Так видит журнал читатель, который забыл оформить подписку:

№5(30) май 2005

подписной индекс 81655

СЬ
www.samag.ru

ЛИ
Почему MS SQL медленно работает?
Ищем причины
ЛИ
ТЯ Е

Ж ПИ
Строим защищенную беспроводную сеть:
ЗА ДНИ

WPA-Enterprise, 802.1x EAP-TLS

НУ

РА КУ
Настраиваем UPS под Linux
ЛЫ ГО

ТИ РАС
Как восстановить
удаленные файлы под BSD
К У ВО

Что важно знать об IP-телефонии

№5(42) май 2006

О
танавливаем Symantec Antivirus 9.0
НИ НО

ТР
в корпоративной сети
Эффективно управляем

С
подписной индекс 20780
полями пользователей в AD

БЫ
Контролируем безопасность сети
с помощью OSSIM
КА

Интервью с Ларри Уоллом –

создателем языка Perl
www.samag.ru

Самый подробный материал

№5(42) май 2006

И
ЬГ
ЬД О
РА СКА
ТЕ
К

ИС НН
ЕН
о программе Sendmail
УС

БО
НА ТПУ

ИЛ ДА
ТП

НЧ ЖИ
ВО

РА Е О

в истории IT-журналистики!

КО НЕО
АВ СЛ
Л

Л
ХА

ПО
УЕ

ЗА
Настраиваем эффективную
систему сетевой защиты Zorp
Так видит журнал читатель, оформивший подписку:
Windows SharePoint Services:
№5(30) май 2005
подписной индекс 81655
www.samag.ru

Почему MS SQL медленно работает?

Ищем причины
разбираем на практике
возможности технологии
Строим защищенную беспроводную сеть:
WPA-Enterprise, 802.1x EAP-TLS
Настраиваем UPS под Linux
Как восстановить
удаленные файлы под BSD
Что важно знать об IP-телефонии
танавливаем Symantec Antivirus 9.0
в корпоративной сети

Box Backup: узнайте всё

Эффективно управляем
полями пользователей в AD
Контролируем безопасность сети
с помощью OSSIM
Интервью с Ларри Уоллом –
создателем языка Perl

о горячих резервных копиях!

Лицензию? Вам какую?
Как построить
отказоустойчивый кластер
с минимальным бюджетом
ПОДПИШИТЕСЬ И ЧИТАЙТЕ! Обзор дистрибутива Arch Linux

Роспечать – 20780, 81655 Генная инженерия на службе

распаковки PE-файлов
Пресса России – 87836
Интер-почта – тел. (495) 500-00-60
 оглавление

3 ТЕНДЕНЦИИ БЕЗОПАСНОСТЬ
4 РЕПОРТАЖ 52 Настраиваем эффективную
систему сетевой защиты Zorp
АДМИНИСТРИРОВАНИЕ ModSecurity – Open Source firewall седьмого уровня –
позволяет защититься от угроз, типичных для веб-сер-
6 Box Backup – горячие резервные копии вера. Но в обычной сети встречаются и другие серви-
Резервное копирование – это то, без чего невозможно сы, нуждающиеся в защите. Сергей Яремчук
представить ни одну информационную структуру. Су- grinder@ua.fm
ществует необычный способ создания резервных ко-
пий, а именно – метод online-бэкапирования. 58 Генная инженерия на службе
Алексей Коршунов распаковки PE-файлов
akeeper@samag.ru Алгоритм универсального распаковщика, «снимающе-
го» даже сложные полиморфные протекторы.
12 Как работает Sendmail? Крис Касперски
Полезные подробности kk@sendmail.ru
Ещё лет десять назад само понятие «электронная поч-
та» прочно ассоциировалось с программой Sendmail. 70 Используем средства библиотеки OpenSSL
Сейчас ситуация несколько изменилась, но проект для криптографической защиты данных
Sendmail по-прежнему остаётся одним из лидеров. Часть 2
Сергей Супрунов Благодаря своим уникальным свойствам ассиметрич-
amsand@rambler.ru ные алгоритмы шифрования применяются для защи-
ты информации в тех областях, где использование сим-
20 Возможности технологии метричных алгоритмов затруднительно. Самый попу-
MS Windows SharePoint Services лярный представитель семейства ассиметричных ал-
Развитие IT-отдела связано с переходом от обслужи- горитмов – алгоритм RSA. Владимир Мешков
вания базовой IT-инфраструктуры к созданию интра- ubob@mail.ru
нет-порталов и автоматизации бизнес-процессов. Эф-
фективный инструмент для решения подобных задач – IMHO
MS SharePoint. Иван Хрипунов
i-ivank@microsoft.com 76 Лицензию? Вам какую?
Артем Черневский Как часто мы слышим, что открытых лицензий на про-
achern@microsoft.com граммное обеспечение развелось слишком много. BSD,
Apache, CDDL, GPL2/3, LGPL… Даже для юристов это
28 Узнай секреты WMI: события и провайдеры настоящий кошмар. А что же тогда говорить о нас, про-
Часть 2 стых (хотя и системных) администраторах?
Ключ к управлению системой и приложениями. Сергей Супрунов
Константин Леонтьев amsand@rambler.ru
klеоnt@miсrоsоft.соm
WEB
36 Отказоустойчивый кластер
с минимальным бюджетом 80 Возможности поискового движка
Строим эффективный кластер и используем его в ка- DataparkSearch
честве платформы для критически важных приложений Как организовать поиск информации на файловом сер-
на примере СУБД Oracle 9i. Сергей Довганюк вере не только по названию и типу документа, но и по его
dovganuk_sergey@mail.ru контенту? Возможно ли создать подходящий инструмент,
доступный и прозрачный для пользователей?
42 Arch Linux: руководство к быстрому старту Иван Максимов
Обзор дистрибутива Arch Linux. admin@ksanf.spb.ru
Валентин Синицын
val@linuxcenter.ru РЕТРОСПЕКТИВА
ЧЕЛОВЕК НОМЕРА 86 Надежда умирает последней:
история компании SGI. Часть 2
48 Прихоти судьбы. Уход основателя Silicon Graphics Джима Кларка изна-
Биография IT-просветителя чально не был воспринят всерьёз. «Подумаешь, ушёл
Когда-то, протестуя против навязанных жизнью ролей один человек, когда в компании таких, как он, – тысячи».
Алексей Сальников, директор крупнейшего в России Однако поломка даже единственной шестерёнки мо-
IT-портала «ЦИТ Форум», вступил с судьбой в перего- жет стать причиной выхода из строя всего механизма.
воры. Мол, ты дай мне другой вариант самореализации, Дмитрий Мороз
а я обещаю не ныть на крутых поворотах. Договор всту- akuji@list.ru
пил в силу. Оксана Родионова
rodion@dol.ru 92 КНИЖНАЯ ПОЛКА
41, 69, 85 BUGTRAQ

СПЕШИТЕ ОФОРМИТЬ ПОДПИСКУ НА II ПОЛУГОДИЕ 2006 ГОДА!

№5, май 2006 1


Red Hat купила JBoss
Компания Red Hat сообщила о приобретении JBoss, извес-
тной своим связующим Java-ПО. Сумма контракта оцени-
вается в 350 млн. долларов. Информация о готовящемся
поглощении JBoss какой-либо крупной организацией ИТ-
индустрии циркулировала в СМИ не один месяц, однако
ни у кого до недавнего времени не было определенности
насчет того, кто же будет новым владельцем. Марк Флери
(Marc Fleury), исполнительный директор и основатель JBoss,
объяснил выбор Red Hat тем, что обе компании схожи в вы-
бранной модели Open Source, и заинтересованностью в со-
здании одной крупной фирмы, занимающейся ПО с откры-
тым кодом и имеющей в своем арсенале полный набор про-
дуктов и услуг. Это станет возможным благодаря интегра-
ции разработок JBoss и Red Hat. JBoss станет независи-
мым подразделением Red Hat, возглавляемым Флери, ко-
торый будет отчитываться только перед главой Linux-ком-
пании Мэтью Шуликом (Matthew Szulik).
Linspire запустила Freespire
Компания Linspire последовала примеру Red Hat и Novell
и объявила об учреждении бесплатного Linux-дистрибу-
тива, поддержкой которого будет заниматься сообщество
разработчиков-энтузиастов, – Freespire. У дистрибутива бу-
дет две редакции: обычная, в которую войдет не только ПО
с открытым кодом, но и некоторые проприетарные продук-
ты (некоторые кодеки, драйверы и т. п.), и «свободная», со-
стоящая исключительно из Open Source. Выход первой бе-
та-версии Freespire состоится в августе этого года. С более
подробной информацией о новом проекте можно ознако-
миться на www.freespire.org.
тенденции
тальных – на машинах представлены по две операцион-
ные системы». Также он сообщил, что переход оставших-
ся 3000 сотрудников на компьютеры с исключительно от-
крытым программным обеспечением должен осуществить-
ся приблизительно в течение ближайшего года. Переход
персонала Novell с MS Windows и MS Office на Open Source
начался в марте 2004 года. Тогда Дебра Андерсон (Debra
Anderson), главный ИТ-руководитель Novell, выражала на-
дежду, что большая часть сотрудников будет пользовать-
ся операционной системой GNU/Linux и офисным пакетом
OpenOffice.org к середине 2005 года.
Google начинает «Лето кода» 2006
Крис Дибона (Chris DiBona) из компании Google в середине
апреля объявил, что акция «Лето кода» состоится и в этом
году. На участие в The Summer of Code 2006 уже подали за-
явки многие популярные в сообществе Open Source орга-
низации и проекты. Так, например, в списке можно найти
Apache Software Foundation, Debian, FreeBSD Project, GCC,
Gentoo, GNOME, KDE, NetBSD, Postgresql, Python Software
Foundation, Subversion Corporation, The Perl Foundation, The
Wine Project. Причем большая их часть подготовила и обна-
родовала основные задачи, решение которых будет прохо-
дить в рамках инициативы Google. Присылать свои разра-
ботки в Google можно начиная уже с 1 мая. Основные тре-
бования для желающих проявить себя и помочь проектам –
нужно быть студентом в возрасте от 18 лет.
Составил Дмитрий Шурупов
по материалам www.nixp.ru

Китай назвали крупнейшим

Linux-рынком в мире
Очередное исследование специалистов из компании IDC
показало, что Китай на данный момент является самым
большим в мире рынком ОС GNU/Linux и Open Source. Бла-
годаря росту заинтересованности в открытом ПО со сторо-
ны государственных учреждений, банков и телекоммуника-
ционных предприятий объем Linux-рынка Китая в 2005 году
вырос почти на треть по сравнению с 2004 годом, составив
11,8 млрд. долларов. Особую роль в наблюдаемом явлении
в IDC отводят местным компаниям China Standart Software
и Red Flag Linux, которые активно продвигают Linux-реше-
ния в различные отрасли. Но на пути дальнейшего распро-
странения свободного ПО в азиатской стране стоят тради-
ционные проблемы: недостаток опыта работы со системой
и Linux-программистов, малая заинтересованность в откры-
тых решениях среди обычных пользователей.

Персонал Novell медленно переходит

на свободное ПО
Уже два года минуло с того момента, когда был дан
старт миграции персонала компании Novell на GNU/Linux
и OpenOffice.org, однако до сих пор у 60% служащих ус-
тановлена и MS Windows. Рон Овсепян (Ron Hovsepian),
президент Novell, на пресс-конференции в Сиднее (Авс-
тралия) заявил, что «на данный момент у 2000 сотрудни-
ков из 5000 установлена одна система, GNU/Linux, а у ос-

№5, май 2006 3

 репортаж

Впервые в России: Solaris Day

Корпорация Sun Microsystems оправдала свое название и озарила пасмурные московские
будни, превратив их в День Solaris.

К
онференция для разработчи- щедоступной кодовой базе, распро- можно увидеть изменения в последней
ков Solaris Day прошла 19 апре- страняемой под лицензией CDDL. версии Solaris?» – разработчики ука-
ля в один день с NetBeans Day. Выступление Каррэна заверши- зывают на значительно уменьшенное
Эти два мероприятия стали отправ- лось курьезным случаем, вызванным время загрузки системы (благодаря
ной точкой для впервые проводившей- вопросом слушателя о поддержке про- асинхронному запуску сервисов в SMF
ся в России акции Sun Tech Days (20-21 цессоров Itanium в Solaris. Он снача- с учетом их зависимостей).
апреля). И несмотря на то что на Tech ла не мог понять (сделал вид, что не Питер Карлсон продолжил рас-
Days приехал с докладом легендарный мог?), о чем его спрашивают, а после крытие темы для разработчиков. Его
Джеймс Гослинг, меня во всем этом того как несколько раз повторили сло- доклад был посвящен общим вопро-
3-дневном празднике, организован- во «Itanium», он ответил отчетливым сам миграции ПО с Linux на Solaris.
ном Sun, заинтересовало именно пер- смешком в адрес этой разработки Intel, Иногда он почти в сатирической ма-
вое событие, полностью посвященное что изрядно повеселило весь зал. Пос- нере пытался показать достоинства
операционной системе компании. ле чего Фрэнк шутливо раскритиковал ОС от Sun, провоцируя слушателей
На третьем этаже московской гос- процессор, «с которым теперь никто не вопросами в стиле «неужели вам еще
тиницы «Альфа» всех гостей встреча- знает, что делать». что-то нужно?» и просьбами «назвать
ли девушки, которые выдавали бей- Затем на продолжительное время программу, которой не хватает в этом
джи, программки для двух грядущих место докладчиков заняли наши со- списке!». (В это время за его спиной
мероприятий (Solaris Day и NetBeans отечественники. «Рубрику» для раз- демонстрировались перечни привыч-
Day) и анкеты. Никакого столпотворе- работчиков открыл обзор Sun Studio 11, ных для Linux-пользователей приложе-
ния и суеты не было. Оживление воз- сообщение о котором разбили на две ний, доступных и для Solaris.) В общем,
никло к началу конференции, когда части. В первой рассказывалось о том, такой красноречивый тезис из докла-
всех пригласили пройти в зал. что из себя представляет данный про- да Карлсона, как «Solaris is better Linux
дукт, из чего состоит и на что спосо- than Linux», очень точно отображает
Какие доклады бен, а во второй – о способах оптими- суть всего того, что он пытался донес-
Из иностранных докладчиков Sun зации, используемых в Sun Studio для ти до публики.
на конференцию прибыли два «техно- повышения производительности со- А вот уже следующее сообщение,
логических евангелиста»: Фрэнк Кар- здаваемого ПО. посвященное контейнерам Solaris, по-
рэн и Питер Карлсон. Первому и выпа- Последовавший кофе-брейк (стоит казало, что в этой операционной систе-
ла честь открывать Solaris Day в Моск- отметить, что как перерывы на кофе, ме пока не все идеально, как того хо-
ве. Каррэна рассказал о том, что и как так и обед оставили исключительно телось бы Карлсону (разумеется, пов-
поменялось в процессе разработки ОС положительные впечатления об орга- семестно, а не только в процессе пе-
компании после открытия исходно- низации конференции) перешел в до- реноса приложений с Linux). Некото-
го кода, запуска проекта OpenSolaris, клад о разработке многопоточных при- рые вопросы, адресованные Андрею
а также попутно в лаконичной форме ложений в среде ОС Solaris, существу- Дорофееву по поводу использования
сообщил общие сведения о новшест- ющих для этого API и утилит. По «уров- зон в Solaris, показали, что данной
вах Solaris 10. ню технической информации» (оценку технологии еще не хватает некоторых
Фрэнк акцентировал всеобщее вни- под таким заголовком предлагали ста- ожидаемых заказчиками возможнос-
мание на том, что OpenSolaris не явля- вить каждому докладу в раздававших- тей. Хотя, конечно, нужно учитывать,
ется дистрибутивом – это лишь кодовая ся анкетах) это было, пожалуй, самое что зоны в Solaris появились не так
база, на основе которой любой желаю- серьезное выступление. давно и ведется активная работа над
щий может создать свою систему. Сре- Однако наибольший резонанс вы- их совершенствованием.
ди существующих на сегодняшний день звал доклад Андрея Дорофеева о но- Завершать Solaris Day доверили
подобных решений он выделил Nexenta вой системе управления сервисами Карлсону с самым продолжительным
OS, SchilliX и Belenix. Пример использо- в Solaris (Service Management Facility, докладом из всех, что были представ-
вания OpenSolaris для построения пол- SMF), во время которого появилась не- лены на конференции. Питеру предсто-
ноценной ОС уже с ближайшим рели- бывалая оживленность. Инновацион- яло подробно рассказать о DTrace. Еще
зом, естественно, покажет и сама Sun: ный подход Sun к работе с сервисами в своем вступлении его коллега подго-
Solaris 11 (и дальнейшие версии флаг- вызвал существенный интерес у слу- товил аудиторию, отметив, что DTrace
манской ОС) будет основываться на об- шателей. На вопрос: «Как наглядно по праву считается одной из самых

4
 репортаж
выдающихся инновационных техноло- рерывов. Попутно я сослался на то, его главных достоинствах и новшест-
гий последнего времени, поэтому ни- что даже Мартин Финк, один из глав- вах, – у Sun прибавилась острая необ-
чего удивительного в таком распоряд- ных Linux-специалистов HP, не так дав- ходимость в продвижeнии OpenSolaris.
ке докладов нет. Карлсон начал с об- но на одной из конференций заметил, Этот решительный шаг, что предприня-
зора данного инструмента и простых, что лицензий на открытое ПО стало ла компания в недавнее время, и те-
но наглядных демонстраций того, как слишком много. Через некоторое вре- перь в Sun не без оснований делают
он работает на своем ноутбуке, а за- мя в дискуссию ввязался и стоявший ставку на дальнейшее развитие идеи
тем перешел к языку D. Затянувше- рядом Питер Карлсон, который про- использования модели Open Source.
еся описание многочисленных конс- явил себя убедительным адвокатом Чем больше им удастся заинтере-
трукций средства создания программ CDDL. В общих чертах их идеология совать в этом сообщество, тем луч-
(предназначенных в первую очередь (защиты новой лицензии) сводится к шую они получат отдачу, необходи-
для мониторинга и отслеживания ис- тому, что разработчик должен иметь мую для продуктов, лежащих в осно-
точников возникающих в системе про- возможность самостоятельно решать, ве их бизнеса, – это обычное правило,
блем) на базе DTrace, возможно, бы- под какой лицензией ему опубликовы- работающее для всех компаний, при-
ло не самым удачным завершением вать продукт, но при этом есть потреб- меняющих данную стратегию в отно-
конференции. Слушателей уже оста- ность в том, чтобы все модификации шении ПО с открытым кодом.
валось не так много, да и сам Питер, были доступны другим. В этом отно- Бытует мнение, что OpenSolaris –
ощущая «настроение масс», постарал- шении Sun приглянулась MPL, однако последняя отчаянная попытка Sun со-
ся по возможности быстро завершить и здесь потребовались некоторые поп- хранить свои позиции на рынке сервер-
свое сообщение. равки для того, чтобы сделать лицен- ных операционных систем, где GNU/
зию более универсальной (убрать при- Linux-системы теснят UNIX-конкурен-
Почему CDDL? вязку к Mozilla и к США). тов. Если модель Open Source так по-
Упоминание CDDL в первом докла- могла Linux, то почему она не возымеет
де Каррэна вкупе со словами, что это Вместо заключения подобного эффекта для UNIX? Мнения
«истинное ПО с открытым кодом», по- Участники конференции, не поле- на этот счет среди членов сообщест-
будило меня к достаточно распростра- нившиеся заполнить анкеты, получи- ва, журналистов и аналитиков расхо-
ненному в сообществе вопросу. Зачем ли в подарок футболку с символикой дятся – причем обычно не в пользу Sun.
Sun было придумывать очередную ли- OpenSolaris и лицензионную коробку А вот в компании думают иначе. Кто
цензию Open Source, когда их и так су- Solaris с двумя DVD: редакциями этой был прав, как обычно, покажет время.
ществует изрядное множество? С та- ОС для x86 и для SPARC. Учитывая, что на OpenSolaris будет ос-
ким вопросом, предварительно осве- Вполне естественно, что к обыч- нован уже следующий релиз Solaris, –
домив ответчика о том, что собираюсь ным задачам, возлагаемым на подоб- это будущее вполне обозримо.
говорить на «религиозные» темы, я по- ные мероприятия: рассказать о самом
дошел к Фрэнку во время одного из пе- продукте (применительно к Solaris), Дмитрий Шурупов

Пятая международная конференция

Современные технологии эффективной разработки веб-приложений с использованием PHP
 Когда: 25-26 мая
 Где: г. Москва, Центральный Дом Предпринимателя,
ул. Покровка, д. 47/24, стр. 1 (м. Красные Ворота)
 Организаторы: Клуб разработчиков PHP и Интер-
нет-агентство WebProfy
 Подробности: www.phpconf.ru
Вот уже пять лет подряд в конце мая это мероприятие со-
бирает профессионалов в области разработок веб-прило-
жений на РНР. Впервые в России в этом году на конферен-
ции выступят два легендарных человека, имеющих непос-
редственное отношение к созданию языка программиро-
вания PHP: Расмус Лердорф (Rasmus Lerdorf) – основатель
проекта PHP, и Андрей Змиевский – активный разработчик
ядра и модулей PHP.
Это значимое событие в среде профессионалов веб-
программирования, которое предоставляет уникальный
шанс продемонстрировать свой потенциал и познако-
миться с новыми технологиями, последними тенденция-
ми в области веб-разработок, поделиться идеями и дости-
жениями, установить новые связи, чтобы привлечь к учас-
тию в работе организаций больше людей – и все с гораздо
большим успехом, чем если бы каждая организация зани-
малась этим самостоятельно. Вы сможете познакомиться
как с историями успеха крупных интернет-проектов, так и
с неудачными примерами. Участники конференции – про-
фессиональные и повышающие свою квалификацию веб-
разработчики, руководители IT-отделов, крупных интернет-
проектов, директора по развитию, а также потенциальные
инвесторы и пресса.
Программа конференции предусматривает: тематичес-
кие выступления, мастер-класс по экстремальному про-
граммированию на РНР, олимпиада по РНР-програмирова-
нию. Впервые в 2006 году материалы конференции будут
напечатаны в оффлайновой версии журнала «PhpInside».
Мы приглашаем принять учатие в данном мероприятии
всех активных разработчиков веб-приложений и тех, кому
это интересно! Поторопитесь, количество мест ограничен-
но! По всем вопросам, связанным с регистрацией в качест-
ве участников конференции обращайтесь к Максиму Смир-
нову по телефону: +7 (495) 585-9261, или пишите по адре-
су: phpconf2006@rambler.ru.

№5, май 2006 5

 администрирование

Box Backup – горячие резервные копии

Алексей Коршунов
Вопросы резервного копирования никогда не утратят свою актуальность. Это то, без чего
невозможно представить ни одну информационную структуру. Существует необычный способ
создания резервных копий, а именно – метод online-бэкапирования.

Как делают «обычное»
резервировное
копирование
Когда говорят о создании бэкапов су-
ществующей информационной струк-
туры, на ум сразу приходят скрип-
ты из cron, инкрементальные архивы,
мощный сервер с огромным дисковым
массивом, стример и другие устройства
записи на внешние носители. Без все-
го этого довольно сложно представить
себе полноценную систему резервного
копирования, хотя многие до сих пор ка-
ким-то образом работают вообще без
бэкапов. Не стану доказывать необхо-
димость иметь «крепкие тылы», пото-
му что это известно всем.
Вышеперечисленные программные
и аппаратные составляющие призваны
обеспечить возможность восстановле-
ния файлов в случае их утраты по тем
или иным причинам. Как правило, не-
обходимость инкрементного резерв-
ного копирования объясняется огром-
ными объёмами той информации, ко-
торая постоянно меняется и нуждает-
ся в резервировании.
Вы берёте за основу одну из схем
резервировного копирования, добав-
ляете необходимую, на ваш взгляд,
избыточность и вводите получен-
ное решение в эксплуатацию. Не са-
мым плохим вариантом будет следу-
ющая схема:
 Раз в месяц делается полное ре-
зервное копирование всех нужда-
ющихся в этом файлов.
 Ежедневно происходит копирова-
ние изменённых за текущий день
данных.
 Еженедельно копируются все из-
менённые за неделю данные.
 Раз в две недели копируются все
изменённые за этот период фай-
лы или же объединяются архивы
за две недели.
 Схема повторяется до тех пор, по-
ка не наступит новый месяц.
Вы можете хранить по две поне-
дельные копии или по одной, в зави-
симости от ваших предпочтений или
принятых в вашей компании стандар-
тов. Процедура восстановления фай-
лов обратна процедуре их занесения
в архив.
 Восстановление последней месяч-
ной копии.
 Восстановление двухнедельной ко-
пии.
 Восстановление недельной копии.
 Восстановление копий по дням
в обратном порядке.

6

Схемы, подобные описанной, ис-
пользуются во многих компаниях.
Применяя их, можно быть уверенным
в том, что все файлы будут восста-
новлены на момент создания послед-
ней «дневной» копии. При достаточ-
но больших объёмах данных (что ра-
зумеется не редкость) вы вынуждены
использовать внешние носители для
хранения и иметь необходимое коли-
чество пространства на жёстких дис-
ках для создания хотя бы одной пол-
ноценной копии. (Условие не обяза-
тельное, но значительно упрощающее
жизнь.) Однако подобные схемы рабо-
ты имеют ряд существенных недостат-
ков. Среди которых:
 Известные проблемы при резерв-
ном копировании «внешних» поль-
зователей. Вы не можете заста-
вить пользователей ноутбуков еже-
дневно оставлять свои компьютеры
в офисе включёнными.
 Проблемы обеспечения безопас-
ности резервных копий.
 Громоздкость системы с большим
количеством этапов.
 Сравнительно большое количес-
тво времени для восстановления,
как единичных утраченных фай-
лов, так и больших массивов.
 Неудобство работы с архивами –
время поиска по базе резервных
копий может оказаться весьма про-
должительным.
 Требуется помощь системного ад-
министратора для работы с архи-
вами.
Перечислены далеко не все сущес-
твующие проблемы, а только те, с ко-
торыми приходилось мне сталкивать-
ся. Возможно, решение, которое ис-
пользуется вами, лишено этих недо-
статков. Возможно, вы приобрели го-
товый программный комплекс резер-
вирования и он отвечает всем вашим
требованиям. И тем не менее обрати-
те внимание на еще один принцип со-
здания бэкапов.
Online-бэкапирование
Box Backup
Система относится к так называемому
online-резервному копированию. Поче-
му оно носит такое название?
В отличие от описаной выше схе-
мы, «горячее» резервное копирование
делается... постоянно. Это как замена
№5, май 2006
вышедшего из строя блока питания
сервера без его выключения. (Думаю,
вы сталкивались с такими компьюте-
рами или хотя бы слышали о них.) Со-
здание резервной копии файлов поль-
зователя происходит в интерактивном
режиме по мере их изменения. Схема
работы проста:
 При первоначальном запуске, сис-
тема сканирует указанные ей ди-
ректории и переносит их в архив.
После чего следит за происходя-
щим в файловой системе.
 По мере обнаружения изменивших-
ся файлов она переносит их в ар-
хив.
Другими словами, в резервной ко-
пии всегда находятся самые послед-
ние версии файлов. В случае потери
данных на исходной системе вы мо-
жете безболезненно и быстро восста-
новить их в полном объёме. Заманчи-
во, не правда ли?
Система Box Backup может рабо-
тать в довольно внушительном спис-
ке OS:
 OpenBSD;
 Linux;
 NetBSD;
 FreeBSD;
 Darwin / Mac OS X 10.5;
 Cygwin (Windows) (только клиент);
 Native Windows (только клиент);
 Solaris.
Несколько вполне закономерных
вопросов, которые возникают при пер-
вом ознакомлении с этой системой го-
рячего резервного копирования:
 Если пользователь удалил файлы,
что будет с резервной копией?
 Постоянное копирование файлов
подразумевает огромный сетевой
трафик и большую загрузку серве-
ра бэкапов. Как решить эту прою-
лему?
 Чем обеспечивается безопасность
копий?
 Если файлов очень много, то сколь-
ко ресурсов для своей работы пот-
ребуется программе для проверки
изменений?
Процедура удаления
Файлы, которые были удалены из сис-
темы, на самом деле никуда не исче-
зают. (Я говорю, разумеется, не о кли-
ентском компьютере.) В резервной ко-
администрирование
пии они лишь помечаются как удалён-
ные. Пользователь (да-да, пользова-
тель, а не системный администратор,
но об этом позже) в любое время может
спокойно попросить систему вернуть
удалённый по ошибке файл. Из архи-
ва промаркированные данные исчез-
нут только тогда, когда допустимый
объём, отведённый под резервирова-
ние, приблизится к той отметке, за ко-
торой выбора нет – либо вычищать по-
меченные файлы, либо будет некуда
копировать новые.
Требовательность к ресурсам
Большую сетевую нагрузку, как и сле-
довало ожидать, можно наблюдать
только при создании первоначально-
го бэкапа, когда системе необходимо
единовременно перенести большое
количество данных. Однако приори-
тет процесса (по умолчанию) клиента
Box Backup довольно низок и рассчи-
тан так, чтобы не мешать общей ра-
боте компьютера. Он работает в фо-
новом режиме и не вносит ощущения
дискомфорта от «задумчивости» сис-
темы в целом. Впоследствии системе
потребуется переносить только новые
или изменённые файлы, а это не такой
большой трафик.
Безопасность резервного
копирования
Обеспечению безопасности уделено
немало внимания.
 Авторизация клиента на сервере
бэкапов.
 Безопасность передачи данных.
 Шифрование данных.
 Защита структуры данных.
 Безопасность хранения данных.
Для авторизации клиента на сер-
верной стороне системы Box Backup
используется SSL. На каждом ком-
пьютере, данные которого нуждают-
ся в резервировании, создаётся SSL-
сертификат, подписываемый на сер-
вере.
Для обеспечения безопасной сре-
ды передачи данных используется TLS-
шифрование. Любые операции меж-
ду клиентом и сервером происходят
по шифрованому каналу. Это позво-
ляет использовать систему резервно-
го копирования даже в небезопасной
среде без опасений, что данные могут
быть перехвачены.
7
 администрирование
Безопасность файлов в резервных копиях обеспечива-
ется шифрованием. Каждый клиент системы Box Backup
при конфигурировании создаёт уникальный ключ. С этим
ключом шифруются все передаваемые файлы. И только
имея ключ можно получить доступ в архив для просмотра
или восстановления файлов.
Более того, на сервере резервных копий файлы хра-
нятся под уникальными номерами, а не названиями.
Не зная, где какой файл находится, невозможно дога-
даться, что это. Впрочем, даже зная, что за файл перед
вами, вы ничего не сможете добиться. Ведь они зашиф-
рованы, а для доступа нужен ключ. Никаких паролей не
требуется.
 /etc/boxbackup – директория, где будут созданы конфи-
гурационные файлы. (Если вы устанавливаете систему
не в Gentoo Linux, то по умолчанию используйте дирек-
торию /etc/box);
 2048 – размер блока файлов;
 /raid/0.0 и остальные – директории, где будут храниться
непосредственно бэкапы. Эти директории должны быть
созданы вами. Автоматически они созданы не будут.
После того как файл конфигурации готов, создадим
пользователя, от которого будет работать Box Backup.
#useradd _bbstored

Установка серверной части И создадим основной конфигурационный файл сис-

Box Backup темы:
Я буду рассматривать установку Box Backup на примере
системы Gentoo Linux. Установка в других системах будет #bbstored-config /etc/boxbackup hostname _bbstored
отличаться только несколькими деталями.
Итак, сначала установим серверную часть системы. Где:
Ebuild Box Backup есть в стандартном дереве портов, так что  /etc/boxbackup – директория конфигурационных фай-
мы воспользуемся стандартной процедурой установки па- лов;
кетов в системе Gentoo Linux.  hostname – имя компьютера;
 _bbstored – имя пользователя, от которого работает
#emerge -av boxbackup система.

Обратите внимание, что по умолчанию вам будет пред- Если вы собирали пакет самостоятельно в другой сис-
ложено установить более старую версию системы – 0.09. теме – для конфигурационных файлов используйте ди-
Я бы рекомендовал проследовать по дереву портов до нуж- ректорию /etc/box. Выполнение этой команды создаст ос-
ной ветки и установить более новую версию, так как в неё новной конфигурационный файл системы Box Backup
внесли множество исправлений. /etc/boxbackup/bbstored.conf, в котором прописываются
основные параметры. Присвоим нашему пользователю
#cd /usr/portage/app-backup/boxbackup _bbstored права на директорию:
#emerge -av boxbackup-0.10.ebuild

Разумеется, можно внести исправления в ваш /etc/ #chown -R _bbstored /etc/boxbackup/bbstored

#chmod -R go-rwx /etc/boxbackup/bbstored
portage/package.keywords, но я не вижу смысла делать это
ради одного пакета (система не потребует других пакетов На этом конфигурирование серверной части системы
для своей работы). Box Backup закончено. Остаётся лишь создать сертифи-
После того как сборка пакета закончится, можно при- кат SSL нашей системы и добавить учётные записи поль-
ступить непосредственно к конфигурированию. Здесь ва- зователей. Сделаем это после установки клиентской час-
жен один момент. ти на машину, с которой будет производиться резервное
Если в вашей системе для резервного копирования нет копирование.
raid-контролера, а просто используются несколько дис-
ков, Box Backup предлагает создать несколько директо- Установка клиентской части системы
рий, которые обеспечат избыточность в случае ошибок Box Backup в Linux
на дисках. Так как мы говорим о Gentoo Linux и в предыдущем выво-
Если raid установлен, то от применения этой структуры де команды:
можно смело отказываться.
Для использования «raid» от Box Backup выполним сле- #emerge -av boxbackup-0.10.ebuild
дующую команду:
наверняка заметили флаг -client-only, то им и воспользуем-
#raidfile-config /etc/boxbackup 2048 /raid/0.0 /raid/0.1 ↵ ся. Выполним на системе, нуждающейся в резервировании,
/raid/0.2
следующую команду:
Или откажемся от его использования командой друго-
го вида: #cd /usr/portage/app-backup/boxbackup
#USE='client-only' emerge boxbackup-0.10.ebuild
#raidfile-config /etc/boxbackup 2048 /raid/0.0 это установит в нашу систему клиента системы Box Backup.
После того как клиент установлен, настроим его на рабо-
Список параметров в этой команде: ту с нашим сервером.

8
 администрирование
Здесь возможны два варианта: BackupLocations
{
 lazy – в этом режиме демон резервного копирования home-directory
bbackupd постоянно следит за изменениями файлов, {
Path = /home
и как только изменённый файл закрывается, – перено- ExcludeDir = /home/ftp
сит его в резервную копию. ExcludeFilesRegex = *.(avi|AVI)$
}
 snapshot – работа этого режима понятна по его на- etc
званию. Один раз в установленный вами промежуток {
Path = /etc
времени запускается команда bbackupctl sync, полу- }
чив которую демон bbackupd начинает сканировать }
все указанные в конфигурационном файле директо-
рии. В случае обнаружения несовпадений даты пос- Где:
леднего изменения файл переносится на сервер ре-  home-directory и etc – в данном случае это условные
зервных копий. описания директорий для системы Box Backup. Именно
под этими названиями они будут отображаться при за-
Какой режим предпочесть зависит напрямую от коли- просе в резервную копию.
чества файлов, нуждающихся в резервировании, загружен-  Path – собственно путь до директорий и файлов, нужда-
ности компьютера и сетевого трафика. Думаю, зависимос- ющихся в резервном копировании. При указании путей
ти вполне очевидны. Скажу только, что если вы устанав- следует учитывать, что резервное копирование будет про-
ливаете систему Box Backup на ноутбук, который часто ра- изводиться рекурсивно, то есть со всеми подпапками.
ботает вне локальной сети, где находится сервер бэкапов,  ExcludeDir – это, как несложно догадаться, опция ис-
то, наверное, стоит предпочесть режим snapshot. ключения из резервирования некоторой подпапки.
Разумеется, никто не мешает вам установить сервер  ExcludeFilesRegex – маска, указывающая расширения
Box Backup так, чтобы он был доступен извне. Но в та- файлов, которые следует игнорировать и не переносить
ком случае следует учитывать количество трафика, кото- в резервную копию.
рое будет создаваться компьютерами при резервном ко-
пировании. Остальные опции не менее понятны и в отдельном опи-
Запустим команду, которой создадим основной конфи- сании не нуждаются.
гурационный файл, ключ системы и SSL-сертификат для ав- Режимы lazy и snapshot в конфигурационных файлах
торизации на удалённом сервере. отличаются только параметрами:

#bbackupd-config /etc/boxbackup lazy account_name ↵ AutomaticBackup = no

hostname /var/bbackupd /home UpdateStoreInterval = 0
MinimumFileAge = 0
Где: MaxUploadWait = 0
 /etc/boxbackup – место хранения конфигурационных
файлов; (в случае режима snapshot). Для изменения режима работы
 lazy – способ резервирования; достаточно поменять значения этих переменных на другие
 99 – имя учётной записи на сервере бэкапов (обычно параметры, которые всегда можно посмотреть на соседней
я использую просто последние цифры IP-адреса ком- системе. Не стоит заново запускать команду конфигуриро-
пьютера); вания, так как она подменит ваш ключ шифрования и SSL-
 hostname – сетевое имя сервера бэкапов (не укажите сертификаты. В таком случае процедуру подписи придётся
в данном параметре случайно имя вашего компьюте- повторять. (Конечно, можно предварительно скопировать
ра!); ключ и SSL-сертификат, но... не проще ли изменить значе-
 /var/bbackupd – место, где будут храниться временные ние нескольких переменных?)
файлы системы Box Backup (убедитесь, что там доста- Теперь, когда мы настроили клиентскую и серверную
точно свободного места); часть системы Box Backup, самое время разобраться с сер-
 /home – путь для резервного копирования (папки легко тификатами SSL для авторизации.
настраиваются в конфигурационном файле, и мы скоро
об этом поговорим). SSL-сертификаты для серверной части
Для создания базовой структуры сертификатов запустим
Теперь нам осталось только указать папки, резерв- команду:
ные копии которых мы хотим делать, и правила для них.
Основной конфигурационный файл Box Backup клиен- #bbstored-certs ca init
та находится в директории /etc/boxbackup и называется
bbackupd.conf. Если вы получили какие-либо ошибки при выполнении
Параметры, устанавливаемые в этом файле, содер- этой команды, убедитесь в первую очередь, что у вас уста-
жат необходимые и весьма прозрачные пояснения, поэто- новлен пакет OpenSSL.
му я остановлюсь только на описании путей для резервно- После формирования сертификата, подпишем его:
го копирования.
Структура описания такова: #bbstored-certs ca sign-server hostname-csr.pem

№5, май 2006 9

 администрирование
На этом подготовка сертификатов для серверной час-
ти Box Backup завершена.
SSL-сертификаты для клиентской части
У нас уже есть клиентский SSL-сертификат, нам нужно под-
писать его на сервере, а заодно и скопировать на клиен-
та сертификат с сервера. Для этого необходимо передать
(scp, samba, ftp или другим способом) на сервер файл /etc/
boxbackup/bbackupd/account_name-csr.pem.
Лучше всего поместить клиентский сертификат на сер-
вере в папку /etc/boxbackup/bbackupd/.
После этого выполнить на сервере команду:
#bbstored-certs /ca sign ↵
/etc/boxbackup/bbackupd/account_name-csr.pem
Ответив на запрос «Yes», мы подпишем сертификат
и увидим инструкцию о том, что нам необходимо скопиро-
вать на клиента два файла:
 /ca/clients/account_name-cert.pem
 /ca/roots/serverCA.pem
На клиентской стороне эти файлы положим в /etc/
boxbackup/bbackupd. Теперь осталось создать учётную за-
пись для нашего клиента на резервирование.
Создание учётной записи в системе
резервного копирования
Для создания учётной записи воспользуемся командой:
#bbstoreaccounts create account_name 0 10000M 15000M
Где:
 account_name – имя учётной записи в числовом виде
(например, как я уже говорил, последняя цифра в IP-ад-
ресе клиента).
 10000M – мягкий лимит на размер бэкапа. В данном слу-
чае я выделил 10 Гб на пользователя (можно также ука-
зать 10G).
 15000М – жёсткий лимит на размер бэкапа.
После этого можно смело запускать сервисы клиента
и сервера системы Box Backup. Система резервного копи-
рования готово!
Другие операции с учётными записями
Помимо создания учётных записей, можно их удалять, ме-
нять размер допустимого занимаемого бэкапами места,
смотреть информацию по занятому пространству, а также
проверять резервные копии на ошибки.
Команда:
#bbstoreaccounts info account_name
покажет детальную информацию о существующем поло-
жении дел в указанной учётной записи. Выглядеть это бу-
дет так:
Account ID: 00000003
Last object ID: 390831
Blocks used: 59659618 (116522.69Mb)
10
Blocks used by old files: 110818 (216.44Mb)
Blocks used by deleted files: 1670369 (3262.44Mb)
Blocks used by directories: 73637 (143.82Mb)
Block soft limit: 61440000 (120000.00Mb)
Block hard limit: 64000000 (125000.00Mb)
Client store marker: 1145862657000000
Как вы видите, всё довольно прозрачно и понятно.
Команда:
#bbstoreaccounts setlimit account_name 30000M 35000M
изменит допустимый объём резервной копии для данного
пользователя. (Как я уже писал выше, объём можно ука-
зывать и в гигабайтах.)
Для проверки резервной используйте команду:
#bbstoreaccounts check account_name
и, в случае возникновения ошибок, исправляем с помо-
щью:
#bbstoreaccount check account_name fix
Ну и напоследок, команда:
#bbstoreaccounts delete account_name
удалит существующую учётную запись.
Восстановление файлов из резервной
копии
После всего, о чем мы поговорили, пожалуй, пришло время
узнать, каким же собственно образом файлы восстанавли-
ваются из резервной копии. Для этого существует утилита
bbackupquery (см. рис. 1).
Эта утилита работает как удалённый шелл. Она не нуж-
дается в работающем демоне bbackupd и позволяет общать-
ся с сервером бэкапов посредством вводимых команд. Со-
единение с сервером устанавливается при помощи всё тех
же SSL-сертификатов и по-прежнему проходит при TLS-
шифровании канала.
На рис. 1 показан вывод команды help. Как вы видите,
доступно большое количество команд, среди которых есть
даже compare, позволяющая сравнивать версии файлов
на локальном жёстком диске и файлов, имеющихся в ре-
зервной копии. Работа с bbackupquery в чем-то аналогич-
на общению с ftp-сервером посредством консольного кли-
ента, поэтому останавливаться на ней подробно я не бу-
ду (см. рис. 2).
Графическая оболочка Boxi
Существует графическая оболочка для работы с бэка-
пом. Проект под названием Boxi [1]. Она обладает спар-
танским интерфейсом, но тем не менее позволяет гораз-
до удобнee общаться с вашей резервной копией, нежели
консольная bbackupquery и позволяет выполнять все ос-
новные операции по работе с резервной копией. Такие
как сравнение версий, удаление из архива, восстанов-
ление файлов, обзор структуры каталогов и так далее
(см. рис. 3).
 администрирование
Однако на данный момент использование Boxi невоз-
можно. Причина в том, что эта утилита может работать толь-
ко с версией Box Backup 0.09, а как я уже писал выше, вер-
сия 0.10 претерпела множество изменений и рекомендо-
вана к уставновке. По словам разработчика этой утилиты,
следующей версии Boxi, готовой к работе с Box Buckup 0.10,
следует ожидать не ранее чем через три месяца.
Но если удобство для вас важнее, то, может быть, имеет
смысл установить более старую версию, чтобы иметь воз-
можность работать с графической утилитой.
Следует так же отметить, что для работы Boxi нуждает-
ся во всех конфигурационных файлах Box Backup-системы.
Поэтому при её использовании многие запускают процесс Рисунок 1. Вывод справки утилитой bbackupquery
bbackupd не от системы, а от своего пользователя.

