долларов. По словам Хью Марти- идеи относительно компьютеров Amiga:
при этом такой же высокой ценой, бы- на: «Мы сделали полноценный муль- «Я немного обиделся на мистера Гаул-
ла навязана Apple именно Жаном-Луи. тимедийный компьютер, на годы опе- да и решил, что, возможно, я мог бы
Поэтому, когда один из инженеров ком- редивший своё время». создать что-нибудь наподобие Amiga,
пании, Хью Мартин, предложил пред- К сожалению, несовместимость но- только построенное на современной
приимчивому французу создать сверх- вой операционной системы с програм- аппаратной базе. Кроме того, в отличие
быстрый компьютер на базе новой тогда мами для MacOS, а также возросшее от высокомерной Commodore я бы луч-
RISC-архитектуры, тот сразу же согла- до предела противоборство между ко- ше заботился о разработчиках програм-

84

AT&T, оперативной памяти и последова-
тельного порта. Позже Сакоман доба-
вил второй процессор, флоппи-диско-
вод, жёсткий диск, дополнительные па-
раллельные и последовательные пор-
ты, а также видеоадаптер, разработан-
ный им самим.
Через некоторое время Гассе при-
гласил на работу троих программистов,
двое из которых – Боб Герольд и Эрик
Рингвальд – раньше работали в Apple
(Боб работал над проектом «Newton»,
а Эрик – над «Ягуаром»). Третий про-
граммист, Бенуа Шиллингс, был пригла-
шён Гассе и Сакоманом после впечат-
ляющей демонстрации своих программ,
которые он разрабатывал для MacOS.
В обязанности Боба Герольда вхо-
дила отладка создаваемых Сакоманом
прототипов, а также написание драй-
Рисунок 1. Жан-Луи Гассе собственной веров. Что же касается Эрика и Бенуа,
персоной
они создавали для нового компьюте-
мных продуктов». Таким образом, Гассе ра новую ОС.
принял решение, за которое ему впос- Вообще-то вначале разработчи-
ледствии будут благодарны миллионы ки предложили Гассе купить либо ли-
людей, – он решил создать компьютер цензировать какую-нибудь из уже су-
нового поколения самостоятельно. ществующих «встраиваемых» опе-
По замыслу Гассе, его новинка рационных систем. К сожалению,
должна была стать тем «мультимедий- ChorusOS, на которую пал взор из-за
ным монстром», на пост которого пре- её заманчивых возможностей, ока-
тендовал так и не состоявшийся про- залась слишком дорогой. Впоследс-
ект «Ягуар». На воплощение новой идеи твии Chorus Microsystems была куп-
у француза имелись 1,7 млн. долларов, лена Sun Microsystems и стала осно-
с которыми он ушёл из Apple. Чуть поз- вой JavaOS. Гассе и компания приняли
же Гассе благодаря своим связям по- окончательное решение – делать опе-
лучил дополнительное 7-миллионное рационную систему своими силами.
финансирование. Помощником Жана- На рубеже 1991-92 гг. Гассе нако-
Луи в организации собственной ком- нец-то принял решение дать своей
пании стал Кори Ван Арсдейл, на кото- крошечной компании имя. Изначаль-
рого были возложены обязанности ад- но он планировал назвать её United
воката и главного менеджера. Technoids, но, по словам Стива Сако-
Первым инженером, кото-
рого Гассе пригласил в свою,
ещё в то время не названную,
Be Inc., стал Стив Сакоман,
один из бывших сотрудников
Apple, «отец» проекта Newton,
позже ставшего первым кар-
манным персональным ком-
пьютером в мире.
Вначале Сакоман работал
у себя дома. Буквально че-
рез несколько дней после на-
чала воплощения идеи Гассе
в жизнь, он разработал пер-
вый прототип компьютера,
состоявший из текстолито-
вой платы, 20 МГц процессора Рисунок 2. Одна из ранних версий BeOS для BeBox на базе
Hobbit производства компании процессоров Hobbit
№12, декабрь 2005
ретроспектива
мана: «От этого названия веяло чем-то
мрачновато-извращённым, и я предло-
жил Жану-Луи на выходных поискать
какое-нибудь более подходящее на-
звание». В понедельник, когда Гассе
спросил Сакомана, что тот нашёл, Стив
ответил, что пока дошёл лишь до бук-
вы «В». «Что же, пусть будет «Be», – ре-
шил Гассе. Так компания и обзавелась
своим «пчелиным» именем.
Кроме того, вместе со становлени-
ем Be Inc. в качестве полноценной ком-
пании было принято решение об арен-
де небольшого офиса, который рас-
полагался в Менло Парке, штат Кали-
форния, – недалеко от зданий Apple
Computer.
Шёл 1992 год. Работа над BeBox
продолжалась. Стив Сакоман последо-
вательно добавил в прототипы компью-
тера звуковую плату, встроенный мо-
дем, а также три цифровых сигнальный
процессора (DSP) производства AT&T,
которые должны были отвечать за об-
работку звуковых и видеоданных.
Не отставала от BeBox и его опера-
ционная система. В конце 1991 года Гас-
се нанял на работу Сирила Меуриллона,
начавшего работу над ядром для BeOS.
В это же время на сцене Be Inc. появил-
ся Доминик Джиамполо, автор знаме-
нитой файловой системы BeOS. Бенуа
Шиллингс, работая совместно с ним,
написал первую версию графической
подсистемы BeOS, которая затем пре-
вратилась в главную часть ОС – сервер
App Server. 1993 год ознаменовался вы-
ходом первой тестовой версии ОС (так-
же известной как DR1) (рис. 2).
Уже в 1994 году появилась версия
DR2, в которой было исправлено мно-
жество ошибок, а также до-
бавлены поддержка SCSI-дис-
ков и GeekPort – специально-
го порта BeBox, предназна-
ченного для энтузиастов-про-
граммистов. Кроме того, сис-
тема обзавелась первыми
средствами разработки при-
ложений.
BeOS под
микроскопом
Те п е р ь с д е л а е м н е б о л ь -
шую остановку и рассмот-
рим подробнее особеннос-
ти BeOS, а также её досто-
инства по сравнению с кон-
курентами:
85
 ретроспектива
 BeOS построена на микроядер-
ной архитектуре. ОС состоит
из микроядра, а также различных
серверов, каждый из которых отве-
чает за выполнение определённых
функций.
 Интерфейс программирования
приложений (API) у BeOS осно-
ван на объектно-ориентирован-
ном дизайне вместо процедурно-
ориентированного. Благодаря та-
кому подходу программисты могут
свободно использовать части кода
в различных программах, что поз-
воляет значительно ускорить про-
цесс их создания.
 Вытесняющая многозадачность.
В большинстве операционных сис-
тем каждый процесс управляется
менеджером процессов. Чем боль-
ше процессов находится под ко-
мандой менеджера, тем менее
быстрой и стабильной становится
система. В многопоточных систе-
мах каждый процесс создаёт свои
собственные процессы, выполняю-
щие строго определённые функции,
тем самым значительно разгружая
менеджер. Например, в BeOS каж-
дое открытое окно создаёт два но-
вых процесса: клиентский и сер-
верный. Первый процесс получает
и обрабатывает пользовательские
события, такие как: нажатия кла-
виш, движение мыши и т. д., тогда
как второй – занимается обработ-
кой задач, связанных непосредс-
твенно с самим окном.
 Симметричная многопроцессор-
ная обработка (SMP). Потоки мо-
гут использовать несколько чи-
пов, установленных в компьюте-
ре (поддерживается до 8 процес-
соров), «перепрыгивая» с процес-
сора на процессор в зависимос-
ти от их загруженности. Для при-
мера: во время загрузки ОС один
процессор отвечает за поиск при-
водов в компьютере, второй отоб-
ражает на экране логотип операци-
онной системы. Благодаря такому
подходу прирост производитель-
ности BeOS, работающей на мно-
гопроцессорной системе, по срав-
нению с однопроцессорной стре-
мится к 80-100%.
 Ориентация на обработку муль-
тимедийных и коммуникацион-
ных задач. Многопоточный ди-
86
зайн BeOS, а также низкая латен- пьютера на базе нового чипа я с радос-
тность системы позволяют ей лег- тью согласился», – вспоминает он.
ко справляться с аудио- и видео- Таким образом, BeBox обзавёлся
данными, а также трёхмерной гра- новым «сердцем», вернее, двумя. Пер-
фикой. BeOS автоматически за- вые версии BeBox содержали пять про-
даёт различные приоритеты вы- цессоров – два Hobbit-чипа и три DSP.
полняющимся в «реальном режи- Для того чтобы компьютер можно было
ме» процессам, таким как запись без проблем перенести на новую архи-
видео или его воспроизведение. тектуру, инженер Глен Адлер добавил
 64-разрядная файловая система в старые прототипы плату с ещё дву-
BFS поддерживает жёсткие дис- мя процессорами PowerPC, доведя, та-
ки объёмом до нескольких тера- ким образом, общее количество чипов
байт и благодаря журналирова- в системе до семи штук. Позднее, ког-
нию транзикаций предотвраща- да программисты Be Inc. перенесли ос-
ет потерю данных. новной код BeOS на новую архитекту-
ру, старые процессоры и DSP оконча-
Выход на финишную тельно канули в Лету (рис. 3).
прямую Позже новый инженер Be Inc., Джо-