Резервное копирование Windows-систем

Пока что я обходил вниманием использование системы ре-
зервного копирования Windows-рабочих станций (и серве-
ров, конечно). Объясню почему.
На сайте [2] вы можете найти Windows native client, ра-
ботающий, как минимум, в системах семейства Windows
2000 и Windows XP. В архиве вы найдёте все необходимые Рисунок 2. Список директорий (по меткам из конфигурационного
файлы, которые рекомендуется скопировать в директорию файла)
c:\Program Files\Box Backup\.
Останется только сформировать сертификат клиента,
подписать его на сервере и передать подписанный и сер-
верный сертификаты обратно. Тут могут возникнуть не-
которые сложности. Дело в том, что скрипты отвечаю-
щие за формирование сертификатов, написаны на язы-
ке Perl, и нет никаких гарантий, что он окажется в вашей
Windows-системе. Можно путём долгих мучений добиться
желаемого результата, но есть способ гораздо более быс-
трый и удобный.
На любой вашей Linux-системе, предварительно сохра-
нив директорию /etc/boxbackup/bbackupd в надёжном мес-
те, сформировать сертификаты для Windows-системы. А по-
чему нет? Ведь не важно, где будет создан ключ шифро-
вания и сертификат. После этого останется только подпи-
сать вновь созданный сертификат и передать необходимые
файлы на Windows-систему. И не забудьте вернуть содер-
жимое папки bbackupd на его законное место.
Таким образом осуществление «горячего» резервного Рисунок 3. Аскетичная Boxi
копирования на Windows рабочих станциях так же стано-
вится весьма простой задачей. FileEncKeys.raw. Поэтому настоятельно рекомендуется ско-
В MS Windows вам точно так же доступны все опции кон- пировать содержимое всех папок /etc/boxbackup/bbackupd
фигурационных файлов Box Backup и оба режима – lazy, в какое-то выделенное, защищённое от несанкционирован-
snapshot. Для того чтобы проинсталировать bbackupd в ка- ного доступа место, а также перенести на внешний носи-
честве системного сервиса достаточно запустить команду: тель и убрать подальше.
В случае утраты ключа восстановление файлов из ар-
bbackupd -i хива станет невозможным.
Также следует обратить внимание на синхронизацию
Графическая оболочка Boxi также существует под времени на клиентских и серверной машинах, так как Box
Windows, но по описанным выше причинам она вам вряд ли Backup использует в работе дату последнего изменения
пока пригодится, только если вы не собираетесь вернуться файлов.
к версии 0.09 Box Backup. Удачного вам горячего резервного копирования!

Это важно Ссылки:

Помните, что вся информация в резервной копии зашиф- 1. http://boxi.sourceforge.net
рована и не может быть извлечена без наличия ключа 2. http://boxbackup.hostworks.ca/index.php/0.10

№5, май 2006 11

 администрирование

Как работает Sendmail?

Полезные подробности

Сергей Супрунов
Современная жизнь немыслима без электронной почты. Ещё лет десять назад само понятие
«электронная почта» прочно ассоциировалось с программой Sendmail. Сейчас ситуация
несколько изменилась, но проект Sendmail по-прежнему остаётся одним из лидеров, и вполне
заслуженно.

С
реди системных администра-
торов, особенно начинающих,
бытует мнение, что Sendmail –
чрезвычайно сложная, неуклюжая, не-
эффективная и небезопасная програм-
ма. Конечно, дыма без огня не бывает,
и причины для подобных мнений есть.
Достаточно взглянуть на основной
конфигурационный файл – sendmail.cf,
чтобы согласиться с первым утвержде-
нием. Монолитная архитектура, когда
практически все функции выполняют-
ся одним двоичным файлом, навевает
мысли о втором и третьем. Нередкие
взломы в прошлом (долго ещё люди
будут помнить червя Морриса, потряс- эффективной, появилось более чёт-
шего мир в 1988 году) серьёзно подор- кое разделение на задачи, причём уже
вали доверие к Sendmail в плане защи- не все из них требуют наличия прав су-
щённости системы. перпользователя. Говоря же о безопас-
Однако идёт время, меняется ситу- ности, надо признать, что последняя
ация. Кое-что из сказанного выше не- критическая уязвимость была обнару-
сколько улучшилось, что-то вообще жена сравнительно недавно – 22 марта
стало неправдой. Скажем, конфигу- 2006 года (к чести разработчиков, бы-
рационный файл по-прежнему остал- ла она исправлена достаточно быстро).
ся пугающе непонятным. Но ведь ник- Но вот предпоследняя датируется аж
то вас и не заставляет его править! 18 сентября 2003 года.
Для этого существуют более удобные Конечно, если сравнивать Sendmail
и простые инструменты. Монолитность с такими альтернативами, как Postfix,
сохранилась, но работа этого единс- Exim, Qmail, то по некоторым пара-
твенного «бинарника» стала более метрам он проигрывает своим конку-

12
 администрирование
рентам. Но только не в плане функциональности. Так что
вряд ли стоит так просто сбрасывать его со счетов. Тем бо- Как всё начиналось
лее что Sendmail по-прежнему остаётся почтовой програм- В конце семидесятых Эрик Олман (Eric Allman), работая в Универ-
мой, устанавливаемой по умолчанию во FreeBSD, OpenBSD, ситете Беркли, бился над одной проблемой – как обмениваться
Solaris и ряде других систем. электронной почтой в университетской сети, объединяющей не-
Впрочем, я не ставлю своей целью поднять очередную сколько машин, взаимодействующих между собой по разным про-
волну религиозных войн среди приверженцев того или токолам. Существовали, конечно, отдельные программы, обеспе-
иного MTA. Каждый вправе пользоваться тем инструмен- чивающие взаимодействие каждой пары машин, но Эрику хоте-
том, какой ему ближе по духу и лучше подходит для тех лось создать именно универсальную программу.
или иных задач. Надеюсь, что аргумент «я не понимаю эту И вот в 1983 году появилась первая версия программы
программу» не является для вас основным критерием вы- Sendmail, основанной на менее универсальной delivermail (раз-
бора, что ставить и использовать. И после прочтения дан- работанной для сети ARPANET). Первоначально созданная
ной серии вы сможете более осознанно подходить к вы- для BSD 4.1c, она постоянно развивалась, переносилась на дру-
бору почтовой программы, руководствуясь исключитель- гие системы. Многие компании брали Sendmail за основу для пос-
но объективными данными. троения собственных почтовых программ.
Всё, о чём будет идти речь сегодня, относится к вер- В настоящее время наиболее известной и распространён-
сии Sendmail 8.13.4 с последним патчем, работающей ной версией Sendmail является открытая программа, разрабаты-
во FreeBSD 6.0 (используется дистрибутивная установка). ваемая Sendmail Consortium при спонсорской помощи компании
Применимость утверждений, примеров конфигурации, пу- Sendmail Inc. Последняя выпущенная версия – 8.13.6.
тей к файлам и т. д. к другим системам и версиям не про-
верялась, но в большинстве случаев всё должно работать Чем же они занимаются? Два верхних (с PID 596 и 600
аналогично. соответственно) запускаются при старте системы и посто-
Учитывая, что на системах Linux в последнее время бо- янно присутствуют в памяти. Первый, как следует из опи-
лее распространён Postfix (за исключением некоторых дис- сания, обслуживает входящие соединения, поступающие
трибутивов), отвлекаться на особенности Sendmail в этих на порты, выделенные для SMTP-соединений:
системах я не буду.
serg$ sockstat | grep 596
Архитектура и основы root sendmail 596 3 tcp4 1.2.3.4:25 *:*
функционирования root
root
sendmail
sendmail
596
596
4
5
dgram
tcp4
-> /var/run/logpriv
127.0.0.1:25 *:*
Как уже упоминалось, Sendmail является монолитной root sendmail 596 6 tcp4 10.0.0.254:25 *:*
программой. Единственный двоичный файл – /usr/sbin/ root sendmail 596 7 tcp4 *:587 *:*
mailwrapper – отвечает за все функции, но вручную его обыч-
но не запускают. Все же программы, которыми мы обычно Как видите, помимо стандартного 25-го порта на обслу-
пользуемся, являются не более чем простыми символьны- живаемых интерфейсах (рассматриваемая система име-
ми ссылками на этот «бинарник»: ет две сетевые карты – внешнюю, с условным IP-адресом
1.2.3.4, и внутреннюю – 10.0.0.254, а также непременный
serg$ ls -l /usr/sbin | grep mailwrapper loopback-интерфейс 127.0.0.1) процесс 596 прослушивает
lrwxr-xr-x 1 root wheel 21 11 ноя 10:01 hoststat -> /usr/sbin/mailwrapper порт 587. Этот порт (в /etc/services определён как «submission
-r-xr-xr-x 1 root wheel 5236 11 ноя 10:01 mailwrapper
lrwxr-xr-x 1 root wheel 21 11 ноя 10:01 purgestat -> /usr/sbin/mailwrapper 587/tcp») предназначен согласно RFC 2476 для приёма но-
lrwxr-xr-x 1 root wheel 21 11 ноя 10:01 sendmail -> /usr/sbin/mailwrapper вых писем от клиентов, чтобы не перегружать данной ра-
serg$ ls -l /usr/bin | grep mailwrapper ботой основной, 25-й порт, служащий для пересылки сооб-
lrwxr-xr-x 1 root wheel 21 11 ноя 10:01 mailq -> /usr/sbin/mailwrapper
щений между серверами. (То есть более правильно в на-
lrwxr-xr-x 1 root wheel 21 11 ноя 10:01 newaliases -> /usr/sbin/mailwrapper стройках почтовых клиентов – The Bat, Thunderbird, Outlook
и проч. – указывать для исходящих соединений 587-й порт.)
Если говорить точнее, то собственно работа выполня- В настоящее время протокол Submission используется не
ется файлом /usr/libexec/sendmail/sendmail, а mailwrapper, слишком широко, и клиенты для отправки электронной поч-
как следует из его названия, является «обёрткой» к этому ты задействуют тот же 25-й порт, но ничего плохого в том,
файлу. Система, как правило, пользуется ссылкой sendmail, что данный порт открыт, в принципе нет. Тем более что дан-
остальные же запускаются администратором для решения ная рекомендация (я про RFC 2476) рано или поздно должна
конкретных задач. стать популярной. UNIX-сокет на /var/run/logpriv (с дескрип-
Посмотрим, какие задачи возлагаются на программу тором 4) используется для записи журнальной информации
Sendmail. Если посмотреть на вывод команды ps, то мож- с помощью syslog (обратите внимание, что поскольку этот
но увидеть, что в системе активны сразу несколько про- процесс sendmail работает с правами суперпользователя,
цессов sendmail: то используется привилегированный сокет).
Думаю, задача этого процесса понятна – получив запрос
serg$ ps awxo pid,user,command | grep sendmail | grep -v grep на соединение, он порождает дочерний процесс (в нашем
596 root sendmail: accepting connections (sendmail) выводе команды ps вы можете наблюдать два экземпляра
600 smmsp sendmail: Queue runner@00:30:00 for /var/spool/clientmqueue (sendmail) оных – с PID 83329 и 83670), который и занимается обслу-
83329 root sendmail: k35B3pRn083329 [59.42.1.71]: DATA (sendmail)
83670 root sendmail: server N023143.ppp.ne.jp [61.20.23.14] cmd read (sendmail) живанием данного соединения согласно протоколу SMTP.

№5, май 2006 13

 администрирование
Рисунок 1. Приём сообщения
Рисунок 2. Передача сообщения
Рисунок 3. Транзитная передача
Второй процесс, PID которого ра-
вен 600, отвечает за обслуживание
очереди. Если говорить точнее, то сам
он очередь не обслуживает, а лишь
запускает с заданным интервалом
(в данном случае он составляет 30 ми-
нут, как видно из листинга) другой про-
цесс, который и выполняет всю гряз-
ную работу.
Ах да, я же ещё не рассказал, что
такое очередь! Ничего, скоро этот про-
бел будет восполнен…
Оставим на время наши процессы
и разберёмся с базовыми принципами
функционирования почтовой системы.
В общем случае почтовый сервер мо-
жет выполнять три рода операций: при-
нимать сообщения для локальных кли-
ентов, отправлять сообщения от ло-
14
кальных пользователей на удалённые Передача сообщения от локаль-
серверы и осуществлять транзитную ного пользователя на удалённый сер-
передачу от одного удалённого серве- вер выполняется в следующем поряд-
ра к другому. Как правило, эти опера- ке (см. рис. 2):
ции выполняются одной и той же сис- 1. Локальный клиент (MUA – Mail User
темой, но рассматривать их удобнее Agent), такой как утилита mail, вы-
всё же по очереди. зывает процесс send-mail (выступа-
ющий в роли MSA – Mail Submission
Кто кому родитель Agent).
Итак, при обработке сообщения для 2. Процесс send-mail принимает со-
локального клиента, выполняется сле- общение, переданное клиентом,
дующая последовательность действий и подключается на 25-й порт хоста
(см. рис. 1): localhost.
1. Удалённый сервер, желая передать 3. Процесс, прослушивающий соеди-
нам сообщение, отправляет запрос нения на 25-м порту, порождает до-
на соединение на 25-й порт нашего черний процесс sm1 для обработки
сервера. данного соединения.
2. Процесс sendmail, обслуживающий 4. Sm1, приняв сообщение и поста-
соединения (тот, который в приме- вив его в очередь, предпринима-
ре выше имеет PID 596), порожда- ет попытку передать его получате-
ет дочерний процесс (назовём его лю, для чего составляет маршрут
sm1). движения письма и устанавлива-
3. Дочерний процесс sm1 проверя- ет соединение с первым сервером
ет возможность принять данное (в большинстве случаев он же яв-
сообщение (анализируя конверт, ляется и последним, т.е. сервером,
прежде всего «rcpt to:») и в случае непосредственно обслуживающим
положительного ответа помещает домен получателя).
сообщение в очередь, в файлы qf 5. Дождавшись подтверждения о при-
(заголовки) и df (тело сообщения). ёме сообщения от удалённого
Причём qf обычно создаётся в па- сервера, sm1 удаляет сообщение
мяти и записывается на диск толь- из очереди и завершает работу.
ко в случае невозможности пере-
слать письмо сразу. То есть оче- В случае транзитной передачи сна-
редь – это каталог, куда временно чала выполняются пункты 1-4 алгорит-
сохраняются почтовые сообщения, ма приёма сообщения, затем выполня-
проходящие через сервер элект- ется доставка согласно пунктам 4-5 ал-
ронной почты (по умолчанию ис- горитма передачи локального сообще-
пользуется /var/spool/mqueue). ния (см. рис. 3).
4. Если запись пройдёт успешно, Обратите внимание, что здесь всё
Sendmail подтверждает факт при- завязано на выполнении основопола-
ёма сообщения (принимая тем са- гающего требования – надёжности пе-
мым на себя всю ответственность редачи. Ни при каких обстоятельствах
за его дальнейшую судьбу) и завер- письмо не должно потеряться (разве
шает соединение с удалённым сер- что в случае прямого попадания в сер-
вером. вер из «базуки»). Промежуточная за-
5. Далее sm1 анализирует заголовок пись на диск, даже когда это, казалось
сообщения и принимает решение бы, излишне, является обязательной,
о том, что нужно с ним делать. Если поскольку только это гарантирует це-
оно предназначено для локально- лостность данных в случае сбоя на сер-
го пользователя, то вызывается ло- вере. Впрочем, «если нельзя, но очень
кальный агент доставки, LDA (Local хочется – то можно», и здесь есть при-
Delivery Agent), которому даётся по- ёмы, позволяющие обойтись без «лиш-
ручение положить письмо в почто- ней» записи на диск (это мы обсудим
вый ящик пользователя. в одной из последующих частей ста-
6. Когда LDA успешно выполняет до- тьи, где будем говорить об оптимиза-
ставку, он рапортует об этом про- ции и нестандартной настройке).
цессу sm1, который удаляет со- Если доставить сообщение по на-
общение из очереди и завершает значению с налёта не удалось (из-за
свою работу. проблем с каналом, блокировки почто-
 администрирование
вого ящика пользователя и т. п.), то письмо остаётся в оче- Таблица 1. Ключи sendmail и специальные ссылки
реди и обрабатывается уже отвечающим за это процессом, Команда sendmail Ссылка-аналог Назначение
пока сообщение не будет доставлено или безнадёжность sendmail -bi newaliases Пересоздаёт базу псевдонимов
попыток не станет очевидной. Если письмо так и не удалось sendmail -bp mailq Работа с очередью сообщений
доставить, оно возвращается отправителю.
sendmail -bh hoststat Статистическая информация

Возвращаясь к процессам sendmail -bH purgestat Очистка статистики

Как видите, Sendmail может выступать в трёх ипостасях –

MTA, MSA и MDA. В таких инструментах, как Postfix и Qmail, ные для решения конкретных задач. В таблице 1 приво-
применяется понятная структура «одна задача – одна про- дится соответствие «специализированной» команды клю-
грамма». Здесь же всё делает один исполнимый файл. чам программы sendmail.
Так что не мудрено, что он обладает огромным количест- Если вы посмотрите на сценарии инициализации, ис-
вом самых разных параметров. Перечислю здесь наибо- пользуемые системой, то увидите, что FreeBSD использу-
лее востребованные (за подробностями обратитесь к стра- ет преимущественно ссылку sendmail с необходимыми для
нице man sendmail(8)): решения той или иной задачи ключами.
 -b: этот ключ указывает на то, что необходимо выпол-
нить какое-то действие, и всегда дополняется уточня- Основы настройки
ющим ключом; Как же всё это настраивается? Начиная с 4-й (если не оши-
 -bd: работать в режиме демона; баюсь) ветви, в системе FreeBSD основные настройки со-
 -bm: работать в режиме отправки сообщения – анало- средоточены в каталоге /etc/mail (ранее, по крайней мере
гично команде mail; в 3.5-RELEASE, они размещались непосредственно в /etc).
 -bs: выводить команды SMTP на стандартный вывод Здесь вы найдёте следующие основные файлы:
(фактически, то же самое, что и «telnet localhost 25»);  your.domain.mc: основной конфигурационный файл
 -bt: работать в режиме тестирования (позволяет выпол- (так называемый master config, или просто mc-файл).
нить ряд команд, например, обработать адрес или оп- Его имя будет соответствовать доменному имени ваше-
ределить MX-запись для хоста); го сервера. Именно в него вносятся необходимые изме-
 -bv: проверить адрес получателя (фактически, «раз- нения, и на его основе автоматически будет собирать-
ворачивает» псевдонимы, показывая реального поль- ся рабочий файл sendmail.cf.
зователя или скрипт, которые получат письмо). Сле-  your.domain.submit.mc: конфигурационный файл для
дующий пример показывает, что на моей системе ад- работы в режиме доставки сообщений, когда Sendmail
ресу postmaster соответствует скрипт maildigest.py, ис- не обслуживает внешние соединения, а только отправ-
пользуемый для обработки сообщений антивирусно- ляет почту от локальных пользователей (в этом слу-
го пакета и сбора статистики по вирусной активности чае Sendmail запускается с правами обычного поль-
на узле: зователя и использует для работы очередь /var/spool/
clientmqueue).
root# sendmail -bv postmaster  sendmail.cf, submit.cf: рабочие файлы конфигурации,
"| /usr/local/scripts/maildigest/maildigest.py"... deliverable: которые и использует Sendmail. Настоятельно не реко-
mailer prog, user "| /usr/local/scripts/maildigest/maildigest.py"
мендуется вносить в них исправления вручную, хотя ник-
то и не запрещает это делать. Просто нужно иметь в ви-
Другие полезные ключи: ду, что в данном случае все сделанные вами изменения
 -C: с помощью этого ключа вы можете указать альтер- будут потеряны при первом же выполнении make install,
нативный файл конфигурации (отличный от /etc/mail/ поскольку утилита make при сборке cf-файлов руководс-
sendmail.cf). твуется исключительно данными, содержащимися в mc-
 -q: этот ключ задаёт период обработки очереди. Напри- файлах. Безусловно, учитываются и m4-шаблоны, разме-
мер, указанный как -q30m, он установит обработку оче- щённые в /usr/share/sendmail/cf/, но их тоже лучше не из-
реди сообщений каждые 30 минут. менять.
 -t: даёт указание извлечь адрес получателя из соответс-  aliases: здесь хранятся псевдонимы пользователей. Го-
твующих полей заголовка самого почтового сообщения. воря упрощённо, псевдоним позволяет вам наиболее
Может быть полезен при ручной отправке почты. простым способом перенаправлять почту, приходящую
 -d: эти ключи задают уровень отладки. на тот или иной почтовый ящик, на конкретного пользо-
вателя. Этот же механизм используется для создания
Вот, кстати, приём, позволяющий получить информа- списков рассылки или перенаправления почты на вход
цию о версии вашего Sendmail: какой-либо программы.
 access: этот файл позволяет управлять доступом к поч-
serg$ echo '' | /usr/sbin/sendmail -bt -d0 | grep Version товому серверу извне. Например, вы можете запретить
Version 8.13.4 доступ из конкретной подсети или разрешить пересылку
(relaying) почты для некоторых нелокальных адресов.
Для сокращения числа ключей можно использовать  local-host-names: список хостов (их доменных имён),
другие ссылки на mailwrapper, специально предназначен- для которых сервер Sendmail будет принимать почту.

№5, май 2006 15

 администрирование
Несколько слов про SMTP
Simple Mail Transfer Protocol (SMTP) – простой протокол переда-
чи электронной почты – является основным протоколом, на кото-
ром основана работа электронной почты в сети Интернет. Описан
он в RFC 821, который дополнен рядом других рекомендаций. На-
иболее серьёзным дополнением (скорее даже заменяющим доку-
ментом) является RFC 2821, описывающий расширенный протокол
SMTP и более соответствующий современным реалиям.
SMTP является, скажем так, «терминальным» протоколом,
то есть взаимодействие двух систем осуществляется путём об-
мена текстовыми строками. Клиент (хост, инициировавший со-
единение) передаёт на сервер (хост, принимающий соединение)
команды, состоящие из четырёх букв и следующих далее пара-
метров. Сервер отвечает трёхзначным числовым кодом с после-
дующей строкой-пояснением.
Типичный пример SMTP-диалога может выглядеть таким об-
разом:
serg$ telnet localhost 25
Connected to localhost.
Escape character is '^]'.
220 server.ru ESMTP Sendmail 8.13.4/8.13.4; .. ..
HELO me.domain.ru
250 server.ru Hello localhost [127.0.0.1], pleased to meet you
MAIL From: me@me.domain.ru
250 2.1.0 me@me.domain.ru... Sender ok
RCPT To: serg@server.ru
250 2.1.5 serg@server.ru... Recipient ok
DATA
354 Enter mail, end with "." on a line by itself
Hello! It’s a test message.
. темы, самостоятельно вызывая необходимые служебные
250 2.0.0 k3BAK9Je017265 Message accepted for delivery
QUIT
221 2.0.0 server.ru closing connection
Connection closed by foreign host.
Как видите, смоделировать работу SMTP-протокола достаточ-
но просто. Но нужно заметить, что полная поддержка протокола –
достаточно сложная задача, требующая учёта многих факторов.
Используется, в частности, для организации виртуаль-
ного почтового хостинга.
 mailertable: этот файл используется для определения
специфических обработчиков для некоторых адресов.
Например, так может выглядеть строка для обработки
UUCP-почты пользователя account.
account.myserver.ru uucp-dom : account
То есть для обработки почты локального пользователя
account будет использоваться протокол UUCP с соот-
ветствующим преобразованием адреса.
 virtusertable: здесь размещаются записи, определяю-
щие виртуальных пользователей. Подробнее вопросы
виртуального хостинга будут рассмотрены во второй
части статьи.
 mailer.conf: конфигурационный файл для /usr/sbin/
mailwrapper. Здесь задаётся соответствие «удобных»
имён файлов, таких как mailq, реально вызываемому
двоичному файлу. Например, согласно такой строке
в этом файле:
mailq /usr/libexec/sendmail/sendmail
16
если mailwrapper будет вызван по ссылке mailq, то он за-
пустит программу sendmail, которая размещается по ука-
занному пути. Собственно говоря, любая команда будет
запускать этот файл (архитектура-то монолитная), но те-
оретически здесь заложена возможность использовать
для тех или иных задач внешние файлы или в дальней-
шем безболезненно перейти на модульную структуру
(это, в частности, используется в Postfix).
 helpfile: здесь размещаются строки, которые Sendmail
будет выводить во время SMTP-сеанса в ответ на ко-
манды HELP.
Более подробно использование того или иного файла
будет рассматриваться во второй части статьи.
Обратите внимание, что около aliases, access и ряда
других будут размещаться файлы с таким же именем, но
суффиксом «.db». Это базы (обычно в формате hash, но
также поддерживаются dbm и btree), которые и использу-
ет Sendmail в своей работе, чем достигается сокращение
времени, расходуемого на разбор этих файлов. Следова-
тельно, после внесения изменений в «хэшируемые» кон-
фигурационные файлы вы должны пересоздавать соот-
ветствующие базы.
Традиционно это выполняется командой makemap
(для базы aliases – команда newaliases, являющаяся одной
из ссылок на mailwrapper). Однако разработчики FreeBSD
предоставили нам замечательный Makefile, который дела-
ет большую часть работы по обслуживанию почтовой сис-
утилиты.
В данном случае достаточно перейти в каталог /etc/mail
и выполнить команду make:
root# cd /etc/mail
root# make
При этом make самостоятельно определит, какие фай-
лы были изменены, и пересоздаст соответствующие ба-
зы. Если были изменения в конфигурационном mc-файле,
то эта же команда построит на его основе cf-файл (напри-
мер, your.domain.cf; далее нужно будет ещё выполнить make
install, чтобы этот файл был скопирован как sendmail.cf).
При желании вы можете явно указать, что именно должно
быть пересобрано:
root# make aliases
/usr/sbin/sendmail -bi -OAliasFile=/etc/mail/aliases
/etc/mail/aliases: 167 aliases, longest 47 bytes, 2529 bytes total
chmod 0640 /etc/mail/aliases.db
Как видите, всё предельно просто. Кстати, раз уж у нас
зашла речь о Makefile, помимо сборки и установки конфи-
гурационных файлов, он же позволяет управлять запуском/
остановом/перезагрузкой необходимых процессов (make
start, make stop, make restart соответственно). Можно даже
работать по отдельности с каждым процессом:
root# make restart-mspq
root# make stop-mta
Нужно заметить, что сами команды управления про-
цессами размещаются в /etc/rc.sendmail. Makefile лишь вы-
 администрирование
зывает этот сценарий с нужными параметрами. Обратите
внимание, что в рассматриваемой версии FreeBSD запуск Что такое UUCP?
sendmail при загрузке системы может выполняться дру- Unix to Unix Copy Program (UUCP) – некогда очень популярный
гим сценарием – /etc/rc.d/sendmail. Это более соответству- протокол взаимодействия между удалёнными хостами. Пере-
ет принятому начиная с 5-й ветви порядку инициализации сылка электронной почты не была его единственной обязаннос-
(он был позаимствован из NetBSD), но подобное «двоев- тью, но эта услуга была наиболее востребована. Sendmail, будучи
ластие» может в некоторых случаях привести к путанице разработанным как универсальный почтовый сервер, призванный
и ошибкам (например, если вам нужно внести в эти файлы объединить разнородные сети, обладает поддержкой этого про-
какие-то специфические изменения, то приходится особо токола (правда, реализация осуществляется сторонней програм-
следить за их синхронизацией). мой – во FreeBSD это Taylor UUCP, установить её можно из кол-
Раз уж мы заговорили о сценариях инициализа- лекции портов: /usr/ports/net/freebsd-uucp).
ции, рассмотрим параметры rc.conf, определяющие ра- В настоящее время необходимости использовать этот прото-
боту Sendmail. Основные настройки сосредоточены кол уже нет, но в редких случаях (например, в условиях коммути-
в файле /etc/defaults/rc.conf. По умолчанию переменная руемого доступа) он может оказаться полезен.
sendmail_enable установлена в значение «NO», что под-
разумевает работу Sendmail только для отправки сообще- строки. Если вы хотите закомментировать какую-то дирек-
ний локальных пользователей. MTA, обслуживающий вне- тиву, перенесите dnl в начало строки.
шние соединения, запускаться не будет. Чтобы разрешить
работу Sendmail в режиме MTA, следует установить значе- OSTYPE(freebsd6)dnl
ние этой переменной в «YES». Кстати, если вы хотите пол-
ностью запретить работу Sendmail, используйте значение Тип операционной системы. Согласно данному пара-
«NONE», а не «NO». метру m4 будет выбирать необходимые для работы шаб-
Обратите внимание на одну важную переменную: лоны (из /usr/share/sendmail/cf/ostype/), поэтому очень важ-
но следить здесь за актуальностью информации (особен-
mta_start_script="/etc/rc.sendmail" но когда выполняется обновление системы на другую «вет-
ку»). В первую очередь от этого параметра зависят приня-
Именно она определяет, какой из сценариев – /etc/ тые в той или иной системе полные имена агентов достав-
rc.sendmail или /etc/rc.d/sendmail – будет использоваться ки (LDA), используемые флаги и т. д.
при загрузке системы. По соображениям «однозначности»
лучше оставить использование rc.sendmail, как это и пре- DOMAIN(generic)dnl
дусмотрено по умолчанию.
Подробнее узнать об опциях, которые вы можете изме- Ещё один параметр, влияющий на выбор шаблонов.
нить, можно в самом файле /etc/defaults/rc.conf – он доста- Шаблоны можно найти в /usr/share/sendmail/cf/domain/,
точно хорошо прокомментирован. Ну и при необходимос- в большинстве случаев следует использовать домен
ти что-то переопределить внесите соответствующие стро- «generic». Впрочем, если вам нужны специфические пара-
ки в /etc/rc.conf (надеюсь, вы даже спросонья без запинки метры, которые по тем или иным причинам вам не хотелось
скажете, почему не рекомендуется делать изменения не- бы выносить в конфигурационный файл, можно создать
посредственно в default-скриптах). здесь свой «доменный» шаблон (посмотрите здесь же при-
меры для доменов Berkley.EDU) и использовать его.
Пример файла конфигурации
Рассмотрим небольшой пример mc-файла, для того чтобы dnl DAEMON_OPTIONS('Name=IPv4, Family=inet')dnl
DAEMON_OPTIONS('Port=smtp,Addr=1.2.3.4,Name=MTA')dnl
в общих чертах познакомиться с синтаксисом и наиболее DAEMON_OPTIONS('Port=smtp,Addr=127.0.0.1,Name=MTA')dnl
типичными директивами (подробно конфигурация будет DAEMON_OPTIONS('Port=smtp,Addr=10.0.0.254,Name=MTA')dnl
рассматриваться во второй части статьи). Он представляет
собой набор команд макропроцессору m4, который исполь- Подобным образом указывается, на каких адресах и пор-
зуется для сборки cf-файла. Подробнее о m4 мы поговорим тах следует прослушивать входящие соединения. Первая
в следующий раз, пока же просто рассмотрим некоторые строка из приведённых (закомментированная) указывает ожи-
опции, не вдаваясь в подробности. Поскольку комментарии дать входящие соединения на всех IPv4-интерфейсах. Если
в m4 выглядят не совсем привычно, то вместо пояснений прослушивать нужно только конкретные интерфейсы, можно
в самом файле разобьём его на отдельные строки: поступить так, как показано в последующих двух строках.

divert(-1)dnl
. . . . .
divert(0)dnl
Директива divert() служит для переключения режимов
макропроцессора. Собственно, сама конфигурация начи-
нается после divert(0), поэтому между указанными строка-
ми часто помещают комментарии к файлу. Буквы dnl, при-
сутствующие в конце каждой строки, в m4 означают конец
FEATURE(use_cw_file)dnl
define('confCW_FILE', '-o /etc/mail/local-host-names')dnl
Эти строки задают использование файла local-host-
names и указывают путь к нему.
dnl FEATURE('accept_unqualified_senders')dnl
dnl FEATURE('accept_unresolvable_domains')dnl
Данные две директивы (сейчас они закомментированы)

№5, май 2006 17

 администрирование
Системы-конкуренты
По различным данным, среди наиболее популярных открытых сер-
веров электронной почты наблюдается примерно такое соотно-
шение: Sendmail – 24%, Postfix – 17%, Exim – 9%, Qmail – 4%. Если
сравнить эти цифры с данными за 2001 год (соответственно 42%,
2%, 1%, 17%), то можно отметить довольно существенное сниже-
ние доли Sendmail, прежде всего за счёт Postfix, активно исполь-
зуемого на небольших серверах и домашних системах. Тем не ме-
нее, Sendmail по-прежнему занимает лидирующие позиции.
В качестве основных характеристик конкурирующих откры-
тых систем можно отметить следующие:
Postfix: выросший из IBM Secure Mailer разрабатывается как
быстрая и безопасная альтернатива Sendmail. Отличается мо-
дульной структурой, простым форматом конфигурационного фай-
ла. Благодаря имитации взаимодействия Sendmail с операцион-
ной системой миграция на Postfix может быть выполнена сравни-
тельно безболезненно.
Exim: был разработан в 1995 году Филипом Хазелем (Philip
Hazel) на базе MTA Smail для почтовой системы Кембриджского
университета. Достаточно мощная и гибкая почтовая система. К её
преимуществам также часто относят хорошую документирован-
ность. Как и Sendmail, имеет монолитную архитектуру, но (по от-
зывам) работает несколько быстрее.
Qmail: при разработке этого MTA (автор – Даниэль Бернштайн
(Daniel J. Bernstein)) основной акцент делался на вопросах безопас-
ности. Имеет модульную структуру. Для решения различных задач
запускает процессы от имени разных пользователей, чем дости-
гается максимальный уровень защищённости в случае обнаруже-
ния проблем в одном из модулей. Довольно странную лицензию,
допускающую распространение только в исходных кодах и сильно
осложняющую развитие программы (текущая версия – 1.03 – да-
тируется аж 1998 годом), можно назвать одной из причин, по ко-
торым Qmail стремительно теряет популярность.
Существуют и другие MTA (например, Comminigate Pro), име-
ющие свои достоинства и недостатки. В общем выбирать есть
из чего.
позволяют несколько ослабить требования стандартов. Пер-
вая разрешает обслуживать не полностью квалифицирован-
ных отправителей (т.е. не имеющих полного имени формата
user@domain). Вторая допускает работу с доменами, для ко-
торых не удалось определить их DNS-имя по IP-адресу.
FEATURE(mailertable, 'hash -o /etc/mail/mailertable')dnl
FEATURE(access_db, 'hash -o -T<TMPF> /etc/mail/access')dnl
FEATURE(virtusertable, 'hash -o /etc/mail/virtusertable')dnl
Эти строки описывают пути к специальным файлам
конфигурации. Обратите внимание, что имена баз указа-
ны без суффикса «.db».
FEATURE(blacklist_recipients)dnl
dnl FEATURE('dnsbl', 'sbl.spamhaus.org')dnl
FEATURE('dnsbl', 'relays.ordb.org')dnl
FEATURE('dnsbl', 'dul.ru')dnl
FEATURE('dnsbl', 'bl.spamcop.net')dnl
Строки, реализующие встроенный в Sendmail механизм
борьбы с так любимым нами спамом. Он основан на «чёр-
ных списках», отклоняя любые попытки установить соеди-
нение со стороны IP-адреса, присутствующего в одном
18
из указанных списков. Для таких адресов Sendmail выдаёт
код 550 и разрывает соединение. Если же адреса в базе
rbl-сервера нет, то соединение принимается. На страни-
цах журнала уже неоднократно обсуждались недостатки
такого подхода, так что использовать его следует с осо-
бой аккуратностью.
define('confMAX_MESSAGE_SIZE', '12500000')dnl
Эта строка задаёт ограничение на максимальный раз-
мер сообщения, которое может быть обработано сервером.
Весьма полезная опция, если вы хотите защитить свой сер-
вер и почтовые ящики ваших пользователей от чьих-ни-
будь «шалостей».
define('confMAX_DAEMON_CHILDREN','45')dnl
Максимальное число дочерних процессов, которые мо-
гут быть запущены одновременно. Эта опция помогает ос-
лабить последствия DoS-атаки на почтовую подсистему, ог-
раничивая число запущенных процессов и не позволяя, тем
самым, вызвать катастрофическую перегрузку системы.
define('confPRIVACY_FLAGS', 'noexpn,novrfy')dnl
Эта опция позволяет задать ряд дополнительных фла-
гов, управляющих работой протокола SMTP. В данном слу-
чае запрещается выполнять smtp-команды VRFY и EXPN,
которые по умолчанию позволяют любому пользователю
(в том числе и спамеру) достаточно легко проверить нали-
чие на сервере конкретного почтового ящика и «развер-
нуть» списки рассылки (если таковые имеются).
MAILER(local)dnl
MAILER(smtp)dnl
dnl MAILER(uucp)
Ну а так указывается, какие агенты доставки будут ис-
пользоваться. Здесь определены локальный агент достав-
ки (LDA), и использование протокола SMTP для доставки
на удалённые серверы (MDA). Закомментированная стро-
ка отвечала некогда за подключение агента, работающего
по протоколу UUCP, ныне практически вымершему.
Немного подробнее мы поговорим о конфигурации
в следующий раз. После внесения всех изменений в mc-
файл нужно выполнить следующие действия:
root# cd /etc/mail
root# make
root# make install
root# make restart
После этого Sendmail будет перезапущен в новой кон-
фигурации.
Продолжение следует…
На этом первую часть цикла, пожалуй, и завершим. В следу-
ющий раз мы более детально обсудим настройку Sendmail
(в частности, формат cf-файла и работу макропроцессо-
ра m4), некоторые примеры конфигураций и ряд других
вопросов.
 администрирование
Возможности технологии
MS Windows SharePoint Services
Развитие современного отдела информационных технологий неизбежно связано с переходом
от обслуживания базовой IT-инфраструктуры компании к созданию интранет-порталов
и автоматизации бизнес-процессов. Один из эффективных инструментов для решения
подобных задач – Microsoft SharePoint.
M
icrosoft Windows SharePoint
Ser vices (WSS), входящие
в состав Windows Server 2003,
простой в применении инструмент
для совместного создания, редакти-
рования, публикации и поиска инфор-
мации сотрудниками компании. Удоб-
ный графический интерфейс и мно-
жество встроенных шаблонов позво-
лят быстро получить «осязаемый» ре-
зультат. Являясь платформой-конс-
труктором, Microsoft SharePoint име-
ет тысячи примеров реализации раз-
личных задач из области маркетин-
га, оказания сервисных услуг, рабо-
ты с персоналом, сбора отчетности
и других. А расширенные возможнос-
ти по настройке и добавлению ново-
го функционала с помощью Microsoft
FrontPage и Microsoft Visual Studio поз-
волят модернизировать любое реше-
ние на базе WSS соответственно за-
дачам компании.
Большинство возможностей WSS
вы сможете оценить на примере узла,
на котором располагается телефон-
20
Иван Хрипунов,
Артем Черневский
ный справочник организации. Соста- справочник» и http://server01/phones
вим список возможностей, которыми соответственно. После ввода требу-
должен обладать справочник: емых параметров обязательным ша-
 Предоставление полных данных гом является выбор шаблона сайта.
о сотруднике. Все стандартно поставляемые шаб-
 Персональные – имя, фамилия, лоны описаны на странице выбора.
фотография. Отдельно стоит упомянуть шаблоны
 Рабочие – место работы (отдел) для создания рабочих областей. Все
и должность. рабочие области представляют собой
 Контактная информация – но- веб-узлы, ориентированные на конк-
мера телефонов, адрес элект- ретную задачу. Вследствие этого у них
ронной почты и т. д. немного изменена стандартная фун-
 Возможность экспорта данных кциональность. Например, для рабо-
на локальные компьютеры пользо- чих областей собраний WSS пред-
вателей для работы в режиме оф- ставляют более тесную интеграцию
флайн с поддержкой синхрониза- с Outlook 2003 и немного ограничен-
ции данных по запросу. ные возможности веб-узла.
Для нашего веб-сайта подойдет
Кроме того, справочник можно бу- шаблон «Пустой узел». После создания
дет просматривать и управлять им, ис- мы автоматически попадаем на глав-
пользуя браузер. ную страницу узла (см. рис. 1), ее ад-
рес: http://server01/phones/default.aspx.
Создаем веб-узел
Это первое, что необходимо сделать. Создаем список контактов
При создании сайта нужно задать имя Самый простой путь реализовать теле-
узла и его URL-адрес: «Телефонный фонный справочник на узле WSS – со-
 администрирование
На странице представления также
Преимущества SharePoint перед «традицонными» средствами присутствует панель ссылок или па-
работы с данными – почтой и файловыми серверами нель инструментов, она содержит сле-
 Возможность представления информа- Даже когда вы находитесь вне сети. дующие команды:
ции в читаемом виде так, как на обыч-  Возможность задания дополнительных  Создать элемент – создает новую
ных веб-сайтах. свойств документов в списке. запись в списке;
 Доступ через интернет-браузер.  Блокировка файлов определенных ти-  Фильтр – позволяет задать фильтр
 Версионность документов. пов от публикации. по любому из представленных по-
 Удобная настройка прав на доступ са-  Быстрый контекстный поиск информа- лей;
мими пользователями. ции с удаленного компьютера по индек-  Изменить в таблице данных – по-
 Оповещение пользователей об изме- су SQL-сервера во внутренних и вне- казывает информацию в виде таб-
нениях содержимого списков и библи- шних источниках. По названию, опи- лицы, по аналогии с листом Excel;
отек файлов. санию или содержимому файла.  Связать с Outlook – открывает
 Возможность заблокировать файл от ре-  Статистика доступа к файлам и дан- в приложении Outlook папку кон-
дактирования другими пользователями. ным. тактов, связанную с данным спис-
ком. Эта команда доступна толь-
здать список на основе шаблона «Кон- Заполнив все поля, нажимаем ко в списках, созданных с исполь-
такты». Для создания списка на глав- кнопку «Создать». Попадаем на стра- зованием шаблона «Контакты»
ной странице узла: http://server01/ ницу представления «Все контакты» или «События»;
phones/default.aspx в верхней панели (AllItems.aspx) вновь созданного спис-  Импортировать контакты – позво-
ссылок выбираем «Создать». ка, его адрес – http://server01/phones/ ляет импортировать контакты, ис-
На странице создания находим Lists/Employees/AllItems.aspx – легко пользуя адресную книгу. Команда
раздел «Списки» и выбираем нужный читается и воспроизводится: сервер доступна только в списках на осно-
нам шаблон – «Контакты». Открывает- (server01); сайт телефонного справоч- ве шаблона «Контакты».
ся страница создания нового списка. ника (phones); списки (lists); сотрудни-
При заполнении полей обратите вни- ки (employees). Названия полей представлены ги-
мание на следующие моменты: Имя файла представления можно перссылками для осуществления сор-
 В поле «Имя» введите название не указывать – в этом случае откроет- тировки.
списка по-английски – Employees ся представление по умолчанию.
(сотрудники). При создании спис- На странице представления отобра- Изменяем общие
ка или библиотеки документов жаются поля «Вложения», «Фамилия», параметры
SharePoint использует значение «Имя», «Организация», «Рабочий теле- Переходим по ссылке «Изменить на-
этого поля для создания адреса фон», «Домашний телефон» и «Адрес стройки и столбцы». Открывается
URL. Если это поле целиком состо- электронной почты». Обратите внима- страница настройки списка. Первый
ит из национальных символов, ад- ние, что помимо контактной информа- раздел – «Общие параметры» содер-
рес будет сформирован из стан- ции в списке присутствует поле «Вло- жит ссылки на изменение общих на-
дартной строки: List, List1, DocLib жение». Каждый элемент списка может строек списка, сохранение в качестве
и т. д. При наличии в этом поле сме- содержать вложения, то есть некоторое шаблона, удаление, настройку разре-
шанного набора символов (латинс- количество файлов, связанных с дан- шений на данный список. Перейдем по
ких, национальных и спецсимволов ным элементом. При просмотре эле- ссылке «Изменить общие параметры»
«&, *» и т. д.) в URL попадут только мента списка в поле «Вложения» отоб- и на открывшейся странице парамет-
латинские. Пробелы будут замене- ражаются ссылки на вложенные фай- ров изменим в поле «Имя» название
ны кодами «%20». Если получив- лы. Сами файлы хранятся в отдельной «Employees» на «Сотрудники».
шийся адрес уже существует, в ко- папке на веб-узле. Поддержку вложе- Раздел «Утверждение содержимо-
нец будет добавлена цифра. Исхо- ний в списке можно отключить на стра- го» позволяет настроить утверждение
дя из этого, рекомендуется при со- нице изменения параметров. каждого элемента списка. Это озна-
здании задавать имена латински-
ми символами, заменяя пробелы
знаками подчеркивания. Это обес-
печит более удобное чтение и вос-
произведение адреса URL. Впос-
ледствии имя можно будет изме-
нить, но адрес URL не изменится.
 Выберите, будет ли список отобра-
жаться на панели быстрого запус-
ка. Для облегчения доступа к спис-
ку с главной страницы отметим
«Отображать этот список на пане-
ли быстрого запуска? : Да». Рисунок 1. Вид веб-узла после создания

№5, май 2006 21

 администрирование
чает, что после добавления элемен- боте со списками и библиотеками до- Также обратите внимание на по-
та в список он не будет виден до мо- кументов. Например, при запросе дан- ле «Изменить (ссылка на изменение
мента, пока пользователь с правами ных этого списка с помощью веб-сер- элемента)». Если показать это по-
«Управление списками» не пометит висов WSS, возвращено будет поле ле в представлении, то для каждого
его как утвержденный. По умолчанию «Company», а не «Отдел». элемента будет отображена картин-
данная функциональность выключе- ка со ссылкой на форму изменения
на. Нам она не требуется, поэтому ни- Представления списка элемента.
каких изменений в данной секции про- На данный момент у нас есть только Отмеченные в данном представ-
водить не будем. одно представление – «Все контак- лении столбцы служат для просмот-
Осталось указать лишь разреше- ты». Давайте рассмотрим его настрой- ра краткой информации о сотруднике.
ния для пользователей на уровне эле- ки подробнее. Это его имя, организация и контакт-
ментов. В соответствующем разделе Переходим по ссылке на имени ная информация – телефоны и адрес
укажем, что пользователи могут читать представления, попадаем на страницу электронной почты. Наверное, полез-
все элементы и не могут их редактиро- «Изменение представления». На стра- нее будет выводить вместо домашнего
вать. Сохраняем параметры нажатием нице видим уже привычное деление номер сотового телефона сотрудника.
на кнопку «Ок». на разделы. Снимаем отметку напротив поля «До-
В разделе «Имя» можно изменить машний телефон» и устанавливаем ее
Столбцы списка название и имя файла для данного у поля «Сотовый телефон». Также для
В разделе «Столбцы» на странице на- представления. Будьте осторожны – поля «Сотовый телефон» задаем поря-
стройки перечислены все имеющие- если вы измените имя файла пред- док 5 – такой же, как у поля с домаш-
ся столбцы за исключением служеб- ставления, файл *.aspx будет переиме- ним телефоном. Заметьте, что поря-
ных, их типы данных и признак того, нован. Пользователи, имеющие пря- док полей автоматически изменился.
что поле является обязательным для мые ссылки на данный файл, получат Тот факт, что поле «Домашний теле-
заполнения при добавлении или из- ошибку 404. фон» имеет порядок 6, не должен сму-
менении элемента списка. Служебные Доступные в списке столбцы пе- щать – это поле не отображается, и при
столбцы списков – «Создано», «Со- речислены в одноименном разделе. следующем изменении представления
здатель», «Изменено», «Автор изме- Те столбцы, которые отображаются всем полям будет выставлен правиль-
нений», «Идентификатор». В эти поля в представлении, помечены и находят- ный порядок следования.
автоматически заносится информация ся вверху списка. Справа от названия Также добавим в представление
о дате создания или изменения и поль- каждого поля можно изменить поря- поле «Изменить», отметив его в спис-
зователе, создавшем или изменившем док следования столбцов. ке и указав самый последний порядок
элемент. В поле «Идентификатор» за- Обратите внимание, что «Фамилия» следования. Заменим поле «Фами-
носится уникальный порядковый но- присутствует в списке столбцов не- лия (ссылка на элемент с меню прав-
мер элемента. Для изменения пара- сколько раз в виде полей «Фамилия», ки)» на поле «Фамилия (ссылка на эле-
метров столбца (типа хранимых дан- «Фамилия (ссылка на элемент с меню мент)» – с целью не перегружать поль-
ных, длины поля и т. д.) или его уда- правки)» и «Фамилия (ссылка на эле- зователей лишними элементами уп-
ления необходимо перейти по гиперс- мент)». На самом деле это один и тот равления (имеется в виду контекстное
сылке на его имени. Можно добавить же столбец, но в первом случае отоб- меню элемента). Для изменения эле-
новый столбец и изменить их порядок ражается просто содержимое в виде ментов будет служить столбец «Изме-
по умолчанию. текста, во втором – к нему добавляет- нить», он будет находиться в самом
Заметьте, в списке столбцов при- ся возможность вывода контекстного конце. Для просмотра полной инфор-
сутствует поле «Организация». Под- меню со ссылками на просмотр, прав- мации можно воспользоваться ссыл-
разумевается, что это поле содержит ки, удаления элемента и т. д. и в треть- кой в поле «Фамилия».
сведения о месте работы человека. ем случае формируется ссылка на про- В разделе «Сортировка» уже про-
Для решения нашей задачи – созда- смотр данного элемента списка. Под- ставлена сортировка сначала по фа-
ние телефонного справочника – это по- держка этих вариантов для одного по- милии, а затем по имени. Эти пара-
ле не требуется, так как подразумева- ля позволяет создавать представле- метры были заданы в шаблоне спис-
ется, что все сотрудники работают в од- ния списка с разными возможностями. ка. Здесь также можно указать по-
ной компании. В то же время в списке Стоит отметить, такие варианты воз- рядок сортировки – по возрастанию
не хватает поля «Отдел». Мы переиме- можны лишь для единственного поля, или по убыванию, для каждого из по-
нуем поле «Организация» в «Отдел». создаваемого автоматически. Это по- лей сортировки. Для целей сортиров-
Для переименования переходим ле нельзя удалить, нельзя изменить ки списка доступны только два поля,
по ссылке «Организация» в спис- его тип, и оно является обязательным по которым можно проводить сорти-
ке полей и на открывшейся страни- к заполнению. Такое поле присутствует ровку в каждом представлении.
це в поле «Имя столбца» вводим «От- во всех списках и является единствен- Раздел «Фильтр» позволяет отоб-
дел» и сохраняем изменения. Мы по- ным полем при создании произвольно- рать элементы списка по определен-
меняли только название поля. Его имя, го списка. Поле имеет имя «Title», его ным критериям. Вы можете указать не-
«Company», осталось неизменным. название может быть разным, в нашем сколько значений фильтра. Добавление
Это важно понимать и помнить при ра- случае – это «Фамилия». полей производится нажатием на ссыл-

22
 администрирование
ку «Другие столбцы…». Интересным
моментом здесь является использова-
ние в качестве условия значений «[Се-
годня]» для полей с датами и «[Я]» для
полей «Создатель» и «Автор измене-
ний». Например, при указании условия
«[Сегодня]» для поля «Создано» в пред-
ставлении будут показаны все элемен-
ты списка, созданные сегодня. А усло-
вие «[Я]» для поля «Создатель» позво-
лит отображать в представлении все
элементы списка, созданные текущим
пользователем. Нам не требуется ука-
зание каких-либо фильтров для наше-
го списка. Поэтому оставим этот раздел
без изменений, то есть должен быть от-
мечен пункт «Отображать в этом пред-
ставлении все элементы».
В разделе «Группировка» можно
указать поля для группировки данных.
Например, элементы нашего справоч-
ника можно сгруппировать по органи-
зации или отделу. Для этих целей мож-
но создать новое представление и на-
звать его, например, «По отделам».
При этом вывод данных будет произ-
водиться группами, содержимое ко-
торых можно будет сворачивать или Рисунок 2. Ввод данных о сотруднике
разворачивать так же, как это сдела-
но с разделами на данной странице. воде группами есть возможность про- лаем в качестве примера. На странице
Указание группировки более чем для листывать группы. Такие ограничения представления «Все контакты» на па-
двух полей не имеет смысла, так как полезны при наличии в списке большо- нели инструментов нажимаем кнопку
вывод информации будет переполнен го количества элементов. При выводе «Создать элемент» (см. рис. 2).
названиями групп и замедлен их фор- группами или ограничении числа эле- Открывается страница ввода ново-
мированием, поэтому для группиров- ментов значительно ускоряется про- го элемента со всеми полями для ввода.
ки, как и для фильтров, доступно ука- цесс формирования и загрузки страни- Красными звездочками отмечены те
зание только двух полей. цы. Это имеет и свой минус – для того, поля, заполнение которых обязатель-
По любому полю, отображаемому чтобы добраться до конца списка, не- но. В нашем случае – это поле «Фами-
в представлении, есть возможность обходимо перейти по ссылкам некото- лия». Вводим данные во все поля и на-
подводить итоги – подсчитывать сред- рое количество раз. жимаем кнопку «Сохранить и закрыть»
нее, максимум, минимум и т. д. для чис- Мы рассмотрели все разделы пред- на панели инструментов. Возвраща-
ловых элементов и количество значе- ставления и внесли необходимые прав- емся в представление «Все контакты»
ний – для текстовых. Настроить расчет ки. Нажимаем на кнопку «Ок» для со- и видим, что запись добавлена.
итогов можно в разделе «Итоги». Такая хранения результатов и вновь попада- Второй способ – использование
функциональность вряд ли необходи- ем на страницу «Настройка». для ввода файла Excel или таблично-
ма для телефонного справочника. го представления данных, связанно-
Раздел «Стиль» предоставляет Ввод данных в список го со списком. Для ввода информа-
возможность настройки вида (распо- Остался еще один немаловажный мо- ции придется создать дополнитель-
ложение полей, цветовое выделение мент: откуда в списке появятся дан- ное представление, содержащее все
и т. д.) выводимой информации. Вы мо- ные? Можно дать возможность сотруд- поля, кроме служебных, и экспортиро-
жете поэкспериментировать с различ- никам вводить данные самостоятель- вать данные в Excel. После чего с дан-
ными стилями, но для нашего примера но, используя разрешения на уровне ными можно работать, как с обычным
изменять мы ничего не будем, оставим элемента списка. Но тогда не избе- файлом Excel, только список необходи-
стиль по умолчанию. жать беспорядка. мо синхронизировать для отражения
В разделе «Максимальное коли- Можно рассмотреть централизо- изменений. Для ввода данных созда-
чество элементов» можно задать ли- ванные варианты попадания данных в дим представление типа «Таблица дан-
бо вывод группами с определенным список. Первый, самый простой – до- ных», в котором выведем все необходи-
числом элементов, либо вывод огра- бавление данных вручную на сайте те- мые для заполнения поля. Назовем его
ниченного числа элементов. При вы- лефонного справочника, что мы и сде- «Таблица данных». Создавая представ-

№5, май 2006 23

 администрирование
Разрешения на веб-узле
На любом веб-узле могут быть настроены
разрешения как для отдельных пользова-
телей, так и для групп. Вы можете добав-
лять на веб-узел пользователей и группы
как локального сервера, так и домена.
По умолчанию на веб-узле существуют
следующие группы:
 Читатель – доступ к веб-узлу только
на чтение.
 Участник – добавление содержимого
в существующие библиотеки докумен-
тов и списки.
 Веб-дизайнер – создание списков
и библиотек документов; настройка
страниц веб-узла.
 Администратор.
Вы можете создавать собственные
группы узла и назначать им права досту-
па, гибко оперируя разрешениями на узел,
списки, библиотеки документов и персо-
нальные возможности. Так же можно со-
здавать многоузловые группы, которым
можно назначать права доступа на не-
скольких узлах. Права на узел верхне-
го уровня могут наследоваться дочерни-
ми узлами.
Каждому списку, отдельно от разре-
шений узла, могут быть назначены сле-
ление, помните, что при первоначаль-
ном задании имени представления оно
будет использоваться в качестве име-
ни файла. Поэтому рекомендуется за-
дать сначала имя datasheet (таблица),
а потом переименовать представление.
После создания переходим во вновь
созданное представление, используя
ссылку «Таблица данных» слева, в раз-
деле «Выберите представление». Как
видите, ввод в таком представлении го-
раздо удобнее и не отличается от вво-
да данных на листе Excel.
Третий способ – импорт контактов
из адресной книги Outlook. В качестве
источника может служить и глобаль-
ная адресная книга сервера Exchange.
Для такого импорта служит кнопка
«Импортировать контакты» на панели
инструментов списка. После нажатия
на кнопку необходимо выбрать кон-
такты для импорта из адресной кни-
ги и ответить на запрос об импорте
из Outlook.
Все описанные способы предпола-
гают ручное обновление списка, а это
не всегда удобно и, к сожалению, не га-
24
дующие разрешения для пользователей
или групп:
 Просмотр элементов списков.
 Добавление элементов списков.
 Изменение элементов списков.
 Удаление элементов списков.
 Управление личными представления-
ми.
 Управление разрешениями списка.
 Управление списками.
Если права доступа на список не назна-
чаются явно, то используются разрешения
установленные для пользователя или груп-
пы на уровне узла.
Также могут быть установлены разре-
шения на уровне элементов списка. Поль-
зователю можно разрешить просматривать
все элементы списка или только свои; ре-
дактировать все элементы, только свои
или запретить редактирование элемен-
тов. Эти разрешения не действуют при на-
личии разрешения «Управление списками»
у пользователя или группы, по умолчанию
это право есть у группы «Администраторы»
и «Веб-дизайнеры».
Разрешения для библиотек докумен-
тов точно такие же, как и у списков. Обра-
тите внимание, что разрешения на уров-
не элементов для библиотек файлов от-
сутствуют.
рантирует уникальности данных, что
может привести к дублированию кон-
тактов. Выход из ситуации – удаление
контактов перед импортом, но это не
самый удобный вариант.
Помимо перечисленных, есть так-
же другие способы. Например, созда-
ние собственного приложения импор-
та данных в список, используя объек-
тную модель SharePoint. При исполь-
зовании Access 2003 можно работать
со списком как с таблицей в базе дан-
ных и записывать туда данные.
Подведем итоги
Итак, что у нас получилось? На страни-
це представления по умолчанию спис-
ка отображается необходимая кон-
тактная информация по сотрудникам.
Для просмотра полной информации,
назовем ее «Карточка сотрудника»,
есть ссылка в столбце «Фамилия». Ре-
дактирование элементов осуществля-
ется по ссылке в колонке «Изменить».
Мы создали представление «По отде-
лам», где данные списка сгруппирова-
ны по отделам.
Фильтрация и сортировка осущест-
вляются стандартными способами. По-
иск по списку можно осуществлять, ис-
пользуя средства WSS – в правом вер-
хнем углу домашней страницы есть со-
ответствующая область.
Для создания локальной копии
списка на компьютерах пользовате-
лей можно воспользоваться экспор-
том в электронную таблицу или свя-
зать данный список с Microsoft Office
Outlook 2003. Экспортированные таким
образом данные можно будет исполь-
зовать в режиме оффлайн и при необ-
ходимости синхронизировать.
Для экспорта списка в электрон-
ную таблицу предназначена одноимен-
ная ссылка, которая находится слева
на панели «Действия». Имейте в виду,
что при экспорте используются поля
и данные текущего представления. Ра-
нее мы создали представление «Табли-
ца данных», его и можно использовать
для экспорта. После нажатия на ссылку
будет выдан запрос на открытие или со-
хранение стандартного файла веб-за-
проса Microsoft Office Excel 2003 –*.iqy,
затем предупреждение Excel о безо-
пасности открытия такого запроса. Эти
запросы зависят от настроек безопас-
ности Windows и Excel. После откры-
тия на листе Excel отображается спи-
сок с данными контактов сотрудников.
Его можно сохранить и использовать
локально. Впоследствии можно обнов-
лять данные, запрашивая изменения
на сервере, или редактировать список,
отправляя данные на сервер, при нали-
чии прав на эти операции.
Вы можете использовать список
контактов в Outlook, для этого необ-
ходимо на панели инструментов на-
жать на кнопку «Связать с Outlook».
В структуру папок Outlook будут до-
бавлены «Папки SharePoint», где и бу-
дут располагаться контакты из нашего
списка. В папке Контакты в Outlook бу-
дет добавлен раздел Общие контакты
с данными из нашего списка на серве-
ре. Этот список можно использовать
автономно, и обновлять данные с сер-
вера при необходимости. К сожалению,
в Outlook нельзя редактировать дан-
ные, полученные с серверов WSS. От-
кройте карточку любого контакта и пос-
мотрите, какие поля заполнены. Прото-
кол передачи данных между SharePoint
и Outlook поддерживает те поля, кото-
рые по умолчанию присутствуют в спис-

ке, созданном на основе шаблона «Кон-
такты». Мы не зря переименовали поле
«Организация» в «Отдел» – иначе мы
бы не смогли выгружать в Outlook све-
дения об отделе, а они нам более важ-
ны, раз речь идет о справочнике одной
компании. Обратите внимание, что по-
ле «Организация» в карточке контакта
Outlook содержит сведения об отделе.
Получился достаточно функцио-
нальный телефонный справочник, в ко-
тором пока не хватает фотографий.
Добавляем фотографии
сотрудников
Для крупных компаний наличие фо-
тографий в телефонном справочни-
ке особенно актуально. Для реализа-
ции нам необходимо место для хра-
нения фотографий. Это может быть
библиотека документов или библи-
отека рисунков. Ее можно располо-
жить на нашем сайте или на любом
другом. А в списке контактов сотруд-
ников мы будем хранить лишь ссыл-
ки на файлы.
Создадим библиотеку рисунков.
Как уже было сказано, это модифи-
цированная библиотека документов,
в которой добавлена функциональ-
ность для просмотра изображений.
Для создания библиотеки на вер-
хней панели ссылок нашего узла
http://server01/phones выбираем «Со-
здать». На странице создания идем
по ссылке «Библиотека рисунков».
Открывается страница создания но-
вой библиотеки. Как видите, стра-
ница аналогична странице создания
списка. Добавлен лишь раздел «Вер-
сии рисунков». В этом разделе любой
библиотеки (рисунков, форм или до-
кументов) можно включить поддержку
версионности, то есть возможность
сохранения и восстановления пре-
дыдущих версий файла. Данная фун-
Рисунок 3. Библиотека рисунков
№5, май 2006
Взаимодействие с почтовым сервером
При указании в настройках WSS сервера
исходящей почты SMTP предоставляется
возможность использовать запросы на до-
ступ и оповещения об изменениях.
Если на веб-узел пытается зайти поль-
зователь, не имеющий должных разреше-
ний, он видит веб-страницу с формой за-
проса на доступ. Эта же страница появ-
ляется, когда пользователь пытается пре-
высить свои разрешения. В форме запро-
са на доступ указывается текущий логин
пользователя, и есть возможность указать
причины запроса. После нажатия на кноп-
ку отправить запрос администратор сай-
та получит по электронной почте сообще-
ние. В нем будет указан пользователь, ад-
рес узла и ссылки для администрирования
разрешений.
Запросы на доступ можно отключить
в пределах всего сайта, или отдельно взято-
го списка, или библиотеки документов.
Еще одним интересным моментом ис-
кциональность полезна при совмест-
ной работе над документами, но тре-
бует дополнительного дискового про-
странства.
Заполняем поля на странице:
 В поле «Имя» вводим название по-
английски – photos (фотографии).
 В поле «Описание» вводим «Фото-
графии сотрудников».
 Выбираем, будет ли библиотека
отображаться на панели быстрого
запуска.
 В данной библиотеке поддержка
версионности не нужна, поэтому
отключаем ее.
Нажимаем кнопку «Создать». По-
падаем в библиотеку рисунков, в пред-
ставление по умолчанию «Все рисун-
ки». Страница похожа на представле-
ние списка.
администрирование
пользования почтового сервера является
функциональность оповещений об измене-
ниях. При просмотре списка библиотеки до-
кументов на панели «Действия» есть ссыл-
ка «Оповещать меня». При просмотре эле-
мента списка или свойств файла в библио-
теке документов такая же ссылка «Опове-
щать меня» есть на панели инструментов.
При использовании этой ссылки пользова-
тель задает свой адрес электронной почты,
тип изменений и частоту оповещений. Типы
изменений включают все изменения, добав-
ление элементов, изменение элементов,
удаление элементов. Сообщения могут от-
правляться немедленно, раз в день или раз
в неделю. После сохранения пользователь
при каждом изменении в списке, библиоте-
ке или их элементе будет получать уведом-
ления о совершенных действиях по элек-
тронной почте. В сообщение будет указы-
ваться тип изменения и будут даны гиперс-
сылки для просмотра изменений.
Помимо представления «Все ри-
сунки» в списке присутствует еще од-
но. «Проводник» является стандарт-
ным для всех библиотек документов
и позволяет отображать файлы так,
как если бы вы открыли папку в про-
воднике Windows. Кстати, доступ
к серверу SharePoint через провод-
ник возможен – достаточно лишь ука-
зать UNC-адрес. Для нашего сервера
http://server01/phones/ путь будет вы-
глядеть как \\server01\phones. При этом
все компоненты веб-узла отображают-
ся в виде папок и файлов. При работе
с сайтом через проводник будьте вни-
мательны – не удалите случайно слу-
жебные папки или файлы!
Переименуем созданную библи-
отеку на «Фотографии сотрудников».
На панели «Действия» выберем «Из-
менить настройки и столбцы», далее –
«Изменить общие параметры» и в поле
«Имя» введем новое название библио-
теки. Сохраним изменения и вернем-
ся в библиотеку.
У нас уже есть несколько записей
в телефонном справочнике. Загрузим
для них фотографии. На панели инс-
трументов выберем «Добавить рису-
нок». Здесь возможно указать один
файл для загрузки в поле «Имя» или,
перейдя по ссылке «Отправить не-
сколько файлов», указать файлы в от-
крывшемся окне проводника.
25
 администрирование
Персонализация веб-сайтов
WSS позволяют настраивать внешний вид
страниц и представления списков индиви-
дуально для каждого пользователя.
Пользователи получают возможность
изменить параметры веб-частей на стра-
ницах веб-сайтов согласно своим поже-
ланиям. Изменить можно такие парамет-
ры, как отображение веб-части, ее место-
положение и т. д.
В случае со списками и библиотеками
документов пользователи могут создавать
персональные представления.
Стоит отметить, что для библио-
теки рисунков для загрузки несколь-
ких файлов открывается приложение
Microsoft Office Picture Manager 2003,
но только в том случае, если оно ус-
тановлено. В Picture Manager нахо-
дим нужные фотографии, выделя-
ем их и нажатием кнопки «Отправить
и закрыть» отправляем изображения
в библиотеку.
Для хранения всех фотографий
нам необходимы уникальные имена
файлов, чтобы легко идентифициро-
вать сотрудников. Например, можно
26
использовать адрес электронной поч-
ты или логин сотрудника. Мы так и сде-
лаем (см. рис. 3).
Что дальше?
Теперь нам надо добавить ссылку
на фотографию в строку с контакта-
ми сотрудника. Добавим в список но-
вый столбец. Переходим на страницу
настроек списка «Сотрудники», выби-
раем «Добавить новый столбец». При-
сваиваем имя столбца – photo. В слу-
чае создания поля при вводе его име-
ни, например, по-русски все символы
будут заменены кодами. Это не меша-
ет в дальнейшей работе, но все же ре-
комендуется придерживаться правил
именования с использованием латин-
ских символов без пробелов.
Теперь необходимо выбрать тип
столбца из следующих:
 Однострочный текст. В столбец
такого типа придется вводить ссыл-
ку на рисунок вручную. В представ-
лении будет отображаться актив-
ная ссылка на фотографию.
 Гиперссылка или рисунок. Дан-
ные вводятся вручную, но отобра-
жаться будет фотография.
 В ыч и с л я е м ы й ( в ыч и с л е н и е
по другим столбцам). В столбце
такого типа можно написать фор-
мулу, похожую на те, что использу-
ются в ячейках Excel. Подробную
информацию о вычисляемых ячей-
ках можно получить по ссылке «До-
полнительные сведения» в разделе
«Дополнительные параметры стол-
бца». Используя формулу, мы смо-
жем автоматически формировать
ссылку на картинку, правда, пока
вместо рисунка будет отображать-
ся гиперссылка. Далее мы испра-
вим ситуацию.
Итак, вводим в поле «Формула»
следующее:
=СЦЕПИТЬ("http://server01/phones/ ↵
photos/";ЛЕВСИМВ ↵
([Адрес электронной почты]; ↵
НАЙТИ("@";[Адрес электронной ↵
почты])-1);".jpg")
Результатом работы формулы бу-
дет полная ссылка на фото сотрудни-
ка в библиотеке рисунков, основанная
на его имени, которое указано в столб-
це «Адрес электронной почты» до сим-
вола «@». Каждый раз, когда вы буде-
 администрирование

Рисунок 4. Получившийся веб-узел

те заполнять столбец с адресом элект- Теперь необходимо настроить вне- пает в роли поставщика данных, дру-
ронной почты, в столбце с фото будетшний вид веб-части – она не отобража- гая – в качестве приемника. Веб-часть-
обновляться ссылка. ет некоторых полей. Справа в заголовке приемник может на основе получен-
Сохраняем новый столбец. Теперь веб-части нажмем кнопку со стрелкой ных данных изменять (фильтровать)
можно его переименовать, например, вниз. Откроется меню веб-части. Его отображаемую информацию. Соеди-
пусть его названием будет «Фото». первые три пункта позволяют управ- нения актуальны для веб-частей спис-
Следующим шагом по улучшению лять отображением веб-части на стра- ков, библиотек документов, рисунков,
справочника будет отображение дан- нице. Пункт «Свернуть» позволяет по- представления данных и т. д.
ных на первой странице веб-узла. казывать только заголовок. Пункт «За- Добавим отображение фотогра-
П е р ехо д и м н а гл а в н у ю с т р а -
крыть» сделает веб-часть невидимой. фии сотрудника на нашей странице.
ницу сайта, в нашем примере это Чтобы вновь ее отобразить, придет- Для этого соединим веб-часть списка
ся открывать страницу во FrontPage контактов с присутствующей на стра-
http://server01/phones. Заходим в вы-
падающее меню «Изменить общую или другом редакторе, совместимом нице веб-частью рисунка. При этом
страницу». Если такого меню нет или с WSS. Для удаления веб-части со стра- в качестве передаваемой информации
оно называется «Изменить мою стра- ницы выберите «Удалить». будем использовать ссылку на фото-
ницу», возможно, у вас нет соответс- Для изменения настроек веб-час- графию сотрудника.
твующих прав. Краткое назначение ти выберем пункт «Изменить общую Открываем страницу в конструкто-
пунктов меню: веб-часть». В правой части окна от- ре. В меню веб-части «Сотрудники» по-
 Добавить веб-части. Открыва- кроется страница с параметрами веб- явился пункт «Соединения». Выбира-
части. Разделы «Вид», «Макет» и «До- ем его и далее «Предоставить строку».
ет страницу в конструкторе и окно
со списком веб-частей. Кроме то-полнительно» присутствуют для всех Затем выбираем веб-часть, которой
го, есть возможность поиска или веб-частей. В этих разделах можно мы будем передавать данные, «Рису-
импорта веб-части. задать название веб-части, разме- нок узла». В открывшемся окне выби-
 Изменить эту страницу в конструк-ры и отображения веб-части и ее ме- раем поле, которое содержит путь к ри-
торе. Отображает страницу в виденю. Самый верхний раздел управляет сунку, в нашем случае это поле «Фото»,
конструктора, с веб-зонами и воз-
текущим представлением списка для и нажимаем кнопку «Готово».
можностью изменять местоположе- веб-части. Выберем в списке «Выбран- Заметьте, что слева в каждой стро-
ние веб-частей. ное представление» пункт «Все кон- ке списка сотрудников появился эле-
 Изменить общие веб-части. От- такты» и укажем, что нам не нужна мент со ссылкой. При нажатии на него
крывает окно свойств выбранной панель инструментов. Заметьте, спи- в правой части страницы загружается
веб-части для изменения ее на- сок отображается с использованием фотография сотрудника. Если не вы-
строек. представления «Все контакты». Неко- брано ничего, то есть когда мы пер-
 Общее представление. Переклю- торые поля этого представления мож- вый раз заходим на страницу, вместо
чается в представление для всех но скрыть. Переходим по ссылке «Из- рисунка отобразится текст, сообщаю-
пользователей. Данный пункт до- менить текущее представление». От- щий о необходимости выбора сотруд-
ступен при наличии соответству- крывается окно редактирования пред- ника (см. рис. 4).
ющих разрешений на изменения ставления. Все изменения, которые бу-
страниц на узле. дут сделаны на этой странице, будут Заключение
 Личное представление. Позво- касаться только одной веб-части. Сни- Созданный в примере телефонный
ляет настроить внешний вид стра-маем отметки напротив поля «Изме- справочник вы можете модерни-
ницы и веб-частей по своему вку-нить». Сохраняем представление на- зировать, расширив функциональ-
су для конкретного пользователя.жатием кнопки «Ок». ность и улучшив внешний вид. Для
Одна из возможностей веб-час- этого можно использовать редак-
Выберем пункт «Добавить веб-час- тей – поддержка соединения между тор, совместимый с технологиями
ти → Обзор». Перетащим мышкой веб- ними. Две веб-части могут быть со- SharePoint, например Microsoft Office
часть списка «Сотрудники» из правой единены в пределах страницы или уз- FrontPage 2003. Но это – тема для сле-
части окна в левую. ла. При этом одна веб-часть высту- дующих статей.

№5, май 2006 27

 администрирование

Узнай секреты WMI: события и провайдеры

Часть II: ключ к управлению системой и приложениями

Константин Леонтьев
Технология управления системами через WMI позволяет решать ваши задачи гораздо
эффективнее, если вы знаете потенциальные возможности WMI-провайдеров.

В
предыдущей части статьи [1]
мы подробно рассмотрели спо-
собы, которые предоставляет
WMI системным администраторам для
отслеживания и реакции на системные
события. Из всех основных возмож-
ностей WMI нам осталось рассмотреть
только специфику работы с различны-
ми провайдерами. Как вы помните из
предыдущей статьи [2], WMI на ниж-
нем уровне имеет модульную расширя-
емую архитектуру. Такая архитектура
позволяет разработчикам добавлять
к единому пространству классов WMI
новые классы, отвечающие за мони-
торинг и управление их программно-
го обеспечения. Такие модули в WMI
имеют название провайдеров и обыч-

28
 администрирование
но оформлены в виде DLL-библиотеки, взаимодействую- dtmInstallDate = strOS.InstallDate
Wscript.Echo WMIDateStringToDate(dtmInstallDate)
щей с WMI через COM+. Next
Замечу, что есть ряд провайдеров WMI, которые яв-
Function WMIDateStringToDate(dtmInstallDate)
ляются посредниками между WMI и другими широко рас- WMIDateStringToDate = CDate(Mid(dtmInstallDate, ↵
пространенными системами управления. К таким провай- 5, 2) & "/" & Mid(dtmInstallDate, 7, 2) & "/" & ↵
Left(dtmInstallDate, 4) & " " & ↵
дерам в частности относятся: WMI SNMP Provider и WMI Mid (dtmInstallDate, 9, 2) & ":" & ↵
Performance provider. Конечно же, в задачу системного ад- Mid(dtmInstallDate, 11, 2) & ":" & ↵
Mid(dtmInstallDate, 13, 2))
министратора не входит разработка провайдеров WMI – это End Function
удел программистов, однако весьма полезно иметь пред-
ставление об основных провайдерах и их функциях. Возникает вопрос, почему дата и время в WMI пред-
В операционной системе Windows XP существует бо- ставлены столь странным образом. Ответ на самом де-
лее 20 различных провайдеров WMI, каждый из которых ле прост. Вспомните, что одним из важнейших элемен-
решает свой собственный узкий набор задач. Кроме того, тов WMI является язык WQL. Для удобства обработки да-
устанавливая драйверы, а также системное и прикладное ты и времени в WMI с помощью языка WQL (внутренней
программное обеспечение, вы можете обнаружить, что их сортировки и группировки) все даты представлены так,
разработчики включили в состав своего продукта допол- что в самых старших разрядах идет год, затем месяц, по-
нительные WMI-провайдеры и классы. Из наиболее широ- том – день, потом часы, минуты и секунды. Соответствен-
ко известных программных продуктов, устанавливающих но для того, чтобы отсортировать массив данных, получен-
свои WMI-провайдеры, можно отметить следующие: Intel ных из WMI по дате времени, не нужно делать никаких до-
ProSet II, Citrix Metaframe и Presentation Server, Symantec полнительных усилий.
Antivirus, Dell Open Manage, IBM DB2, HP Open View, Altiris Некоторые усилия потребуются при отображении этих
Software Virtualization Solution, а также большинство продук- данных пользователю или сохранении их в отчете. С вы-
тов и сервисов Microsoft. Замечу, что это далеко не полный ходом Windows XP эта задача стала решаться еще легче.
список, а лишь то, что наиболее часто встречается в кор- В наборе объектов для сценариев WMI появился специаль-
поративных сетях. ный класс объекта SWbemDateTime. Он отвечает за пред-
Поскольку все провайдеры нацелены на предостав- ставление даты и времени в удобном для чтения виде.
ление различных функций и решение различных задач, То есть фактически проделывает ту же работу, что и фун-
то всё описание и примеры будут строиться не от одной об- кция WMIDateStringToDate из листинга 1. Пример исполь-
щей задачи, как это было в предыдущей части, а от функ- зования этого класса дан в листинге 2.
ций провайдера.
Листинг 2. Использование объекта SWbemDateTime.
Работает только на Windows XP и новее.
Обработка даты и времени
в сценариях WMI Set dtmInstallDate = ↵
CreateObject("WbemScripting.SWbemDateTime")
Разберём простой пример по обработке даты и времени
в сценариях WMI. Многие провайдеры WMI возвращают strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & ↵
обратившейся к ним программе различные характеристи- strComputer & "\root\cimv2")
ки операционной системы и приложений, которые содер-
Set objOS = objWMIService.ExecQuery("Select * ↵
жат даты и время. Эти данные представлены в специаль- from Win32_OperatingSystem")
ном формате и нуждаются в предварительной обработке,
For Each strOS in objOS
прежде чем принять удобный для чиения вид. dtmInstallDate.Value = strOS.InstallDate
До выхода Windows XP эта задача оставалась на со- Wscript.Echo dtmInstallDate.GetVarDate
Next
вести вызывающей программы и требовала от админис-
тратора написания подпрограммы преобразования фор- В дополнение к этим новым возможностям в самом ре-
матов. Несмотря на то что алгоритм этой подпрограммы позитории WMI появились классы, представляющие ло-
довольно прост – это требовало дополнительных усилий. кальное время и часовой пояс не во внутреннем форма-
Пример такой подпрограммы представлен в листинге 1. те WMI, а в удобном для пользователя виде. Эти классы:
Если взглянуть внимательно, то эта подпрограмма всего Win32_LocalTime и Win32_TimeZone – удобное дополне-
лишь разбирает дату и время, которые вернула система ние для работы с датами и временем. Кроме того, класс
WMI, на составляющие и представляет в более удобном Win32_LocalTime рекомендуется использовать для отслежи-
для чтения виде. вания интервалов времени с помошью обработчиков собы-
тий WMI, которым была посвящена предыдущая часть ста-
Листинг 1. Работа с датой и временем в WMI-сценариях. тьи. Обратите внимане, что минимальный интервал време-
Работает на всех версиях ОС
ни, который позволяет отслеживать класс Win32_LocalTime,
strComputer = "." равен 1 секунде.
Set objWMIService = GetObject("winmgmts:\\" & ↵
strComputer & "\root\cimv2") Сканирование хостов сети
Set objOS = objWMIService.ExecQuery("Select * ↵ и провайдер Ping
from Win32_OperatingSystem") Провайдер Ping предоставляет в репозиторий WMI всего
For Each strOS in objOS один класс Win32_PingStatus. Они позволяют из сценариев

№5, май 2006 29

 администрирование
WMI посылать ICMP ECHO-запросы в сеть. Попросту пинго-
вать хосты сети. К сожалению, этот провайдер поддержи-
вается только в Windows XP и Windows Server 2003.
Если вам нужно написать сценарий WMI, который под-
ключается к удаленной машине (как это делать, мы об-
суждали в предыдущей статье [2]), то перед подключени-
ем хорошо бы проверить – доступна ли эта машина. Ес-
ли машина по сети не доступна (выключена или отсоеди-
нена от сети), то подключение к WMI не состоится и в ваш
сценарий будет возвращена ошибка. Сама по себе ошиб-
ка не представляет большой проблемы, но перед тем как
WMI вернет ее вам, пройдет довольно большой тайм-аут
(около 30-60 секунд).
Таким образом, если вы запустите сценарий, который
должен будет подключиться к 100 машинам по сети и 25
из них будут недоступны, то время выполнения сценария
займёт от 15 до 30 минут.
Если мы сможем перед попыткой подключения к уда-
ленной машине быстро проверить, доступна ли она, то это
значительно сократит время ожидания. Вот как раз эту за-
дачу и позволяет эффективно решать Ping. Вам следует
не забывать, что проверка доступности хоста по ICMP эхо-
запросу может быть неудачной и из-за применения в сети
на маршруте следования пакета фильтрующих маршрути-
заторов или firewall.
В операционных системах Windows 2000, а также
Windows NT 4.0 и Windows 98 эту проблему можно было ре-
шить только одним способом: запускать из сценария кон-
сольную команду ping и разбирать то, что эта утилита вер-
нула на STDOUT, или анализировать код возврата утили-
ты PING. Пример представлен в листинге 3. Способ, конеч-
но, не плохой, но не универсальный. Как известно, на ло-
кализованных версиях Windows ответы команды ping вы-
водятся на локальном языке. Поэтому для каждой языко-
вой версии ОС пришлось бы писать свой разборщик выво-
да – согласитесь, что это не удобно. С другой стороны ана-
лиз кода возврата команды PING не позволяет понять при-
чину ошибки при отправке ICMP-пакета.
Листинг 3. Старый способ, разбирающий вывод на STDOUT
команды ping
strComputer = "www.ya.ru"
Set objShell = CreateObject("WScript.Shell")
Set objScriptExec = objShell.Exec("ping -n 1 -w 700 –f ↵
–l 8 " & strComputer)
strPingResults = LCase(objScriptExec.StdOut.ReadAll)
If InStr(strPingResults, "reply from") Then
If InStr(strPingResults, "destination net unreachable") ↵
Then
WScript.Echo strComputer & " не отвечает на ping."
Else
WScript.Echo strComputer & " отвечает на ping."
End If
Else
WScript.Echo strComputer & " не отвечает на ping."
End If
Положение существенно поменялось с выходом Windows
XP и Windows Server 2003 – теперь нет необходимости вы-
зывать консольную команду ping. В нашем вооружении по-
явился класс Win32_PingStatus. Запрос к этому классу поз-
воляет выполнить это процедуру гораздо быстрее и проще.
Этот способ не зависит от локализации операционной сис-
30
темы и предоставляет подробный отчет о статусе послан-
ного ICMP-пакета и ответа на него.
Помимо мониторинга доступности хоста по сети, неза-
менимый класс Win32_PingStatus позволяет решать и мно-
жество других задач. В приведенном примере (см. лис-
тинг 4) мы определяем MTU (Maximum Transmission Unit)
трассы от нашего хоста к хосту удаленному. Для тех,
кто не знаком с понятием MTU стека TCP/IP, я поясню:
MTU – это максимальный размер пакета, который мо-
жет быть передан по маршруту (трассе) от одного хоста
до другого, не будучи фрагментирован (разрезан на час-
ти для последующей сборки) ни одним промежуточным
маршрутизатором.
Отмечу, что этот сценарий может быть весьма полезен
в задачах оптимизации производительности сети и диа-
гностике проблем.
Листинг 4. Определение максимального размера фрейма (MTU)
трассы
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & ↵
strComputer & "\root\CIMV2")
strDestAddress = "www.ya.ru"
If WScript.Arguments.Count > 0 Then
strDestAddress = WScript.Arguments(0)
End If
WScript.Echo "Посылаем ICMP-пакеты хосту: " & ↵
strDestAddress & " различного размера..."
varMaxPacket = 0
For varBuffSize = 8 to 1472 step 8
Set colItems = objWMIService.ExecQuery( _
"SELECT * FROM Win32_PingStatus where Address='" & ↵
strDestAddress & "' and BufferSize=" & varBuffSize & ↵
" and NoFragmentation=true and TimeOut=700" ,,48)
For Each objItem in colItems
Select Case objItem.StatusCode
Case 0
WScript.Echo "Ответ на ping-запрос за " & ↵
objItem.ResponseTime & " миллисекунд, ↵
TTL = " & objItem.ResponseTimeToLive & ↵
", размер пакета ответа " & ↵
objItem.ReplySize
Case 11001
WScript.Echo "Слишком маленький буфер" & ↵
". Buffer Size is: " & varBuffSize
Case 11002
WScript.Echo "Конечная сеть не доступна" & ↵
". Buffer Size is: " & varBuffSize
Case 11003
WScript.Echo "Конечный хост не доступен" & ↵
". Buffer Size is: " & varBuffSize
Case 11004
WScript.Echo "Протокол не доступен" & ↵
". Buffer Size is: " & varBuffSize
Case 11005
WScript.Echo "Конечный порт не доступен" & ↵
". Buffer Size is: " & varBuffSize
Case 11006
WScript.Echo "Недостаточно ресурсов" & ↵
". Buffer Size is: " & varBuffSize
Case 11007
WScript.Echo "Неверная опция IP" & ↵
". Buffer Size is: " & varBuffSize
Case 11008
WScript.Echo "Аппаратная ошибка" & ↵
". Buffer Size is: " & varBuffSize
Case 11009
If varMaxPacket = 0 Then varMaxPacket = ↵
varBuffSize - 8
WScript.Echo "Пакет превышает предельный ↵
размер трассы" & ". Buffer Size is: " & ↵
varBuffSize
 администрирование
Case 11010 strComputer & "\root\CIMV2")
WScript.Echo "Превышен интервал ожидания" ↵
& ". Buffer Size is: " & varBuffSize Set objEvents = objWMIService.ExecNotificationQuery _
varBuffSize = varBuffSize - 8 ("SELECT * FROM __InstanceCreationEvent WHERE ↵
Case 11011 TargetInstance ISA 'Win32_NTLogEvent'")
WScript.Echo "Неверный запрос" & ↵
". Buffer Size is: " & varBuffSize Wscript.Echo "Ожидаем записи в системные журналы событий ..."
Case 11012 Do While(True)
WScript.Echo "Неверный маршрут" & ↵ Set objReceivedEvent = objEvents.NextEvent
". Buffer Size is: " & varBuffSize
Case 11013 Select Case ↵
WScript.Echo "Достигнут максимальный ↵ CInt(objReceivedEvent.TargetInstance.EventType)
TimeToLive" & ". Buffer Size is: " & ↵ Case 1
varBuffSize strType = "Ошибка"
Case 11014 case 2
WScript.Echo "Достигнут максимальный ↵ strType = "Предупреждение"
TimeToLive при сборке" & ↵ case 3
". Buffer Size is: " & varBuffSize strType = "Информация"
Case 11015 case 4
WScript.Echo "Ошибка параметра" & ↵ strType = "Успешный аудит"
". Buffer Size is: " & varBuffSize case 5
Case 11016 strType = "Аудит отказа"
WScript.Echo "Требование снизить скорость ↵ End Select
передачи" & ". Buffer Size is: " & ↵
varBuffSize WScript.Echo "----- Новое Событие -----"
Case 11017 Wscript.Echo "Event ID: " & ↵
WScript.Echo "Переполнение опции IP" & ↵ objReceivedEvent.TargetInstance.EventCode & ↵
". Buffer Size is: " & varBuffSize " Значимость: " & strType & " Log: " & ↵
Case 11018 objReceivedEvent.TargetInstance.LogFile
WScript.Echo "Неверное назначение" & ↵ WScript.Echo "Сообщение: " & ↵
". Buffer Size is: " & varBuffSize objReceivedEvent.TargetInstance.Message
Case 11032
WScript.Echo "Установление соединения ↵ Loop
по IPSEC" & ". Buffer Size is: " & ↵
varBuffSize
Case 11050 Как видно из примера, код WQL-запроса достаточ-
WScript.Echo "Общий сбой" & ↵ но простой, поэтому, я полагаю, детально пояснять его
". Buffer Size is: " & varBuffSize
End Select не нужно. Обращу внимание лишь на одно существен-
Next ное обстоятельство: при работе с журналами необходи-
Next мо использовать привилегию Security. В противном слу-
чае многие из запросов будут отклонены системой безо-
WScript.Echo "Удалось определить MTU трассы: " & ↵
CStr(varMaxPacket + 28) пасности Windows.
Следующий пример, приведенный на листинге 6, пока-
Алгоритм работы этого сценария прост: мы посыла- зывает, как произвести очистку журнала приложений (хотя
ем от нашего хоста до указанного целевого хоста пакеты, это может быть любой системный журнал аудита), исполь-
с каждым шагом увеличивая их размер на 8 байт, устано- зуя метод ClearEventlog класса Win32_NTEventlogFile. Поми-
вив специальный IP-флаг, запрещающий фрагментировать мо того, что нам необходимо указать привилегию Security,
пакет. При этом мы следим за результатом, и как только нам также необходимо открыть конкретный экземпляр объ-
нам вернется диагностический пакет, сообщающий о том, екта класса Win32_NTEventlogFile соответствующего жур-
что размер нашего исходного пакета больше допустимого, налу приложений.
мы запоминаем размер последнего успешно прошедшего
по трассе пакета. Листинг 6. Очистка системного журнала приложений
(Application Event Log)

Обработка системных журналов strComputer = "."