В 1994 году для BeBox пришлось ис- сеф Палмер, в одиночку занялся до-
кать новую платформу, поскольку водкой BeBox до финального состо-
процессоры Hobbit прекратили своё яния. Им была разработана мате-
существование. Apple использовала ринская плата, основанная на спе-
Hobbit в первых прототипах проекта цификации PReP. В то же самое вре-
Newton. Когда же инженеры компании мя, из-за недостатка средств, Палме-
совместно с Acorn создали новую архи- ру пришлось использовать стандар-
тектуру ARM-процессоров, Hobbit стал тную подсистему ввода/вывода, ана-
не нужен. В результате летом 1994 го- логичную той, что была на обычных
да AT&T, не получив дальнейшего фи- персональных компьютерах из мира
нансирования от Apple, отказалась Windows.
продолжать разработку чипов Hobbit С «лёгкого языка» Джо Палме-
и окончательно ушла с рынка процес- ра BeBox обзавелась своим назва-
соростроения. нием. Вот что он сказал по этому по-
В поиске нового чипа для BeBox воду в одном из интервью: «Первые
выбор инженеров Be Inc. пал на про- прототипы компьютера на базе про-
цессор PowerPC: новый, но уже доста- цессоров Hobbit и DSP-чипов называ-
точно разрекламированный компания- лись просто Be-1. Когда пришёл черёд
ми Apple, IBM и Motorola продукт. Имея PowerPC, машины именовались Be-2,
меньшую стоимость, чем у процессора или BeBox. Со временем второе назва-
Hobbit, PowerPC обладал лучшей архи- ние прочно прилипло к нашим прототи-
тектурой (комбинация серверного чи-
па IBM POWER и шины Motorola 88110)
и производительностью. А предложил
Be Inc. использовать PowerPC инженер
Apple Джо Палмер, впоследствии став-
ший «отцом» нового BeBox.
Палмер в то время заканчивал раз-
рабатывать Macintosh Quadra 660AV
в Apple. Он хотел, чтобы независимые
компании начали использовать стан-
дарт PReP (PowerPC Reference Platform –
связанная с PowerPC платформа), раз-
работанный IBM, Apple и Motorola, поэ-
тому решил встретиться по этому по-
воду с Жаном-Луи Гассе. Как раз в то
время AT&T приостановила разработ-
ку процессоров Hobbit, поэтому Палмер
предложил Be Inc. использовать новый
PowerPC. «На внезапное предложение
Жана-Луи помочь им в разработке ком- Рисунок 3. Внешний вид BeBox
 ретроспектива
пам, вследствие чего стало основным ке Agenta’95, позже назвал BeBox «су- возможностей компьютера и ОС и же-
и единственным». перкомпьютером в компактном кор- лающих начать разрабатывать для неё
пусе ПК» (вспомните, какая компания новое ПО. Кроме того, Be Inc. воплоти-
Триумф BeBox в 1999 году придаст своему компью- ла в жизнь новую концепцию продаж
Конец 1994 года мог стать концом ком- теру приставку «супер»). Два процес- программного обеспечения: вместо то-
пании Be Inc: 9 миллионов долларов сора PowerPC 603e, несмотря на свои го, чтобы раскошеливаться на рекла-
компании иссякли, а разработка ком- 66 Мгц, помогали BeBox демонстриро- му, компании, а также программисты-
пьютера только подходила к своему за- вать производительность на уровне ра- одиночки предлагали потенциальным
вершению. Ещё минимум год ушёл бы бочих станций IBM RS/6000, стоивших покупателям демо-версии своих про-
на то, чтобы довести «до ума» операци- десятки тысяч долларов. Возможность грамм, размещённых на специально
онную систему. Жан-Луи Гассе принял установки до 256 Мбайт ОЗУ в обыч- созданном Be Inc. сайте BeDepot.com.
решение найти для компании нового ный ПК в 1995 году была также чем-то Если пользователю понравилась де-
владельца. Его взор обратился к быв- нереальным. А уж 26 различных портов мо-версия, он мог при помощи обычно-
шему работодателю – Apple. В недрах ввода/вывода, располагавшихся на за- го телефона заказать себе полную вер-
«яблочной» компании в то время разра- дней стенке компьютера, делали из ком- сию. Кстати, многие компании-разра-
батывалась операционная система под пьютера Be Inc. поистине «чудо». Чего ботчики ПО для BeOS (например, та же
кодовым названием Copland, призван- уж говорить об операционной системе, BeatWare) «вышли в свет» именно бла-
ная заменить стремительно устарева- о возможностях которой было написа- годаря такой системе продаж.
ющую MacOS 7.x. но выше. Зрители были в шоке от де- В начале 1996 года производство
«Финансовых средств у нас не ос- монстрации BeBox. А довольно низкая BeBox, вследствие иссякших в очеред-
талось, и мне пришлось пригласить на цена в 1995 у.е., как для системы, де- ной раз денежных средств, было при-
встречу руководителя Apple Майкла монстрирующей подобный уровень про- остановлено. Компания была на грани
Шпиндлера, чтобы поговорить с ним изводительности и возможности, стала банкротства. Тем не менее на волне бу-
о возможности покупки Be Inc.», – вспо-«последним гвоздём». Многотысячная ма, поднятого демонстрацией компью-
минает Гассе. К сожалению, встреча за- аудитория, присутствовавшая в зале, тера на Agenta’95, быстро нашлись но-
кончилась, не принеся никакого резуль- устроила Жану-Луи Гассе овацию. Это вые инвесторы и, после 14-миллионно-
тата. Но Гассе никогда не забудет слов,был его день, день всей команды Be Inc., го «вливания» в активы компании, про-
произнесённых Шпиндлером на проща- и, конечно же, триумф BeBox и BeOS. цесс производства был возобновлён.
ние: «Тебе, наверное, спится лучше, чем Следующей целью Жана-Луи Гассе
мне». «Я помню этот момент, поскольку Удержаться на волне стала выставка MacWorld Expo, прохо-
Шпиндлер всегда очень хорошо пред- успеха дившая летом 1996 года. Официально
чувствовал опасность», – говорит Гас- Выставка Agenta’95 принесла Be Inc. Be Inc., кстати, запрещалось присутс-
се. Apple была на краю пропасти: проект дополнительные инвестиции на сумму твовать на выставке, поскольку её про-
Copland разросся до невероятных раз- 6 млн. долл. (одним из инвесторов стал дукция никаким образом не была связа-
меров и превратился в «неповоротли- известный разработчик суперкомпью- на с Apple. Тем не менее 6 августа 1996
вый Титаник», готовый в любую мину- теров Сеймур Крей), которые позволи- года тысячи людей столпились возле
ту пойти ко дну от внезапного столкно- ли компании доработать BeBox до со- стенда компании: на нём демонстриро-
вения с айсбергом. стояния полной готовности и 3 октяб- валась BeOS, работавшая на компьюте-
Неудача попытки продажи Be Inc. за- ря начать отгружать компьютеры пер- ре Power Macintosh. Зрители были в шо-
ставила Гассе готовиться к единствен- вым заказчикам. В то же время рабо- ке: то, чего все уже который год жда-
ному выходу – публичной демонстрации та над совершенствованием BeOS про- ли от Copland (главным образом, вы-
BeBox потенциальным инвесторам в на- должалась. тесняющую многозадачность и защи-
дежде привлечь хоть какие-нибудь де- До апреля 1996 года компанией щённый режим памяти), уже было воп-
нежные средства для продолжения про- было выпущено семь тестовых версий лощено в BeOS и работало на их ком-
екта. Данное событие должно было со- системы (так называемые Development пьютерах! Кроме того, ОС также рабо-
стояться на выставке Agenta’95. Release), каждая из которых добавляла тала на клонах Macintosh, производив-
Специально для будущей выстав- в ОС новые возможности, а также улуч- шихся компанией Power Computing. Mac-
ки Стив Сакоман подготовил презен- шала уже существующие. Та же BeOS версия операционной системы от Be Inc.
тацию, демонстрировавшую обработ- DR7 могла «похвастаться»: поддержкой произвела очередной фурор.
ку на BeBox восьми AVI-видеофайлов 32-битного цвета, новой файловой сис- Но мало кто знает, что предназна-
и трёхмерной графики (Жан-Луи Гассе темой BFS, виртуальными Рабочими чалась эта версия ОС для другой це-
хотел лицензировать у Apple технологию столами, а также улучшенными сете- ли – демонстрации Apple возможнос-
QuickTime, но цена в 5 млн. долларов выми возможностями. ти работы BeOS на компьютерах Power
оказалась для Be Inc., ещё не выбрав- По словам Жана-Луи Гассе, внача- Macintosh. Да-да, теперь Apple первой
шейся из «долговой ямы», просто непо- ле BeOS необходимо было набрать ми- предложила Гассе купить его компа-
мерной). Всё это работало одновремен- нимальную «критическую массу» про- нию. Правда, запрошенная им цена
но и без какого-либо торможения. грамм, для чего компьютеры BeBox по- в 300 млн. долл. показалась «яблочной»
Один из журналистов, присутство- падали, в основном, в руки програм- компании слишком большой (она пред-
вавших в тот памятный день на выстав- мистов, поражённых демонстрацией лагала Be Inc. «лишь» 100 млн. долл.),

№12, декабрь 2005 87

 ретроспектива
поэтому переговоры, дливши- Tracker, улучшенный стек TCP/
еся на протяжении полугода, IP, а также расширенный лис-
ни к чему не привели. тинг поддерживаемого аппа-
Тем не менее, убедив- ратного обеспечения.
шись в полном крахе проек- На конференции BeDevCon,
та Copland, в 1997 году, пос- проходившей в начале мая
ле покупки за 430 млн. долл. 1997 года и ознаменовавшей-
Стива Джобса и его компании ся выходом BeOS PR1, Эрик
NeXT Inc., Apple объявит о на- Рингвальд также объявил
чале разработки новой опе- о планах компании интегри-
рационной системы под ко- ровать виртуальную машину
довым названием Rhapsody Java в первую полноценную
на базе ОС NEXTSTEP. версию BeOS (v 3.0), выход
5 августа 1996 года из недр которой был намечен на вес-
Be Inc. вышли сразу два новых ну 1998 года. В то же время
продукта. Первым из них был компания Metrowerks пообе-
Рисунок 4. BeOS DR 8 для BeBox на базе процессоров PowerPC
новый BeBox, в основу которо- щала дальнейшее улучше-
го были положены те же PowerPC 603e, Macintosh имело значительно больший ние Java в своём пакете для разработ-
работавшие, правда, на частоте 133 интерес для компании, вследствие чего ки CodeWarrior.
МГц. Также был немного изменён цвет продвижением собственных компьюте- Дела у Be Inc. шли довольно непло-
корпуса. В остальном новый компьютер ров Be Inc. практически не занималась. хо: более 500.000 распространённых
полностью копировал своего старшего В Интернете можно найти фотогра- копий BeOS, налаженные партнёрские
собрата, правда, стоил уже 2995 у.е. фии прототипа четырёхпроцессорного отношения с производителями клонов
Вместе с новым BeBox свет увиде- BeBox, создававшегося в 1996 году, но Macintosh, увеличивающееся с каж-
ла и новая версия BeOS, DR8 (рис. 4). так и не доведённого до конца. По сло- дым днём количество разработчиков
Из улучшений стоит отметить появив- вам Джо Палмера, причин, послужив- ПО для операционной системы (на мо-
шуюся библиотеку 3D Kit, позволявшую ших приостановлению разработки, мент выпуска BeOS PR2 – 4400), а так-
разработчикам наделить свои прило- всего две. Первая: альянс AIM (Apple, же появление первых «серьёзных» про-
жения интерактивной трёхмерной гра- IBM, Motorola) забросил дальнейшее грамм, таких как: VirtualMac (эмулятор
фикой; библиотеку Game Kit, обеспе- развитие PowerPC 604 в пользу ново- MacOS 7.x), BeatBox (музыкальный ре-
чивавшую прямой доступ к графичес- го PowerPC 750 (известного также как дактор), LRDraw (графический век-
кому адаптеру компьютера; встроен- G3), не предназначенного для исполь- торный редактор), Be Basics (тексто-
ную в файловую систему возможность зования в многопроцессорных конфи- вый процессор и редактор электрон-
работы с электронной почтой; новый гурациях. Вторая: у Be Inc. возникли ных страниц)…
веб-браузер NetPositive; новые элемен- трудности с получением различной ин- Не жди беды, она сама к тебе при-
ты графического интерфейса, а также формации относительно архитектуры дёт. Через некоторое время после того,
расширенную поддержку аппаратного чипов из недр AIM, за что стоит сказать как Apple приобрела NeXT Inc., Джил
обеспечения: более ёмкие винчестеры, отдельное «спасибо» Apple. Амелио, сместивший Майкла Шпин-
устройства для порта GeekPort, а так- В результате разработка четырёх- длера с поста управляющего компа-
же джойстики. процессорного BeBox затянулась. Пос- нией в начале 1996 года, был отправ-
Дабы довести число анонсов за день кольку в то время наибольшее вни- лен в отставку, а его место занял Стив
до заветной цифры «3», Be Inc. 5 августа мание публики было уделено работе Джобс, назначенный «временным» уп-
выпустила пресс-релиз, в котором объ- BeOS на компьютерах Power Macintosh равляющим.
явила о лицензировании у Silicon Graphics и его клонах, Be Inc. 30 января 1997 го- Буквально сразу же после это-
Inc. графического API OpenGL, а также да объявила о прекращении выпуска го Джобс приостановил производство
планах по его интеграции в BeOS. собственных компьютеров и концен- КПК Newton, а также за пару месяцев
Параллельно с развитием BeBox Гас- трации исключительно на дальней- «сдал в утиль» практически весь ры-
се налаживал отношения с производи- шем совершенствовании операцион- нок производителей клонов Macintosh,
телями Mac-клонов, дабы те поставляли ной системы. аннулировав либо принудительно вы-
BeOS со своими компьютерами. 26 но- Специально для Mac-клонов Be Inc. купив их лицензии. Be Inc., оставшись
ября 1996 года Power Computing стала выпустила BeOS Preview Release 1 и 2, без партнёрской поддержки, а также
первой компанией, лицензировавшей ставшие первыми «публичными» вер- их компьютеров, очутилась в облике
BeOS. В скором времени за ней после- сиями операционной системы. «наездника без коня». Жану-Луи Гас-
довали DayStar, Motorola и UMAX. Так, PR1 принёс в BeOS обновлён- се пришлось искать выход из сложив-
Наполеоновским планам Жана-Луи ную файловую систему BFS, ставшую шейся ситуации. Результат не заста-
Гассе продать в 1996 году 10 тысяч, 64-разрядной, программный режим ус- вил себя ждать.
а в 1997-м – 100 тысяч BeBox не сужде- корения OpenGL, новую интерфейсную
но было сбыться. К тому же лицензи- оболочку под названием Tracker. На до- Редактор рубрики
рование BeOS производителям клонов лю PR2 можно записать: обновлённый Кирилл Тихонов