Следующий провайдер WMI, который может оказаться
вам полезеным, – это провайдер системных журналов
Windows. Классы, которые предоставляет в наше пользо-
вание этот провайдер, имеют названия: Win32_NTLogEvent,
Win32 _ NTEventLogFile, Win32 _ NTLogEventLog,
Win32_NTLogEventUser, Win32_NTLogEventComputer.
Для нас наибольший интерес представляют первые два.
Win32_NTLogEvent позволяет нам отслеживать собы-
тия появления в системных журналах аудита новых запи-
сей. Для этого используется синхронная техника внутрен-
них событий WMI.
Set objWMIService = GetObject("winmgmts: ↵
{impersonationlevel=impersonate,(security)}!\\" & ↵
strComputer & "\root\CIMV2")
Set objNTEventLog = objWMIService.Get ↵
("Win32_NTEventlogFile.Name='C:\WINDOWS\system32\ ↵
config\AppEvent.Evt'")
objNTEventLog.ClearEventlog("c:\app.evt")
Обратите внимание на единственный аргумент мето-
да ClearEventlog: «c:\app.evt». Этот аргумент задает файл,
в который при очистке журнала будет сохранено старое со-
держимое журнала.

Листинг 5. Отслеживание событий в системных журналах Работа с реестром из WMI

аудита
и провайдер StdRegProv
strComputer = "." Одним из самых полезных провайдеров WMI является про-
Set objWMIService = GetObject("winmgmts: ↵ вайдер работы с реестром. В отличие от множества других
{impersonationlevel=impersonate,(security)}!\\" & ↵ провайдеров все его классы определены не в пространс-

№5, май 2006 31

 администрирование
тве имен root\CIMv2, а в пространстве имен root\default. ча в цикле while, попутно делая раз в секунду (1000 милли-
В примере, приведенном в листинге 7, можно увидеть секунд) изменение этого самого ключа с помощью другого
все основные приемы, необходимые для работы с реестром метода WMI: SetStringValue. Как только пройдет 20 секунд,
через WMI. В их число входит создание и удаление клю- и мы 20 раз изменим указанный выше ключ, цикл завер-
чей и значений реестра, а также запись данных в значе- шается, и в самом конце сценария мы отменяем подписку
ния реестра и отслеживание событий по изменению клю- на события WMI вызовом метода Cancel объекта MySink,
чей и значений реестра. Провайдер StdRegProv предо- а также удаляем созданный ранее ключ реестра.
ставляет системе WMI набор внешних источников собы-
тий для отслеживания изменений в реестре, что сущес- Работа с Active Directory через
твенно повышает эффективность и скорость отслежива- WMI Directory Service provider
ния этих событий. Еще один полезный и интересный провайдер WMI – это про-
вайдер для работы со службой каталогов Microsoft Active
Листинг 7. Работа с реестром через WMI Directory. Все классы этого провайдера определены в про-
Sub REG_OnObjectReady(objObject, objAsyncContext) странстве имен root\deirctory\ldap. Сразу хочу обратить вни-
Wscript.Echo "Изменение в реестре: " & ↵ мание, что существует альтернативное средство для рабо-
objObject.GetObjectText_()
End Sub ты с Active Directory из сценариев и приложений – это ADSI
(Active Directory Services Interfaces). Объектная библиотека
'--------------------------------------------------------
strComputer = "." ADSI более проста и удобна в использовании, чем провай-
Const HKEY_LOCAL_MACHINE = &H80000002 дер WMI Directory Services, тем более что он является над-
strKeyName = "SOFTWARE\aRegKey"
strValName = "MyValue" стройкой над всё тем же ADSI.
Зачем же тогда нужен этот провайдер?! – спросите вы.
Set objWMIService = GetObject("winmgmts:\\" & ↵
strComputer & "\root\DEFAULT") Все довольно просто – поскольку WMI универсальное
Set objReg = objWMIService.Get("StdRegProv") средство мониторинга и управления системой Windows
objReg.CreateKey HKEY_LOCAL_MACHINE, strKeyName и ее компонентами, то есть необходимость интегрировать
objReg.SetStringValue HKEY_LOCAL_MACHINE, strKeyName, ↵ все средства управления системой через WMI. Кроме то-
strValName, "test0"
го, поскольку некоторые программные продукты по сво-
Set MySink = WScript.CreateObject( _ ей архитектуре могут использовать только WMI, то зада-
"WbemScripting.SWbemSink","REG_")
ча управления Active Directory должна быть решена и че-
objWMIservice.ExecNotificationQueryAsync MySink, _ рез WMI в том числе.
"SELECT * FROM RegistryValueChangeEvent WHERE " & ↵
"Hive = 'HKEY_LOCAL_MACHINE'" &_" AND KeyPath = ‘" & ↵ В листинге 8 приведен пример простого сценария WMI,
Join(Split(strKeyName, "\"), "\\") & "'" & ↵ который модифицирует поле displayname указанного поль-
" AND ValueName = '" & strValName &"'"
зователя Active Directory.
WScript.Echo "Ожидаем события..."
Листинг 8. Изменение свойств пользователя в Active Directory
i = 0 через WMI
While (i < 20)
Wscript.Sleep(1000) strComputer = "."
i = i + 1 strUserID = "MyNew_WMI_User"
objReg.SetStringValue HKEY_LOCAL_MACHINE, ↵
strKeyName, strValName, «test» & i Set objWMIService = GetObject("Winmgmts:\\" & ↵
Wend strComputer & "\root\directory\ldap")
MySink.Cancel Set objValSet = ↵
objReg.DeleteKey HKEY_LOCAL_MACHINE, strKeyName CreateObject("wbemscripting.swbemnamedvalueset")

Разберем пример, приведенный в листинге 7, под- objValSet.add "__PUT_EXT_PROPERTIES", ↵

робнее. Мы используем асинхронную технику обра-
ботки внешних (extrinsic) событий WMI для к ласса
RegistryValueChangeEvent.
В самом начале (сразу после подключения к репозито-
рию WMI и классу StdRegProv) мы создаем ключ, измене-
ние которого мы будем в последующем отслеживать. Да-
лее мы регистрируем процедуру – обработчик событий
(Event Sink) под названием REG_OnObjectReady. Объявля-
ем мы ее с использованием метода CreateObject для класса
WbemScripting.SWbemSink. Далее мы вызываем метод асин-
хронной обработки событий WMI ExecNotificationQueryAsync.
Этот метод подписывает наш сценарий (вернее его проце-
дуру REG_OnObjectReady) на получение событий об изме-
нении интересующего нас значения реестра. В данном при-
мере это значение HKEY_LOCAL_MACHINE\SOFTWARE\
aRegKey\MyValue. После того как обработчик зарегистри-
рован, мы начинаем ожидать события изменения этого клю-
array("ds_displayname")
objValSet.add "__PUT_EXTENSIONS", true
objValSet.add "__PUT_EXT_CLIENT_REQUEST", true
Set objEnum = objWMIService.ExecQuery( _
"select * from ds_user where ds_cn = '" & ↵
strUserID & "'", "WQL", 32)
For each objUser in objEnum
objUser.ds_DisplayName = "Обновленноое поле ↵
DisplayName"
objUser.put_ 1, objValSet
Next
WScript.Echo "Свойства прользователя Active Directory ↵
обновлены"
При изменении свойств объектов Active Directory через
WMI есть одна существенная особенность – необходимо яв-
но определять, какие из атрибутов объекта вы хотите мо-
дифицировать. Для этого их названия нужно перечислить
в специальном объекте класса swbemnamedvalueset. В ос-
тальном взаимодействие с классами провайдера службы

32

каталогов практически не отличается от работы с други-
ми классами WMI.
Работа со счетчиками
производительности
Следующий интересный провайдер – провайдер доступа
к счетчикам производительности. Эти же самые счетчи-
ки вы можете увидеть, когда используете утилиту System
Monitor (Performance Monitor). Этот провайдер предостав-
ляет две группы классов, олицетворяющих счетчики про-
изводительности системы. К первой группе относятся клас-
сы, представляющие ненормированные системные показа-
тели. Эта группа классов имеет общую часть в их назва-
нии – Win32_PerfRawData_, и наследуют все свои свойс-
тва от класса Win32_PerfRawData. Ко второй группе отно-
сятся классы, предоставляющие нормированные и форма-
тированные данные. В их названии также имеется общая
часть: Win32_PerfFormattedData_, а их свойства выведены
из класса Win32_PerfFormattedData.
Пример работы с ненормированными счетчиками про-
изводительности смотрите в листинге 9.
Листинг 9. Использование неформатированных счетчиков
(более быстрый доступ к данным)
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & ↵
strComputer & "\root\CIMV2")
Set colItems = objWMIService.ExecQuery( _
"SELECT * FROM ↵
Win32_PerfRawData_PerfOS_Processor",,48)
For Each objItem in colItems
Wscript.Echo "-----------------------------------"
Wscript.Echo ↵
"Win32_PerfRawData_PerfOS_Processor instance"
Wscript.Echo "-----------------------------------"
Wscript.Echo "C1TransitionsPersec: " & ↵
objItem.C1TransitionsPersec
Wscript.Echo "C2TransitionsPersec: " & ↵
objItem.C2TransitionsPersec
Wscript.Echo "C3TransitionsPersec: " & ↵
objItem.C3TransitionsPersec
Wscript.Echo "DPCRate: " & objItem.DPCRate
Wscript.Echo "DPCsQueuedPersec: " & ↵
objItem.DPCsQueuedPersec
Wscript.Echo "Frequency_Object: " & ↵
objItem.Frequency_Object
Wscript.Echo "Frequency_PerfTime: " & ↵
objItem.Frequency_PerfTime
Wscript.Echo "Frequency_Sys100NS: " & ↵
objItem.Frequency_Sys100NS
Wscript.Echo "InterruptsPersec: " & ↵
objItem.InterruptsPersec
Wscript.Echo "Name: " & objItem.Name
Wscript.Echo "PercentC1Time: " & objItem.PercentC1Time
Wscript.Echo "PercentC2Time: " & objItem.PercentC2Time
Wscript.Echo "PercentC3Time: " & objItem.PercentC3Time
Wscript.Echo "PercentDPCTime: " & objItem.PercentDPCTime
Wscript.Echo "PercentIdleTime: " & ↵
objItem.PercentIdleTime
Wscript.Echo "PercentInterruptTime: " & ↵
objItem.PercentInterruptTime
Wscript.Echo "PercentPrivilegedTime: " & ↵
objItem.PercentPrivilegedTime
Wscript.Echo "PercentProcessorTime: " & ↵
objItem.PercentProcessorTime
Wscript.Echo "PercentUserTime: " & ↵
objItem.PercentUserTime
Wscript.Echo "Timestamp_Object: " & ↵
objItem.Timestamp_Object
Wscript.Echo "Timestamp_PerfTime: " & ↵
objItem.Timestamp_PerfTime
Wscript.Echo "Timestamp_Sys100NS: " & ↵
objItem.Timestamp_Sys100NS
Next
№5, май 2006
администрирование
В этом примере сценарий выводит показания счетчи-
ков производительности для процессора. Для того чтобы
понять, чем отличаются классы нормированных счетчиков
производительности от ненормированных, я привел в лис-
тинге 10 почти тот же пример, но использующий класс
с нормированными счетчиками производительности.
Листинг 10. Использование форматированных и нормированных
счетчиков (все значения соответствуют System Monitor)
strComputer = "."
Set objWMIService = GetObject("winmgmts:\\" & ↵
strComputer & "\root\CIMV2")
Set colItems = objWMIService.ExecQuery( _
"SELECT * FROM ↵
Win32_PerfFormattedData_PerfOS_Processor",,48)
For Each objItem in colItems
Wscript.Echo "-----------------------------------"
Wscript.Echo ↵
"Win32_PerfFormattedData_PerfOS_Processor instance"
Wscript.Echo "-----------------------------------"
Wscript.Echo "C1TransitionsPersec: " & ↵
objItem.C1TransitionsPersec
Wscript.Echo "C2TransitionsPersec: " & ↵
objItem.C2TransitionsPersec
Wscript.Echo "C3TransitionsPersec: " & ↵
objItem.C3TransitionsPersec
Wscript.Echo "DPCRate: " & objItem.DPCRate
Wscript.Echo "DPCsQueuedPersec: " & ↵
objItem.DPCsQueuedPersec
Wscript.Echo "Frequency_Object: " & ↵
objItem.Frequency_Object
Wscript.Echo "Frequency_PerfTime: " & ↵
objItem.Frequency_PerfTime
Wscript.Echo "Frequency_Sys100NS: " & ↵
objItem.Frequency_Sys100NS
Wscript.Echo "InterruptsPersec: " & ↵
objItem.InterruptsPersec
Wscript.Echo "Name: " & objItem.Name
Wscript.Echo "PercentC1Time: " & objItem.PercentC1Time
Wscript.Echo "PercentC2Time: " & objItem.PercentC2Time
Wscript.Echo "PercentC3Time: " & objItem.PercentC3Time
Wscript.Echo "PercentDPCTime: " & ↵
objItem.PercentDPCTime
Wscript.Echo "PercentIdleTime: " & ↵
objItem.PercentIdleTime
Wscript.Echo "PercentInterruptTime: " & ↵
objItem.PercentInterruptTime
Wscript.Echo "PercentPrivilegedTime: " & ↵
objItem.PercentPrivilegedTime
Wscript.Echo "PercentProcessorTime: " & ↵
objItem.PercentProcessorTime
Wscript.Echo "PercentUserTime: " & ↵
objItem.PercentUserTime
Wscript.Echo "Timestamp_Object: " & ↵
objItem.Timestamp_Object
Wscript.Echo "Timestamp_PerfTime: " & ↵
objItem.Timestamp_PerfTime
Wscript.Echo "Timestamp_Sys100NS: " & ↵
objItem.Timestamp_Sys100NS
Next
Видите – сам по себе исходный код сценария в лис-
тинге 10 отличается от примера в листинге 9 только од-
ной строкой. Эта строка – WQL-запрос: «SELECT * FROM
Win32_PerfFormattedData_PerfOS_Processor». В сущности,
отличается только имя класса, набор его свойств в точности
совпадает, однако сами значения свойств будут отличаться.
Для каждого свойства существует специальная формула
перевода из ненормированного значения в нормированное.
Узнать эту формулу можно из файла Winperf.h.
WMI SNMP-провайдер
Подробно рассмотреть здесь провайдер WMI SNMP не по-
лучится, тем не менее упомянуть об этом провайдере стоит.
Этот провайдер фактически является мостом между SNMP-
33
 администрирование
совместимыми устройствами и системой WMI. Те, кто не- Таким образом, команда компиляции MOF файла должна
плохо знаком с SNMP, понимают, что в основе WMI и SNMP выглядеть так:
лежат похожие решения по хранению и представлению ин-
формации. И WMI и SMNP поддерживают события (в тер- mofcomp –AUTORECOVER <moffilename>
минологии SNMP это Trap-сообщения) и расширение базы
данных (репозитория): в терминологии WMI это MOF-фай- Очевидно, что эти файлы должны быть доступны ло-
лы, а в терминологии SNMP это базы MIB (Management кально, когда процесс автоматического восстановления
Information Base). будет запущен, поэтому при компиляции с этим ключом
В итоге при использовании SNMP-провайдера WMI ад- MOF-файлы копируются в папку %systemroot%\system32\
министратор получает в пространстве имен root\snmp пред- wbem.
ставление всех необходимых устройств, поддерживающих Относительно недавно (10 марта 2006 года) вышла об-
протокол SNMP. Присылаемые SNMP-устройствами Trap- новленная версия 1.1 сценария WMIDiag.vbs. Этот сцена-
сообщения преобразуются в события WMI, которые можно рий разработан специалистами Microsoft для дополнитель-
также отслеживать. Для добавления информации из баз ной диагностики WMI. Он обязательно должен запускать-
данных в формате SNMP MIB в репозиторий WMI сущест- ся локально на той машине, на которой следует провести
вует специальная утилита smi2smir.exe. диагностику. Он поддерживает множество ключей команд-
При инсталляции ОС Windows по умолчанию провайдер ной строки для управления режимом своей работы. В час-
SNMP WMI не устанавливается – его необходимо устанав- тности его можно работать в «тихом режиме» (без вывода
ливать через установку и удаление системных компонен- диагностических сообщений на экран – они будут записы-
тов консоли Add/Remove Programs. ваться в файл, в системный журнал и/или отправляться по
Затем необходимо произвести настройку SNMP-окру- электронной почте) или запускаться как задание Microsoft
жения. В эту задачу входит определение в свойствах про- SMS 2003.
странств имен раздела root\snmp так называемых SNMP- С его помощью можно осуществлять множество раз-
community для чтения, записи и оповещений, и импорти- ных тестов по проверке работоспособности WMI: провер-
ровать в репозиторий WMI MIB-файлы. Некоторую допол- ку службы и COM-объектов WMI, чтение и запись в репо-
нительную информацию по этой теме можно прочитать в зиторий, проверку целостности репозитория и определе-
библиотеке MSDN [4]. ния классов и пространств имен, а также параметров ре-
После того как SNMP-окружение настроено для этого естра и других системных служб и компонентов, влияющих
провайдера, можно начинать работать с SNMP-совмести- на работу WMI. Пожалуй, самым ценным в этом сценарии
мыми устройствами из сценариев WMI. Пример WQL-за- является то, что помимо диагностики и констатации про-
проса для чтения свойств SNMP-совместимых устройств блем он выдает рекомендации по исправлению неисправ-
выглядит примерно так: ностей. В будущих версиях планируется сделать режим ав-
томатического исправления некоторых типичных проблем,
SELECT * FROM SNMP_DEVICE_ADDRESS WHERE ↵ которые он обнаруживает.
SNMP_PROPERTY_NAME > 100
Подробное описание этого сценария (утилиты) с приме-
Таким образом, провайдер SNMP позволяет интегриро- рами и иллюстрациями можно найти по ссылке [5].
вать любые системы и устройства, поддерживающие SNMP,
с технологией WMI. Вместо заключения
В цикле статей о технологии WMI я постарался рассказать
Устраняем ошибки в WMI вам о всех важных и практически применимых сторонах
В данном разделе мы рассмотрим вопрос диагностики этого поистине универсального инструмента. Надеюсь, вы
и устранения ошибок в WMI. Помимо штатного резерв- оцените его полезность.
ного копирования и восстановления, выполнение которо-
го доступно через консоль wmimgmt.msc. Существует еще Ссылки и литература:
ряд средств диагностики и восстановления WMI. Для то- 1. Леонтьев К. Узнай секреты WMI: события и провайдеры.
го чтобы разобраться, как они работают, нужно вспомнить, Часть I: дополнительные возможности. – Журнал «Систем-
что все элементы репозитория WMI могут быть описаны ный администратор», №3, март 2006 г. – 6-13 с.
на языке MOF-файлов. Таким образом, используя компи- 2. Леонтьев К. Вы все еще не используете WMI? Часть I. – Журнал
лятор MOF-файлов mofcomp.exe, вы можете заново вос- «Системный администратор», №1, январь 2006 г. – 4-11 с.
создать весь репозиторий WMI – главное для этого иметь Леонтьев К. Вы все еще не используете WMI? Часть II: пишем
эти самые исходные MOF-файлы. При компиляции некото- сценарии. – Журнал «Системный администратор», №2, фев-
рые MOF-файлы могут быть помечены как компоненты ав- раль 2006 г. – 6-14 с.
томатического восстановления – это означает, что при об- 3. Windows Management Instrumentation – http://msdn.microsoft.
наружении серьезной ошибки в базе данных репозитория com/library/en-us/dnanchor/html/anch_wmi.asp.
WMI запущенный процесс автоматического восстановле- 4. Setting up the WMI SNMP Environment – http://msdn.microsoft.
ния самостоятельно скомпилирует и импортирует в репо- com/library/en-us/wmisdk/wmi/setting_up_the_wmi_snmp_
зиторий такие MOF-файлы. Для того чтобы пометить MOF- environment.asp?frame=true.
файлы как компонент автоматического восстановления при 5. WMIDiag – http://www.microsoft.com/technet/scriptcenter/topics/
его компиляции, нужно добавить опцию – AUTORECOVER. help/wmidiag.mspx.

34
 администрирование
Отказоустойчивый кластер
с минимальным бюджетом
Как с минимальным бюджетом эффективно построить отказоустойчивый кластер
и использовать его в качестве платформы для критически важных приложений на примере
СУБД Oracle 9i.
К
огда работа предприятия зави-
сит от функционирования сер-
веров, всегда хочется быть уве-
ренным в их надежности. И надежность
эту даже можно измерить.
Применительно к серверам эта ве-
личина называется «доступность» или
«готовность», измеряется в процентах
и означает, сколько времени в году
сервер исправно функционирует. Иде-
альное ее значение – 100%.
В таблице 1 приведены типичные
значения готовности и расчетное вре-
мя простоя для каждой из них.
Что делать, чтобы увеличить этот
показатель? Оптимальное решение –
это дублирование всех узлов (т.е. сер-
веров). Это решение позволит допи-
сать к показателю готовности еще од-
ну «9». А два функционально идентич-
ных сервера, работающих как один, –
это уже кластер.
Варианты построения кластера вы-
бираются в каждом конкретном случае.
Я хочу привести пример построения
кластера на примере СУБД Oracle 9i.
Как я и писал выше, есть несколько
вариантов решений. Их можно разде-
лить по нескольким критериям: стои-
мость решения, оперативность восста-
новления системы после сбоя (см. таб-
лицу 2).
Поскольку основное требование
к кластеру – высокая степень доступ-
36
ности, то варианты из нижнего ряда
второй таблицы отвергаем сразу. Рас-
смотрим оставшиеся варианты с уче-
том требуемого бюджета. Выбираем
DRBD + Heartbeat.
Перевод статьи, посвященной бюд-
жетным системам высокой готовности,
в которой рассматривается выбран-
ное нами решение, находится по ад-
ресу: http://www.opennet.ru/docs/RUS/
ha_cluster.
Назначение DRBD
и Heartbeat
DRBD – это блочное устройство, кото-
рое позволяет организовывать зерка-
лирование (RAID1-массив) через сеть.
На каждом из узлов DRBD связыва-
ет виртуальное устройство /dev/drbdX
(Х – номер) и локальный раздел дис-
ка, далее не доступный напрямую. За-
пись информации осуществляется на
первичном узле (DRBD разрешает за-
пись только на первичном узле) на ус-
тройство /dev/drbdX, которое переда-
ет эти данные для записи на связан-
ный локальный раздел диска и отсы-
лает по сети на другие узлы кластера.
Чтение данных происходит с локаль-
ного раздела.
Для управления кластером и пе-
реключения с одного узла класте-
ра на другой (запуск/останов необ-
ходимых сервисов и т. д.) использу-
Сергей Довганюк
ется другой пакет, менеджер класте-
ра – Heartbeat.
Свежую версию DRBD, на момент
написания статьи, можно было взять
по ссылке http://oss.linbit.com/drbd/0.7/
drbd-0.7.17.tar.gz, а версию Heartbeat –
http://linux-ha.org/download/heartbeat-
2.0.2.tar.gz.
В нашем кластере два узла, один
из них является ведущим (основным),
второй ведомым (вторичным).
Конфигурация системы
За основу берем однодисковый ва-
риант дистрибутива ALT Linux Master
2.4.
В качестве узлов кластера ис-
пользуются две системы. Одна (ос-
новная) – это 2 х Xeon 2.8 ГГц, 1 Гб,
2 x RAID1 (/dev/sda и /dev/sdb; 4 дис-
ка Seagate SCSI 73 Гб, 10000 rpm).
Вторая проще – Athlon 1700+, 256 Мб,
ATA WD 80 Гб (/dev/hda) + RAID1 (/dev/
sda; 2 х ATA WD 80 Гб). На обоих уз-
лах по две сетевые карты, одна бу-
дет использоваться для выхода в кор-
поративную сеть, вторая (желательно
gigabit ethernet)– используется DRBD
для синхронизации дисков. Скорость
работы этого сетевого RAID-масси-
ва не будет выше, чем скорость ва-
шей сети. Еще соединим оба узла че-
рез COM-порты (нуль модем) для то-
го, чтобы Heartbeat мог с большей ве-
 администрирование
роятностью определить, «умер» один из узлов кластера Таблица 1. Типичные значения готовности
или нет. Может так случиться, что между узлами пропадет Готовность, % Время простоя в год
связь через Ethernet и тогда получится, что каждый узел бу- 99 3.5 дня
дет считать себя главным, справедливо полагая, что дру-
99.9 9 часов
гие узлы «мертвы» (т.н. split-brain или раздвоение личнос-
ти), чего стоит всячески избегать. 99.99 52.5 минуты
На каждом из узлов должен быть выделен раздел 99.999 5 минут
для использования с DRBD. Выделим на обеих машинах
по RAID1-массиву. Во время и после установки операцион-  Руководство «Установка БД Oracle 9.2.0.4.0 и Oracle
ной системы (вплоть до установки DRBD) они должны ос- Application Server 10g на RED HAT Enterprise Linux AS 2.1» рас-
таваться неиспользуемыми! положенное по адресу: http://pm4u.narod.ru/oracle.htm –
также замечательный материал.
Порядок установки системы  Книга из официальной документации по Oracle 9i
Для начала нужно установить Oracle на основном узле «Oracle 9i installation guide». Электронная версия распо-
кластера. Затем создать базу. Предполагается, что сам ложена по адресу: http://download-west.oracle.com/docs/
Oracle и база имеют некую общую родительскую директо- html/A96167_01/toc.htm.
рию (например /D01). После этого, используя конфигураци-
онные файлы от первой установки, Oracle устанавливает- Я не буду описывать весь подготовительный процесс,
ся и на вторичном узле. Делается это для того, чтобы быть о котором вы можете прочесть в фирменной документации.
уверенным, что Oracle работает (!) на обоих узлах в иден- Остановлюсь только на отличительных особенностях для
тичной (!) конфигурации. нашей ситуации. Учитывая, что мы с вами создаем клас-
Затем устанавливаем DRBD и Heartbeat. Конфигуриру- тер, то на разных узлах пользователь oracle и группы, с ко-
ем их. Создаем раздел на основном узле кластера на за- торыми он связан, должны иметь одинаковые идентифи-
пасенном RAID1-массиве. Oracle переносим во временную каторы (uid и gid)
директорию. Настраиваем DRBD и монтируем созданный
раздел к той директории, в которой был установлен Oracle altora1#> groupadd –g 789 oracle
altora1#> useradd –g oracle –u 1234 oracle
(в нашем случае /D01) и переносим Oracle обратно из вре-
менной директории. Проверяем работоспособность пос- и
леднего и работоспособность кластера в целом.
А теперь все то же самое подробнее. altora2#> groupadd –g 789 oracle
altora2#> useradd –g oracle –u 1234 oracle

Установка Oracle 9i Заметьте: и номера, и имена одинаковы на обоих узлах!

Свои действия я основывал на информации из несколь- В качестве точки монтирования будем использовать ка-
ких источниках: талог /D01. Итак.
 Руководство по установке, расположенное по адресу Для упрощения установки и автоматизации процесса за-
http://www.surw.ru/~dalth/orafedora2.html. Этот матери- пуска Oracle будем использовать скрипты из пакетов oracle-
ал написан, на мой взгляд, очень грамотно. preinstall и oracle9-tuning из репозитория Alt Linux:
Таблица 2. Варианты построения кластера
Высокая стоимость Удовлетворительная стоимость

 Использование встроенных средств Oracle для организации репликации в ре-  DRBD и Heartbeat (http://www.drbd.org, http://www.linux-ha.org)
Восстановление в реальном

альном времени между несколькими серверами (книга из документации «+» высокая надежность;
(или почти) времени

под названием «Oracle Data Guard Concepts and Administration») низкая стоимость решения
«+» высокая надежность (в идеале, максимально возможная); «–» возможные ошибки при записи данных из-за программного сбоя
гарантия сохранения информации на уровне транзакции; (драйвер диска и т. д.) будут немедленно скопированы на все узлы
практически полная незаметность факта сбоя для пользователя кластера;
«–» высокая стоимость лицензии небольшая задержка при переключении с одного узла кластера
 Использование специализированных аппаратных средств (сервер с высоким на другой
показателем доступности)
«+» высокая надежность;
«–» стоимость решения еще дороже, чем стоимость предыдущего варианта

 TSync (http://tsyncd.sourceforge.net) и аналогичные средства (rsync, unison,

и т. д.)
«+» простота конфигурирования
Восстановление с задержкой

«–» в зависимости от алгоритма может приводить к значительной

загрузке системы;
синхронизация данных происходит при окончании работы с фай-
лом, что может при активной работе с диском привести к значи-
тельной задержке в синхронизации данных;
требует дополнительной настройки для автоматического переклю-
чения с одного сервера на другой (возможно, что и на основе того
же Heartbeat)
 Средства Oracle для организации репликации (книга из документации
под названием «Oracle 9i Advanced Replication»)
«+» работает в рамках лицензии Oracle Standard Edition;
основано на встроенных механизмах Oracle
«–» недостаток, общий для данной группы – отложенная синхронизация

№5, май 2006 37

 администрирование
Схема построения кластера
 /etc/profile.d/oracle9.sh – установки по умолчанию
для всех пользователей. Нам лишь нужно установить
и изменить под свою конфигурацию;
 /etc/rc.d/init.d/oracle-lsnr – скрипт для запуска/оста-
новки Oracle Listener;
 /etc/rc.d/init.d/oracle-db – скрипт для запуска/останов-
ки Oracle Database.
Устанавливаем (если этого не было сделано ранее)
библиотеку libstdc++-libc6.1-1.so.2, она необходима для ус-
тановки JRE. Устанавливаем gcc версии 2.96 и изменяем
ссылку /usr/bin/gcc так, чтобы ссылалась на gcc-2.96 (пос-
ле окончания установки Oracle не забудьте изменить ссыл-
ку обратно).
Заменяем родной JRE (1.3.1.0.0) инсталлятора Oracle
на JRE версии 1.3.1_17, взятый с сайта SUN (http://java.sun.
com/j2se/1.3/download.html). После установки rpm-пакета
переписываем JRE из директории /usr/java/jre1.3.1_17 в ди-
ректорию первого диска инсталляции Oracle: /Disk1/stage/
Components/oracle.swd.jre/1.3.1.0.0/1/DataFiles/Expand/jre/
linux. Этим мы решаем проблему несовместимости glibc.
И не забываем поменять владельца для JRE:
#>chown –R oracle:oracle /Disk1/…/jre/linux
Стоит отметить, что таким способом можно решить
проблему только с инсталлятором, клиентские GUI-прило-
жения используют JRE версии 1.1.8. Для него мне не уда-
лось найти подходящего обновленного JRE ни у SUN,
ни на www.blackdown.org. Но в принципе клиентское GUI
ПО на сервере не особо и нужно. Способ же, описанный
в вышеупомянутом руководстве, работает для обоих ти-
пов JRE.
При создании базы вы можете столкнуться с одной ин-
тересной проблемой. При установке мастер «зависает»
перед самым моментом начала создания базы. Мой опыт
подсказывает, что путь к тому месту, где должна обитать
база, слишком длинный (больше некоторого числа симво-
лов). Сокращение длины пути к базе способно решить эту
проблему.
Вы можете дать этому свое объяснение, но для себя
я сделал вывод, что такова особенность работы мастера
и/или JRE и просто надо иметь это в виду.
38
Остановкой Oracle управляет скрипт /$ORACLE_HOME/
bin/dbshut. В этом скрипте на строках под номерами 79 и 84
расположены пары команд:
…
connect internal
shutdown
…
Нас интересует команда shutdown. Как вы наверное уже
знаете, эта команда указывает Oracle завершить работу.
В приведенном варианте команды Oracle ждет отключе-
ния всех пользователей и после этого завершает работу.
Но иногда так происходит, что Oracle не завершает работу
даже после отключения всех пользователей, как бы «зави-
сает». Для того чтобы переключения между узлами класте-
ра происходили быстрее, советую слегка изменить коман-
ду shutdown. Допишем к ней параметр immediate. Данный
параметр указывает Oracle завершить работу не дожида-
ясь отключения пользователей. Более подробно о команде
можно прочитать в книге «Oracle9i Database Administrator’s
Guide» из фирменной документации.
Копируем скрипты oracle9.sh, oracle-lsnr и oracle-db
с главного узла на резервный и повторяем процедуру ус-
тановки Oracle для резервного узла без создания базы. Та-
ким образом, на обоих узлах Oracle будет работать в оди-
наковом окружении.
На основном узле останавливаем Oracle, если он запу-
щен, и копируем базу (т.н. холодная копия) на резервный
узел в то же самое место, где она находится на основном
узле. Файлы базы находятся в каталоге /$ORACLE_BASE/
oradata/$dbname. Где $ORACLE_BASE задается в oracle9.sh,
а $dbname – имя вашей базы, которое вы указали при ее
создании.
Копируем файл /etc/oratab с основного узла на резер-
вный и запускаем Oracle на резервном узле для провер-
ки его работы.
После проверки работоспособности удаляем все содер-
жимое точки монтирования (/D01) на резервном узле.
Установка DRBD
Для установки DRBD нужно иметь исходные тексты ядра.
Исходные тексты должны быть именно от того ядра, для ко-
торого будет собираться drbd, иначе при попытке загрузки
модуля (если его вообще удастся собрать) будут появлять-
ся ошибки «unresolved symbols». Мне не удалось найти точ-
но те исходники, из которых было собрано ядро из дистри-
бутива, и поэтому я буду использовать самое свежее ядро
на момент написания статьи – 2.4.32.
Нужно позаботиться, чтобы новое ядро было собрано
в той же конфигурации, что и ядро, использовавшееся до
него. Спасибо Михаилу Шигорину за подсказку, где най-
ти оригинальный конфигурационный файл. В моем случае
он находится в /boot/config-*. Копируем его вместо конфи-
га нового ядра :
#> cp /boot/config-2.4.26-std-smp-alt6 /usr/src/linux/.config
Компилируем ядро, устанавливаем. Проверяем рабо-
тоспособность системы на новом ядре.