88
 содержание журнала за 2005 год
АДМИНИСТРИРОВАНИЕ № Автоматизация процесса подключения баз 1С с помощью
сценария регистрации пользователей в сети Иван Коробко №3
Alt-N MDaemon – почтовая система для средних Автоматизируем подключение баз 1С новой версии 8.0
и крупных компаний Роман Марков №4 Иван Коробко №7
Alt-N MDaemon – почтовая система для средних Автоматизируем установку драйверов в Windows
и крупных компаний. Часть 2 Роман Марков №5 Алексей Барабанов №11
Apache как прокси-сервер Валентин Синицын №4 Автоматическая установка ОС и сопутствующего
Asterisk и Linux: миссия IP-телефония Михаил Платов №6 программного обеспечения Иван Коробко №2
Asterisk и Linux: миссия IP-телефония. Действие 2 Архивируем данные с помощью Bacula Алексей Гринько №4
Михаил Платов №7 Базовая настройка маршрутизатора Cisco
Asterisk и Linux: миссия IP-телефония. Действие 3 начального уровня Андрей Маркелов №4
Михаил Платов №8 «Бритва» для спама Сергей Супрунов №9
FreeBSD tips: NAT по старинке Сергей Супрунов №2 Восстанавливаем удаленные файлы под BSD
FreeBSD tips: использование ipnat Сергей Супрунов №3 Крис Касперски №5
FreeBSD tips: использование syslog Сергей Супрунов №5 Восстановление удаленных файлов под Linux
FreeBSD tips: какими возможностями обладает ftpd Крис Касперски №3
Сергей Супрунов №11 Всегда на связи, или IP-роуминг: вводный курс
FreeBSD tips: работаем с TFTP Сергей Супрунов №7 Сергей Яремчук №2
FreeBSD в домене Microsoft Windows Рашид Ачилов №3 Домены Windows 2000/2003 – отказываемся
GRUB на CD, или Ещё один способ восстановить MBR от рабочей группы Роман Марков №9
Алексей Мичурин №11 Знакомимся с HPC-кластером OpenMosix Антон Борисов №8
HOTSPOT – это просто! Андрей Платонов №1 Использование альтернативных потоков данных
IСQ: разрешить нельзя запретить Павел Закляков №12 Максим Костышин №3
Kaspersky Anti-Spam 2.0 + Sendmail Денис Городецкий №4 Испытываем Antmon – новую систему мониторинга
Linux Xinerama: один монитор хорошо, а много – лучше Сергей Жуматий №6
Павел Закляков №3 Как посчитать трафик в Linux Александр Кузнецов №10
Linux из Редмонда: обзор Lycoris Desktop/LX Как эффективно провести инвентаризацию
Валентин Синицын №1 установленного софта Андрей Бирюков №12
LinuxBIOS – фундамент для Linux? Антон Борисов №7 Конструктивный Dialog Сергей Супрунов №2
MySQL 5 – что нового предлагают нам разработчики? Контролируем события с помощью EventSentry
Кирилл Сухов №6 Сергей Яремчук №12
Open-Xchange – свободу группам! Павел Лебедев №7 Крепкий орешек NUT Валентин Синицын №5
PhpGACL – система управления правами Кирилл Сухов №3 Круговорот почты в сети, Или Архитектура
Postfix: диагностируем и устраняем неисправности современных почтовых систем Евгений Прокопьев №12
Андрей Бешков №6 Кто купил Corel Linux? Валентин Синицын №2
PostgreSQL 8.0: новые возможности Сергей Супрунов №3 Мультизагрузка: стелим соломку Сергей Супрунов №12
ReactOS – свободная альтернатива Windows. Настраиваем DSPAM – ваш личный спам-фильтр
Слухи и реальность Андрей Бешков №10 Сергей Супрунов №8
SAP+MySQL=MaxDB Кирилл Сухов №8 Настраиваем основные компоненты почтового сервера
Scientific Linux – выбираем решение корпоративного Евгений Литвиненко №9
уровня по цене носителя Андрей Маркелов №10 Обзор Knoppix 3.7 Russian Edition Александр Байрак №3
Slackware на ракетном топливе, или Организуем доступ в Интернет с использованием
Обзор VectorLinux 5.0.1 SOHO Сергей Яремчук №4 биллинговой системы FreeNIBS Евгений Литвиненко №9
Solaris 10 в качестве десктопа? Пробуем! Андрей Маркелов №6 Поговорим через Интернет? Михаил Платов №11
SuSE 9.2 снаружи и изнутри Алексей Барабанов №1 Подключаем сетевые ресурсы в автоматическом режиме
SVISTAть всех наверх! Сергей Яремчук №4 Иван Коробко №9
Symantec Ghost, или Как сделать клон своими руками Почему MS SQL медленно работает? Ищем причины
Михаил Платов №9 Юлия Шабунио №5
Windows Server Update Services Сергей Сергеев №4 Почтовый сервер на базе Postfix Геннадий Дмитриев №2
WrSpy – считаем и контролируем трафик почтовых Практикум Python: отправка файлов
и прокси-серверов Роман Марков №8 по электронной почте Сергей Супрунов №3
Автоматизация MS Windows, или AutoIt как мечта Программное управление файловой системой
эникейщика. Часть 1 Алексей Барабанов №4 с помощью VBScript Иван Коробко №1
Автоматизация MS Windows, или AutoIt как мечта Прокси-сервер oops: первые впечатления Сергей Супрунов №1
эникейщика. Часть 2 Алексей Барабанов №5 Профессия – убивать спам Сергей Супрунов №10
Автоматизация MS Windows, или AutoIt как мечта Развертываем сервер Subversion на платформе FreeBSD
эникейщика. Часть 3 Алексей Барабанов №6 Андрей Шетухин, Ольга Никулина №11
Автоматизация MS Windows, или AutoIt как мечта Разрабатываем документацию с помощью NPJ:
эникейщика. Часть 4 Алексей Барабанов №7 эффективно и удобно! Алексей Коршунов №11

№12, декабрь 2005 89

содержание журнала за 2005 год
Расширяем права доступа в Linux с помощью ACL Все ли возможности ClamAV вы используете?
Сергей Яремчук №11 Авраменко Андрей №9
Режем спам. Дополнительные методы Денис Назаров №2 Запускаем spamd на FreeBSD Сергей Супрунов №7
Реинкарнация данных Сергей Супрунов №4 Защита коммуникаций Windows Mobile Наталья Мельникова №4
Реинкарнация данных II: memo-поля Сергей Супрунов №5 Защита сетевых сервисов с помощью stunnel. Часть 2
Решаем нестандартные задачи с помощью Андрей Бешков №1
cтандартного Windows Scripting Host Михаил Кошкин №6 Защита сетевых сервисов с помощью stunnel. Часть 3
Сага о биллинге, или Считаем трафик на FreeBSD Андрей Бешков №3
(ng_ipacct + perl+ MySQL). Часть 1 Владимир Чижиков №2 Защита файловой системы при помощи нестандартного
Сага о биллинге, или Считаем трафик на FreeBSD использования снапшотов в программе ShadowUser
(ng_ipacct + perl+ MySQL). Часть 2 Владимир Чижиков №3 Денис Батранков №1
Система вещания на основе Windows Media Services 9 Защищаем электронную почту средствами MailScanner
Михаил Платов №4 Сергей Яремчук №12
Система вещания на основе Windows Media Services 9. Защищенная почтовая система с Tiger Envelopes
Часть 2 Михаил Платов №5 Сергей Яремчук №6
Системная интеграция – комплексный подход Изучаем принципы работы Heimdal Kerberos
к самостоятельному решению проблемы Роман Марков №2 Михаил Кондрин №6
Сможет ли PC-BSD конкурировать с Linux-дистрибутивами? Как защититься от fingerprinting? Сергей Борисов №6
Сергей Супрунов №8 Как защищают программное обеспечение Крис Касперски №1
Создаем загружаемый Flash-диск с FreeBSD и DOS. Часть I Контролируем безопасность сети с помощью OSSIM
Рашид Ачилов №9 Сергей Яремчук №5
Создаем загружаемый Flash-диск с FreeBSD и DOS. Часть II Мониторинг сетевых событий при помощи sguil
Рашид Ачилов №10 Сергей Яремчук №3
Создаем систему учета исходящих телефонных звонков Насколько неуязвима ваша беспроводная сеть?
Денис Соколов №8 Крис Касперски №6
Создание релиза FreeBSD Андрей Елсуков №2 Настраиваем Cisco PIX Firewall 520 для трансляции
Спам или антиспам: кто кого? Алексей Коршунов №12 соединений между сетями Малик Абдугалыев №12
Строим виртуальную сеть с TINC Сергей Яремчук №2 Настраиваем Kerberos поверх LDAP Алексей Барабанов №7
Тонкий клиент – шаг к мэйнфреймам? Антон Борисов №11 Определяем уязвимость веб-сервиса с помощью
Удаленно управляем BIOS Setup Крис Касперски №7 Acunetix Web Vulnerability Scanner Сергей Яремчук №9
Универсальный прокси-сервер Валентин Синицын №2 Организация общего доступа в Интернет и защиты
Управляем удаленными базами AIDE Рашид Ачилов №8 от вторжений на основе Kerio WinRoute Firewall 6
Управляем удаленными базами AIDE. Часть II – AIDEstart Роман Марков №1
Рашид Ачилов №9 Проактивные системы защиты, или Есть ли жизнь
Ускоряем MS SQL Server Юлия Шабунио №6 без антивируса? Сергей Яремчук №7
Устанавливаем и настраиваем Windows Server Проверяем HTTP-трафик на лету Андрей Маркелов №7
Update Services Сергей Сергеев №7 Проверяем защищенность сети и сервисов сканером
Устанавливаем связку Postfix + Exchange Владимир Агапов №7 DragonSoft Secure Scanner Сергей Яремчук №11
Файловые системы пространства пользователя Проводим аудит системы с помощью SNARE
Сергей Яремчук №6 Сергей Яремчук №8
Что важно знать об IP-телефонии Михаил Платов №5 Протокол SILC обеспечит вам безопасную конференц-связь
Чудо-юдо Resource Kit Александр Шибенко №4 Сергей Яремчук №9
Эмуляция при помощи QEMU Сергей Яремчук №3 Развертываем Heimdal Kerberos Михаил Кондрин №7
Эффективно управляем полями пользователей в AD Сетевой полицейский Сергей Яремчук №1
Иван Коробко №5 Управление безопасностью Internet Explorer
Наталья Мельникова №4

БЕЗОПАСНОСТЬ № Устанавливаем Symantec Antivirus 9.0 в корпоративной сети

Роман Марков №5
CD, не подвластный копированию Крис Касперски №8 Устойчива ли ваша сеть? Проверьте с помощью WHoppix!
DansGuardian + ClamAV Андрей Авраменко №7 Илья Александров №9
FreeBSD tips: повышаем безопасность с помощью Шифрование данных в Linux – новый взгляд
одноразовых паролей Сергей Супрунов №6 на аппаратные ключи Александр Похабов №3
Linux/BSD как бастион на пути вирусов Крис Касперски №10
Windows Script Host: проводим аудит безопасности сети
ПРОГРАММИРОВАНИЕ №
Андрей Бирюков №11
Блокируем внешние устройства с помощью Zend Studio 4.0 – новая версия, новые возможности
GFI LANguard P.S.C. Сергей Яремчук №10 Евгений Воякин №2
Все в одном, или Hogwash как пример Gateway-IDS Антиотладка: старые приемы на новый лад Крис Касперски №10
Сергей Яремчук №1 Как программы на Си взаимодействуют с сервером