Компилируем DRBD:
#> cd /usr/src/drbd-0.7.17
#> make clean all
Устанавливаем:
#> make install
Модуль находится в /lib/modules/2.4.32/kernel/drivers/
block/. Подробное описание процесса компиляции и ус-
тановки находится в файле INSTALL из пакета исходни-
ков DRBD.
Перед настройкой DRBD нужно разбить запасенные
диски на обоих узлах на разделы (раздел может быть
и единственный). При этом те разделы, которые будут ис-
пользоваться с DRBD, желательно сделать одного размера.
Для этого используем fdisk или аналог. Например, на обо-
их узлах разобьем диски на два раздела: основной – 35 Гб,
для использования с DRBD и логический – остальное про-
странство диска.
Настраиваем DRBD. Настройка производится через
конфигурационный файл /etc/drbd.conf. Файл должен быть
идентичен на обоих узлах кластера.
Добавим модуль drbd в /etc/modules.
При установке init скрипт для DRBD копируется в /etc/
rc.d/init.d/drbd. Устанавливаем его:
#> chkconfig --add drbd
Этот скрипт инициализирует подсистему DRBD, исполь-
зуя параметры из файла /etc/drbd.conf. Результат работы
скрипта аналогичен команде:
#> drbdadm up all
Теперь перезапускаем наш кластер и в /var/log/messages
должны увидеть что-то вроде этого.
О том, что модуль загружен:
drbd: initialised. Version: 0.7.17 (api:77/proto:74)
drbd: SVN Revision: 2093 build by root@altora1, 2006-03-14 18:42:04
drbd: registered as block device major 147
О том, что запущен сервис DRBD:
drbd0: Creating state block
drbd0: resync bitmap: bits=8513804 words=266058
drbd0: size = 32 GB (34055216 KB)
drbd0: 34055216 KB now marked out-of-sync by on disk bit-map.
drbd0: Assuming that all blocks are out of sync (aka FullSync)
drbd0: 34055216 KB now marked out-of-sync by on disk bit-map.
drbd0: drbdsetup [2119]: cstate Unconfigured --> StandAlone
drbd0: drbdsetup [2122]: cstate StandAlone --> Unconnected
drbd0: drbd0_receiver [2123]: cstate Unconnected --> WFConnection
drbd0: drbd0_receiver [2123]: cstate WFConnection --> WFReportParams
drbd0: Handshake successful: DRBD Network Protocol version 74
drbd0: Connection established.
drbd0: I am(S): 0:00000001:00000001:00000001:00000001:00
drbd0: Peer(S): 0:00000001:00000001:00000001:00000001:00
drbd0: drbd0_receiver [2123]: cstate WFReportParams --> Connected
drbd0: I am inconsistent, but there is no sync? BOTH nodes
inconsistent!
drbd0: Secondary/Unknown --> Secondary/Secondary
Дело в том, что изначально DRBD ничего не знает о том,
какой из узлов ведущий, а какой ведомый. И теперь мы
№5, май 2006
администрирование
должны определиться с этим и «сказать» DRBD. Делает-
ся это командой:
#> drbdadm -- --do-what-I-say primary all
запущенной на ведущем узле. После чего начинается про-
цесс синхронизации дисков на обоих узлах кластера и со-
держимое раздела диска основного узла копируется на раз-
дел диска ведомого узла. Будьте внимательны и аккуратны,
советую проверить перед выполнением вышеприведенной
команды еще раз конфигурационный файл DRBD!
За процессом синхронизации можно наблюдать на-
брав:
#> cat /proc/drbd
Вывод будет примерно следующим:
Основной узел:
version: 0.7.17 (api:77/proto:74)
SVN Revision: 2093 build by root@altora1, 2006-03-14 18:42:04
0: cs:Connected st:Primary/Secondary ld:Consistent
ns:636228 nr:2984 dw:639212 dr:337464 al:22 bm:44 lo:0 pe:0 ua:0 ap:0
[====>...............] sync’ed: 20% (27200/34000)M
...
...
1: cs:Unconfigured
Ведомый узел:
version: 0.7.17 (api:77/proto:74)
SVN Revision: 2093 build by root@altora1, 2006-03-14 18:42:04
0: cs:Connected st: Secondary/Primary ld:Inconsistent
ns:636228 nr:2984 dw:639212 dr:337464 al:22 bm:44 lo:0 pe:0 ua:0 ap:0
[====>...............] sync’ed: 20% (27200/34000)M
...
...
1: cs:Unconfigured
Создаем файловую систему на устройстве DRBD, жела-
тельно чтобы она была журналируемой, это позволит уско-
рить запуск сервисов на резервном узле (иначе перед за-
пуском будет проведена проверка диска):
#> mkreiserfs /dev/drbd0
Останавливаем Oracle, если он работает. Переносим
Oracle (бинарные файлы и базу) во временную директо-
рию, например, так:
#> mv /D01/Ora /root/Oracle
Монтируем устройство DRBD в /D01:
#> mount -t reiserfs /dev/drbd0 /D01
Копируем Oracle обратно в /D01. Пробуем запустить
Oracle.
Установка Heartbeat
Компиляция и установка Heartbeat довольно проста и про-
ходит в 3 этапа:
#> cd /usr/src/heartbeat-2.0.4
#> ./ConfigureMe configure
39
 администрирование
При первой попытке конфигуратор наверняка выдаст зовательском режиме. В этом режиме ни DRBD, ни Heartbeat
сообщения о том, что для установки Heartbeat не хватает не запускаются. Редактируем конфигурационный файл
нескольких пакетов. Перечень необходимых пакетов кон- /etc/drbd.conf и устанавливаем параметр wfc-timeout в зна-
фигуратор выдает в конце работы единым списком. Я сове- чение, отличное от 0, например, 1 (равно 1 секунде). Снова
тую установить все требуемые пакеты и те, что обязатель- перезагружаем узел уже в обычном режиме.
ны (ERROR), и те, что желательны (WARNING). Как повлияет синхронизация данных по сети на ско-
Компилируем и устанавливаем: рость работы с Oracle и как значительно может уменьшить-
ся производительность по сравнению с одиночным серве-
#> ./ConfigureMe make ром? Здесь многое зависит как от скорости используемого
#> ./ConfigureMe install
сетевого соединения, так и от режима работы Oracle. Зна-
Для настройки Heartbeat использует 3 файла, находя- чительное падение цен сделало доступным гигабитные ре-
щиеся в директории /etc/ha.d: шения для бюджетного сектора. Учитывая, что DRBD буфе-
 /etc/ha.d/ha.cf – общая настройка; ризирует данные и то, что скорость работы современных
 /etc/ha.d/haresources – этот файл описывает ресурсы, жестких дисков в реальных условиях пока еще значитель-
которые следует перемещать от узла к узлу; но меньше, чем пропускная способность гигабитной сети,
 /etc/ha.d/authkeys – файл аутентификации. то в данном случае узким местом скорее станет скорость
работы с дисками. В любом случае вы не должны заметить
Выполняем команду: сколько-нибудь значительного проигрыша. Если вы исполь-
зуете сеть 100 Mbit, то здесь тоже не все безнадежно. Ес-
#> chkconfig --add heartbeat ли большая часть запросов к базе (как правило) состав-
ляет запросы на выборку, то работа в основном будет ид-
для установки init-скрипта пакета Heartbeat. ти с диском на главном узле, и здесь скорость соединения
Перезапускаем кластер. В логах должно появиться что- в 100 Mbit практически никак не скажется на производитель-
то вроде этого: ности кластера. Если же основная работа с Oracle состо-
ит в добавлении новых записей, то все зависит от объема
heartbeat: [1630]: info: Configuration validated. Starting heartbeat 2.0.4
heartbeat: [1631]: info: heartbeat: version 2.0.4
новых данных, поступающих на запись. На основе своего
heartbeat: [1631]: info: Heartbeat generation: 7 опыта могу сказать, что Oracle на удаление и потом встав-
...
ResourceManager[2195]: info: Running /etc/init.d/oracle-db start ку 20000 записей тратил около 15 секунды на одиночном
...
oracle-db: Starting Oracle database: succeeded
сервере. В объемах это где-то 5-10 Мб, учитывая индексы
... и служебную информацию. То есть у нас остается даже за-
ResourceManager[2195]: info: Running /etc/init.d/oracle-lsnr start
... пас. Такова специфика работы сервера баз данных, хотя
oracle-lsnr: Starting Oracle Net8 listener: succeeded если бы мы с вами организовывали файл-сервер, то навер-
...
ResourceManager[2195]: info: Running /etc/init.d/httpd start няка заметили бы падение производительности.
...
Mar 17 14:35:24 altora1 httpd: httpd startup succeeded Что повлечет для клиентского ПО переход с одного узла
... кластера на другой? Соединения клиентского ПО с Oracle
heartbeat: [2185]: info: local HA resource acquisition completed (standby).
heartbeat: [1631]: info: Standby resource acquisition done [foreign]. будут потеряны. Пользователям необходимо будет по ис-
heartbeat: [1631]: info: Initial resource acquisition complete (auto_failback)
heartbeat: [1631]: info: remote resource transition completed. течении пары минут заново подключиться к Oracle, жела-
тельно, чтобы используемое вами клиентское ПО имело та-
Поздравляю, ваш кластер работает! кую возможность. Время перехода с одного узла кластера
на другой составляет менее минуты.
Эксплуатация Если вы используете единый источник бесперебойно-
Порядок включения узлов не имеет значения, т.к. узел, за- го питания для обоих узлов кластера, то для увеличения
пустившийся первым, будет ждать запуска другого узла времени работы от батареи в случае отключения электро-
(в файле /etc/drbd.conf параметр wfc-timeout). Что делать, снабжения советую в качестве второго узла кластера ис-
если один из узлов не стартует, мы обсудим ниже. пользовать более «легкую» машину (меньше CPU, жест-
Порядок выключения узлов кластера зависит от при- ких дисков и прочего). И при переходе кластера на работу
ложений, запущенных на этом кластере. Для нашего слу- от батареи оставлять рабочим только резервный узел. Де-
чая мы должны добиться, чтобы информация, храняща- лается это путем настройки демона, следящего за состоя-
яся в базе Oracle, по завершении работы кластера бы- нием батареи, так, чтобы система на главном узле останав-
ла в идентичном состоянии на обоих узлах и была «цель- ливалась, например, после 5 минут (чтобы не реагировать
ной» (consistent). Мне представляется, что единственный на кратковременные перебои) работы от батареи, а на ре-
способ этого добиться – выключать главный узел пер- зервном узле работала бы уже до исчерпания заряда бата-
вым, тогда Oracle успешно завершит работу, и даже ес- реи. Выбор соответствующего демона зависит от марки ис-
ли Heartbeat на резервном узле успеет запустить Oracle, пользуемой вами батареи. Для широко распространенных
то это уже не должно повлечь за собой какое-либо изме- батарей фирмы APC можно использовать демон apcupsd
нение данных в базе, т.к. резервный узел также будет за- (http://www.sourceforge.net/projects/apcupsd). Он позволяет
вершать свою работу. организовать взаимодействие по сети.
Так что же делать, если один из узлов не запускается? Пе- И не забывайте о резервном копировании, ведь клас-
резагружаем рабочий узел и загружаем систему в однополь- тер – это не панацея, а лишь одно из средств.

40

Множественные уязвимости
в Mozilla Firefox
Программа: Mozilla Firefox 1.5.0.1 и более ранние версии,
Mozilla Suit версии до 1.7.13 .
Опасность: Критическая.
Описание: 1. Уязвимость существует из-за ошибки, кото-
рая позволяет внедрить JavaScript-код в другую, в данный
момент загружающуюся страницу. Удаленный пользователь
может с помощью специально сформированного веб-сай-
та выполнить произвольный код сценария в браузере жер-
твы в контексте безопасности любого сайта.
2. Уязвимость существует из-за ошибки в garbage
collection в JavaScript. Удаленный пользователь может вы-
звать повреждение памяти и выполнить произвольный код
на целевой системе.
3. Ошибка при обработке входных данных в реализа-
ции каскадных стилей может позволить злоумышленнику
дописать некоторые данные в конец массива.
4. Целочисленное переполнение буфера обнаружено
при обработке слишком длинных регулярных выражений
в JavaScript. Удаленный пользователь может выполнить
произвольный JavaScript-код на системе.
5. Обнаружено две ошибки при обработке стилей
-moz-grid и -moz-grid-group. Удаленный пользователь может
выполнить произвольный код на целевой системе.
6. Ошибка обнаружена в методе InstallTrigger.install().
Удаленный пользователь может вызвать повреждение па-
мяти на системе.
7. Уязвимость существует из-за неизвестной ошибки,
которая позволяет в некоторых ситуациях подменить икон-
ку с изображением безопасного замка и содержимое ад-
ресной строки путем изменения месторасположения pop-
up окна. Для успешной эксплуатации уязвимости опция
«Entering secure site» должна быть включена (по умолча-
нию отключена).
8. Уязвимость позволяет злоумышленнику обманом за-
ставить пользователя скачать злонамеренный файл с по-
мощью меню «Save image as...».
9. JavaScript функция, созданная вызовом eval() совмес-
тно с методом XBL-привязки, может быть скомпилирована
с некорректными привилегиями. Удаленный пользователь
может выполнить произвольный код на целевой системе.
10. Обнаружена ошибка в методе Object.watch(), откры-
вающем внутренний clone parent-объект функции. Уда-
ленный пользователь может выполнить произвольный
JavaScript-код на системе.
11. Обнаружена ошибка в способе зашиты сборки встро-
енных XBL-связок. Удаленный пользователь может выпол-
нить произвольный JavaScript-сценарий на системе с повы-
шенными привилегиями.
12. Неизвестная ошибка позволяет удаленному поль-
зователю выполнить произвольный код сценария посредс-
твом массива window.controllers.
13. Уязвимость существует из-за ошибки при обработке
определенной последовательности HTML-тегов. Удаленный
пользователь может вызвать повреждение памяти и выпол-
нить произвольный код на целевой системе.
№5, май 2006
bugtraq
14. Уязвимость обнаружена в методах valueOf.call()
и valueOf.apply(). Удаленный пользователь может выпол-
нить произвольный код сценария в браузере жертвы в кон-
тексте безопасности произвольного сайта.
15. Обнаружено несколько ошибок в реализации DHTML.
Удаленный пользователь может вызвать повреждение па-
мяти и выполнить произвольный код на целевой системе.
16. Целочисленное переполнение обнаружено при обра-
ботке CSS-свойства letter-spacing. Удаленный пользователь
может вызвать переполнение динамической памяти и вы-
полнить произвольный код на целевой системе.
17. Уязвимость существует при обработке элементов
формы для загрузки файлов. Удаленный пользователь мо-
жет загрузить произвольные файлы с системы пользовате-
ля на сервер путем динамической подмены элемента текс-
товой строки на элемент загрузки файлов.
18. Неизвестная ошибка существует в методе crypto.
generateCRMFRequest(). Удаленный пользователь может
выполнить произвольный код на целевой системе.
19. Ошибка при обработке сценариев в XBL-элементах
может позволить злоумышленнику получить chrome при-
вилегии с помощью модуля Print Preview.
20. Уязвимость существует из-за ошибки при провер-
ке безопасности в методе js_ValueToFunctionObject(). Уда-
ленный пользователь может выполнить произвольный код
с помощью setTimeout() и ForEach.
21. Уязвимость существует из-за ошибки взаимодейс-
твия между содержимым XUL-окна и механизмом History.
Злоумышленник может обманом заставить пользователя
взаимодействовать с невидимым пользовательским ин-
терфейсом браузера.
URL производителя: www.mozilla.com.
Решение: Установите последнюю версию с сайта произ-
водителя.
Выполнение произвольного кода и отказ
в обслуживании в PHP
Программа: PHP 4.4.2, PHP 5.1.2.
Опасность: Высокая.
Описание: Переполнение буфера обнаружено в функциях
wordwrap(),array_fill() и substr_compare(). Удаленный поль-
зователь, контролирующий входные параметры функций,
может вызвать отказ в обслуживании или выполнить про-
извольный код на целевой системе. Примеры:
<?
$a = str_repeat ("A",438013);
$b = str_repeat ("B",951140);
wordwrap ($a,0,$b,0);
?>
<?array_fill (1,123456789,"Infigo-IS");?>
<?substr_compare ("A","A",12345678);?>
URL производителя: www.php.net.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Составил Александр Антипов
41
администрирование

Arch Linux: руководство

к быстрому старту

Валентин Синицын
Выбор пакетов для Slackware, на ваш взгляд, скудноват, а Gentoo собирается целую вечность?
Попробуйте Arch Linux – удачное сочетание гибкости и скорости развертывания.

42
 администрирование

В
этой статье мы поговорим об Arch министрированию производятся тем (Arch User Repository) – по-настояще-
Linux (www.archlinux.org) – срав- путем, который предусмотрел автор му неофициальный репозитарий, под-
нительно молодом, первоприн- той или иной программы. Arch Linux держиваемый пользователями Arch
ципном (то есть не базирующемся ни вообще старается выдерживать «ав- Linux. Содержимое AUR, за редким ис-
на какой из ныне существующих) дис- торскую» линию – на пакеты почти ключением – не готовый бинарный па-
трибутиве Linux. Это не совсем об- не накладываются патчи (кроме три- кет, а его сборочный сценарий, так на-
зор – по ходу изложения будут давать- виальных) и т.п. Как утверждает Ви- зываемый PKGBUILD. Arch Linux стре-
ся советы и рекомендации по практи- нет, основные идеи он позаимство- мится предоставить самые послед-
ческой работе с системой. Поскольку вал у CRUX (www.crux.nu) и Slackware нии версии программ, поэтому вы-
Arch Linux, как и большая часть сов- (www.slackware.com) – так что антураж ход бинарных пакетов обычно проис-
ременных ОС, не явно подразумевает, соответствующий. ходит вскоре после релиза исходных
что пользователю не составляет труда Arch Linux имеет оригинальную ор- текстов (все зависит от конкретного
выкачать из Интернета 100-200 Мб об- ганизационную структуру. Поскольку maintainer): так, пакеты с KDE 3.5.2 по-
новлений, мы специально остановим- он в некотором смысле является дети- явились в Extra спустя четыре дня пос-
ся на специфике его использования щем одного человека, здесь есть чет- ле анонса, а в Testing они были еще за
в условиях нашей страны. Сразу же ко очерченный набор «официальных» восемь дней до него.
скажу, что речь не идет о локализа- пакетов (коих в версии 0.7.1 насчиты- Раз уж мы заговорили о бинарных
ции – в этом смысле Arch Linux не от- вается 357 штук) и, как некогда заме- пакетах и сборке, имеет смысл ска-
личается от любого другого дистрибу- тил Алексей Федорчук: «ни малей- зать пару слов и о пакетном менед-
тива, а данная статья не преследует шей тенденции к увеличению их чис- жере. Для управления двоичными па-
цель дублировать существующую до- ла не просматривается». Официаль- кетами в Arch Linux используется ути-
кументацию. ный Arch Linux скормен и строг: поми- лита с забавным названием pacman.
Основателем Arch Linux является мо базовой системы (arch-base) сюда Сами пакеты имеют неудобный суф-
Джудд Винет (Judd Vinet). Первая вер- входит графическая среда и легкие фикс .pkg.tar.gz. Поддерживаются за-
сия дистрибутива под номером 0.1 уви- оконные менеджеры (FVWM, IceWM, висимости (исключительно жесткие –
дела свет 11 марта 2002 года, а теку- WindowMaker), а также средства раз- это вам не Debian) и имеются средс-
щая версия имеет номер 0.7.1 и дати- работки, сервера и основные графи- тва их автоматического разрешения –
рована 5 января 2006 года. ческие приложения: AbiWord, Gimp, при помощи того же pacman. Если вы
Arch Linux является i686-оптимизи- Mozilla Firefox и Thunderbird. Ни KDE, привыкли собирать программы из ис-
рованным дистрибутивом. Что пони- ни Gnome, ни OpenOffice.org в этом ходных кодов – нет проблем: для этих
мается под этими словами? Это зна- списке нет, но это не значит, что их нет целей предназначена благозвучная
чит, все пакеты собираются с клю- вообще: у «официального» Arch Linux уху автолюбителя система ABS (Arch
чом «-march=i686», то есть использу- существуют «полуофициальные» са- Build System) – аналог портов BSD, поз-
ют набор инструкций Pentium II и вы- телиты, в первую очередь – репози- воляющая быстро и эффективно соб-
ше. Как следствие, этот процессор яв- тарий Extra. Это – весьма объемная рать готовый пакет из авторских исход-
ляется «минимальным системным тре- коллекция пакетов, не поддержива- ных текстов. Можно сказать, что Arch
бованием» к оборудованию. Как зна- емая г-ном Винетом лично. Не сто- Linux – это бинарный дистрибутив, по-
ют пользователи Gentoo, пересбор- ит думать, что Extra – нечто вроде ощряющий сборку из исходных текс-
ка Linux под свою архитектуру позво- linuxpacages.net – это просто репозита- тов: этакий Gentoo со stage3, раздутым
ляет достичь определенного (порой – рий, поддерживаемый другими людь- до размеров дерева Portage.
весьма незначительного) прироста ми, что и придает ему «полуофициаль- Arch Linux использует rc-скрипты
производительности, поэтому можно ный», но отнюдь не «неофициальный» в стиле BSD и охотно перенимает све-
предположить, что на новых компью- статус. Между репозитариями сущес- жие решения. Так, Arch Linux 0.7.1 был
терах Arch Linux будет работать быс- твует тесное взаимодействие, и мно- одним из первых (но не первым) дис-
трее, чем, например, Slackware (оп- гие рассматривают Extra как неотъем- трибутивом, отказавшимся от Hotplug
тимизация i486) или SUSE/Mandriva лемую часть Arch Linux. в пользу Udev, что весьма ускорило
(i586). На самом деле на скорость Перечень репозиатриев Arch Linux загрузку. В него входит собственная
работы влияет множество парамет- не исчерпывается Extra и Current система распознавания оборудования
ров, и оптимизация здесь – далеко (это тот самый «официальный» Arch (HWD) и поддержка сетевых профилей
не главное. Существуют также порты Linux, из которого в определенные мо- на уровне стартовых сценариев.
Arch Linux на x86-64 и i586, однако мне менты времени делают ISO-образы). Все это хорошо, спросит внима-
не приходилось работать с ними поэ- Упоминания заслуживает Testing, в ко- тельный читатель, но где же взять
тому в дальнейшем мы будем говорить тором появляются новые, еще не «об- Arch Linux? Канонический ответ сво-
только об основной ветви. катанные» версии программ (так, на- дится к следующему: скачать с сай-
Arch Linux – дистрибутив для опыт- пример, в состав Arch Linux 0.7.1 входит та проекта ISO-образ arch-0.7.1.iso
ного пользователя. Вы не найдете X11R6.8.2, но на момент выхода дист- или arch-0.7.1-base.iso (только базо-
в нем графических мастеров-конфи- рибутива в свет X.Org 7.0 уже был до- вая система), а затем догрузить все
гураторов вроде YaST или Mandriva ступен в Testing, а в Current он появил- необходимые пакеты (KDE/Gnome,
Control Center: все операции по ад- ся лишь в середине февраля) и AUR OpenOffice.org и т. д.) из Extra. К сожа-

№5, май 2006 43

 администрирование
Рисунок 1. Рабочий стол Arch Linux – ничего необычного.
Все самое интересное – за кулисами
Рисунок 2. Сине-бело-черная гамма – визитная карточка
Arch Linux. Сайт проекта выдержан в том же стиле
лению, для большинства российских пользователей это не-
приемлемо, но выход все же есть. Начиная с января этого
года ежеквартальные срезы репозитариев Arch Linux мож-
но заказать по почте (http://www.linuxcenter.ru/?good=1332).
Будем считать, что вам удалось раздобыть Arch Linux тем
или иным способом. Что дальше? Конечно же, установка!
Весь процесс подробно описан на самом диске, в файле
archdoc.txt (потрудившись, его можно найти и на ftp.archlinux.
org). Мы же сосредоточимся на некоторых тонкостях, зна-
ние которых позволит сделать развертывание системы до-
статочно быстрым и безболезненным.
Установка
Инсталлятор Arch Linux выдержан в духе Slackware: те же
сценарии на языке оболочки плюс утилита dialog. Созда-
тели дистрибутива настоятельно рекомендуют установить
только базовую систему, а оставшиеся пакеты добрать
вручную после перезагрузки системы и, как выясняется, не
зря. Просматривая плоский список из 350 с лишним паке-
тов, не мудрено и утомиться, а выбор двух несовместимых
вариантов (например, hotplug и udev – см. выше) приведет
к тому, что программа откажется продолжать свою работу
и предложит начать все сначала. Зависимости тоже раз-
решаются автоматически – никакой возможности поучас-
твовать в этом процессе вам не предоставляется, а пото-
му случайный выбор, скажем Mozilla Firefox приведет к то-
44
му, что на вашем компьютере появится вполне полноцен-
ная X Window System не самой свежей версии (опять же см.
выше). В общем, даже если у вас на руках полноценный
DVD со всеми пакетами, будьте осторожны и не пренебре-
гайте «советами бывалых».
В остальном инсталлятор Arch Linux мало чем отлича-
ется от того же Slackware. Меню организовано чуть-чуть по-
другому, но человека, претендующего на работу в дистри-
бутиве для опытных пользователей, это вряд ли смутит.
Первая загрузка
После перезагрузки системы (которая, кстати, произойдет
весьма быстро) вашему взору будет представлена чистая
текстовая консоль. Впрочем, если вы все же не послуша-
лись старших товарищей и попросили инсталлятор раз-
вернуть что-то помимо базовой системы, у вас вполне мо-
жет оказаться и X с простеньким оконным менеджером,
но речь сейчас не о том. Независимо от того, ограничи-
лись ли вы пресловутым arch-base или же выбрали все па-
кеты без разбора, наверняка вы захотите установить до-
полнител ные программы из репозитария Extra. Допустим
также, что у вас, как и у подавляющего большинства насе-
ления России, нет быстрого (и дешевого) канала в Интер-
нет, поэтому вы где-то раздобыли текущий срез Arch Linux.
Что дальше? Устанавливать пакеты, разрешая зависимос-
ти вручную или не учитывая их вообще, – не выход. Нуж-
но прописать путь к вашему локальному репозитарию Arch
Linux (который, кстати, может располагаться в локальной
же сети – подумайте об этом, если планируете установить
Arch Linux на три и более компьютеров).
К сожалению (или к счастью), специального источника
«cdrom», как в apt, в pacman не предусмотрено – програм-
ме совершенно не важно, где находится зеркало, заданное
тем или иным URL (и это правильно, иначе URL не был бы
Универсальным локатором ресурсов). Таким образом, что-
бы научить pacman обновляться с CD/DVD-ROM, достаточно
прописать путь к локальному репозитарию, используя про-
токол file://. Зеркала просматриваются в порядке их объяв-
ления в соответствующих секциях файла /etc/pacman.conf,
поэтому, добавив нужную строчку в самое начало, вы на-
всегда отучите pacman «лазать по Интернету». Впрочем, со-
ветую вам приберечь «жесткие меры» на крайний случай:
вполне может статься, что вы захотите обновить какую-ни-
будь небольшую программу именно из репозитария current,
а не с локального диска. Исходя из этого, секция current
файла /etc/pacman.conf может иметь следующий вид:
[current]
# Список «настоящих» интернет-серверов
Include=/etc/pacman.d/current
Server= Ошибка! Недопустимый объект гиперссылки.
В результате при отсутствии подключения на консоль
будет выдаваться множество сообщений о невозможнос-
ти соединиться с ftp.foo.bar, а затем pacman установит нуж-
ный пакет с DVD-ROM.
С репозитариями Extra и Testing можно поступить так-
же, а можно – еще проще – просто добавить:
Server=file://<путь к локальному репозитарию>

 администрирование

№5, май 2006 45

 администрирование
ге /var/abs, отвечающем вашему при-
ложению.
Если вы – счастливый обладатель
широкого и недорогого интернет-ка-
нала, эти манипуляции будут для вас
излишними – makepkg сам загружает
из Интернета нужные исходные тек-
сты.
Теперь можно собрать пакет:

makepkg

Или же сразу и собрать, и устано-

вить:

makepkg -i

Рисунок 3. Не нашли нужную программу в основном дистрибутиве. Пришло время Если вы собрали что-то уникаль-
обратиться к помощи сообщества – ArchLinux User-community Repository
ное и считаете, что ваш PKGBUILD мо-
в начало соответствующей секции. «разумном» формате (.tar.gz, .tar.bz2, жет быть полезен другим пользовате-
Для пущей уверенности можно заком- zip) и PKGBUILD.proto, если речь идет лям Arch Linux, подумайте о его публи-
ментировать все остальные сервера. о новом пакете, после чего PKGBUILD. кации в AUR.
Альтернативный подход к разверты- proto переименовывается в PKGBUILD Все! Подготовительные этапы
ванию локального репозитария изло- и правится в соответствии с вашими пройдены, и теперь вы можете осна-
жен в файле archdoc.txt. требованиями. В сложных случаях мо- щать свою систему всеми необходи-
Первую половину пакетного ме- жет потребоваться использовать сце- мыми приложениями.
неджмента мы, таким образом, на- нарий install, который легко создать Используйте автоматическое раз-
строили. Осталось вторая – ABS. на базе install.proto. Написание сце- решение зависимостей (pacman -S) –
К счастью, она требует гораздо мень- нариев PKGBUILD находится за рам- это сделает вашу жизнь проще, а бло-
шего внимания. В первом приближе- ками данной статьи. ки «конструктора», с которым прихо-
нии (особенно если вы не собираетесь О том, как писать сценарии дится работать, крупнее.
пересобирать пакеты вручную) можно PKGBUILD, можно узнать из докумен-
вообще забыть о ее существовании. тации, поэтому ограничимся лишь об- Заключение
Но я бы рекомендовал все же синхро- щими замечаниями: Теперь вы представляете себе, что та-
низировать дерево ABS, так сказать,  В первую очередь необходимо ис- кое Arch Linux. Устанавливать ли эту
на будущее. Эта задача выполняет- править значение переменных систему на свой компьютер – решать
ся командой abs, которая в свою оче- pkgname (имя пакета) и pkgver (вер- только вам. Думается, что Arch Linux
редь использует cvsup, поэтому бо- сия). Эти переменные используют- хорошо подойдет «продвинутым поль-
лее-менее заметный трафик (поряд- ся для заполнения массива source, зователям» Linux, которые произво-
ка 10-20 Мб без учета сжатия) будет содержащего имена архивов с ис- дят большую часть настроек из кон-
сгенерирован только в первый раз. ходными текстами. Если формат фигурационных файлов и не слиш-
Вы же получите в свое распоряжение нужного вам архива отличается ком связаны временными рамками,
полностью готовый к использованию от .tar.gz, нужно внести соответс- то есть могут позволить себе «дово-
каталог /var/abs, а также два файла: твующие изменения. дить» систему в свободное от рабо-
PKGBUILD.proto и install.proto, которые  Естественно, необходимо описать ты время.
можно использовать для компиляции саму процедуру сборки – подпро- Если же, напротив, речь идет о
своих собственных пакетов. грамму build(). В большинстве слу- предприятии, где на первый план вы-
Эта операция (как, впрочем, и чаев требуется лишь изменить па- ходит скорость развертывания, про-
пересборка уже имеющихся в сис- раметры configure. стота управления, «дуракоупорность»
теме пакетов) происходит следую-  Необходимо сгенерировать md5- и уж тем более сертификация сто-
щим образом. Вы переходите в под- суммы для каждого архива – мас- ронних производителей, Arch Linux –
каталог /var/abs, отвечающий нужно- сив md5sums. К счастью, эта зада- не самый лучший выбор. В общем, ес-
му вам приложению. Если речь идет ча автоматизирована и выполняет- ли вы ищете простой настольный/сер-
о компиляции нового пакета «с ну- ся стандартной командой: верный дистрибутив с большим ко-
ля», каталог для него следует создать личеством свежих пакетов, не отяго-
в /var/abs/local. Затем в этом ката- makepkg -g >>PKGBUILD щенный средствами автоматической
логе последовательно размещают- настройки и связанным с ними «жир-
ся: добытый где-либо архив с исход- При этом подразумевается, что вы ком», возможно, Arch Linux – это то,
ными текстами программы в любом находитесь все в том же подкатало- что вам нужно.

46
 администрирование

№5, май 2006 47

 человек номера

Прихоти судьбы
Биография IT-просветителя

Когда-то, протестуя против навязанных жизнью ролей – ученик, студент, преподаватель

математики – Алексей Сальников, ныне директор крупнейшего в России IT-портала
«ЦИТ Форум» (http://www.citforum.ru), вступил с судьбой в переговоры. Мол, ты дай мне другой
вариант самореализации, а я обещаю не ныть на крутых поворотах. Договор вступил в силу.

Ч
то такое судьба? Нечто навеч- ществования порой похожи на кадры ги. Фантастика да и только, особенно
но впечатанное в таинственные из детектива с захватывающим сю- для ребят, к технике охочих. Юные ма-
скрижали и определяющее каж- жетом. тематики не дыша смотрят на машину,
дый наш шаг? Или туманное будущее, Первый раз компьютер, тогда это на преподавателя, который этим чудом
неизвестное никому? Хочется верить, называлось «электронно-вычисли- управляет. Учитель, между прочим, не
что ты сам себе хозяин, только от те- тельная машина», Алеша Сальников представитель точных наук, а отстав-
бя зависит выбор профессии, семьи увидел в подростковом возрасте, ког- ной полковник. Это его собственная
и прописки… да учился в физико-математической ЭВМ, списанная из какого-то штаба.
школе-интернате №18 при МГУ им. Ло- Прибавьте к обрисованному такую де-
Как в кино моносова. Представьте себе картину: таль: подростки все поголовно в белых
Знаки судьбы Алексей Михайлович 15-летние мальчишки входят в комна- рубашках, при галстуках, да не на ре-
Сальников встречает регулярно. И по- ту, где шумят какие-то механизмы, ми- зиночках, а настоящих, умело завя-
жаловаться на скучную жизнь никак гают лампочки, как на космическом ко- занных. У преподавателя НВП был же-
не может. Наоборот, перипетии его су- рабле, телетайп выводит рулоны бума- лезный принцип. Он считал, что муж-

48
 человек номера
чина должен быть всегда хорошо вы- грузилась какая-то страничка. Однако с супругой Еленой решили открыть
брит и прилично одет. Сам он ходил на представить, как это выглядит на нор- собственное дело. Родилась совер-
занятия в безукоризненно отутюжен- мальной скорости, было несложно… шенно неожиданно, как побочный про-
ном костюме, сверкающей белизной Я всегда в нашей фирме занимался дукт другой авантюрной идеи.
рубашке и галстуке. На занятиях по вопросами продвижения наших курсов. Сначала семейство рассуждало
начальной военной подготовке учени- Это была моя главная обязанность. так: что могут делать и продавать про-
ки школы-интерната не просто любо- Когда я увидел, как работает Интер- граммисты? Естественно, программы.
вались ЭВМ, но и учились ею пользо- нет, сразу сказал: «Это место для рек- Какие? Для банков, которые первые
ваться: делали лабораторные работы, ламы». А в 1997 году мне совершен- в стране разбогатели и первыми захо-
писали программки. но случайно попалась книга англий- тели автоматизироваться. Это же золо-
Следующий кадр. Наш герой уже ского автора об интернет-маркетин- тая жила – полторы тысячи банков, ко-
учится в университете, успел прой- ге. И в нашем офисе как раз появил- торым нужна специальная компьютер-
ти армию и даже поучительствовать ся плохонький, медленный, но все же ная программа под названием «Опер-
в глухом селе на Смоленщине. На 4-м выделенный канал. Бизнес есть биз- день». Стали собирать информацию –
курсе практику Алексей Сальников нес. Я прочитал книжку, мне стало ин- как функционирует банк, какой долж-
проходил на ЗИЛе, в суперсовремен- тересно. Следующий шаг – я объявляю на быть программа. Читали специаль-
ном вычислительном центре, создан- курсы интернет-маркетинга. 60 взрос- ную литературу, свели дружбу с бан-
ном автозаводом и Академией на- лых умных людей приезжают слушать киром, который согласился предоста-
ук. «Там было красиво, – вспомина- мои лекции. Каждый платит 300 дол- вить свой маленький банк в качестве
ет он мечтательно. – В стране таких ларов за то, чтобы меня три дня слу- полигона для отработки этой програм-
вычислительных центров практичес- шать. Несколько лет я такой курс чи- мы, дать деньги на ее разработку. Увы,
ки не было, разве что в закрытых уч- тал. Мне было интересно изучать эту однажды банкир испарился. И совето-
реждениях, в «ящиках». Сотрудники тему. В конце 90-х годов я был главным ваться стало не с кем.
центра с нами говорили уважитель- специалистом в России по интернет- Что делать? Ходить на поклон
но. Видно было, что это правильные маркетингу. Потом я стал проводить в другие банки? Нет, сказал себе Саль-
люди, с ними было приятно общаться. конференции по интернет-маркетингу. ников, надо… сделать так, чтобы бан-
И возникало желание там трудиться. Толпы народа собирались. Хотя на пер- киры сами пришли к нам. Все гениаль-
Я два года параллельно с обучением вых конференциях было очень немного ное – просто. «Взяли листок бумаги, на-
работал в центре. А после, как закон- людей, способных сказать что-то внят- писали: семинар «Автоматизация бан-
чил мехмат МГУ, туда же и распреде- ное на эту тему». ковской деятельности», 7-11 сентября
лился. В конце 80-х там были сдела- Тогда же организаторы Учебно- 1992 года. Место проведения: Москва,
ны знаменитые компьютеры семейс- го центра решили, что хорошо бы Университет. Семинар платный. Ука-
тва БЕСТА. Был огромный коллектив. на практике воплотить теоретические зали номер телефона в комнатке, ко-
Часть людей занимались «железками», положения, о которых говорилось на их торую арендовали в университете. Ку-
часть – программами. Если бы эту ли- курсах, и создали ЦИТ Форум. Прос- пили базу данных с адресами банков,
нию продолжать дальше, все было бы то для того, чтобы рекламировать свои тогда она продавалась в редакции га-
хорошо. Но линия, к сожалению, не по- курсы. Как резюмирует сегодня Алек- зеты «Коммерсантъ». Написали про-
лучила развития». сей: «ЦИТ Форум возник из небаналь- грамму семинара, напечатали, разло-
Новый скачок во времени. Середи- ного подхода к рекламе своей продук- жили в конверты и отправили. Когда
на 90-х. Алексей Сальников – руково- ции. Потом продукция исчезла, а инс- письма дошли, наш телефон просто
дитель первого в России коммерческо- трумент остался». Сегодня портал разорвался. Звонили со всей страны
го учебного центра, чрезвычайно попу- CITForum.ru – не имеющая аналогов из банков, спрашивали, как записать-
лярного среди людей, внедряющих ин- техническая библиотека бесплатных ся, куда деньги переводить за участие.
формационные технологии в финансо- ресурсов по информационным техно- Почему получился такой эффект, по-
вую, промышленную и телекоммуника- логиям на русском языке. нятно. Банкам надо было автоматизи-
ционную сферы. На учебный центр ра- Но начало, начало – в этих трех роваться, но никто не знал, как это де-
ботают специалисты высокого уровня. кадрах истории жизни одного челове- лать. Мы были первые, кто предложил
Среди них знаток Интернета, сотруд- ка. Алексей Сальников может со мной поучаствовать в семинаре на эту тему.
ник Курчатовского института. Как-то не согласиться, но я уверена, что эти Ну вот записали мы желающих учас-
он пригласил Алексея и его соратни- три эпизода – знаковые, и если бы я твовать, теперь надо семинар прово-
ков посмотреть, что такое Сеть. Стоп- снимала фильм об Алексее Михай- дить. О чем говорить? Стали звонить
кадр весьма выразительный, почти ис- ловиче, они были бы центральными в IBM, Hewlett-Packard, другие круп-
торический: «Мы приехали, а как раз в картине. ные компании, отправляли им по фак-
случилось несчастье. Тогда Интернет су список банков и говорили: «Эти гос-
в Россию попадал через Финляндию. Огонь, вода пода желают вас выслушать». Они со-
И, как на грех, где-то под Питером эк- и медные трубы гласились выступить».
скаваторщик повредил провод. Поэто- Алексей сам себя называет генера- Алексей Сальников смеется, ког-
му все очень медленно происходило. тором идей. Самая гениальная из них да вспоминает первый семинар. За-
Мы смотрели на экран, где не спеша родилась в 1992 году, когда Алексей явок тогда набралась добрая сотня.

№5, май 2006 49

 человек номера
Пригласили только 16 банков, которые
оказались в списке первыми, но в ау-
диторию, арендованную в Московском
университете, набилось человек трид-
цать, только успевали стулья подно-
сить. Финансисты были непреклонны:
мы приехали и мы будем участвовать
в семинаре, возьмите деньги и дай-
те нам возможность послушать! Се-
минар длился целую неделю. Банки-
ры остались им довольны. А органи-
заторы Центра информационных тех-
нологий… проснулись знаменитыми,
как пишут в биографиях знаменитых
актеров. Их офис на военной кафед-
ре факультета ВМК МГУ на ближай-
шую пятилетку стал самым популяр-
ным местом для банкиров, разработчи-
ков банковского софта, а позже – пред-
ставителей крупных промышленных
предприятий, которые интересовались
информационными технологиями и их
применением в прикладных областях.
Идея писать банковские программы
тихо умерла. Зачем, если можно за-
рабатывать на семинарах?
Семинары и конференции – это пер-
вое направление работы Центра ин-
формационных технологий. С 1992
года они проводились регулярно, те-
мы выбирались самые горячие, до-
кладчики приглашались самые ак-
туальные. Более того, в какой-то мо-
мент офис ЦИТа стал штабом обще-
ния для конкурирующих фирм, кото-
рые автоматизировали банки. Рабо-
50
чая группа из их представителей, вы-
рабатывающая стандарты обмена ин-
формацией, заседала в ЦИТе. А само-
го Алексея Михайловича приглашали
занять пост в Ассоциации производи-
телей банковского софта…
Второе направление – учебные
курсы по информационным техноло-
гиям (citmgu.ru), которые читаются
и по сей день, но, естественно, в эпо-
ху обилия информации об IT и Интер-
нете, уже далеко не столь популярны.
А в 1993-1994 годах, вплоть до 1998-го,
на курсы в Москву ехали так же мас-
сово… как раньше в московские мага-
зины за колбасой, простите за такое
приземленное сравнение. Потому что
здесь можно было услышать людей,
которые знали все про IT, потому что
только здесь можно было купить книги
о сетях, операционных системах, базах
данных и прочем. Дело было организо-
вано умно и оперативно. Были собраны
лучшие специалисты, которые в рекор-
дно короткие сроки писали методички
по своим предметам. Например, трех-
сотстраничная книжка создавалась за
три месяца! Сдавали свои учебники
спецы по частям. Так что когда из-под
пера автора выходили последние стро-
ки, первые главы уже были не только
отпечатаны, прочитаны корректора-
ми, оформлены, проиллюстрированы
нужными схемами, картинками и таб-
личками, но даже размножены в соот-
ветствии с количеством слушателей.
Потом приезжали «студенты» и полу-
чали на руки две книги. Одна – крат-
кое изложение лекций, другая – сбор-
ник слайдов, которые преподаватели
показывали в ходе учебы. Слушатели
ничего не записывали в тетради, учи-
теля ничего не писали на доске. На это
не было времени. Предельная автома-
тизация организации учебы, опера-
тивность подачи информации принес-
ли ЦИТу оглушительный успех. Неко-
торые сотрудники отделов автомати-
зации банков и крупных предприятий
приезжали просто купить книги. Це-
нообразование было простое: доллар
за страницу… И покупали с большим
удовольствием.
В эйфории успеха Алексей Сальни-
ков и его коллеги не заметили, как по-
ток слушателей резко уменьшился,
опомнились только когда он совсем
сошел на нет. Наступили другие вре-
мена. Однако судьба, благосклонная
к Алексею, приготовила ему «задел»
для создания нового дела. Тот самый
сайт в Интернете, который когда-то вы-
весили для рекламы курсов. IT-портал
стал новым делом Алексея. И тоже, ес-
тественно, уникальным, ведь делать
что-то как все – неинтересно!
Новый Макаренко
Сегодня Алексей Сальников знает
о своей новой сфере деятельности
все. Как работать с рекламодателями,
как строить работу портала. Хотя при-
 человек номера

знается, что никогда не думал зани- питателем, то есть наблюдать за ре- мент увенчался успехом. Благодарный
маться изданием СМИ и получать до- бятами с первого по восьмой класс, мальчишка потом своего учителя да-
ходы от рекламы! А мне такой поворот которые приезжали в этот интернат же на тракторе катал. Потом Алексей
судьбы в жизни нашего героя совсем из мелких окрестных сел на неделю. восстановился в университете, закон-
не кажется неожиданным. Ведь глав- У Сальникова самые приятные воспо- чил его, далекая смоленская деревня
ная задача IT-портала ЦИТ Форум – да- минания о том периоде жизни: «На- ушла в прошлое…
вать людям знания. Библиотекой пор- до было прийти после уроков в шко- Но с тех пор, как мне кажется, ни-
тала ежедневно пользуются тысячи лу, забрать детей, сводить на обед, чем другим Алексей Сальников в жиз-
IT-специалистов и менеджеров, пре- потом поиграть с ними, потом они са- ни не занимается. Учит и учит негра-
подавателей и студентов вузов. Поч- дились делать уроки, я их консульти- мотных «мальчишек» тому, без чего
ти везде информационные техноло- ровал. Времени свободного у меня сегодня не обойтись, как раньше не-
гии преподают с помощью ЦИТ-Фору- был вагон. Развлечений не было ни- льзя было обойтись без элементар-
ма. Преподаватели готовятся к лек- каких. Была библиотека. Я брал там ной грамоты.
циям по скачанным материалам, да- книги, например, сочинения Макарен- Сам Алексей рассуждает скеп-
ют студентам не домашние задания, ко, шел домой – а я арендовал в этой тически: «Я знаю людей, моих одно-
а ссылки на ресурсы ЦИТ Форума. Так деревне избу с огромной русской печ- классников, которые добились гораздо
что ничего не изменилось кардиналь- кой в пол-комнаты – ложился на печ- большего, возглавляют крупнейшие IT-
но в деятельности Алексея Сальнико- ку и читал. Детишки были счастливы, компании. По масштабам бизнеса они
ва. Он по-прежнему учит народ. ведь до этого их воспитывали скуч- заведуют крейсерами. А у меня – ло-
А ведь будучи студентом, Алексей ные пожилые бабушки. А я с ними иг- дочка…» Но именно эта лодочка выво-
мог легко угадать, что судьба ему при- рал в футбол…». дит корабли в бурное море IT-техноло-
готовила именно эту миссию – просве- Но даже не в этом был знак судьбы- гий. Без нее, возможно, ни один крей-
тителя. Звучит патетически, но истина благодетельницы, а в том, что, будучи сер не сдвинулся бы с места. Ну, или
всегда немного банальна. Исключен- воспитателем, Алексей научил читать сделал бы это значительно позже.
ный из университета на третьем кур- одного деревенского мальчика. Па- Неплохую альтернативу предло-
се, недоучившийся математик подался рень учился в пятом классе и для крес- жила Алексею Сальникову судьба –
в учителя. Приехал в Смоленскую об- тьянской жизни имел все необходи- быть на 100% востребованным. Ни он,
ласть, явился в облоно, оттуда его от- мые навыки – классно водил трактор ни кто другой не знает, каким конкрет-
правили в дальнюю школу, где не было и профессионально курил «Беломор». ным делом будет заниматься сегод-
учителя математики. Доехал до шко- А вот читать в начальной школе ребен- няшний директор ЦИТ Форума через
лы и… попал в тупик: учителя иска- ка не научили – просто с учительни- полгода. Но я убеждена, что работать
ли летом, а он приехал в январе. Ко- цей они не встречались никогда, доку- он будет вновь под грифом «Впервые
нечно, вакансию давно уже худо-бед- мент выдали, чтобы не портить цифры в России» и обязательно – просвещать.
но закрыли… Ехать назад не хотелось, успеваемости по району. Занимались Попутного ветра в парусах!
и Алексей согласился на предложения Алексей Михайлович и неграмотный
директора школы-интерната стать вос- пятиклассник после отбоя. Экспери- Оксана Родионова

№5, май 2006 51

безопасность

Настраиваем эффективную
систему сетевой защиты Zorp

Сергей Яремчук
ModSecurity – Open Source firewall седьмого уровня – позволяет защититься от угроз, типичных
для веб-сервера. Но в обычной сети можно встретить и другие сервисы, также нуждающиеся
в защите.