90
 содержание журнала за 2005 год
БД PostgreSQL Владимир Мешков №10 СЕТИ №
Контролируем и ограничиваем системные вызовы
с помощью systrace Александр Байрак №8 TCP поверх TCP – не такая уж плохая идея! Алексей Барабанов №12
Нити в Perl Алексей Мичурин №1 Протоколы сетей хранения данных.
Программирование на shell в экстремальных условиях Часть I – ATA over Ethernet Антон Борисов №9
Гаспар Чилингаров №3 Строим защищённую беспроводную сеть:
Путешествие из Perl в Excel Сергей Супрунов №1 WPA-Enterprise, 802.1x EAP-TLS Андрей Платонов №5
Разрабатываем информационные системы на PHP
методом визуального программирования Евгений Воякин №7 ОБРАЗОВАНИЕ №
Редактор для создания скриптов: Primal Script 4.0
Иван Коробко №11 Unformat для NTFS Крис Касперски №2
Система создания документации POD. Часть 1 Восстановление NTFS – undelete своими руками Крис Касперски №1
Алексей Мичурин №3 Обучение при помощи ATutor Сергей Яремчук №1
Система создания документации POD. Часть 2 Свободная информационная система для школ Centre
Алексей Мичурин №4 Сергей Яремчук №5
Техника оптимизации под Linux Крис Касперски №2 Сервер для школ Сергей Яремчук №4
Техника оптимизации под Linux. Часть 2 – ветвления
Крис Касперски №3 РЕТРОСПЕКТИВА №
Техника оптимизации под Linux. Часть 3 Крис Касперски №4
Управляем серверами в реальном времени Alpha, или история одной архитектуры Павел Болотов №11
с помощью WSH-сценариев Андрей Бирюков №10 История взлёта и падения OS/2 – одной из самых
интересных операционных систем Алексей Коршунов №10

WEB № С чего начинался российский Интернет Алексей Коршунов №9

Сломленная, но не сдавшаяся: история операционной
AJAX: заработавший Javascript Вячеслав Родионов №12 системы BeOS Дмитрий Мороз №12
JpGraph Кирилл Сухов №1
PHP: делаем отладку на стороне клиента, или ИНТЕРВЬЮ №
Операции под наркозом Серафим Пикалов №12
Аккуратная настройка SSI Алексей Мичурин №9 Agnitum – путь к признанию Роман Марков №10
Базовая HTTP-авторизация – защита от честных людей ALT Linux: третье пришествие. Скоро на экранах
Алексей Мичурин №5 ваших машин Андрей Бешков №6
В чем сильные и слабые стороны HTTP digest-авторизации MiniMo – минибраузер из семейства Mozilla Антон Борисов №11
Алексей Мичурин №10 Историческая неизбежность победы движения
Веб-сервис для разработчиков сайтов Даниил Алиевский №1 отрытого кода Андрей Бешков №5
Используем ImageMagick в веб-разработке Кирилл Сухов №6 Ларри Уолл: «Сегодня Perl применяется для решения ряда
История развития сайтостроения Алексей Моисеев №7 проблем, о которых я и не подозревал, создавая этот язык»
Как управлять индексированием своего сайта Андрей Бешков №5
Сергей Яремчук №10
Кто, куда, зачем пришел, или Анализируем логи
БИЗНЕС-РЕШЕНИЯ В IT №
веб-сервера Денис Городецкий №7
Многоликий Apache. Размещаем несколько сайтов IT в сфере ресторанно-гостиничного бизнеса
на одном веб-сервере Павел Малахов №12 Кирилл Тихонов №8
Печатаем документы с веб-сервера Дмитрий Острецов №12
Расширения РHP: пять шагов к написанию ПОЛЕЗНЫЕ СОВЕТЫ №
Александр Календарев №11
Совершенствуем технологию CMS Алексей Моисеев №8 Системный администратор – ищем дополнительные
источники дохода Роман Марков №6

HARDWARE №
IMHO №
Запись дисков CD-R/RW в Linux. Часть 3 Владимир Мешков №1
Запись дисков CD-R/RW в Linux. Часть 4 Владимир Мешков №2 Размышления о UNIX Сергей Супрунов №6
Используем LinuxBIOS на системах VIA EPIA-M
Антон Борисов №8
ХОББИ №
Как спасти данные, если отказал жесткий диск
Крис Касперски №9 Десять красок неба Наталья Алексютина №11
Модифицируем BIOS Крис Касперски №6
Настраиваем автоответчик на базе Linux Павел Закляков №10 СКАЗКИ №
Цифровое небо, или Организуем прием
спутникового вещания Антон Борисов №10 Админские сказки. 16 bit edition Алексей Барабанов №8

№12, декабрь 2005 91

 книжная полка

Книга по праву считается самой по-
пулярной в России, посвященной DB
InterBase и FireBird.
Это уже четвертое издание кни-
ги, так что весь материал исправлен
и дополнен в соответствии с вводом
в строй новых технологий и версий
ПО. По большей части материал рас-
считан на программистов, но админис-
траторы также найдут для себя мас-
Мир InterBase
Алексей Ковязин, Сергей Востриков
су полезного. Все содержание хоро-
шо структурировано, и материал из-
лагается последовательно. Знакомс-
тво с DB начинается непосредствен-
но с установки. Далее читателю рас-
сказывается о том, как создать базу,
какие типы данных бывают, рассмот-
рены таблицы, индексы, представле-
ния, хранимые процедуры, тригеры
и, что немаловажно, ограничения ба-
зы данных. Очень подробно освяще-
на тема транзакций и их параметров.
После такой подробной вводной части
вы ознакомитесь с методами разработ-
ки приложений баз данных InterBase
на Borland Delphi/C++ Builder/Kylix.
Вы узнаете об использовании основ-
ных компонентов InterBase eXpress (IBX)
и о методах работы с FIBPlus. Среди
прочих языков и методов разработки
приложений рассмотрены Java, ODBC,
CGI и Microsoft OLD DB. В четвертой
части приводятся фактически исчер-
пывающие сведения об администриро-
вании и архитектуре InterBase. Взгляд
изнутри на установку, технологии ре-
зервного копирования данных, миг-
рацию, методы восстановления баз
данных, статистику, а также оптими-
зацию работы. Вопрос, касающийся
безопасности, не остался в тени: рас-
смотрены пользователи, роли и пра-
ва. В разделе, посвященном современ-
ным версиям DB семейства InterBase,
расказано про Yaffil – российский клон
СУБД InterBase, InterBase 7 версии
и о Open Source-разработки – FireBird.
В приложении приводится подробное
описание параметров конфигураци-
онного файла InterBase. Книга остави-
ла очень благоприятное впечатление –
все четко и все по делу.
 Издательство: «КУДИЦ-ОБРАЗ»
 Год издания: 2006
 Количество страниц: 496
 ISBN: ISBN 5-9579-0105-9
 Цена: ≈ 335 руб.
Книга предоставлена издательством
«КУДИЦ-ОБРАЗ».