52

Ф
ильтры пакетов вроде ipchains
во время работы использу-
ют самые простые критерии,
и д ля фильтрации основываются
на информации, содержащейся в за-
головках IP-пакетов: IP-адреса источ-
ника и назначения, протокол и номера
портов источника и назначения, взя-
тые с TCP/UDP-протоколов следую-
щего уровня.
По сегодняшним меркам такой
подход может обеспечить только са-
мую минимальную защиту. Система
защиты, использующая этот принцип,
не владеет более подробной инфор-
мацией о соединении. И приняв пакет,
не может определить – устанавлива-
ется новое соединение либо пришед-
ший пакет является частью уже уста-
новленного соединения, а может, это
вообще случайный или враждебный
пакет. Так работал ipchains, исполь-
зуемый совместно с Linux-ядром се-
рии 2.2.
В Netfilter/iptables ядра 2.4/2.6 эта
проблема решается за счет контро-
ля состояния (stateful) флагов и по-
рядковых номеров ТСР. Такой фильтр
работает аналогично предыдущему
и дополнительно просматривает фла-
ги TCP и UDP-пакетов, а поэтому мо-
жет определить, является ли этот па-
кет попыткой установления нового со-
единения. Если да, то в таблице состо-
яний делается новая запись и действие
разрешается, если нет, то проверяет-
ся принадлежность существующим со-
единениям и при положительном ре-
зультате пакет пропускается. Кроме
явного отсеивания приходящего мусо-
ра, такие фильтры упрощают написа-
ние правил фильтрации. Например, ес-
ли ранее требовалось явно разрешить
в правиле оба направления, т.е. от кли-
ента к серверу и от сервера к клиен-
ту, то теперь достаточно просто раз-
решить соединение с сервером, за-
бота же о доставке информации кли-
енту полностью ляжет на плечи филь-
тра пакетов.
Кроме того, при использовании
stateful-фильтров можно смело запре-
щать все соединения на номера пор-
тов выше 1024. Но опять же при всех
положительных качествах контроль
состояний не сможет защитить сервер
от атак, направленных на конкретное
приложение. Например, никто не по-
мешает злоумышленнику послать за-
№5, май 2006
Рисунок 1. Принцип работы Zorp
прос большой длины или попробо-
вать реализовать сross-site scripting
атаку. Без посредника здесь точно
не обойтись.
Подход Zorp
Создатель Syslog-NG венгр Балазс
Шайдлер (Balazs Scheidler) разра-
ботал еще одно полезное приложе-
ние – Zorp. На заглавной странице
сайта проекта [2] он дословно име-
нуется как Modular Application Level
Gateway (хотя в некоторых документах
его название несколько другое – new
generation proxy firewall).
Но как бы ни звучало его название,
назначение остается неизменным –
защита приложений от направленных
атак. Принцип действия похож на рас-
сматриваемый ранее ModSecurity [1].
Zorp представляет собой прозрачный
(transparent) прокси, который высту-
пает посредником при работе клиента
и сервера. В этом случае для клиента,
который хочет установить новое соеди-
нение, Zorp выступает как сервер, а ре-
альный сервер видит Zorp как клиен-
та. Находясь посередине, такой прок-
си знает особенности своего протоко-
ла и на основании имеющейся инфор-
мации и настроек может принять реше-
ние о необходимости продолжения те-
кущего соединения.
Но в отличие от ModSecurity, ко-
торый является отдельным приложе-
нием и в идеальных условиях требу-
ет установки на отдельный компью-
тер, Zorp фактически представляет
собой расширение к Netfilter/iptables.
Таким образом, вся обработка проис-
ходит на одном-единственном ком-
пьютере, который находится на входе
сети, что освобождает её от пакетов,
которые все равно будут отброшены.
Кроме того, функции устройств защи-
безопасность
ты не будут дублироваться, что повы-
сит надежность за счет суммарного
уменьшения их количества, а с дру-
гой стороны, приведет к меньшим за-
держкам, так как весь анализ будет
произведен только один раз и в од-
ном месте.
Взаимодействие сервера и клиента
в случае использования Zorp показа-
но на рис. 1. Клиент, желая установить
соединение, посылает TCP SYN-пакет,
который поступает на маршрутизатор
с установленным iptables (ipchais), ис-
пользующим Zorp. Полученный пакет
проверяется на соответствие правил
iptables. Если он должен быть обрабо-
тан Zorp, то в записи следует указать
цель TPROXY (iptables) или REDIRECT
(ipchains). В качестве одного из пара-
метров указывается порт, где Zorp бу-
дет ждать подключения. Zorp получа-
ет пакет, проверяет его на соответс-
твие со своими правилами и запуска-
ет соответствующий прокси, который
инициализирует соединение с серве-
ром и дальше действует уже от име-
ни клиента, а в процессе работы про-
веряет проходящий поток данных. Ес-
тественно, и остальные цепочки так-
же должны пропускать обработанные
Zorp пакеты.
Теперь аномалии более низкого
уровня будут отсеиваться сразу. Та-
кой принцип работы позволяет делать
то, что недоступно многим IDS, а имен-
но проверять защищенные HTTPS,
POP3S, IMAPS или SSH-соединения.
То есть когда пользователь подключа-
ется к веб-серверу, последний отсыла-
ет ему сертификат, прокси может пе-
рехватить этот сертификат и отправить
пользователю свой. Теперь, находясь
посередине, можно беспрепятствен-
но контролировать любой трафик. Та-
ким же образом можно автоматически
53
 безопасность
проверять сертификаты и разрешать доступ только к опре-
деленным ресурсам.
Недостатков у такого способа, как минимум, два: по-
вышенное требование к производительности систе-
мы по сравнению с использованием обычного пакетно-
го фильтра и большая сложность в настройке по сравне-
нию со специализированными прокси вроде ModSecurity
или DansGuardian.
в файл /etc/apt/sources.list занести (для версии 3.0 woody)
следующие строки:
deb http://apt.balabit.hu/zorp-gpl-os/ ↵
zorp-os-3.0/3.0 security zorp-os common-gpl zorp-gpl
deb http://apt.balabit.hu/zorp-gpl-os/ ↵
zorp-os-3.0/3.0 zorp-os common-gpl zorp-gpl
И дать команду на обновление и установку:

Версии Zorp # apt-get -u upgrade

В настоящее время доступны три версии Zorp: Zorp Pro, Zorp
GPL и Zorp Unofficial. В случае использования других дистрибутивов придется
Zorp Unofficial ранее играл роль тестовой бета-версии, немного потрудиться, пересобрав все компоненты с исход-
но последние два года фактически не развивается, его мож- ных текстов, найти готовые прекомпилированные пакеты,
но свободно получить на сайте [3]. отличные от deb, мне не удалось. Так как межсетевой экран
Самой продвинутой является коммерческий Zorp Pro, должен иметь минимум компонентов и тем более не иметь
представляющий собой доработанный Debian, который компилятора, то устанавливаем базовую систему, а собира-
можно установить за 10 минут (без настройки). В его со- ем все остальное на отдельном компьютере. В первую оче-
ставе имеются: редь необходимо пересобрать ядро, оставив только необ-
 16 модулей, контролирующих свои протоколы; ходимые опции, а также утилиты iptables.
 сервер управления (Zorp Management Server – ZMS), Версии ядра 2.2 уже имеют встроенный прозрачный
с помощью которого удобно создавать и настраивать прокси, и для его активации требуется только включить
правила работы системы фильтрации, клиенты, при по- в меню «Networking options → IP: firewalling», и активируем
мощи которых и производится удаленная настройка, до- «Transparent proxy support». В следующих версиях 2.4/2.6, ког-
ступны для нескольких систем; да был введен iptables, такая возможность была убрана, по-
 возможно подключение модуля антивирусной провер- этому перед компиляцией необходимо будет наложить патч
ки; tproxy [4]. Имя патча имеет вид cttproxy-2.6.15-2.0.4.tar.gz,
 строгая аутентификация по любому протоколу, генери- где 2.6.15 означает версию ядра, для которого он предназна-
рование ключей на лету на основании информации кли- чен, а 2.0.4 – версию tproxy. Также следует помнить о двух
ента; совместимостях. Версии TProxy 1.2.x совместимы со всеми
 возможность горячей перезагрузки без разрыва сущес- версиями Zorp, но не подходят к ядрам серии 2.6, а версия
твующих связей; TProxy 2.0 будет работать с ядрами 2.4 и 2.6, но совмести-
 техническая поддержка. ма только с Zorp, начиная с 2.1.9.
Для примера используем ядро 2.6.15:
GPL-версия, распространяемая свободно, не имеет та-
ких богатых возможностей, в ней есть модули, позволя- # tar xzvf cttproxy-2.6.15-2.0.4.tar.gz
# tar xjvf linux-2.6.15.tar.bz2
ющие контролировать только 6 типов протоколов (HTTP, # cd linux-2.6.15
FTP, PSSL, TELNET, WHOIS, FINGER) и Plug. Последний
работает без проверки протокола и поддерживает про- Патчи для ядра находятся в каталоге patch_tree, не все
токолы, использующие только один порт (SSH, MySQL, являются обязательными, достаточно установить только
VNC, Microsoft Terminal Service, GOPHER, SMB/CIFS, TALK, 03-tproxy.diff.
SYSLOG, RSYNC). Также в GPL-версии для SSL возможна
работа только с заранее сгенерированными ключевыми # for i in ../cttproxy-2.6.15-2.0.4/patch_tree/ ↵
0{1,2,3}*.diff; do cat $i | patch -p1; done
парами. И готовьтесь к тому, что собирать и настраивать
все это придется самостоятельно и вручную. Используя При конфигурировании в «Networking options → IP:
версию Pro, относительно просто организовать однократ- Netfilter Configuration → ...» включаем «Connection tracking»,
ную аутентификацию (SSO – Single-sign-on authentication), «IP tables support», «Full NAT» и «Transparent proxying»
с Zorp GPL сделать это невозможно. Осталось добавить, (см. рис. 2) с дополнительными опциями. В .config-файле
что использование Netfilter налагает ограничение по опе- это выглядит так:
рационной системе, здесь только GNU/Linux. Cам прокси
в Zorp написан на языке С, а модули контроля – с приме- CONFIG_NETFILTER=m
CONFIG_IP_NF_TPROXY=m
нением языка высокого уровня Python. CONFIG_IP_NF_MATCH_TPROXY=m
CONFIG_IP_NF_TARGET_TPROXY=m
CONFIG_IP_NF_IPTABLES=m
Установка Zorp GPL CONFIG_IP_NF_NAT=m
Балазс Шайдлер по совместительству является одним
из майтайнеров Debian, поэтому самым простым спосо- Кроме того, для прозрачного прокси необходим вирту-
бом установки является использование этого дистрибу- альный dummy-интерфейс. Проследите, чтобы во вкладке
тива, который затем обновляется его до ZorpOS. Для это- «Network device support» был активирован пункт «Dummy
го достаточно установить базовые пакеты Debian, затем net driver support». Если в процессе работы Zorp возник-

54
 безопасность
нут проблемы, то следует добавить отладочной инфор-
мации. Заглянув в net/ipv4/netfilter/iptable_tproxy.c, найде-
те строку:

#ifdef CONFIG_NETFILTER_DEBUG
#define DEBUGP printk

То есть отладочный режим можно активировать глобально,

поставив «CONFIG_ NETFILTER_DEBUG=y» либо заменив
первую строку на:

#if 1

В последних версиях модуль iptable_tproxy.o загружает-

ся автоматически при запуске по мере необходимости, ес-
Рисунок 2. Для использования Zorp необходимо пересобрать
ли используете ядро версии 2.4 или более ранние 2.6, то за- ядро
грузите его вручную при помощи modprobe.
В Slackware /etc/rc.d/ создаем файл /etc/rc.d/rc.inet4 та-
# modprobe iptable_tproxy.o кого содержания:
# lsmod | grep -i tproxy
iptable_tproxy 14340 0 #!/bin/sh
ip_nat 17600 1 iptable_tproxy DEVICE='dummy0'
ip_conntrack 45516 2 iptable_tproxy,ip_nat DHCP='no'
ip_tables 9624 1 iptable_tproxy IPADDR='10.2.3.4'
NETMASK='255.255.255.255'
PROBE='no'
Если с ядром все в порядке, то следующим шагом моди- . /etc/rc.d/functions-network "$@"
фицируем и пересобираем утилиты iptables, чтобы они мог-
ли работать с новой таблицей tproxy и новой целью TPROXY. И запускаем:
В подкаталоге iptables лежат два патча. Один – для версии
iptables 1.2.7a, второй – для 1.3 # /etc/rc.d/rc.inet4 start
Starting network dummy0 as 10.2.3.4/255.255.255.255…
# tar xzvf iptables-1.3.3.tar.gz
# cd iptables-1.3.X
# cat ../cttproxy-2.6.15-2.0.4/iptables/ ↵ Настраиваем Zorp
iptables-1.3-cttproxy.diff | patch -p1 Для настройки Zorp используются три файла, которые
# chmod +x extensions/.tproxy-test
# make KERNELDIR=/usr/src/linux-2.6.15 по умолчанию должны лежать в /etc/zorp/. Файл instances.
conf содержит список примеров Zorp, с которыми нужно
Zorp состоит из библиотеки libzorpll и собственно zorp. работать, и запускаемые сценарием zorpctl. Другой файл,
Последними версиями на момент написания статьи были zorpctl.conf, содержит глобальные настройки, связанные
libzorpll_3.1.2.2 и zorp_3.0.9.tar.gz. Каких-либо особенностей с работой самого zorpctl (разрешение автоматического
по их установке нет, делаем это обычным образом. рестарта, pid файл, дополнительные аргументы команд-
ной строки). И третий файл, policy.py, хранит правила и по-
Настраиваем Dummy-интерфейс литики, связанные с примерами.
Во избежание недоразумений dummy-адрес не должен В файле zorpctl.conf можно пока ничего не трогать, па-
принадлежать реально существующему сетевому ад- раметры по умолчанию пригодны для работы. Рекомендую
ресу. В Debian добавляем следующие строки в файл снять знак комментария лишь со следующих строк:
/etc/networking/interfaces:
CHECK_PERMS="1"
CONFIG_DIR=/etc/zorp
auto dummy0 CONFIG_DIR_OWNER=root
iface dummy0 inet static CONFIG_DIR_GROUP=zorp
address 10.2.3.4 CONFIG_DIR_MODE=0750
netmask 255.255.255.255
Тогда при запуске утилиты zorpctl будут проверяться со-
В RedHat и клонах, а также SuSE это будет файл ответствующие разрешения.
ifcfg-dummy0, лежащий в /etc/sysconfig/network:
# zorpctl start
BOOTPROTO='static' Config directory has invalid permissions, expected:
IPADDR='10.2.3.4'
NETMASK='255.255.255.255' dir='/etc/zorp', owner='root', group='zorp', perm='0750'
STARTMODE='onboot'
# groupadd zorp
# chown root:zorp /etc/zorp
# chmod 0750 /etc/zorp/
И затем: # zorpctl start

# ifup dummy0 Starting Zorp Firewall Suite

№5, май 2006 55

 безопасность
Для удобства предположим, что на межсетевом экране
имеются три сетевых интерфейса:
 eth0 – интранет-интерфейс с IP 192.168.0.1/24 – local;
 eth1 – DMZ с IP 10.0.0.1/24 – dmz;
 eth2 – Интернет с IP 111.222.333.444 – internet.
Дописываем в instances.conf. следующие строки:
local -v3 -p /etc/zorp/policy.py --autobind-ip 10.2.3.4
dmz -v3 -p /etc/zorp/policy.py --autobind-ip 10.2.3.4
internet --verbose=5 --policy /etc/zorp/policy.py ↵
--autobind-ip 10.2.3.4
Первое поле – это имя примера, выбранное произвольно.
Для каждого имени можно использовать отдельный файл,
но можно сконфигурировать многочисленные зоны в пре-
делах единственного файла. Опции -v или --verbose пока-
зывают уровень оповещения, а -р или --policy – на файл по-
литик. Возможны и другие параметры, либо можно просто
привязать Zorp к определенному сервису. Вроде такого:
Для примера разрешим доступ к серверу, находящему-
ся в DMZ, из локальной сети по протоколам http и для уда-
ленного управления ssh, а из внешней сети – по http.
InetZone('local', '192.168.0.0/24' "
## здесь через запятую можно указать несколько адресов
outbound_services=["local_http", "local_ssh"]],
inbound_services=[])
InetZone('dmz', '10.0.0.0/24',
inbound_services=["local_http", "local_ssh", ↵
"internet_http"] )
InetZone('internet', '0.0.0.0/0',
outbound_services=["internet_http"],
inbound_services=["*"])
InetZone("localzone", "127.0.0.0/8",
inbound_services=["*"])
И теперь сервисы. Описание сервиса состоит из ис-
ходной зоны, протокола и зоны назначения. Если услуга
прозрачна и зона назначения не определяется, то ее опи-
сание опускается. После адреса указывается порт, на ко-
торый iptables будет направлять пакеты, предназначенные
для этого сервиса.

zorp_ftp -v4 -p /etc/zorp/policy.py --threads 500 -- ↵ def local():

--no-auto-restart --fd-limit 1024 ↵
--process-limit 512
Теперь файл политик policy.py. Он состоит из двух сек-
ций. Первая является глобальной и описывает зоны, осно-
вываясь на адресах и сервисах. Во второй описываются
сервисы, которые будут пропущены через прокси. Помни-
те, мы имеем дело с Python, разделение на блоки у кото-
рого производится табуляцией и пробелами, поэтому реко-
мендую здесь быть очень аккуратными:
Zorp.firewall_name = 'zorp.domain.com'
Подключаем модули для работы c протоколами http,
ftp, ssl и plug:
Service("local_http", HttpProxy,
router=TransparentRouter())
Service("local_ssh", PlugProxy,
router=TransparentRouter())
# вместо PlugProxy можно использовать PsslProxy
Listener(SockAddrInet('192.168.0.1', 50080),
"local_http")
Listener(SockAddrInet('192.168.0.1', 50022),
"local_ssh")
def dmz():
pass
В отличие от других сервисов веб-сервис имеет конкрет-
ное расположение, поэтому направляем трафик internet_http
при помощи DirectedRouter, а не TransparentRouter, как бы-
ло в остальных случаях. Возможен вариант InbandRouter(),
который соответствует непрозрачному прокси.

from Zorp.Core import * def internet():

from Zorp.Plug import * Service("internet_http", HttpProxy,
from Zorp.Http import * router=DirectedRouter(SockAddrInet('10.0.0.2',80), ↵
from Zorp.Ftp import * forge_addr=TRUE))
from Zorp.Pssl import * Listener(SockAddrInet('111.222.333.444 ', 50080),
"internet_http")
Ниже определяются зоны с соответствующими адресами
и сервисами, которые они обеспечивают. Обратите внима- На первый взгляд, составлять правила очень непросто,
ние, что значения исходящих (outbound) и входящих (inbound) но если заранее распланировать ресурсы, к которым требу-
сервисов выбираются относительно самой зоны, а не меж- ется организовать доступ, указать адреса и порты, то пра-
сетевого экрана. Поэтому, например, если из Интернета вила напишутся относительно быстро. Для того чтобы не
будут обращаться с запросом к веб-серверу, расположен- запутаться в номерах портов, лучше выбирать их пример-
ному в DMZ, то это будет указано как outbound. В качестве но так: 22 → 50022 или 80 → 50080. Кроме того, на сай-
названий допущенных сервисов можно выбрать любые, но те [3] и в документации проекта, можно найти ряд приме-
при большом их количестве очень легко запутаться, поэто- ров позволяющих организовать: HTTPS-прокси, в том чис-
му лучше выбрать такое описание, чтобы оно показывало ле и без шифрования трафика к серверу, включить адрес
его суть. Также если, например, для локальных пользова- клиента в http-заголовок, избежать подбора пароля в ssh,
телей разрешен доступ (outbound) к веб-серверу в DMZ (на- поддерживать виртуальный узел, ограничить полосу и не-
зовем параметр local_http), то он должен быть обязательно которые другие.
прописан и в inbound в записи dmz. Пустое значение означа- Вот так можно организовать фильтрацию содер-
ет отсутствие параметров, т.е. фактически запрет сервисов, жимого URL http-запроса, для этого добавляем сервис
а звездочка «*» означает разрешение всех сервисов, кото- local_internet_http и даем ему такое описание.
рые описаны в файле, а не все, которые вообще возможны.
Но здесь необходимо помнить, что Zorp обрабатывает толь- from Zorp.Matcher import *
ко те пакеты, которые передают ему Netfilter и TPROXY. class IDHttp(HttpProxyURIFilter):

56

matcher=RegexpFileMatcher('/etc/zorp/http.black', ↵
'/etc/zorp/http.white')
def config(self):
HttpProxyURIFilter.config(self)
self.transparent_mode = 1
def regexp():
Service("local_internet_http", IDHttp)
Listener(SockAddrInet("192.168.0.1", 50090), ↵
" local_internet_http ")
Как видите, вначале на основе стандартного класса
HttpProxyURIFilter, который определен в модуле Addon.py
(по умолчанию в нем используются файлы blacklist-http
и blacklist-http.ignore), был создан новый класс IDHttp, и за-
тем применен при описания сервиса. Файлы http.black и http.
white содержат список регулярных выражений, здесь мож-
но указать URL, к которым необходимо запретить доступ,
слова, при нахождении в запросе которых он будет пре-
рываться. Например, добавив строку .*exe, можно запре-
тить скачивать файлы с указанным расширением. Чтобы
по ошибке не запретить доступ к ценным ресурсам, их сто-
ит занести в http.white.
Используя следующую конструкцию, можно организо-
вать NAT средствами самого Zorp.
NATPolicy("local-internet",
cacheable=TRUE,
nat=GeneralNAT([(InetDomain(111.222.333.444/24'),
InetDomain('192.168.0.0/24'))]))
NATPolicy("internet-local",
cacheable=TRUE,
nat=GeneralNAT([(InetDomain('192.168.0.0/24'),
InetDomain('111.222.333.444/24'))]))
Если заглянуть в модули, то можно обнаружить, что кон-
тролю поддаются практически все основные параметры
поддерживаемых протоколов, по которым можно органи-
зовать фильтрацию либо другую их обработку. Например,
использовав следующую конструкцию, можно обработать
код ответа 404, заменив его своим сообщением.
class DmzHTTP(HttpProxy):
def config(self):
HttpProxy.config(self)
self.response["GET", "404"] = (HTTP_RSP_POLICY, self.filter404)
def filter404(self, method, url, version, response):
self.error_status = 404
self.error_info = "Requested page was not accessible."
return HTTP_RSP_REJECT
Построение правил iptables
Таблица tproxy содержит все встроенные цепочки, наибо-
лее естественно использовать PREROUTING. Самое про-
стое правило, которое направит нужный пакет в Zorp, вы-
глядит так:
# iptables -t tproxy -A PREROUTING -j TPROXY --on-port 50080
Но чтобы не засорять Zorp мусором, отсеивая пакеты,
которые не должны проходить через фильтр, средствами
самого Netfilter, лучше указать интерфейс, с которого ожи-
дается пакет, поэтому для каждого создадим свои цепочки.
Остальные пакеты будут проходить в соответствии с поли-
тикой по умолчанию (-Р):
# iptables -t tproxy -P PREROUTING ACCEPT
№5, май 2006
безопасность
# iptables -t tproxy -P OUTPUT ACCEPT
Создаем цепочки для каждого интерфейса:
# iptables -t tproxy -N PRlocal
# iptables -t tproxy -N PRdmz
# iptables -t tproxy -N PRinternet
И привязываем их к своему интерфейсу:
# iptables -t tproxy -A PREROUTING -i eth0 -j PRinternet
# iptables -t tproxy -A PREROUTING -i eth1 -j PRlocal
# iptables -t tproxy -A PREROUTING -i eth2 -j PRdmz
Заполняем:
# iptables -t tproxy -A PRlocal -p tcp --dport 80 ↵
-j TPROXY --on-port 50080
# iptables -t tproxy -A PRlocal -p tcp --dport 22 ! ↵
-d zorp.domain.com -j TPROXY --on-port 50022
# iptables -t tproxy -A PRintenet -p tcp --dport 80 ↵
-j TPROXY --on-port 50080
И разрешаем прохождение по цепочке INPUT:
# iptables -P INPUT DROP
# iptables -A INPUT -m tproxy -j ACCEPT
# iptables -A INPUT -m state ↵
--state ESTABLISHED,RELATED -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT
# iptables -N LOlocal
# iptables -A INPUT -i eth1 -j LOlocal
# iptables -A LOlocal -p tcp --dport 22 --syn -j ACCEPT
# iptables -A LOlocal -p udp --dport 53 -j ACCEPT
# iptables -A LOlocal -p tcp --dport 25 --syn -j ACCEPT
# iptables -A LOlocal -j LOG --log-prefix "LOblue DROP: "
# iptables -A LOlocal -j DROP
# iptables -N LOdmz
# iptables -A INPUT -i eth2 -j LOdmz
# iptables -A LOdmz -p udp --dport 53 -j ACCEPT
# iptables -A LOdmz -j DROP
# iptables -N LOinternet
# iptables -A INPUT -i eth0 -j LOinternet
# iptables -A LOinternet -p udp -sport 53 -j ACCEPT
# iptables -A LOinternet -p tcp --dport 25 --syn -j ACCEPT
# iptables -A LOinternet -j DROP
Теперь можно запускать Zorp: «zorpctl start» и прове-
рить результат.
Вывод
Zorp позволяет на порядок лучше защитить компьютерные
системы по сравнению с обычным межсетевым экраном хо-
тя бы потому, что сам прокси даже без контроля приложений
изолирует системы от нападений, направленных на более
низкий уровень, которые, возможно, не видит Netfilter. Но, к со-
жалению, настраивать GPL-вариант все-таки непросто. Хотя,
впрочем, вовсе не обязательно делать это сразу и за один
день, можно постепенно наращивать его возможности.
Ссылки:
1. Яремчук С. Как повысить безопасность веб-приложений. –
Журнал «Системный администратор», №2, 2006 г. – 60-64 с.
2. Сайт проекта Zorp – http://www.balabit.com.
3. Неофицальный сайт Zorp – http://zorp-unoff.sourceforge.net.
4. Патч tproxy – http://www.balabit.com/products/oss/tproxy.
5. Статья в «Linux Journal» – «Application Proxying with Zorp, Part
I и Part II»– http://www.linuxjournal.com.
6. Статья в немецком «Linux magazin», № 12/04 – «Ampel-
Schaltung» – http://www.linux-magazin.de.
57
 безопасность

Генная инженерия на службе

распаковки PE-файлов

Крис Касперски
Первое, что делает исследователь, взяв в руки программу: смотрит, упакована она
или нет, и тут же бежит искать подходящий распаковщик, ведь большинство программ
все-таки упакованы, а готовые распаковщики есть не для всех. Предлагаем вам алгоритм
универсального распаковщика, «снимающего» даже сложные полиморфные протекторы.

К
ак хитро я вас обманул! Ни о
генах, ни о хромосомах речь
здесь не идет. Искусственный
интеллект отдыхает на задворках ис-
тории. Genetic – в переводе с гречес-
кого «общий». Генетический распа-
ковщик – универсальный распаков-
щик, общий для всех упаковщиков/
протекторов. Кстати говоря, «General
Motors» – это не «двигатели для гене-
ралов», а двигатели вообще. Почувс- перерасходу памяти и тормозит всю
твуйте разницу! систему. Подробности – в статье «па-
Так о чем же мы будем говорить? ковать или не паковать», электронную
Все больше и больше программ рас- копию которой можно бесплатно ска-
пространяется в упакованном виде, чать с ftp://nezumi.org.ru).
и совсем не потому, что так они зани- Усложнить взлом, затруднить ана-
мают меньше места или загружают- лиз – вот для чего на самом деле ис-
ся быстрее, как это обещают разра- пользуются упаковщики, в конеч-
ботчики упаковщиков (на самом деле ном счете превратившиеся в про-
упаковка приводит к значительному текторы.

58
 безопасность
Одно и то же оружие используется как против хакеров,
так и против легальных исследователей. Вирусы, черви, тро-
янские кони практически всегда обрабатываются самыми
последними версиями полиморфных протекторов, для ко-
Рисунок 1. Структура нормальной, неупакованной программы
торых распаковщики еще не написаны, и прежде чем анти-
вирус научится распознавать заразу, программистам при-
ходится проделать колоссальный объем работы. Существу-
ют и другие мотивы, побуждающие распаковать програм-
му: многие протекторы отказываются работать в присутс-
твии пассивных отладчиков, не дружат с виртуальными ма- Рисунок 2. Структура упакованной программы
шинами и эмуляторами…
Но не будем философствовать на моральные темы, луч-
ше поговорим о деле. А говорить мы будем преимуществен-
но о PE-файлах NT-подобных системах (включая 64-битные
редакции оных), в UNIX-мире упаковщиков намного мень-
ше, но все-таки они есть (взять хотя бы Shiva ELF-protector).
Если не углубляться в «политические» тонкости разногла-
сий между UNIX и Windows, алгоритм распаковки – тот же
самый, поэтому не будем на нем останавливаться, а пос-
корее ринемся в бой!
Рисунок 3. Раскладка секций неупакованного файла
Предварительный анализ
Прежде чем приступать к распаковке, не помешает убедить-
ся: а упакована ли программа вообще? Графическая вер-
сия IDA Pro поддерживает специальную панель «overview
navigator», позволяющую визуализировать структуру ди-
зассемблерного кода. В нормальных программах машин-
ный код занимает значительную часть от общего объема,
остальная часть приходится на данные (см. рис. 1).
В упакованных программах кода практически нет, и все
пространство занято данными (см. рис. 2), объединенны-
ми в один (или несколько) огромных массивов, которые IDA Рисунок 4. Раскладка секций упакованного файла
Pro не смогла дизассемблировать.
Впрочем, визуализация – довольно расплывчатый кри-
терий. Существует сотни причин, по которым IDA Pro от-
вергает неупакованный код или, напротив, рьяно бросает-
ся дизассемблировать упакованную секцию, получая ку-
чу бессмысленных инструкций, пример которых приведен
в листинге 1:

Листинг 1. Пример бессмысленного (зашифрованного/упакованного)

кода

01010072h imul esi, [edx+74h], 416C6175h

01010079h ins byte ptr es:[edi], dx
0101007Ah ins byte ptr es:[edi], dx
0101007Bh outsd
0101007Ch arpl [eax], ax
0101007Eh push esi
0101007Fh imul esi, [edx+74h], 466C6175h
01010086h jb short loc_10100ED
01010088h add gs:[ebx+5319Dh], cl Рисунок 5. Подсчет энтропии с помощью редактора HTE
0101008Fh add [ebx], cl
программах присутствуют секции с именами .text, .CODE,
Осмысленность – вот главный критерий! Если дизассем- .data, rdata, .rsrc и, что самое главное, виртуальный размер
блированный код выглядит «дико» и неясно, если в нем при- (VirtualSize) кодовой секции практически всегда совпада-
сутствует большое количество привилегированных инструк- ет с физическим (PhysSize). К примеру, в «Блокноте», вхо-
ций – скорее всего он упакован/зашифрован. Или… это код, дящем в штатную поставку NT, разница составляет все-
предназначенный совсем для другого процессора (напри- го 6600h – 65CAh == 36h байт, объясняемых тем, что вир-
мер, байт-код виртуальной машины), а может… это хитрый туальная секция, в отличие от физической, не требует вы-
обфускатор такой. В общем, вариантов много. равнивания (см. рис. 3). А теперь упакуем наш файл с по-
Попробуем взглянуть на таблицу секций (в hiew это де- мощью ASPack (или аналогичного упаковщика) и посмот-
лается так: <F8> – header, <F6> – ObjTbl). В нормальных рим, что от этого изменится (см. рис. 4):

№5, май 2006 59

 безопасность
Рисунок 6. Внешний вид утилиты PEiD,
автоматически определяющий тип
упаковщика/проектора
Ого! Сразу появились секции .aspack
и .adata с именами, говорящими самими
за себя. Впрочем, имена секций мож-
но и изменить – это не главное. Вир-
туальный размер секции .text (7000h)
в два раза отличается от своего физи-
ческого размера (3800h). А вот это уже
говорит о многом! На самом деле, со-
здателю ASPack было лень использо-
вать «правильную» стратегию програм-
мирования, вот он и выделил виртуаль-
ный размер заблаговременно. Сущест-
вуют упаковщики, «трамбующие» упа-
кованные секции так, что виртуальный
размер совпадает с физическим, а не-
обходимая память динамически выде-
ляется в процессе распаковки вызо-
вом VirtualAlloc.
Еще можно попробовать измерять
энтропию (меру беспорядка или сту-
пень избыточности) подопытного фай-
ла. Популярный hex-редактор HTE это
умеет (см. рис. 5). Чем больше значе-
ние энтропии, тем выше вероятность,
что файл упакован и соответственно
наоборот. Однако этот прием сраба-
тывает далеко не всегда…
Также хотелось бы обратить внима-
ние на бесплатную утилиту PEiD (http://
peid.has.it), автоматически определяю-
щую большинство популярных упаков-
щиков/протекторов по их сигнатурам
(см. рис. 6), и даже пытающуюся их рас-
паковать. Впрочем, с распаковкой де-
ла обстоят неважно, и лучше восполь-
зоваться специализированными рас-
паковщиками или написать свой собс-
твенный (чуть позже мы покажем как).
Распаковка и ее
альтернативы
Позвольте задать дурацкий вопрос.
В стремлении как можно быстрее рас-
паковать программу, мы зачастую да-
же не успеваем задуматься: а зачем?!
Сразу же слышу возражения: мол, упа-
кованную программу невозможно ди-
зассемблировать. Да, невозможно, ну
и что? Зато ее можно отлаживать, ис-
60
пользуя классический набор техник,
подробно описанный в «фундамен-
тальных основах хакерства» (элек-
тронная копия лежит на ftp://nezumi.
org.ru). Вот тут кто-то говорит, что не-
которые упаковщики активно сопро-
тивляются отладке! Что ж, попробуй-
те запустить soft-ice уже после того,
как упаковщик уже отработает свое и
на экране появится главное окно про-
граммы (NT, в отличии от 9x, позволяет
пускать soft-ice в любое время) или ус-
тановите неофициальный патч IceExt
(http://stenri.pisem.net), скрывающий от-
ладчик от большинства защит.
Ряд утилит типа LordPE (http://
mitglied.lycos.de/yoda2k/news.htm) поз-
воляет снимать с программы дамп пос-
ле завершения распаковки, и хотя по-
лученный образ exe-файла зачастую
оказывается вопиюще некорректным
и работающим нестабильно, для ди-
зассемблирования он вполне приго-
ден, особенно если его использовать
в связке с отладчиком, помогающим
«подсмотреть» значения некоторых
переменных на разных стадиях ини-
циализации.
Ах да! Упакованную программу не-
льзя модифицировать, то есть накла-
дывать на нее patch. То есть, даже пос-
ле того как мы найдем заветный Jx,
отключающий защиту, мы не сможем
модифицировать упакованный файл,
поскольку никакого Jx там, естест-
венно, нет! Стоп! Кто говорит о взло-
ме?! Этот прием используют не толь-
ко хакеры! Некоторые вирусы так глу-
боко вгрызаются в программу (и каж-
дый раз немного по-разному), что «вы-
ломать» их оттуда, не нарушив функ-
циональности, нереально, вернее, ре-
ально, но очень-очень трудно. Гораз-
до легче найти Jx, ведущий к проце-
дурам «размножения», и «вырезать»
их. То же самое относится и к функци-
ям деструкции...
Вот на этот случай и были приду-
маны он-лайновые патчеры (on-line
patchers), правящие программу «на ле-
ту» непосредственно в оперативной
памяти, минуя диск.
Возникает неоднозначная ситуа-
ция: с одной стороны, избежать распа-
ковки в большинстве случаев все-таки
возможно, но с другой – работать с рас-
пакованным файлом намного удобнее
и комфортнее (хотя бы по чисто психо-
логическим соображениям).
Поэтому универсальный распаков-
щик никогда не помешает!
Алгоритм распаковки
Как пишутся распаковщики? Здесь
есть разные пути. Хакер может долго
и мучительно изучать алгоритм рабо-
ты распаковщика в отладчике/дизас-
семблере, а потом столь же долго и му-
чительно разрабатывать автономный
распаковщик, корректно обрабаты-
вающий исполняемый файл с учетом
специфики конкретной ситуации.
А вот другой путь: запускаем про-
грамму на «живом» процессоре (или
под эмулятором типа BOCHS), опре-
деляем момент завершения распаков-
ки и тут же сохраняем образ памяти на
диск, формируя из него PE-файл. В ре-
зультате получится универсальный
распаковщик, который мы и собираем-
ся написать, но прежде – немного тео-
рии, для тех, кто еще не умеет распа-
ковывать программы «руками».
В поисках OEP
Создание распаковщика начинается
с поиска OEP (Original Entry Point – ис-
ходная точка входа). Наш депротек-
тор должен как-то определить момент
завершения распаковки/расшифров-
ки «подопытной» программы – когда
распаковщик выполнил все, что хотел,
и уже приготовился передавать управ-
ление распакованной программе-но-
сителю. Это самая сложная часть ге-
нетических распаковщиков, поскольку
определить исходную точку входа в об-
щем случае невозможно, вот и прихо-
дится прибегать к различным ухищре-
ниям. Чаще всего для этого использу-
ется пошаговая трассировка, которой
очень легко противостоять (чем боль-
шинство упаковщиков/протекторов
и занимается). Немногим лучше с за-
дачей справляются трассеры нулевого
кольца. Справиться с грамотно спро-
ектированным трассером средствами
прикладного уровня (а большинство
упаковщиков/протекторов работают
именно там) практически невозмож-
но, однако разработка ядерных трассе-
ров – слишком сложная задача для на-
чинающих, поэтому лучше использо-
вать готовый, разработанный группой
легендарного Володи с не менее леген-
дарным WASM. Правда, коммерческая
составляющая до сих пор неясна и до-
ступ к трассеру есть не у всех.
 безопасность
цикл! Рассмотрим его повнимательнее (будьте уверены, тут
есть чему поучиться):

Листинг 2. Хитро оптимизированный цикл чтения строковых

ресурсов

; ebp - указатель на LoadStringW

01004825h mov ebp, ds:LoadStringW
; указатель на таблицу ресурсов
01004830h
0100482Bh mov edi, offst off_10080C0
01004830h loc_1004830: ; CODE XREF: sub_10047EE+65↓j
; грузим очередной указатель на uID в eax
01004830h mov eax, [edi]
; nBufferMax (максимальная длина буфера)
01004832h push ebx
; lpBuffer (указатель на буфер)
01004833h push esi
; передаем извлеченный uID функции
01004834h push dword ptr [eax]
01004836h push [esp+0Ch+hInstance] ; hInstance
; считываем очередную строку из ресурса
Рисунок 7. Снятие дампа с работающего «Блокнота» 0100483Ah call ebp ; LoadStringW
; грузим тот же самый uID в ecx
На самом деле прибегать к трассировке никакой необхо- 0100483Ch mov ecx, [edi]
; увеличиваем длину считанной строки на 1
димости нет – одних лишь аппаратных точек останова для 0100483Eh inc eax
нашей задачи будет вполне достаточно. Иногда приходится ; строка влезает в буфер?
0100483Fh cmp eax, ebx
слышать мнение, что работа с аппаратными точками оста- ; сохраняем указатель на буфер поверх старого uID
нова возможна только из режима ядра, то есть из драйве- ; (он больше не понадобится)
01004841h mov [ecx], esi
ра. Это неверно. В «записках мыщъх’а» (электронную ко- 01004841h
пию которой можно свободно скачать с ftp://nezumi.org.ru) 01004841h
; позиция для следующей строки в буфере
показано, как это сделать и с прикладного уровня, даже 01004843h lea esi, [esi+eax*2]
без прав администратора! ; если буфер кончился, то это облом
01004846h jg short loc_100488B
На первом этапе в качестве основного эксперименталь- ; переходим к следующему uID
ного средства мы будем использовать «Блокнот» из ком- 01004848h add edi, 4
; уменьшаем свободное место в буфере
плекта поставки NT, сжатый различными упаковщиками 0100484Bh sub ebx, eax
(которые мы только сможем найти) и знаменитый отладчик ; конец таблицы ресурсов?
0100484Dh cmp edi, offst off_1008150
soft-ice. Кодирование последует потом. Чтобы писать кра- ; мотаем цикл пока не конец ресурсов
сиво и по сто раз не переписывать уже написанное и отла- 01004853h jl short loc_1004830
женное, необходимо иметь соответствующий боевой опыт,
для которого нам и понадобиться soft-ice. В переводе на русский это звучит так: «Блокнот» бе-
рет очередной идентификатор строки из таблицы ресур-
Дамп живой программы сов, загружает строку, размещая ее в локальном буфере
Самый простой (и самый популярный) способ борьбы с упа- и сохраняя полученный указатель поверх… самого иденти-
ковщиками – снятие дампа задолго после завершения рас- фикатора, который уже не нужен! Это классический трюк
паковки. Дождавшись появления главного окна программы, с повторным использованием освободившихся перемен-
хакер сбрасывает ее дамп, превращая его в PE-файл. Иног- ных, известный еще со времен первых PDP, если не рань-
да он работает, но чаще всего нет. Попробуем разобрать- ше. А вы все Microsoft ругаете! «Блокнот» писал не глупый
ся почему. Возьмем классический «Блокнот» (которое в за- хакер, бережно относящийся в системным ресурсам и к па-
щищенности не обвинишь!) и, не упаковывая его никакими мяти, в частности.
упаковщиками, попробуем снять дамп с помощью одного Для нас же это означает, что снятый с «живой» програм-
из самых лучших дамперов: Lord PE Deluxe (см. рис. 7). мы дамп будет неполноценным! Вместо реальных иденти-
Процесс дампирования проходит успешно, и образо- фикаторов строк в секции ресурсов окажутся указатели
вавшийся файл даже запускается (см. рис. 8), но… оказы- на память, направленные в «космос», но ведь загрузчик
вается не совсем работоспособен! Исчезли заголовок ок- ресурсов, приведенный в листинге 2, ожидает реальных
на и все текстовые надписи в диалогах! Если мы не сумели идентификатор и к встрече с указателями морально не го-
снять дамп даже с такого простого приложения, как «Блок- тов! Это и есть та причина, по которой PE-файл, изготов-
нот», то с настоящими защитами нам и подавно не спра- ленный из дампа, ведет себя неправильно.
виться! В чем же дело?! Впрочем, бывает и хуже. Во многих программах встре-
Расследование показывает, что исчезнувшие тексто- чается конструктор вида:
вые строки хранятся в секции ресурсов и, стало быть, об-
рабатываются функцией LoadString. Загружаем оригиналь- Листинг 3. «Защита» от дампинга живых программ
ный notepad.exe в IDA Pro (или любой другой дизассемблер // глобальная инициализированная переменная
по вкусу) и находим цикл, считывающий строки посредс- // (на самом деле присваивать нуль необязательно
// поскольку все глобальные переменные «сами»
твом функции LoadStringW (суффикс «W» означает, что мы // обнуляются при запуске программы)
имеем дело со строками в формате Unicode). Ага, вот этот void *p = 0;

№5, май 2006 61

 безопасность
// выделить память, если она еще не выделена Листинг 4. Пример стартового кода на DELPHI
if (!p) p = malloc(BUF_SIZE);
CODE:00401EE8 start proc near
Очевидно, если снять дамп с программы после выделе- CODE:00401EE8 push ebp
ния памяти, то при запуске PE-файла, полученного из тако- CODE:00401EE9 mov ebp, esp
CODE:00401EEB add esp, 0FFFFFFF0h
го дампа, память навсегда перестанет выделяться, а в гло- CODE:00401EEE mov eax, offset dword_401EB8
бальной переменной p окажется указатель, доставшийся ; Sysinit::InitExe()
CODE:00401EF3 call @Sysinit@@InitExe$qqrpv
ей в «наследство» от предыдущего запуска, однако соот- CODE:00401EF8 push 0
ветствующий регион памяти выделен не будет, и програм- …
; CODE XREF: start+B↓p
ма либо рухнет, либо залезет в чужие данные, устроив там CODE:00401D9C @Sysinit@@InitExe$qqrpv proc near
настоящий переполох! CODE:00401D9C push ebx
CODE:00401D9D mov ebx, eax
Сформулируем главное правило: снимать дамп с про- CODE:00401D9F xor eax, eax
граммы можно только в точке входа! Остается разобрать- CODE:00401DA1 mov ds:TlsIndex, eax
CODE:00401DA6 push 0 ; lpModuleName
ся, как эту точку входа отловить. CODE:00401DA8 call GetModuleHandleA
CODE:00401DAD mov ds:dword_4036D8, eax
CODE:00401DB2 mov eax, ds:dword_4036D8
Поиск стартового кода по сигнатурам в памяти CODE:00401DB7 mov ds:dword_40207C, eax
Начинающие программисты считают, что выполнение CODE:00401DBC xor eax, eax
CODE:00401DBE mov ds:dword_402080, eax
программы начинается с функции main (на Си/Си++) или CODE:00401DC3 xor eax, eax
c ключевого слова begin (на Паскале). Первым всегда вы- CODE:00401DC5 mov ds:dword_402084, eax
; SysInit::_16395
зывается стартовый код (start-up code), устанавливающий CODE:00401DCA call @SysInit@_16395
первичный обработчик структурных исключений, иници- CODE:00401DCF mov edx, offset unk_402078
CODE:00401DD4 mov eax, ebx
ализирующий RTL, вызывающий GetModuleHandleA для CODE:00401DD6 call sub_4018A4
получения дескриптора текущего модуля и т. д. Тоже са-
мое относится к DLL, главной функцией которой являет- Собрав внушительную коллекцию стартовых кодов
ся DllMain. (или выдернув ее из IDA Pro), мы легко найдем OEP прос-
Существует огромное множество разновидностей start- тым сканированием дампа, снятого с «живой» программы.
up кодов, выбираемых компилятором в зависимости от ти- Загружаем полученный дамп в hiew и, перебирая сигнату-
па программы, ключей компиляции и т. д. Исходные текс- ры всех стартовых кодов, находим, который из них «наш».
ты стартовых кодов, как правило, открыты. В частности, Первый байт стартового кода и будет точкой входа в про-
Microsoft Visual C++ хранят их в каталоге \Microsoft Visual грамму – OEP.
Studio\VC98\CRT\SRC под именами crt*.*. Всего их около Запоминаем ее адрес (в моей версии «Блокнота» она
десятка. расположена по смещению 01006420h), загружаем упако-
Ниже (см. листинг 4) в качестве примера приведен один ванную программу в отладчик и устанавливаем аппаратную
из стартовых кодов компилятора DELPHI: точку на исполнение по данному адресу – «BPM 1006420 X»
(Внимание! По умолчанию отладчик ставит точку остано-
ва на чтение/запись, что совсем не одно и тоже!). Обогнув
распаковщик, отладчик (или наш дампер, который мы чуть
позже отважимся написать) всплывает непосредственно
в OEP! Самое время снимать дамп!
(Помнится, в далекие времена DOS существовал уни-
версальный распаковщик, который запускал сжатый/за-
щищенный exe-файл в режиме трассировки и определял
переход к исполнению программы по коду в окрестнос-
ти точки входа – более-менее специфичному для каждо-
го из компиляторов. Затем сохранял дамп памяти и почти
всегда получал рабочий файл. Правда, если запакован-
ная программа писалась на Ассемблере (что в те време-
на было не редкостью) и, как следствие, имела уникаль-
ную «сигнатуру», результаты были менее впечатляющи-
ми. – Прим. ред.)