Совершенный код. Практическое

По сравнению с первым изданием (ко-
торое вышло более 10 лет назад), ма-
териал был существенно переработан и
дополнен. Автор провел поистине тита-
ническую работу – свой опыт, получен-
ный в результате участия в коммерчес-
ких проектах, с одной стороны, и ака-
демических исследованиях, с другой
стороны, сумел объединить и изложить
руководство по разработке
программного обеспечения
Стив Макконнелл
в данной книге. Материал разделен а также об общих вопросах управления.
на 7 частей, в каждой из которых под- Качество ПО, совместное конструиро-
робно рассматривается та или иная те- вание, тестирование, отладка, рефак-
ма. В первой части вам будут объяснены торинг, стратегии и методики оптими-
основы разработки ПО, материал ско- зации кода – все это вы узнаете из пя-
рее филосовский и теоретический. Вы- той части книги, которая носит название
сококачественный код (так называет- «Усовершенствование кода». Не оста-
ся вторая часть) – проектирование при лись без внимания и системные вопро-
конструировании, классы, высококачес- сы, наиболее интересные темы: интег-
твенные методы, защитное программи- рация, управление конструированием,
рование, процесс программирования с инструменты программирования. За-
псевдокодом. Следующая часть всеце- вершает книгу часть «Мастерство про-
ло посвящена переменным. Рассмот- граммирования», которая по большей
рены следующие темы: общие принци- части так же, как и первая носит теори-
пы использования переменных, сила течески-филосовский характер.
имен переменных, основные и нестан-
дартные типы данных. Операторы так-  Издательство: «Питер»
же удостоились отдельной части, из ко-  Год издания: 2005
торой вы узнаете об организации пос-  Количество страниц: 896
ледовательного кода, условных опера-  ISBN: 5-7502-0064-7
торах, циклах, нестандартных управля-  Цена: ≈ 578 руб.
ющих структурах, табличных методах, Книга предоставлена издательством «Питер».

92

Интереснейшее издание. А если
учесть, что материала по данной те-
ме фактически нет, книга делается
фактически уникальной. Многие по
значимости приравнивают это кни-
гу к классическим трудам Дональда
Кнута. Что является сутью паттернов?
Паттерны – это шаблоны решения ти-
повых задач, без привязки к конкрет-
ному языку реализации. Многие про-
Эпиграфом к книге может служить
предложение, написанное в предис-
ловии:
«Книга, которую вы держите в ру-
ках, похожа на книгу о великих пу-
тешествиях, наполненную сведени-
ями об истории и культуре тех ужас-
ных мест, где довелось побывать авто-
рам, полезными рисунками и картами,
а так же листингами, показывающи-
№12 декабрь 2005
книжная полка
Приемы объектно-ориентированного
проектирования
Эрих Гамма, Ритчард Хелм, Ральф Джонсон,
Джон Влиссидес
граммисты ищут методы увеличения проектирование WYSIWYG-редактора
степени повторного использования документов. Порождающие паттерны
своих наработок, прибегая зачастую (Abstract factory, builder, factory method,
к нетривиальным схемам и изобретая prototype, singleon) рассмотрены в тре-
очередной «велосипед». Как избежать тьей главе. Структурным паттернам
всего этого и начать использовать тех- также посвящена отдельная часть. Обо
нологии паттернов, вы можете узнать, всех этих и некоторых других паттер-
прочитав книгу. Прочитав первую гла- нах вы узнаете из главы «Паттерны
ву, вы поймете основные концепции поведения». В заключение книги ав-
использования паттернов. Основной торы делятся своими мыслями и иде-
круг рассмотренных вопросов: пат- ями о развитии технологий паттернов.
терны проектирования в схеме MVC Так же рассмотрены проектировщики
в языке Smalltalk, описание и каталог паттернов. Книга несомненно должна
паттернов, организация каталогов. быть на полке у каждого уважающего
Также рассмотрены такие важнейшие себя программиста.
вопросы, с которыми столкнется каж-
дый разработчик, начавший исполь-  Издательство: «Питер»
зовать паттерны, – как решать зада-  Год издания: 2006
чи проектирования, как правильно вы-  Количество страниц: 366
брать и использовать паттерн. Вторая  ISBN: 5-272-00355-1
глава носит исключительно практичес-  Цена: ≈ 230 руб.
кий характер, в качестве примера, – Книга предоставлена издательством «Питер».
Oracle enterprise manager 101
Ларс Бо Вонтинг, Дирк Щепанек
ми, как правильно делать те или иные а также выполнять административ-
вещи». ные задачи с консоли EM.
И с этим нельзя не согласиться, Авторам (надо заметить, что это
действительно, для человека, толь- специалисты с большим опытом ра-
ко начинающего осваивать Oracle боты) удалось описать все основ-
(а книга для них и писалась), многие ные задачи DBA и способы их ре-
тривиальные задачи администриро- шения в столь небольшом по объ-
вания могут стать самым настоящим ему тексте.
кошмаром. Издание является официально ав-
Как ясно из названия, эта книга торизованным корпорацией Oracle,
поможет вам освоить один из инстру- а это уже о многом говорит. Отличная
ментов для администрирования DB стилистика и большое количество при-
Oracle – Enterprise manager. После «ос- меров делают материал более легким
воения» материала, вы сможете ре- в усвоении.
шать, упрощать и автоматизировать В общем, отличный выбор для тех,
основные задачи DBA, и кроме того, кто только начинает (или собирается
научитесь проверять соответствие ап- начать) работать с DB Oracle.
паратным и программным требовани-
ям, устанавливать и конфигурировать  Издательство: «Лори»
различные компонены EM, контроли-  Год издания: 2005
ровать цели при помощи системы со-  Количество страниц: 381
бытий, функции планирования зада-  ISBN: 5-85582-230-3
ний, создавать собственные отчеты,  Цена: ≈ 456 руб.
Обзор книжных новинок подготовил Александр Байрак
93
 подписка на 2006 год
Российская Федерация
 Подписной индекс: годовой – 20780, полугодовой – 81655
Каталог агентства «Роспечать»
 Подписной индекс: 87836
Объединенный каталог «Пресса России»
Адресный каталог «Подписка за рабочим столом»
Адресный каталог «Библиотечный каталог»
 Альтернативные подписные агентства:
Агентство «Интер-Почта» (095) 500-00-60, курьерская
доставка по Москве
Агентство «Вся Пресса» (095) 787-34-47
Агентство «Курьер-Прессервис»
Агентство «ООО Урал-Пресс» (343) 375-62-74
ЛинуксЦентр www.linuxcenter.ru
 Подписка On-line
http://www.arzi.ru
http://www.gazety.ru
http://www.presscafe.ru
СНГ
В странах СНГ подписка принимается в почтовых отделе-
ниях по национальным каталогам или по списку номенк-
латуры АРЗИ:
 Азербайджан – по объединенному каталогу российских
изданий через предприятие по распространению печа-
94
ти «Гасид» (370102, г. Баку, ул. Джавадхана, 21)
 Казахстан – по каталогу «Российская Пресса» через
ОАО «Казпочта» и ЗАО «Евразия пресс»
 Беларусь – по каталогу изданий стран СНГ через РГО
«Белпочта» (220050, г. Минск, пр-т Ф. Скорины, 10)
 Узбекистан – по каталогу «Davriy nashrlar» российские
издания через агентство по распространению печати
«Davriy nashrlar» (7000029, г. Ташкент, пл. Мустакиллик,
5/3, офис 33)
 Армения – по списку номенклатуры «АРЗИ» через ГЗАО
«Армпечать» (375005, г. Ереван, пл. Сасунци Давида,
д. 2) и ЗАО «Контакт-Мамул» (375002, г. Ереван, ул. Са-
рьяна, 22)
 Грузия – по списку номенклатуры «АРЗИ» через АО
«Сакпресса» ( 380019, г. Тбилиси, ул. Хошараульская, 29)
и АО «Мацне» (380060, г. Тбилиси, пр-т Гамсахурдия, 42)
 Молдавия – по каталогу через ГП «Пошта Молдавей»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
по списку через ГУП «Почта Приднестровья» (МD-3300,
г. Тирасполь, ул. Ленина, 17)
по прайс-листу через ООО Агентство «Editil Periodice»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
 Подписка для Украины:
Киевский главпочтамт
Подписное агентство «KSS», тел./факс (044)464-0220
Подписные
индексы:
20780*
81655**
по каталогу
агентства
«Роспечать»
87836
по каталогу
агентства
«Пресса
России»
*
годовой
**
полугодовой
 подписка на 2006 год
Редакционная подписка
Открыта подписка через редакцию. Вы можете оформить
подписку на любое количество номеров 2006 года. Редак-
ция не высылает журналы за пределы Российской Феде-
рации.