Пара популярных, но неудачных способов:

Рисунок 8. Нормально работающий «Блокнот» (сверху)
и тот же самый «Блокнот» после вснятия дампа – все текстовые
строки исчезли
GetModuleHandleA и fs:0
Библиотека сигнатур – это, конечно, хорошо, но слиш-
ком хлопотно. Новые версии компиляторов выходят чуть
ли не каждую декаду, к тому же разработчики зачастую
слегка модифицируют start-up код, ослепляя сигнатур-
ный поиск. Что тогда? Достаточно часто в этих случаях ре-
комендуется установка точек останова на API-функцию
GetModuleHandleA («BPM GetModuleHandleA X») и на фильтр

62
 безопасность
структурных исключений («BPM FS:0»). Но это не очень хо-
рошие способы и ниже будет показано почему.
Начнем с функции GetModuleHandleA, которая присутс-
твует практически в каждом стартовом коде (исключая неко-
торые ассемблерные программы). Нажимаем <Ctrl+D> для
вызова soft-ice, даем команду «BPM GetModuleHandleA X»
(можно также дать «BPX GetModuleHandleA», но в этом слу-
чае soft-ice внедрит в начало GetModuleHandleA програм-
мную точку останова CCh, легко обнаруживаемую многи-
ми защитными механизмами) и запускаем наш подопытный
«Блокнот», предварительно зажевав его любым не слишком
навороченным упаковщиком, например, ASPack или UPX.
Поскольку установка точки останова носит глобальный ха-
рактер, все программы, обращающиеся к GetModuleHandleA,
будут вызывать всплытие отладчика. Внимательно смотри-
те на имя программы, отображаемое отладчиком в правом
нижнем углу (см. рис. 9), – если это не наша программа,
жмем «x» или <Ctrl+D> для выхода из отладчика.
После серии ложных срабатываний в углу наконец-то Рисунок 9. Функция 1010295h:CALL [EBP+F4Dh] это на самом деле
появляется наш заветный NOTEPAD. Самое время сказать GetModuleHandleA, вызываемая таким заковыристым образом
отладчику «P RET», чтобы выбраться из функции в непос-
редственно вызывающий ее код, однако… этим вызываю-
щим кодом оказываются отнюдь не окрестности исходной
точки входа, а код самого распаковщика! И до OEP нам еще
трассировать и трассировать. Определить нашу дислока-
цию поможет карта памяти. Даем команду «MAP32» и смот-
рим, что скажет отладчик (см. рис. 9).
Файл notepad.exe состоит из нескольких секций: .text
(сжатый код исходной программы), .data (сжатые данные
исходной программы), .rsrc (сжатые ресурсы исходной про-
граммы), .aspack (код распаковщика) и .adata (данные рас-
паковщика). Секция кода исходной программы заканчива-
ется на адресе 100800h и все, что лежит ниже, ей уже не при-
надлежит. В нашем случае функция GetModuleHandleA,
вызывается кодом, расположенным по адресу 1010295h,
который, как нетрудно установить, принадлежит секции
.aspacack – то есть непосредственно самому распаковщику
и к OEP никакого отношения не имеет (помимо распаков-
щика, функцию GetModuleHandleA могут вызывать и дина-
мические библиотеки, подключаемые статической компо- Рисунок 10. Подлинный вызов GetModuleHandleA
новкой, то есть через секцию импорта). из окрестностей OEP
Выходим из отладчика, нажимая <Ctrl+D> до тех пор,
пока вызов GetModuleHandleA не окажется внутри секции тности, DELPHI помещает GetModuleHandleA в функцию
.text (если лень нажимать одну и ту же клавишу помногу раз, @Sysinit@@InitExe$qqrpv, а вот она-то уже и вызывается
можно установить условную точку останова в стиле «BPM стартовым кодом (см. листинг 4)!
GetModuleHandleA X IF EIP < 0x1008000». Это значит, что для достижения OEP, с момента «ловли»
Ага! Вот, наконец, появилось что-то похожее на исти- GetModuleHandleA нам придется раскрутить стек (команда
ну (см. рис. 10). «STACK» в soft-ice), поднявшись на один или два уровня
Данный вызов действительно подлинный и, прокручи- вверх. Но на сколько конкретно подниматься? Чтобы отве-
вая экран окна CODE вверх, нам остается всего лишь най- тить на этот вопрос, нам необходимо исследовать состоя-
ти стандартный пролог PUSH EBP/MOV EBP,ESP или RET, ние стека на момент вызова файла.
которым заканчивается предшествующая процедура. С вы- Остановив отладчик в точке входа EP (не путать с OEP,
сокой степенью вероятности это и будет OEP, на которую которую еще только предстоит найти), даем команду
можно поставить аппаратную точку останова, затем пере- «D ESP» и смотрим (чтобы данные отображались не бай-
запустить программу еще раз (не забыв при этом удалить тами, а двойными словами, необходимо сказать отладчи-
точку останова на GetModuleHandleA) и в момент всплы- ку «dd»):
тия отладчика сделать программе дамп. При этом следу-
ет помнить, что далеко не всегда GetModuleHandleA вызы- Листинг 5. Состояние стека на момент вызова файла
вается непосредственно из самого стартового кода! В час- :d esp

№5, май 2006 63

 безопасность
0023:0006FFC4 77E87903 FFFFFFFF 0011F458 7FFDF000 .y.w....X.......

:u *esp

0023:77E87903 E9470A0300 JMP 77EB834F

:u 77EB834F

0023:77EB834F 50 PUSH EAX

0023:77EB8350 E87A83FDFF CALL KERNEL32!ExitThread

:d fs:0

0038:00000000 0006FFE0 00070000 0006E000 00000000 ................

Адрес 77E87903h (для наглядности выделенный крас-

ным), указывает куда-то внутрь KERNEL32.DLL и коман-
да («U *ESP») позволяет узнать куда. Ага, здесь рас-
положен безусловный переход на «PUSH EAX/CALL
KERNEL32!ExitThread». То есть на процедуру завершения
программы. Со времен MS-DOS не так уж и многое измени-
лось. Там тоже на вершине стека лежал адрес возврата на
exit, поэтому завершать работу программы можно не только Рисунок 11. Ловля OEP на обработчик структурных исключений
через API, но и простой инструкцией RETN. Если стек сба-
лансирован, она сработает правильно. Кстати, пара адре- нова на фильтр структурных исключений: «BPM FS:0». Не-
сов на вершине стека 77E87903h/FFFFFFFFh до боли на- обходимо сразу подготовить себя к огромному количес-
поминает термирующий обработчик структурных исклю- тву ложных срабатываний (структурные исключения ак-
чений (термирующий – то есть последний в цепочке), кото- тивно использует не только распаковщик, но и сама опе-
рым она по сути и является, ибо содержимое двойного сло- рационная система), и чтобы закончить отладку до конца
ва FS:[00000000h] указывает как раз на нее. сезона, необходимо воспользоваться условными точка-
Сформулируем еще одно правило: признаком OEP явля- ми останова, ограничив диапазон срабатываний отладчи-
ется ситуация FS:[00000000h] == ESP && *ESP == 77E87903h ка секцией .text. В нашем случае это будет выглядеть так:
(естественно, этот адрес варьируется от системы к системе, «BPM FS:0 IF EIP < 0X100800» (предыдущую точку остано-
и на каждой из них должен вычисляться индивидуально!). ва перед этим следует удалить), после чего можно смело
Кстати, раз уж мы затронули структурные исключения, отправиться на кухню и варить пакетный рис, поскольку
не мешает познакомиться с ними поближе. Практически за компьютером нам делать уже нечего.
каждый стартовый код начинает свою деятельность с ус- Даже незащищенный NOTEPAD.EXE вывалил окно от-
тановки своего собственного фильтра структурных исклю- ладчика спустя... 713.34 секунды (см. рис. 11), что немногим
чений, записывая в ячейку FS:0 новое значение. больше 12 минут. Это же целая вечность для процессора!
(Для справки: эксперименты проводились на VMWare, за-
Листинг 6. Установка нового фильтра структурных исключений пущенным под древним Pentium-III 733 МГц, современные
в стартовым коде
процессоры справляются с этой ситуацией намного быст-
; ← исходная точка входа рее – на то они и современные).
.text:01006420 55 push ebp
.text:01006421 8B EC mov ebp, esp Но как бы там ни было, исходная точка входа найдена!
.text:01006423 6A FF push 0FFFFFFFFh Вот она, расположенная по адресу 10006420h! Как гово-
.text:01006425 68 88 18 00 01 push dword_1001888
; ← «наш» обработчик риться, бери и властвуй!
.text:0100642A 68 D0 65 00 01 push loc_10065D0
; ← берем старый фильтр
.text:0100642F 64 A1 00 00 00 00 mov eax, fs:0 Побочные эффекты упаковщиков,
.text:01006435 50 push eax или Почему не работает VirtualProtect
; ← ставим новый фильтр
.text:01006436 64 89 25 00 00 00+ mov fs:0, esp Очевидно, чтобы распаковывать кодовую секцию програм-
мы, упаковщик должен иметь разрешение на запись (от-
Попробуем отловить это событие?! А почему бы и нет! сутствующее по умолчанию), а по завершению распаков-
Только надо учесть, что, в отличие от API-функций, до- ки восстанавливать исходные атрибуты, чтобы программа
пускающих установку глобальных точек останова, точ- выглядела так, как будто ее не упаковали. Помимо кодовой
ка останова на FS:0 должна устанавливаться из контекс- секции, необходимо восстановить атрибуты секции .rdata,
та подопытного приложения. А как в него попасть? Необ- доступной, как и следует из ее названия, только на чтение.
ходимо либо остановиться в точке входа в распаковщик Для манипуляций с атрибутами страниц Windows предо-
(см. врезку «Что делать, если отладчик проскакивает точ- ставляет функцию VirtualProtect. И это практически единс-
ку входа в распаковщик»), либо установить точку останова твенный путь, которым можно что-то сделать (не считая
на GetModuleHandleA, дождаться первого ложного всплытия VirtualAlloc с флагом MEM_COMMIT, с которым связана ку-
отладчика, совершенного в контексте нашего приложения ча проблем).
(в правом нижнем углу горит notepad), затем удалить точ- Логично предположить, что функция VirtualProtect долж-
ку останова на GetModuleHandleA и установить точку оста- на вызываеться после завершения распаковки в непосредс-

64

твенной близости от передачи управле-
ния на OEP. Означает ли это, что, уста-
новив точку останова на VirtualProtect,
мы…
А вот и нет! Из трех наугад взятых
упаковщиков: ASPack, PE-Compact
и UPX только PE-compact вызывал
VirtualProtect для манипуляций с атри-
буты секций (да и то совсем для других
целей), а все остальные оставляли их
открытыми на запись даже после за-
вершения распаковки! Вопиющее на-
рушение спецификаций и неуважение
к нормам хорошего поведения!
Смотрите сами.
безопасность
В неупакованном «Блокноте» (см. рибут C0000040h, то есть такой же, как
рис. 13) секция .text имеет права у секции данных – с правом на запись,
на чтение и исполнение (executable/ но без прав исполнения.
readable/code), секция .data – чтение и А вот это уже нехорошо! Мало то-
запись (writeable/readable/инициализи- го, что в кодовую секцию теперь может
рованные данные), секция .rsrc – толь- писать кто угодно, так еще на процес-
ко на чтение (readable/инициализиро- сорах с NX/XD-битами файл, обрабо-
ванные данные). Короче, все как в при- танный ASPack, исполняться не будет!
личных домах. Система выбросит грозное предупреж-
Теперь упакуем файл с помощью дение с намеком на вирус, и большинс-
ASPack. Запустим его и, дож дав- тво пользователей попросту сотрут та-
шись окончания распаковки (на экра- кой файл от греха подальше, а это зна-
не появляется главное окно програм- чит, что создатель упакованной про-
мы), снимем с него дамп (см. рис. 14). граммы потеряет клиента (и правиль-
Вот это номер! Все секции имеют ат- но – незачем было паковать!).

Что делать, если отладчик проскакивает точку
входа в распаковщик
Берем исполняемый файл, загружаем его в NuMega SoftICE Symbol
Loader, предварительно убедившись, что пиктограммма, изобра-
щающая «электрическую лампочку», горит в полный накал, а оп-
ция «Start at WinMain, Main, DllMain» активирована (см. рис. 12),
что по идее должно отладчик заставить останавливаться в точке
входа, но… При попытке загрузки программы soft-ice коварно иг-
норирует наши распоряжения, нахально проскакивает точку вхо-
да, совсем не собираясь в ней останавливаться.
Это известный глюк soft-ice, с которым борются по всем на-
правлениям. Самый популярный (но не самый лучший) спо-
соб заключается во внедрении INT 03h (CCh) в точку входа про-
граммы.
Берем PE-файл, открываем его в hiew, нажимаем <Enter>
для перехода в hex-режим, теперь <F8> (header) и <F5> (переход
к точке входа в файл или сокращенно EP, не путать с OEP, кото-
рую нам еще предстоит найти). Запоминаем содержимое байта
под курсором (записываем на бумажке), переходим в режим ре-
дактирование по <F3> и пишем «CC». Сохраняем изменения по
<F9> и выходим. В самом soft-ice должен быть предварительно ус-
тановлен режим всплытия по INT 03 (команда «I3HERE ON»).
Запускаем программу (просто запускаем без всяких там
loader) и… попадаем в soft-ice, который непременно должен
всплыть, иначе здесь что-то сильно не так. Теперь необходимо
вернуть исправленный байт на место. Это делается так: даем ко-
манду «WD» для отображения окна дампа (если только оно уже
не отображается на экране), затем «DB», чтобы отображение
шло по байтам (начинающим – так удобнее) и говорим «D EIP-1».
Минус один появился оттуда, что soft-ice останавливается после
CCh, увеличивая EIP на единицу. Даем команду «E» и редакти-
руем дамп в интерактивном режиме меняя «CC» на «60» (число,
записанное на бумажке). Остается только скорректировать ре-
гистр EIP, что осуществляется командой: «R EIP = EIP – 1». Все!
Команда «.» (точка) обновляет окно дизассемблера, перемещая
нас в текущую позицию. Теперь можно отлаживать!
Медленно? Неудобно? Куча лишних операций? Операции –
это ерунда, их можно «повесить» на макросы (благо, что они од-
нотипные), хуже, что некоторые упаковщики/проекторы контро-
лируют целостность файла, отказываясь запускаться, если он из-
менен. Как быть тогда?
А вот второй способ. Гораздо более элегантный. Загружаем
программу в hiew, переходим в hex-режим, жмем <F8> и вычис-
ляем адрес точки входа путем сложения Entrypoint RVA (в нашем
случае – 10001h) с Image Base (в нашем случае 1000000h). Полу-
чается 1010001h. Если считать лень, можно просто нажать <F5>,
чтобы hiew перенес нас в точку входа, сообщив ее адрес (однако
это не срабатывает на некоторых защищенных файлах с искажен-
ной структурой заголовка). Хорошо, адрес EP получен. Вызыва-
ем soft-ice путем нажатия на <Ctrl-D> и устанавливаем точку ос-
танова на любую API-функцию, которую вызывает наша програм-
ма (откуда – не суть важно). Это может быть и GetModuleHandleA
(«BPX GetModuleHandleA») и CreateFileA – да все что угодно! Вы-
ходим из soft-ice и запускам нашу программу. Отладчик всплы-
вает по точке останова на API. Убедившись, что правый нижний
угол отражает имя нашего процесса (если нет, выходим из soft-
ice и ждем следующего всплытия), устанавливаем аппаратную
точку останова на EP, отдавая команду «BPX 0x1010001 X», где –
0x1010001 адрес точки входа в PE-файл. Выходим из soft-ice и пе-
резапускаем программу. hint: soft-ice запоминает установленные
точки вместе с контекстом отлаживаемой программы и не удаля-
ет их даже после ее завершения. При повторном (и всех после-
дующих) перезапусках, soft-ice будет послушно останавливаться
на EP в точке останова. Ну разве это не здорово?!
Внимание! Динамические библиотеки, статически скомпоно-
ванные с программой, получают управление до EP!!! Это позво-
ляет защитам предпринять некоторые действия еще до начала от-
ладки! Поэтому, если что-то идет не так, первым делом проверьте
код, содержащийся в DllMain всех динамических библиотек.
Рисунок 12. Символьный загрузчик – хорошая штука,
но не всегда работающая

№5, май 2006 65

 безопасность
мые (чтение/запись/исполнение), вдобавок ко всему «забы-
вая» вернуть им исходные имена (которые, впрочем, ник-
то не проверяет).
Исключение совсем секция .rsrc – некоторые програм-
мы теряют способность находить ресурсы, если эта секция
названа как-то иначе.
Вердикт – все упаковщики несомненное зло)! Ни один
из них не соответствует спецификациям на PE-файл, зато
побочных эффектов от упаковки хоть отбавляй! (Удивитель-
Рисунок 13. Исходный «Блокнот» но, как упакованные файлы еще ухитряются работать.) От-
сюда – устанавливать точку останова на VirtualProtect ни-
какого смысла нет.

Универсальный прием поиска OEP,

Рисунок 14. «Блокнот», упакованный ASPack
основанный на балансе стека
Вот мы и подобрались к самому интересному и универсаль-
ному способу определения OEP, который к тому же легко ав-
томатизировать. Упаковщик (даже если это не совсем кор-
ректный упаковщик) просто обязан после распаковки вос-
становить стек, в смысле вернуть регистр ESP на его за-
конное место, указывающее на первичный фильтр струк-
турных исключений, устанавливаемый системой по умол-
чанию (см. листинг 5).
Некоторые упаковщики еще восстанавливают и регис-
тры, но это уже необязательно.
Возьмем, к примеру, тот же ASPack и посмотрим в его
начало (см. листинг 7):

Листинг 7. Точка входа в распаковщик ASPack

:u eip
; сохранить все регистры в стеке
001B:01010001 60 PUSHAD
Рисунок 15. «Блокнот», упакованный PE-compact ; определить текущий EIP
001B:01010002 E803000000 CALL 0101000A
; спрятанные JMPS/POP EBP/INC EBP
001B:01010007 E9EB045D45 JMP 465E04F7
; следующие 2 строчки «эмуляция» команды jmp 01010008h
001B:0101000C 55 PUSH EBP
001B:0101000D C3 RET

Замечательно! Первая же команда сохраняет все ре-

гистры в стеке. Очевидно, что непосредственно перед пе-
редачей управления на OEP они будут восстановлены ко-
мандой POPAD, выполнение которой очень легко отследить,
установив точку останова на двойное слово, лежащее вы-
Рисунок 16. «Блокнот», упакованный UPX ше верхушки стека: «BPM ESP – 4».
Результат превосходит все ожидания (см. листинг 8):
К тому же в памяти по-прежнему болтаются секции
.aspack и .adata, которые упаковщик не удосужился «под- Листинг 8. Передача управления на OEP
чистить». Это хоть и несмертельно, но все-таки неакку- ; ← на этой команде отладчик всплывает
ратно. 001B:010103AF 61 POPAD
001B:010103B0 7508 JNZ 010103BA ↵
А вот PE-compact преподносит нам настоящий сюрприз (JUMP↓)
(см. рис. 15)! Секции .text и .data объединены в одну боль- 001B:010103B2 B801000000 MOV EAX,00000001
001B:010103B7 C20C00 RET 000C
шую секцию с атрибутами (executable/readable/writeable/ ; ← адрес OEP
code/инициализированные данные), а секция .rsrc, кото- 001B:010103BA 6820640001 PUSH 1006420
; ← передача управления на OEP
рая не должна (по спецификации!) иметь права на запись, 001B:010103BF C3 RET
его все-таки имеет. Как говориться, с барского плеча ни-
чего не жалко. Зато свои собственные секции PE-compact Распаковав программу, ASPack заботливо выталки-
подчищает весьма аккуратно. вает сохраненные регистры из стека, вызывая всплы-
Что же касается UPX (см. рис. 16), то в целом он дви- тие отладчика, и мы видим тривиальный код, передаю-
жется по пути PE-compact: кодовую секцию с секций дан- щий управление на OEP «классическим» способом через
ных он не объединяет, но атрибуты им назначает те же са- «PUSH offset OEP/RET».

66
 безопасность
Поиск исходной точки входа не затратил и десятка се- Таблица 1. Расшифровка атрибутов секций PE-файла
кунд! Ну разве не красота?! Код Значение
А теперь возьмем UPX и проверим, удастся ли нам 00000004h 16-битные смещения кода
провернуть этот трюк и над ним? Ведь мы же претендуем 00000020h code
на универсальный примем!
00000040h инициализированные данные

Листинг 9. Так начинается UPX 00000080h неинициализированные данные

00000200h комментарии или другая вспомогательная информация
; сохранить все регистры в стеке
001B:01011710 60 PUSHAD 00000400h оверлей
001B:01011711 BE00D00001 MOV ESI,0100D000
001B:01011716 8DBE0040FFFF LEA ↵ 00000800h не подлежит загрузке в память
EDI,[ESI+FFFF4000]
00001000h Comdat
001B:0101171C 57 PUSH EDI
00500000h выравнивание по умолчанию
Вот он, уже знакомый нам PUSHAD (см. листинг 9), со- 02000000h может быть выброшено из памяти
храняющий все регистры в стеке и восстанавливающий их
04000000h not cachable
непосредственно перед передачей управления на OEP. Да-
08000000h not pageable
ем команду «BPM ESP-4» и выходим из отладчика, пока он
10000000h shareable
не всплывет (см. листинг 10):
20000000h executable
Листинг 10. Так UPX передает управление на OEP 40000000h readable
001B:0101185E 61 POPAD 80000000h writeable
001B:0101185F E9BC4BFFFF JMP 01006420 ↵
(JUMP ↑)
Следующее всплытие отладчика (см. листинг 13), ни-
А вот и отличия! Передача управления осуществляется чуть не более осмысленное, чем предыдущее. Ясно толь-
командой «JMP 1006420h», где 1006420h – исходная точ- ко одно: в стек заталкивается регистр EBP вместе с кучей
ка входа. Похоже, что все упаковщики работают по одно- других регистров. Судя по всему, это распаковщик сохра-
му и тому же алгоритму и ломаются с реактивной скоро- няет их с одной лишь ему ведомой целью. Жмем <Ctrl+D>
стью. Но не будем спешить! Возьмем PE-compact и прове- и ждем дальше – что нам еще покажут?
рим свою догадку на нем.
Листинг 14. Переход на OEP
Листинг 11. Точка входа в файл, упакованный PE-compact :u eip-1
001B:01011A35 5D POP EBP
001B:01001000 B874190101 MOV EAX,01011974 001B:01011A36 FFE0 JMP EAX (01006420h)
001B:01001005 50 PUSH EAX
001B:01001006 64FF3500000000 PUSH DWORD PTR ↵
FS:[00000000] А вот на этот раз (см. листинг 14) нам повезло! Регистр
001B:0100100D 64892500000000 MOV ↵ EBP выталкивается из стека и вслед за этим осуществля-
FS:[00000000],ESP
ется переход на OEP посредством команды «JMP EAX».
Плохо дело (см. листинг 11)! PE-compact никаких ре- Мы все-таки достигли ее! Вот только ложные срабатывания
гистров вообще не сохраняет, а «PUSH EAX» использует- напрягают. Это мы, опытные хакеры, можем «визуально»
ся только затем, чтобы установить свой обработчик струк- отличить, где происходит передача на OEP, а где нет. С ав-
турных исключений. Тем не менее на момент завершения томатизацией в этом плане значительно сложнее – у ком-
распаковки указатель стека должен быть восстановлен, пьютера интуиция отсутствует напрочь. А ведь мы всего
следовательно, точка останова на «BPM ESP-4» все-таки лишь развлекаемся с давно побежденными упаковщика-
может сработать…. ми… Про борьбу с протекторами речь еще не идет.
Возьмем более серьезный упаковщик FSG 2.0 by
Листинг 12. Первое срабатывание точки останова на esp-4 bart/xt (http://xtreeme.prv.pl, http://www.wasm.ru/baixado.
001B:77F8AF78 FF7304 PUSH DWORD PTR ↵ php?mode=tool&id=345) и начнем его пытать.
[EBX+04]
001B:77F8AF7B 8D45F0 LEA EAX,[EBP-10] Листинг 15. Многообещающая точка входа в упаковщик FSG
001B:77F8AF7E 50 PUSH EAX
001B:01000154 8725B4850101 XCHG ESP,[010185B4]
Так, это срабатывание (см. листинг 12) явно ложное (су- 001B:0100015A 61 POPAD
001B:0100015B 94 XCHG EAX,ESP
дя по EIP, равному 77F8AF78h, мы находимся где-то внут- 001B:0100015C 55 PUSH EBP
ри KERNEL32.DLL, использующим стек для нужд произ- 001B:0100015D A4 MOVSB
водственной необходимости), нажимаем <Ctrl+D>, не же-
лая здесь больше задерживаться. Разочарование начинается c первых же команд (см. лис-
тинг 15). FSG переназначает регистр ESP и хотя через не-
Листинг 13. Кузьмич?! Где это я? которое время восстанавливает его вновь – особой радос-
; ← эта команда вызывает всплытие ти нам это не доставляет. Упаковщик очень интенсивно ис-
001B:010119A6 55 PUSH EBP пользует стек, поэтому точка останова на «BPM ESP-4» вы-
001B:010119A7 53 PUSH EBX
001B:010119A8 51 PUSH ECX дает миллион ложных срабатываний, причем большинство
001B:010119A9 57 PUSH EDI из них относится к циклам (см. листинг 16):

№5, май 2006 67

 безопасность
Листинг 16. Фрагмент кода, генерирующий ложные
срабатывания точки останова
001B:010001C1 5E POP ESI
001B:010001C2 AD LODSD
001B:010001C3 97 XCHG EAX,EDI
001B:010001C4 AD LODSD
001B:010001C5 50 PUSH EAX
001B:010001C6 FF5310 CALL [EBX+10]
Необходимо внести какое-то дополнительное условие
(к счастью, soft-ice поддерживает условные точки остано-
ва!), автоматически отсеивающее ложные срабатывания
или хотя бы их часть. Давайте подумаем! Если стартовый
код упакованной программы начинается со стандартного
пролога типа «PUSH EBP/MOV EBP,ESP», то точка остано-
ва «BPM ESP 4 IF *(ESP)= = EBP» отсеет кучу мусора, но...
будет срабатывать на любом стандартном прологе нулевого
уровня вложенности, а если упакованная программа имеет
оптимизированный пролог, в котором регистр EBP не ис-
пользуется, наш «хитрый» прием вообще не сработает!
А вот другая идея: допустим, управление на OEP переда-
ется через «PUSH offset OEP/RETN», тогда на вершине сте-
ка окажется адрес возврата, что опять-таки легко запрог-
раммировать в условной точке останова. Еще управление
может передаваться через «MOV EAX,offset OEP JMP EAX»,
что также легко проконтролировать и отследить, но вот про-
тив «прямых» команд «JMP offset OEP» или «JMP [OEP]» ус-
ловные точки останова бессильны. К тому же слишком мно-
го вариантов получается. Пока их переберешь… Ложные
срабатывания неизбежны! Попробуйте повоюйте с FSG…
В какой-то момент кажется, что решения нет и наше дело
труба, но это не так!
Все известные автору упаковщики (и значительная часть
протекторов), не желая перемешивать себя с кодом упако-
вываемой программы, размещаются в отдельной секции
(или вне секции), расположенной либо перед упаковывае-
мой программой, либо после нее! Код упаковщика сосре-
доточен в одном определенном месте (нескольких местах)
и никогда не пересекается с кодом распаковываемой про-
граммы! Вроде бы очевидный факт. Сколько раз мы про-
ходили мимо него, даже не задумываясь, что он позволяет
автоматизировать процесс поиска OEP!
Взглянем на карту памяти еще раз (см. листинг 17):
Листинг 17. Две секции упакованной программы
MAP32
NOTEPAD-fsg 0001 001B:01001000 00010000 CODE RW
NOTEPAD-fsg 0002 001B:01011000 00008000 CODE RW
Мы видим две секции, принадлежащие упакованной про-
грамме. Сам черт не поймет, какая из них секция кода, а ка-
кая данных, тем более что должна быть еще одна секция –
секция ресурсов, но коварный упаковщик каким-то образом
скомбинировал их друг с другом, и мы не знаем каким, впро-
чем, код самого распаковщика, как мы уже видели, сосредо-
точен в районе адреса 10001xxh, то есть вне этих двух сек-
ций (отдельной секции для себя распаковщик создавать не
стал). Чтобы отсеять лишние всплытия отладчика, мы сосре-
доточимся на диапазоне адресов, принадлежащих упако-
ванной программе, то есть от начала первой секции до кон-
ца последней, автоматически контролируя значение регис-
тра EIP на каждом срабатывании точки останова.
68
В данном случае условная точка останова будет выгля-
деть так (см. листинг 18) :
Листинг 18. «Магическая» последовательность,
приводящаяся нас к OEP
BPM ESP-4 IF EIP > 0X1001000 && EIP < 0X1011000
Невероятно, но после продолжительного молчания (а он
и будет молчать, ведь стек распаковщиком используется
очень интенсивно) отладчик неожиданно всплывает непос-
редственно в OEP (см. листинг 19)!
Листинг 19. Отсюда начинается распакованный код
исходной программы
001B:01006420 55 PUSH EBP
001B:01006421 8BEC MOV EBP,ESP
001B:01006423 6AFF PUSH FF
001B:01006425 6888180001 PUSH 01001888
001B:0100642A 68D0650001 PUSH 010065D0
001B:0100642F 64A100000000 MOV ↵
EAX,FS:[00000000]
001B:01006435 50 PUSH EAX
001B:01006436 64892500000000 MOV ↵
FS:[00000000],ESP
Фантастика! А ведь FSG далеко не самый слабый упа-
ковщик, фактически граничащий с протекторами. Однако
данная методика поиска OEP применима и к протекторам.
Выделяем секции, принадлежащие упакованной програм-
ме, и устанавливаем точку останова на ESP – 4 в их грани-
цах. Даже если стартовый код использует оптимизирован-
ный пролог, первый же регистр (локальная переменная за-
талкиваемая в стек), вызовет срабатывание отладчика. Ес-
ли мы попадем не в саму OEP, то будет где-то очень-очень
близко от нее... А найти начало оптимизированного проло-
га можно и автоматом!
Таким образом, мы получаем в свои руки мощное оружие
многоцелевого действия, которое легко реализовать в виде
подключаемого модуля к LordPE, IDA Pro или самостоятель-
ной утилиты. (Разработчикам упаковщиков на заметку: что-
бы ослепить этот алгоритм, никогда не отделяйте код распа-
ковщика от кода программы! Перемешивайте их в хаотич-
ном порядке на манер «мясного рулета», тогда определять
OEP по данной методике уже не получится, но методики, опи-
санные выше, по-прежнему будут работать, если, конечно
не предпринять против них определенных усилий).
Заключение
Вот мы и научились находить OEP! Остается самая ма-
лость – сбросить дамп программы на диск. Но здесь не все
так просто, как может показаться вначале, и многие упа-
ковщики/проекторы этому всячески сопротивляются. В сле-
дующей статье мы покажем, как реализовать универсаль-
ный дампер, обходящий, в том числе и продвинутый ме-
ханизм динамической шифровки, известный под именем
CopyMemII, – это когда вся программа зашифрована и от-
дельные страницы памяти расшифровываются непосредс-
твенно перед их употреблением, а потом зашифровывают-
ся вновь. Также мы коснемся вопросов восстановления таб-
лицы импорта и поговорим про распаковку DLL.
В конечном счете получится мощный генетический рас-
паковщик, обходящий всех своих конкурентов.

Множественные уязвимости в Mac OS X
Программа: Apple Macintosh OS X 10.4.6 и более ранние
версии.
Опасность: Высокая.
Описание: 1. Переполнение динамической памяти сущес-
твует в функции BOMStackPop() в BOMArchiveHelper во
время декомпрессии злонамеренных ZIP-архивов. Уда-
ленный пользователь может вызвать отказ в обслужива-
нии приложения.
2. Обнару жено не с колько оши бок в функ ц иях
KWQListIteratorImpl(), drawText() и objc_msgSend_rtp() в бра-
узере Safari при обработке специально сформированных
HTML-тегов. Удаленный пользователь может вызвать отказ
в обслуживании или выполнить произвольный код на це-
левой системе.
3. Переполнение динамической памяти обнаружено
в функции ReadBMP() при обработке BMP. Удаленный поль-
зователь может вызвать отказ в обслуживании приложения
или выполнить произвольный код на целевой системе.
4. Переполнение динамической памяти обнаружено
в функции CFAllocatorAllocate() при обработке GIF-изобра-
жений. Удаленный пользователь может вызвать отказ в об-
служивании приложения или выполнить произвольный код
на целевой системе.
5. Уязвимость существует в функции _cg_TIFFSetField ()
при обработке специально сформированных TIFF-изобра-
жений. Удаленный пользователь может вызвать отказ в об-
служивании приложения.
6. Переполнение динамической памяти существует
в функции PredictorVSetField() при обработке TIFF-изобра-
жений. Удаленный пользователь может с помощью специ-
ально сформированного TIFF-файла выполнить произволь-
ный код на целевой системе.
URL производителя: www.apple.com/macosx.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Целочисленное переполнение буфера
в rsync
Программа: rsync 2.6.7, возможно более ранние версии.
Опасность: Средняя.
Описание: Целочисленное переполнение буфера обнару-
жено в функции receive_xattr() в патче xattrs.diff. Удален-
ный пользователь может с помощью специально сформи-
рованных расширенных атрибутов вызвать переполнение
буфера и выполнить произвольный код на целевой систе-
ме. Для удачной эксплуатации уязвимости на системе дол-
жен быть установлен патч xattrs.diff.
URL производителя: www.samba.org/rsync.
Решение: Установите последнюю версию (2.6.8) с сайта
производителя.
№5, май 2006
bugtraq
Переполнение буфера в Mozilla Firefox
Программа: Mozilla Firefox 1.5.0.2, возможно, более ран-
ние версии.
Опасность: Критическая.
Описание: Уязвимость существует при обработке JavaScript-
кода в библиотеках js320.dll и xpcom_core.dll. Удаленный
пользователь может с помощью специально сформирован-
ной веб-страницы вызвать переполнение буфера и выпол-
нит произвольный код на целевой системе. Пример:
<textarea cols="0" rows="0" id="x_OtherInfo" ↵
name="x_OtherInfo"></textarea>
<script>
var textarea = document.getElementsByName ↵
("x_OtherInfo");
textarea=textarea.item(0);
var htmlarea = document.createElement("div");
htmlarea.className = "htmlarea";
textarea.parentNode.insertBefore(htmlarea, textarea);
var iframe = document.createElement("iframe");
htmlarea.appendChild(iframe);
var doc = iframe.contentWindow.document;
doc.designMode = "on";
doc.open();
doc.write("<iframe src=’’>");
iframe.contentWindow.focus()
doc.close();
</script>
</textarea>
URL производителя: www.mozilla.com.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Множественные уязвимости в Oracle
Программа: JD Edwards EnterpriseOne 8.x, JD Edwards
OneWorld 8.x, Oracle Application Server 10g, Oracle
Collaboration Suite 10.x, Oracle Database 10g, Oracle Database
8.x, Oracle E-Business Suite 11i, Oracle Enterprise Manager 10.x,
Oracle PeopleSoft Enterprise Tools 8.x, Oracle Pharmaceutical
Applications 4.x, Oracle Workflow 11.x, Oracle9i Application
Server, Oracle9i Collaboration Suite, Oracle9i Database
Enterprise Edition, Oracle9i Database Standard Edition, Oracle9i
Developer Suite.
Опасность: Высокая.
Описание: 1. Уязвимость существует из-за недостаточной
обработки входных данных в компоненте Log Miner (пакет
dbms_logmnr_session). Удаленный пользователь может про-
извести SQL-инъекцию.
2. Обнаружена ошибка проверки границ данных в про-
цедуре VERIFY_LOG, поставляемой совместно с пакетом
sys.dbms_snapshot_utl. Удаленный пользователь может вы-
звать переполнение буфера и выполнить произвольный код
на целевой системе.
Примечание: Для некоторых платформ исправление уяз-
вимости №2 будет доступно только с 01/05/2006. Настоя-
тельно рекомендуется запретить доступ к пакету sys.dbms_
snapshot_utl до выхода пакета исправлений.
URL производителя: www.oracle.com .
Решение: Установите исправление с сайта производите-
ля.
Составил Александр Антипов
69
 безопасность

Используем средства библиотеки OpenSSL

для криптографической защиты данных
Часть 2

Владимир Мешков
Благодаря своим уникальным свойствам ассиметричные алгоритмы шифрования
применяются для защиты информации в тех областях, где использование симметричных
алгоритмов затруднительно. Это защита сообщений электронной почты, HTTP-трафика,
организация безопасного доступа для удаленного администрирования (Security Shell).
Самый популярный представитель семейства ассиметричных алгоритмов – алгоритм RSA.
Ассиметричные рантировать его доставку получате- Для шифрования информации, пред-
алгоритмы лю. Когда количество абонентов не- назначенной конкретному получате-
Симметричные алгоритмы наряду со велико и расположены они недалеко лю, используют уникальный открытый
всеми своими достоинствами имеют друг от друга (например, в пределах ключ получателя-адресата. Соответс-
большой недостаток: потеря секрет- одного города), гарантированно доста- твенно для дешифрования получатель
ного ключа грозит потерей всех дан- вить ключ абоненту достаточно прос- использует парный, создаваемый од-
ных, которые с помощью этого ключа то. А если абоненты находятся в раз- новременно с открытым, секретный
зашифрованы (имеется в виду не фи- ных городах или их количество очень ключ. Для передачи открытого ключа
зическая потеря, а потеря конфиден- велико? В таком случае организация от получателя к отправителю секрет-
циальности). надежного канала доставки ключевых ный канал не нужен.
Использование симметричной схе- данных – задача весьма непростая,
мы шифрования требует передачи од- требующая значительных затрат. Алгоритм RSA. Теория
ного и того же ключа двум и более сто- Для решения в первую очередь Криптосистема RSA, пред ложен-
ронам по независимому и надежно- задачи распределения ключей была ная в 1977 году Ривестом (R. Rivest),
му каналу. Этот канал должен исклю- выдвинута концепция двухключевой Шамиром (A. Shamir) и Адлеманом
чать возможность утечки информа- (или ассиметричной) криптографии. (L. Adleman), предназначена для шиф-
ции, обеспечивать полный контроль Для шифрования и дешифрова- рования и цифровой подписи. В насто-
над процессом передачи ключа и га- ния применяются различные ключи. ящее время RSA является наиболее

70
 безопасность
распространенной криптосистемой – стандартом де-факто полнялось уравнение [2]. Для этого с помощью алгоритма
для многих криптографических приложений. Криптосисте- Эвклида ищем значения d и v, удовлетворяющие соотно-
ма RSA широко применяется в составе различных стандар- шению [4]. Суть алгоритма сводится к проведению после-
тов и протоколов Интернета, включая PEM, S/MIME, PEM- довательности операций деления с остатком. В соответс-
MIME, S-HTTP и SSL. твии с алгоритмом находим частное и остаток от деления
Криптографическая стойкость алгоритма RSA основа- ϕ(n) на e:
на на трудоемкости разложения на множители (факториза-
ции) больших чисел. Термин «большие» означает, что чис- 192 = 7 * 27 + 3
ло содержит 100~200 и более двоичных разрядов. Откры-
тый и секретный ключи являются функциями двух больших Частное равно 27, остаток – 3. Теперь последователь-
простых чисел. Рассмотрим на примере, как выполняется но делим делитель на остаток (т. е. 7 на 3 в данном случае)
генерация ключей алгоритма RSA, но вместо больших чи- до тех пор, пока в остатке не получим единицу:
сел для простоты изложения будем использовать малень-
кие десятичные. 7 = 3 * 2 + 1
Для генерации парных ключей используются два слу-
чайных простых числа, p и q. Вычисляется произведе- А теперь распишем процесс получения остатка в об-
ние этих чисел n и значение функции Эйлера от числа n ратном порядке:
по формуле:
1 = 7 – 3 * 2 = 7 – (192 – 7 * 27) * 2 = 7 – (192 * 2 – 7 * 2 * 27)
φ(n)=(p-1)(q-1)[1]
Раскроем скобки:
Далее выбирается ключ шифрования e такой, что e
и значение функции Эйлера ϕ(n) являются взаимно просты- 1 = 7 + 7 * 54 – 192 * 2 = 7 * 55 – 192 * 2
ми числами, т.е. числами, не имеющими общих делителей,
кроме единицы (единицу еще называют тривиальным дели- В итоге получаем искомые числа d=55 и v=2. Числа
телем). Теперь необходимо найти значение ключа дешиф- d=55 и e=7 являются взаимно обратными по модулю 192,
рования d такое, чтобы выполнялось равенство: что подтверждает равенство:

ed = 1(mod φ(n)) [2] 7 * 55 = 1(mod 192)

или Учитывая, что e=7 – это наш ключ шифрования, то чис-

d = e-1(mod φ(n)) [3]
Уравнение [2] означает, что остаток от деления произ-
ведения чисел e и d на значение функции Эйлера ϕ(n) дол-
жен быть равен 1.
Условие [2] выполняется только в том случае, если e
и ϕ(n) являются взаимно простыми числами. Число d назы-
вается взаимно обратным к e по модулю ϕ(n). Уравнение [2]
эквивалентно обнаружению таких d и v, что:
ed + φ(n)v = 1 [4]
Поиск обратного значения числа по модулю выполняет-
ся при помощи алгоритма Эвклида. Этот алгоритм позволя-
ет найти наибольший общий делитель (НОД) двух чисел.
Рассмотрим пример. Пусть у нас имеются два простых
числа: p=13 и q=17. Найдем произведение этих чисел:
n = 13 * 17 = 221
и значение функции Эйлера от числа n=221:
ло d=55 будет ключом дешифрования.
Теперь разберемся, как выполняются операции шифро-
вания и дешифрования информации по алгоритму RSA.
Для шифрования исходное сообщение необходимо
представить в виде последовательности чисел, содержа-
щихся в интервале от 0 до n. Для примера, разобьем аб-
бревиатуру ABC на числа в интервале (0,221). Для этого
достаточно каждый символ записать в десятичном пред-
ставлении:
A=41h=65, B=42h=66, C=43h=67
Шифрование сводится к вычислению:
Ci = Mie(mod n)
Здесь Mi – это i-й блок сообщения, Ci – результат крип-
топреобразования. Выражаясь простым языком, мы долж-
ны возвести значение Mi в степень e и найти остаток от де-
ления на n.
Зашифруем нашу последовательность (65,66,67), зная,
что e=7 и n=221:

φ(n)=(p-1)(q-1)=(13-1)(17-1)=192 C1 = 657(mod 221) = 91

C2 = 667(mod 221) = 144
C3 = 677(mod 221) = 50
Теперь выберем такое число e, чтобы оно было взаим-
но простым с ϕ(n). Таким числом является, например, e=7. В зашифрованном виде наша последовательность бу-
Далее надо найти обратное значение числа e, чтобы вы- дет выглядеть как (91,144,50).