Для юридических лиц:

№5
по (30
д
ww писн
)м
w.s ой ай 2
По am ин
ag дек
0 05
Ищ чем .ru с 8165
ем у M 5

 Отправьте заявку по факсу (095) 928-82-53 или по e-mail:

Ст пр S S
WP роим ичин QL м
A-E з ы ед
На nte ащи ле
нн
стр rpr ще ор
Ка аи is н
e, ную аб
info1@samag.ru. уд к во ва 80 ота
ем 2.1 бес ет?
ал сс UP
Чт
ов
е н т
ны но а S по
x EA пров
е ф вит дL P-T од
аж LS ную

 Укажите наименование и банковские реквизиты своей но ай ь inu

в к тана зн лы x се
ть:
ор вл ать по
Эф п ор ваи об д BS
по фек ати ем IP- D
ля ти вн Sy тел

организации, почтовый индекс и адрес доставки журна- ми вн ой ma еф

Ко по о у се nte он
с п нтро ль пр ти c
A и и
ом ли зо ав ntiv
Ин ощ ру ва ля iru
ью ем тел ем s9
со терв
ла, телефон и e-mail контактного лица, период подпис- OS без ей .0
зд ью SIM оп вA
ате с ас D
ле Ла но
м я рр сть
зы и У се
ки и количество номеров. Редакция выставит вам счет,
ка ол ти
Pe лом
rl –

после оплаты которого вы начнете получать журналы

по почте. Необходимые бухгалтерские документы вы-
сылаются почтой.

Для физических лиц:

 Заполните нижеприведенную квитанцию, оплатите в лю-
бом банке и пришлите в редакцию копию с отметками
банка.
 После поступления платежа редакция начнет отправ-
лять вам номера.

Стоимость
подписки через
редакцию:

900* руб.
за 6 номеров
1800* руб.
за 12 номеров

* Включая НДС
и почтовую доставку

№12, декабрь 2005 95

СИСТЕМНЫЙ АДМИНИСТРАТОР
№12(37), Декабрь, 2005 год

РЕДАКЦИЯ
ЧИТАЙТЕ
Исполнительный директор
Владимир Положевец В СЛЕДУЮЩЕМ
НОМЕРЕ:
Ответственный секретарь
Наталья Хвостова
sekretar@samag.ru
Технический редактор
Владимир Лукин
Редактор DBMail: строим почтовую дуру, а пользователю теперь нет не-
Алексей Коршунов систему на основе обходимости в каждодневном обнов-
Внештатные редакторы реляционной СУБД лении системы и антивирусных баз.
Андрей Бешков Практически все современные ин- CORE FORCE яркий пример того, как
Алексей Барабанов формационные системы, используе- можно защитить систему, не зная ни-
Кирилл Тихонов мые для управления бизнес-процес- чего об угрозе.
Кирилл Сухов сами предприятия, построены на ос-
Татьяна Ильченко нове реляционных СУБД. Почтовая Представляем
Сергей Супрунов
система предприятия – очень важ- EnterpriseDB
ная часть его IT-инфраструктуры, од- В наше время появление из «ниот-
РЕКЛАМНАЯ СЛУЖБА
тел./факс: (095) 928-8253 нако до сих пор в качестве хранили- куда» новой СУБД уровня предпри-
Дарья Хохлова ща почтовых сообщений, как прави- ятия выглядит довольно фантастич-
reсlama@samag.ru ло, используются различные тексто- но. Тем более если эта СУБД распро-
вые форматы. Нам предстоит постро- страняется под открытой лицензи-
Верстка и оформление ить почтовый сервер на основе СУБД ей и имеет в своём составе развитые
maker_up@samag.ru и посмотреть, какие преимущества средства администрирования и раз-
Дизайн обложки это даст. И хотя DBMail придется прой- работки. Впрочем, совсем новым про-
Николай Петрочук ти еще долгий путь, чтобы заслужить дукт компании назвать трудно – он ос-
признание и получить такую же попу- нован на Open Source-базой данных.
По вопросам распространения
лярность, как, например, Courier IMAP PostgreSQL, но существенно расши-
обращайтесь по телефону:
или Cyrus IMAP, но уже сейчас видно, ряет её возможности, добавляя но-
(095) 928-8253 (доб. 120)
что его потенциальные возможности вые возможности и наращивая про-
107045, г. Москва, очень широки. изводительность. В статье будет рас-
Ананьевский переулок, дом 4/2, стр. 1 сказано об особенностях EDB и нача-
тел./факс: (095) 928-8253 Защищаем ле работы с ней .
Сайт журнала: www.samag.ru Windows-системы
с помощью CORE FORCE Судьба shell-кода
РУКОВОДИТЕЛЬ ПРОЕКТА В последнее время явно наметилось на системах
Петр Положевец оживление «альтернативных» прило- с неисполняемым стеком,
УЧРЕДИТЕЛИ жений, защищающих Windows, в кото- или Атака на DEP
Владимир Положевец
рых разработчики смотрят на пробле- Отчаявшись справиться со своими же
Александр Михалев
му со стороны приложения, а не кон- собственными ошибками, компания
ИЗДАТЕЛЬ
ЗАО «Издательский дом кретной уязвимости. Очевидно, рабо- Microsoft совместно с Intel и AMD ре-
«Учительская газета» чую среду приложения проще преду- ализовала технологию DEP, призван-
гадать, чем сигнатуру неизвестного ную покончить с удаленными атаками
Отпечатано типографией вируса. Создание сообщества CORE раз и навсегда, но этого не произош-
ГП «Московская Типография №13» FORCE только упрощает эту проце- ло, и защиту удалось обойти...
Тираж 9000 экз.

Журнал зарегистрирован Уважаемые читатели!

в Министерстве РФ по делам печати,
телерадиовещания и средств массо-
вых коммуникаций (свидетельство
Спешите оформить подписку
ПИ № 77-12542 от 24 апреля 2002 г.).
на первое полугодие 2006 года!
За содержание статьи ответственность Приобрести новые и старые номера журнала
несет автор. За содержание рекламно- вы можете через интернет-магазины LinuxCenter.ru и Allsoft.ru.
го объявления ответственность несет
рекламодатель. Все права на опубли-
кованные материалы защищены.

Доставка почтой в любую точку России.

96