№5, май 2006 71

 безопасность
Для дешифрования необходимо выполнить следую-
щую операцию:
Mi = Cid(mod n)
Дешифруем последовательность (91,144,50) при d=55
и n=221:
M1 = 9155(mod 221) = 65
M2 = 14455(mod 221) = 66
M3 = 5055(mod 221) = 67
Таким образом, исходная последовательность восста-
новлена.
Шифрование RSA выполняется намного эффективнее,
если правильно выбрать значение e. Чаще всего исполь-
зуются 3, 17 и 65537. Стандарт X.509 рекомендует 65537,
PEM – 3, PKCS#1 – 3 или 65537.
Ознакомившись с теорией, приступим к рассмотрению
средств, предоставляемых библиотекой для защиты ин-
формации по RSA алгоритму.
Функции библиотеки для защиты
информации по RSA-алгоритму
Прежде чем изучить вышеозначенные функции, приоста-
новимся на минуту и подумаем – если мы оперируем с чис-
лами, разрядность которых составляет ~200 битов, то мы
должны их где-то хранить. А ведь их надо не только хранить,
но и проводить над ними различные математические опера-
ции, такие как умножение, деление, возведение в степень
и т. п. Очевидно, что стандартные типы языка программи-
рования Си, например, long или double long, и прямое ис-
пользование функций стандартной библиотеки этого язы-
ка, таких как «+», «*» и т. п. для этих целей совершенно не-
пригодны. Поэтому библиотека OpenSSL содержит ряд спе-
циальных функций для работы с большими числами, раз-
рядность которых превышает разрядность адресной шины
и регистров процессора. Для хранения этих чисел исполь-
зуется динамическая память. Базовым объектом библио-
теки для работы с такими числами является объект типа
BIGNUM. Этот тип определен в файле openssl/bn.h:
#define BN_ULONG unsigned char
typedef struct bignum_st
{ то увидим, как на экране начнут появляться символы «.»
/* Pointer to an array of 'BN_BITS2' bit chunks. */
BN_ULONG *d;
int top; /* Index of last used d +1. */
/* The next are internal book keeping for bn_expand. */
int dmax; /* Size of the d array. */
int neg; /* one if the number is negative */
int flags;
} BIGNUM;
Приведем краткий перечень функций библиотеки
для работы с большими числами:
 BIGNUM * BN_new(void) – создает объект типа BIGNUM
и возвращает указатель на него;
 int BN_add (BIGNUM *r, const BIGNUM *a, const
BIGNUM *b) – суммирует числа a и b, результат поме-
щает в r (r=a+b);
 int BN_sub(BIGNUM *r, const BIGNUM *a, const BIGNUM
*b) – выполняет операцию вычитания числа b из числа
а, результат сохраняется в r (r=a-b);
72
 int BN_mul (BIGNUM *r, BIGNUM *a, BIGNUM *b,
BN_CTX *ctx) – умножает число a на число b и сохраняет
результат в r (r=a*b). Последний параметр BN_CTX *ctx
используется для хранения промежуточных результатов
вычисления (а BN_CTX is a structure that holds BIGNUM
temporary variables used by library functions);
 int BN_div(BIGNUM *dv, BIGNUM *rem, const BIGNUM *a,
const BIGNUM *d, BN_CTX *ctx) – делит число a на b,
частное сохраняется в dv, остаток – в rem (dv=a/b,
rem=a%b).
Подробную информацию по функциям типа BN_* смот-
рите на странице руководства man bn.
Все ассимметричные алгоритмы, реализованные в
библиотеке, такие как RSA, DSA, Diffie-Hellman, использу-
ют эти функции.
Генерация ключей алгоритма RSA
Как в и случае симметричных алгоритмов, для криптогра-
фической защиты информации по алгоритму RSA необхо-
димо вначале сгенерировать открытый и секретный клю-
чи. Генерацию ключей алгоритма RSA выполняет функция
RSA_generate_key следующего вида:
RSA *RSA_generate_key(int num, unsigned long e, ↵
void (*callback)(int,int,void *), void *cb_arg);
Параметры функции:
 int num – размер ключа в битах;
 unsigned long e – это то самое число e, с которым мы
познакомились в пункте 2, когда рассматривали теоре-
тические основы алгоритма RSA. Этот параметр обыч-
но принимает значения 3, 17 или 65537.
Два последних параметра, указатели на функцию
(*callback) и void *cb_arg, служат для предоставления об-
ратной связи (feedback) с процессом генерации ключевой
информации. Это, как правило, индикация хода выполне-
ния операции генерирования ключей. Например, если мы
выполним команду:
openssl genrsa –out outfile 2048
и «+», отображающие процесс формирования ключей. Най-
дем в файле apps/genrsa.c исходных текстов библиотеки
вызов функции RSA_generate_key:
rsa=RSA_generate_key(num,f4,genrsa_cb,bio_err);
Третий параметр – функция genrsa_cb – находится в этом
же файле и имеет следующий вид:
static void MS_CALLBACK genrsa_cb(int p, int n, void *arg)
{
char c='*';
if (p == 0) c='.';
if (p == 1) c='+';
if (p == 2) c='*';
if (p == 3) c='\n';
BIO_write((BIO *)arg,&c,1);
(void)BIO_flush((BIO *)arg);

 безопасность

№5, май 2006 73

 безопасность
#ifdef LINT
p=n;
#endif
}
Как видно из текста этой функции, именно она выводит
на экран символы «.» и «+», отображающие ход операции
генерирования ключей.
Результаты работы функции RSA_generate_key в виде
открытого и закрытого ключа сохраняются в структуре типа
RSA (см. include/openssl/rsa.h). Эти ключи необходимо из-
влечь и записать в файлы для дальнейшей работы с ними.
Делается это при помощи следующих двух функций:
int PEM_write_RSAPublicKey(FILE *fp, RSA *x);
int PEM_write_RSAPrivateKey(FILE *fp, RSA *x, ↵
const EVP_CIPHER *enc, unsigned char *kstr, ↵
int klen, pem_password_cb *cb, void *u);
Первая функция записывает в файл fp открытый ключ,
который находится в структуре типа RSA, на которую указы-
вает параметр x. Вторая функция изымает секретный ключ
из структуры x и записывает его в файл fp. Как правило,
секретный ключ зашифровывают, что способствует повы-
шению его защищенности. Выбор алгоритма шифрования
выполняется с помощью параметра const EVP_CIPHER *enc
(контекст алгоритма шифрования, см. первую часть статьи).
Но для шифрования необходимо задать ключевую фразу
(пароль), и сделать это можно несколькими способами.
Можно указать в параметре cb (сокращение от callback)
адрес функции, которая будет запрашивать пароль. Ес-
ли указатель kstr не будет равен NULL, то в качестве па-
роля будут использованы первые klen символов из масси-
ва, на который указывает kstr, при этом параметр cb игно-
рируется. Если cb == NULL, а параметр u не равен NULL,
то u интерпретируется как строка, заканчивающаяся нулем,
и эта строка используется как пароль. Также можно все па-
раметры (kstr, cb, u) установить в NULL, и библиотека за-
просит у нас парольную фразу самостоятельно, используя
свои внутренние механизмы.
Обобщим все вышесказанное в виде фрагмента про-
граммы, генерирующей ключи по алгоритму RSA, при этом
секретный ключ шифруется по алгоритму Blowfish с об-
ратной связью по выходу. Длина ключа – 2048 бит. В це-
лях экономии места код, выполняющий обработку оши-
бок, пропущен.
Листинг 1. Генерация ключей алгоритма RSA
#include <stdio.h>
#include <openssl/rsa.h>
#include <openssl/pem.h>
/* Имена ключевых файлов */
#define PRIVAT "./privat.key"
#define PUBLIC "./public.key"
void main()
{ /* Считываем открытый ключ */
/* указатель на структуру для хранения ключей */
RSA * rsa = NULL;
unsigned long bits = 2048; /* длина ключа в битах */
FILE *priv_key_file = NULL, *pub_key_file = NULL;
/* контекст алгоритма шифрования */
const EVP_CIPHER *cipher = NULL;
priv_key_file = fopen(PRIVAT, "wb");
pub_key_file = fopen(PUBLIC, "wb");
74
/* Генерируем ключи */
rsa = RSA_generate_key(bits, RSA_F4, NULL, NULL);
/* Формируем контекст алгоритма шифрования */
OpenSSL_add_all_ciphers();
cipher = EVP_get_cipherbyname("bf-ofb");
/* Получаем из структуры rsa открытый и секретный ключи
* и сохраняем в файлах. Секретный ключ шифруем с помощью
* парольной фразы «hello»
*/
PEM_write_RSAPrivateKey(priv_key_file, rsa, cipher, ↵
NULL, 0, NULL, "hello");
PEM_write_RSAPublicKey(pub_key_file, rsa);
/* Освобождаем память, выделенную под структуру rsa */
RSA_free(rsa);
}
Если в вызове функции PEM_write_RSAPrivateKey мы
вместо «hello» оставим NULL, то библиотека самостоятель-
но попросит наc ввести парольную фразу для шифрования
секретного ключа.
Шифрование и дешифрование по алгоритму RSA
Сформировав ключи, можно приступать к шифрованию дан-
ных. Для этого используется функция RSA_public_encrypt,
которая имеет следующий прототип:
int RSA_public_encrypt(int flen, unsigned char *from, ↵
unsigned char *to, RSA *rsa, int padding);
Эта функция шифрует flen байт из буфера, на который
указывает параметр from, используя ключ из структуры
RSA * rsa, и помещает результат в буфер to. Размер этого
буфера должен быть равен размеру ключа, который опре-
деляется при помощи функции RSA_size(RSA *).
Параметр padding используется для выбора режима вы-
равнивания данных. В большинстве случаев используется
значение RSA_PKCS1_PADDING, что соответствует стан-
дарту PKCS#1. При использовании этого режима размер
буфера from должен быть не меньше (RSA_size(rsa) – 11),
т.е. на 11 байт меньше размера ключа. Размер выходных
данных всегда будет кратен длине ключа.
Следующая программа демонстрирует использование
функции RSA_public_encrypt для шифрования данных.
Листинг 2. Шифрование данных по алгоритму RSA
#include <openssl/rsa.h>
#include <openssl/pem.h>
void main(int argc, char **argv)
{
/* структура для хранения открытого ключа */
RSA * pubKey = NULL;
unsigned char *ptext, *ctext;
FILE * pub_key_file = NULL;
/* Открываем входной и создаем выходной файлы */
int inf = open(argv[1], O_RDWR);
int outf = open("./rsa.file", ↵
O_CREAT|O_TRUNC|O_RDWR, 0600);
pub_key_file = fopen(PUBLIC, "rb");
pubKey = PEM_read_RSAPublicKey(pub_key_file, NULL, ↵
NULL, NULL);
/* Определяем длину ключа */
int key_size = RSA_size(pubKey);
ptext = malloc(key_size);
ctext = malloc(key_size);

/* Шифруем содержимое входного файла */
while(1) {
inlen = read(inf, ptext, key_size - 11);
if(inlen <= 0) break;
outlen = RSA_public_encrypt(inlen, ptext, ctext, ↵
pubKey, RSA_PKCS1_PADDING);
if(outlen != RSA_size(pubKey)) exit(-1);
write(outf, ctext, outlen);
} key_size = RSA_size(privKey);
} ctext = malloc(key_size);
Дешифрование данных выполняет функция
RSA_private_decrypt:
int RSA_private_decrypt(int flen, unsigned char *from, ↵
unsigned char *to, RSA *rsa, int padding);
Эта функция расшифровывает flen байт из буфера from,
используя ключ rsa, и записывает результаты в буфер to.
Следующий фрагмент программы демонстрирует ис-
пользование функции RSA_private_decrypt для дешифро-
вания данных.
Листинг 3. Дешифрование файла, зашифрованного
по RSA-алгоритму
#include <openssl/rsa.h>
#include <openssl/pem.h>
void main(int argc, char **argv)
{
RSA *privKey = NULL;
FILE *priv_key_file;
unsigned char *ptext, *ctext;
/* Открываем входной и создаем выходной файл */
№5, май 2006
безопасность
inf = open(argv[1], O_RDWR);
outf = open("./test.rsa", ↵
O_CREAT|O_TRUNC|O_RDWR, 0600);
/* Открываем ключевой файл и считываем секретный ключ */
priv_key_file = fopen(PRIVAT, "rb");
privKey = PEM_read_RSAPrivateKey(priv_key_file, ↵
NULL, NULL, NULL);
/* Определяем размер ключа */
ptext = malloc(key_size);
/* Дешифруем файл */
while(1) {
inlen = read(inf, ctext, key_size);
if(inlen <= 0) break;
outlen = RSA_private_decrypt(inlen, ctext, ptext, ↵
privKey, RSA_PKCS1_PADDING);
if(outlen < 0) exit(0);
write(outf, ptext, outlen);
}
}
Работоспособность программ была проверена для ОС
Linux Slackware 10.2, библиотека OpenSSL версии 0.9.7c
Итак, вы разобрались с теоретическими основами алго-
ритма RSA и научились использовать некоторые функции
библиотеки для защиты информации по этому алгоритму.
Я говорю «некоторые», потому что этих функций в библи-
отеке очень много, и описать их в одной статье практичес-
ки невозможно. Поэтому основным источником изучения
средств библиотеки были и остаются официальная доку-
ментация от разработчиков, а также любые исходные тек-
сты программ, использующих эту библиотеку.
75
 IMHO

Лицензию? Вам какую?

Сергей Супрунов
Как часто мы слышим, что открытых лицензий на программное обеспечение развелось
слишком много. BSD, Apache, CDDL, GPL2/3, LGPL… Даже для юристов это настоящий кошмар.
А что же тогда говорить о нас, простых (хотя и системных) администраторах?

Беглый взгляд храняется на прежнем уровне, и про- Традиционно в лицензиях на ком-

со стороны
Для начала – что такое лицензия
на программное обеспечение? Де-
ло в том, что программу трудно от-
нести к материальному объекту, пос-
кольку она слишком легко и дёшево
может быть растиражирована. Как
следствие, её распространение силь-
но отличается от прочих товаров. Ку-
пив, скажем, утюг, вы становитесь его
собственником и, в частности, може-
те отдать/продать кому-то ещё. Тогда
у вас утюга уже не будет (т.е. спрос со-
изводитель может оставаться спо- мерческие продукты содержатся ог-
койным). раничения на использование про-
Программа же – она как идея. Ес- граммы (число инсталляций/процес-
ли у вас есть одна и вы поделитесь ею соров/пользователей и т. д.), на рас-
с кем-то ещё, то их станет две… Естес- пространение и на доступ к «внутрен-
твенно, такое положение дел не могло ностям» программы (её декомпиля-
устроить разработчиков, которые за- цию). То есть первоначальное назна-
интересованы в том, чтобы програм- чение лицензии заключается в защи-
мы покупались именно у них. Поэто- те коммерческих прав и интеллекту-
му и появились лицензии – особый вид альной собственности разработчика
соглашения, ограничивающего права программы.
пользователя на получаемый им про- Разработчики свободного ПО, же-
граммный продукт. лающие распространять свои програм-

76
 IMHO
мы, не создавая для пользователя ни-
каких ограничений, решили бороться Отказ от ответственности не подразумевают никаких гарантий. Автор
за свободу своих детищ тем же оружи- Настоящая статья публикуется в соответс- не отвечает за последствия применения,
ем, которое использовалось для огра- твии с принципом «как есть» (а не «как пить неправильного применения или неприме-
ничения этой свободы – лицензиями. дать»), что означает возможность нали- нения материала данной статьи, включая
Но, в противоположность коммерчес- чия в ней ошибок и заблуждений, хотя ав- разбитые вследствие неосторожного цити-
ким лицензиям, здесь явно указыва- тор и стремился этого избежать. Сам факт рования в присутствии идейных оппонен-
лось право пользователя распростра- публикации, а также указание на послед- тов носы (но не ограничиваясь этим). Шут-
нять программы любым способом, ис- ней странице журнала, что «За содержа- ливый тон настоящего раздела не подразу-
пользовать в любых целях, модифици- ние статьи ответственность несёт автор», мевает шутливость всего изложения.
ровать код и т. д.
Наиболее известной свободной нейшего распространения, модифика- Формально всё это никоим обра-
лицензией является разработанная ции, использования. зом не ущемляет прав разработчика
в FSF (Free Software Foundation) лицен- открытой версии – он остаётся авто-
зия GNU GPL (General Public License). GNU LGPL (Lesser GPL) ром и владельцем кода и может его
Однако помимо неё существует мас- «Ограниченная» GPL, регламентиру- по-прежнему развивать и распростра-
са других лицензий, в которых и по- ющая права на программные библи- нять, как ему вздумается. То есть все
пытаемся разобраться хотя бы в об- отеки. Содержит ряд пунктов, допус- возражения против BSD сводятся, по
щих чертах. кающих компоновку данной библио- сути, к апелляции к морали. Впрочем,
теки с программами, распространяе- это личное право разработчика – пос-
Представляем главных мыми по другим лицензиям. Разработ- тупать со своим детищем так, как ему
игроков чик библиотеки (или её модификации) вздумается.
Сначала коротко познакомимся с ос- вправе перевести её на лицензию GPL,
новными положениями наиболее рас- однако обратная процедура уже будет Apache
пространённых открытых лицензий. невозможна. Достаточно либеральная, и в то же вре-
мя хорошо проработанная лицензия
GNU GPL2 (GNU General Public BSD (чувствуется «рука мастера» – перво-
License) Пожалуй, самая простая и демократич- начально к ней приложили руку юрис-
Это детище Ричарда Столлмана ная открытая лицензия, занимающая ты корпорации IBM). Позволяет моди-
(Richard Stallman), пришедшее в 1991 всего несколько строк. Её смысл сво- фицировать и распространять ПО как
году на смену 1-й версии, имеет чёт- дится к тому, что «делайте с програм- в открытых кодах, так и в двоичном ви-
ко поставленную задачу – не допус- мой всё, что хотите, только не говори- де. Помимо прав на сам программный
тить «закрытия» программ, которые те, будто это вы её написали». То есть продукт (на его использование, моди-
первоначально были выпущены как единственное предъявляемое ею тре- фикацию, распространение), лицен-
свободные. GPL предоставляет право бование – сохранение уведомлений зия регламентирует и вопросы, свя-
свободно использовать, модифици- об авторских правах. Таким образом, занные с сопутствующими патента-
ровать и распространять программу, лицензия BSD не подпадает под поня- ми – они также должны передаваться
при обязательном условии, что вмес- тие Copyleft, поскольку не запрещает вместе с программой. Предусмотрена
те с ней будут распространяться и её ограничивать свободу этого или про- контрмера на случай судебных претен-
исходные коды, включая все сделан- изводных продуктов. Сторонники GPL зий к разработчику ПО, распространя-
ные изменения, и по той же самой ли- часто критикуют BSD за то, что она емого под лицензией Apache, – в этом
цензии. Допускается не включать ис- позволяет любому «украсть» разра- случае лицо, предъявившее такие пре-
ходные коды в дистрибутив при усло- ботку. Действительно, если хорошая тензии, автоматически теряет передан-
вии, что их можно будет свободно полу- программа распространяется под BSD- ные ему права в отношении программы
чить в дальнейшем (например, скачав лицензией, то существует ненулевая или сопутствующих патентов.
с ftp-сервера). Формально лицензия вероятность, что какая-нибудь круп-
не требует от разработчика или дист- ная корпорация возьмёт этот код и бу- Artistic
рибьютора распространять программу дет распространять программу как за- Под этой лицензией распространяют-
бесплатно, но в свете обязательности крытую под коммерческой лицензией. ся такие программы, как Razor, Perl
предоставления исходных кодов взи- Очевидно, что у такой компании будет (этот проект использует слегка моди-
мание платы за «сборку» в какой-то гораздо больше маркетинговых воз- фицированную версию) и ряд других.
степени теряет смысл. можностей по продвижению и прода- Изменённый продукт может распро-
Здесь нужно сказать, что с GPL же программы – большинство пользо- страняться только в случае публика-
прочно связано ещё одно понятие – вателей могут даже и не догадывать- ции в доступном виде модифициро-
Copyleft. Это положение (в противо- ся, что существует такая же програм- ванных исходных кодов либо при ус-
положность Copyright), согласно ко- ма, но абсолютно бесплатная. К то- ловии, что все изменённые файлы бу-
торому распространитель (т.е. право- му же лицензия BSD не обязывает де- дут переименованы. В принципе позво-
обладатель) программного продукта литься с сообществом модифициро- ляет использовать программный про-
не вправе ограничивать свободу даль- ванным кодом. дукт в коммерческих программах. FSF

№5, май 2006 77

 IMHO
не очень жалует эту лицензию за ту-
манность её формулировок и относит
её к несовместимым с GPL (за исклю-
чением модифицированной лицензии,
под которой распространяется Perl).
CDDL (Common Development
and Distribution License)
Лицензия, разработанна я в Sun
Microsystems. Требует распростра-
нения программы вместе с правами
на все сопутствующие патенты и толь-
ко в исходных кодах, с обязательным
уведомлением обо всех сделанных из-
менениях. В двоичном виде допускает-
ся распространение по другой лицен-
зии, при условии, что это не ограничи-
вает свободу доступа к исходному коду.
Как и в лицензии Apache, предусмот-
рен отзыв всех переданных прав на ПО
и патенты в случае судебных претен-
зий к разработчику или распространи-
телю. В настоящее время под этой ли-
цензией распространяется, в частнос-
ти, OpenSolaris. Впрочем, как пишет
в своём блоге Джонатан Шварц, пре-
зидент компании Sun, рассматрива-
ется перевод OpenSolaris на двойную
лицензию CDDL/GPL3 (когда послед-
няя будет опубликована), чтобы обес-
печить совместимость с GPL и тем са-
мым получить преимущества от вза-
имного обмена кодом с Linux.
Характерной особенностью прак-
тически всех свободных лицензий
(да и коммерческие зачастую «гре-
шат» этим) является обязательное ука-
зание раздела, касающегося отказа от
ответственности. То есть разработчик
лицензируемой программы явно указы-
вает, что не несёт никакой ответствен-
ности за ошибки в работе программы,
за ущерб вследствие неправильной
работы ПО, и т. д. Для открытых про-
грамм, которые легко могут модифи-
цироваться без ведома разработчика,
такое положение является вполне ес-
тественным и понятным. Ну и, с другой
стороны, зачем брать на себя какую-то
ответственность, если это зачастую не
приносит никакой прибыли?
Помимо представленных, есть мас-
са других лицензий (организацией
OSI одобрено более 60), порой охва-
тывающих разработки одной компа-
нии, или даже одну-единственную про-
грамму. К таким можно отнести лицен-
зии IBM, Apple, Eclipse Public License,
78
Qt Public License, открытые лицензии
Intel, Jabber, Zope, и т. д.
Нужно заметить, что есть ещё
и лицензии на документацию (на-
иболее распространённой является
опять-таки лицензия GNU – FDL (Free
Documentation License)). Так что выби-
рать есть из чего.
Там, за горизонтом…
Естественно, нельзя обойти внима-
нием и GNU GPL3. Что там ещё при-
думал Столлман на благо всего чело-
вечества?
Вторая версия GPL, честно про-
служившая 15 лет, морально устарела.
В ней не предусмотрена возможность
распространять программный продукт
посредством Интернета (имеется в ви-
ду не скачивание дистрибутивов, а ис-
пользование ПО как интернет-серви-
са). В ней ничего не говорится о патен-
тах, так что уже нельзя сказать, что она
надёжно защищает право программы
оставаться свободной.
И вот, в конце 2005 года FSF объ-
явил о намерении обновить свою ос-
новную лицензию. В настоящее вре-
мя черновой вариант GPL3 вынесен
на всеобщее обсуждение, а его при-
нятие предполагается в конце этого –
начале следующего года.
При беглом прочтении бросаются
в глаза следующие нововведения:
 Вводится явное разделение по-
нятий «распространение» и «лич-
ное использование». На послед-
нее не налагается практически
никаких ограничений. Если учесть,
что «лично использовать» програм-
му можно и на уровне такой корпо-
рации, как Novell, это достаточно
сильное послабление, позволяю-
щее вносить нужные вам модифи-
кации и ни с кем ими не делиться.
 Вводится понятие «Полностью
соответствующего исходного
кода», включающее помимо са-
мих исходников также код, необ-
ходимый для успешной компиля-
ции и запуска программы (make-
файлы, конфигурационные фай-
лы, необходимые ключи и т. д.).
 Регламентируется использова-
ние патентов. Все права на со-
путствующие патенты на програм-
му должны передаваться вместе
с программой для свободного ис-
пользования.
 Доба в ле н пунк т, за пре щ аю -
щий использовать управление
цифровыми правами (Digital
Restriction Management, DRM).
DRM – это законодательно защи-
щаемые ограничения на доступ
к информации (например, требо-
вание специального ключа). В FSF
считают, что подобные ограничения
противоречат духу Open Source, где
любой пользователь вправе отклю-
чить любую функцию (в том числе
и ту, которая отвечает за ограниче-
ние доступа). Кстати, есть мнение,
что отсутствие поддержки DRM
в Linux может подорвать позиции
этой ОС на рынке домашних раз-
влекательных систем, поскольку
лишит возможности пользовате-
лей работать с защищёнными муль-
тимедиа-файлами. Впрочем, в FSF
настроены на этот счёт более опти-
мистично.
 Появилась возможность расши-
рять лицензию некоторыми до-
полнительными требованиями
(например, требованием указы-
вать авторские права исходного
продукта во всех модифицирован-
ных). Подобные дополнения долж-
ны помочь в вопросах совмести-
мости GPL с другими свободными
лицензиями.
Для тех, кто использовал GPL
с формулировкой «вы вправе распро-
странять её и/или модифицировать
в соответствии с условиями версии 2
либо, по вашему выбору, с условиями
более поздней версии GNU GPL, опуб-
ликованной FSF» никаких проблем
с переходом на версию 3 возникнуть не
должно. Однако если продукт распро-
странялся строго по GPL2 (как это име-
ет место быть в случае с ядром Linux),
для смены лицензии требуется согла-
сие всех, кто так или иначе участво-
вал в разработке данного программно-
го продукта. Перспектива отыскивать
каждого, кто десять лет назад внёс
в ядро три строчки кода, и испраши-
вать у него согласие на смену лицен-
зии, естественно, не могла обрадовать
разработчиков ядра Linux, что и стало
причиной довольно резких заявлений
Торвальдса о том, что Linux останется
на GPL2. Впрочем, жизнь не стоит на
месте, и когда-нибудь меняться при-
дётся. Поживём – увидим.
 IMHO
Кому и зачем всё это надо
Казалось бы, ну есть какая-то про- Free as a beer? Во втором же случае понимается сво-
грамма, ну не берут денег за то, что я У нас таких проблем не возникает – поня- бода программы в терминах лицензии
пользуюсь ею… Ну вот и славненько! тия «бесплатное» и «свободное» ПО до- GPL.
Какая мне разница, что именно там за статочно чётко разделяются на лингвис- Последнее время наметилась тен-
лицензия? тическом уровне. В английском же язы- денция к использованию вместо термина
С точки зрения обычного пользова- ке ситуация несколько иная, и говоря «free software как Кипелов» формулировки
теля, так оно и есть. По большому счё- «free software», приходится уточнять, име- «open source software» (открытое програм-
ту рассмотренные лицензии не явля- ется в виду «free as a beer» (бесплатное, мное обеспечение, ПО с открытым кодом),
ются так называемыми EUL (End User как пиво; нам бы такую аналогию в бли- что выглядит несколько лучше, но тоже до-
License), т.е. они не столько регламен- жайший ларёк) или «free as Kipelov» (пом- пускает неоднозначность (можно открыть
тируют права конечного пользователя, ните: «Я свободен, словно птица в небе- коды, но сопроводить это такой лицензией,
сколько права разработчиков и рас- сах…»). «Free» в первом контексте подра- что эти коды будет страшно трогать).
пространителей, которые будут ис- зумевает бесплатность программы, но при Возможно, со временем гибкий и изво-
пользовать данную программу в сво- этом её использование может быть сильно ротливый человеческий ум придумает-та-
их продуктах или предоставлять услу- ограничено (только для личного пользова- ки однозначные формулировки, пока же
ги на основе данного продукта. ния, для ознакомительных целей, без пра- будем уточнять: «Free as a beer?», «Open
Системный администратор в ка- ва декомпиляции и т. д.). as Linux?».
кой-то мере тоже является конечным
пользователем. То есть его деятель- двойного лицензирования. Некоторые они дублируют друг друга, отличаясь
ность направлена не на модификацию производители, желая обеспечить бо- лишь незначительными особенностя-
и распространение той или иной про- лее широкие возможности использо- ми, но преследуя одинаковые (по край-
граммы, а на соответствующую её на- вания своей программы, выпускают её ней мере, схожие) цели. Несовмести-
стройку и дальнейшее сопровождение. под несколькими лицензиями. В качес- мость некоторых положений несколь-
Конечно, зачастую настройка связа- тве примера можно привести PC-BSD, ко осложняет жизнь дистрибьюторам
на с модификацией продукта, но пос- распространяющуюся под лицензиями и разработчикам, желающим объеди-
кольку результат этой модификации GPL и BSD. Или, например, MySQL, ко- нить в своём продукте несколько сто-
редко выходит за пределы «личного» торая выпускается под GPL и под ком- ронних программ. Но в целом сущес-
использования, то вопросы лицензи- мерческой лицензией. твующие лицензии неплохо уживают-
рования здесь тоже особого значе- Однако помимо прямой роли ли- ся друг с другом.
ния не имеют. цензий на те или иные программы не- Тем не менее сокращение их чис-
А вот для разработчиков (даже ес- льзя забывать и о косвенных последс- ла было бы на руку как разработчи-
ли разработка заключается в сборке твиях. Ведь это непосредственным об- кам, так и конечным пользователям,
готовых программ и библиотек в один разом влияет на желание программис- поскольку сделало бы работу с раз-
дистрибутив) вопросы лицензирова- тов заниматься разработкой открытых личным ПО более прозрачной и понят-
ния приобретают большое значение. программ и их распространением. ной. Так что будем надеяться, что GPL
Как вы видите, большинство откры- С этой точки зрения лицензии, со- третьей версии удастся сделать при-
тых лицензий достаточно либераль- ответствующие «Copyleft», такие как влекательной для большинства раз-
ны, и особых проблем с использова- GPL, должны быть более привлека- работчиков, что будет стимулировать
нием «покрываемых» ими продуктов тельны для разработчиков, посколь- отказ от различных «доморощенных»
возникнуть не должно. Единственное, ку гарантируют, что никто не сможет лицензий.
нужно не забывать о вопросах совмес- воспользоваться результатами их тру-
тимости разных лицензий. Например, да в своих целях. Кроме того, «обрат- Ссылки:
вы не можете распространять свою ная связь» в виде обязательного пре- 1. Лицензия GNU GPL2 – http://www.gnu.
программу под лицензией, не требу- доставления сообществу модифици- org/licenses/gpl.html.
ющей открывать исходный код, ес- рованных исходных кодов способс- 2. Лицензия GNU LGPL – http://www.gnu.
ли она основана или включает в себя твует более быстрому развитию про- org/copyleft/lesser.html.
программный продукт, распростране- граммы, поскольку подобный обмен 3. Черновик GNU GPL3 – http://gplv3.fsf.
ние которого требует соблюдения от- кодом позволяет использовать наилуч- org/draft.
крытости. Парадоксально, но лицен- шие варианты. 4. Лицензия Apache – http://apache.org/
зию QPL (Qt Public License), под кото- С другой стороны, лицензии в сти- licenses/LICENSE-2.0.
рой распространяется библиотека Qt, ле BSD более удобны для дистрибью- 5. Лицензия Artistic – http://www.perl.com/
Free Software Foundation относит к не- торов, поскольку позволяют использо- pub/a/language/misc/Artistic.html.
совместимым с GPL. Впрочем, разра- вать такие программы и в коммерчес- 6. Лицензия Sun CDDL – http://www.sun.
ботчикам KDE, похоже, удалось обой- ких разработках. com/cddl/cddl.html.
ти эту формальность. 7. Страница Open Source Initiative (OSI)
Кстати говоря, проблемы совмес- Ждём с нетерпением… со ссылками на большинство откры-
тимости послужили причиной воз- Что ж, на сегодняшний день лицен- тых лицензий – http://www.opensource.
никновения ещё одной особенности – зий действительно немало. Во многом org/licenses/artistic-license.php.

№5, май 2006 79

 web

Возможности поискового
движка DataparkSearch

Иван Максимов
Как организовать поиск информации на файловом сервере не только по названию и типу
документа, но и по его контенту? Возможно ли создать подходящий инструмент, доступный
и прозрачный для пользователей?

В
настоящее время вопрос поис-
ка информации становится все
более и более актуален. В се-
ти Интернет давно идет конкурент-
ная борьба между поисковыми систе-
мами, постоянно предлагающими но-
вые сервисы, возможности и совер-
шенные механизмы поиска. Но нуж-
ные данные сложно найти не только
в Интернете. На домашних компью-
терах пользователей также накапли-
вается огромное количество и разо-
браться в этом многообразии иногда
очень не просто. В организациях ча-
ще всего информацию централизуют
и сортируют на файловых серверах,
но со временем поиск нужных доку-
ментов затрудняется. Производители

80
 web
программного обеспечения отреаги-
ровали на данную потребность. На се- Работа рость работы движка с нелокальными ре-
годня существуют десятки поисковых Сервер был установлен на машине: AMD сурсами будет зависеть от скорости кана-
машин, работающих локально на PC, Athlon 2500 Barton, 512 Мб DDR 3200 (Dual), ла. Также скорость индексирования зави-
также появились серверные поиско- HDD WD 200 Гб SATA (8 Мб кэш, 7200 сит от используемых парсетов. Использо-
вые машины. оборотов). Конфигурация движка: дви- вание режима хранения cache улучшает
Локальные поисковые машины жок DataparkSearch (v4.38), СУБД MySQL скорость работы примерно на 15-20%. В ка-
в большинстве своем распространя- (v4.1.11), веб-сервер Apache (v1.3.33), про- честве клиентского ПО используются веб-
ются бесплатно, тогда как корпора- изводится индексация doc, xls, rtf (конвер- браузеры, проверялась работа на: Firefox,
тивные версии, позволяющие пользо- тация в text/plain), html, txt-файлов. Исполь- Opera, Konqueror, Microsoft Internet Explorer
вателям производить поиск информа- зуется режим хранения данных multi. Обра- и даже Lynx – проблем не возникло. Всю ра-
ции на сервере, стоят достаточно до- ботка примерно 2 тыс. файлов, располо- боту серверной части движка можно авто-
рого. Несомненно, покупая коммер- женных на данной машине (размер на дис- матизировать с помощью всем известного
ческий продукт, мы получаем грамот- ке ~1 Гб), и индексация их контента требует демона cron, поместив в него нужные па-
ную техническую поддержку и другие 40 мин, размер БД после работы пример- раметры для индексации данных.
преимущества, но небольшие органи- но равен 1 Гб. Должен заметить, что ско-
зации или владельцы частных сетей
не всегда в состоянии заплатить ты- Search [1] или Ask Jeeves Desktop возможно использовать его и в корпо-
сячи долларов за подобные продукты. Search [2]. Возможно, для организа- ративной среде.
К счастью, в мире Open Source сущес- ции поиска в маленькой компании или MnogoSearch (бывший UdmSearch) –
твуют свободные проекты, не уступаю- на рабочей станции пользователя, под известный многим и достаточно рас-
щие по функциональности своим ком- управлением ОС Windows, эти движки пространенный движок. Существу-
мерческим конкурентам, с качествен- могут быть полезны, но не в данном ют версии как под Windows (30-днев-
ной поддержкой и обновлениями. случае. Поисковые «монстры» вроде ная бесплатна версия), так и под *nix-
Сейчас мы рассмотрим один из ва- Яндекса очень дороги, но если требу- платформы (лицензия GNU). Возмож-
риантов по организации поиска доку- ется качественная помощь разработ- на работа практически со всеми рас-
ментов на файловом сервере, кото- чиков, то крупным компаниям, воз- пространенными версиями СУБД SQL
рый был реализован на конкретной можно, следует подумать об его арен- под обе платформы. К сожалению,
задаче. де. Для *nix-семейства существует не- на данный движок достаточно мно-
сколько проектов. Это движки: го нареканий, поэтому я не остановил
Начальные условия  DataparkSearch [3] свой выбор на нём.
Имеется файловый сервер под уп-  Wordindex [4] Wordindex – движок, находящийся
равлением ОС Linux. Для совместно-  ASPseek [5] в стадии разработки (на момент напи-
го использования файлов установле-  Beagle [6] сания статьи последняя доступная вер-
ны популярные пакеты samba и pro-  MnogoSearch [7] сия 0.5 от 31 августа 2000 года). Рабо-
ftp. На диске используется файловая тает в связке СУБД MySQL и веб-сер-
система reiserfs, как наиболее произ- Перечисленные движки позицио- вера Apache. Работоспособный про-
водительная для работы с большим нируются как свободно распростра- ект представлен только на сайте раз-
количеством маленьких файлов (до- няемые поисковые машины для рабо- работчиков.
кументы, около 3 тысяч, различных ты в локальной и/или глобальной се- ASPseek – поисковая машина, по-
форматов: txt, html, doc, xls, rtf). Дан- тях. Хочу заметить, что многие проек- лучившая в прошлом достаточно боль-
ные отсортированы, но их объем рас- ты не мультиплатформенные и не ра- шое распространение, но в 2002 году
тет с каждым днем, удаление устарев- ботают под операционными система- этот движок прекратил свое развитие
шей информации не решает пробле- ми компании Microsoft. Для Windows- (последняя доступная версия данной
му. Как организовать поиск по именам систем существуют серверные реше- поисковой системы 1.2.10 от 22 июля
и типам документов, а также по кон- ния, такие как: MnogoSearch и «Ищей- 2002 года).
тенту? Как сделать его доступным для ка» [8]. DataparkSearch – клон поискового
пользователей в локальной сети? Итак, коротко рассмотрим поиско- движка MnogoSearch. Позволяет про-
Для решения этих вопросов нам по- вые машины под *nix-платформу: изводить поиск как по именам фай-
надобится поисковый движок, сервер Beagle – преемник в SUSE Linux лов, так и по их контенту. Обработка
баз данных (MySQL, firebirg, ...), веб- движка Htdig [9]. Последний дистри- txt-файлов, HTML-документов и тэгов
сервер Apache [13] и около гигабай- бутив SUSE, в который вошел движок mp3 встроена, для обработки содер-
та дискового пространства для рабо- Htdig, был за номером 9, в последую- жимого документов иного типа необ-
ты комплекса. щих версиях компания Novell заменила ходимы дополнительные модули. Воз-
его на beagle. Htdig закончил свое раз- можен поиск информации, как на ло-
Какой из поисковых витие в 2004 году, последняя доступ- кальном жестком диске, так и в ло-
движков выбрать? ная версия – 3.2.0b6 от 31 мая 2004 кальной/глобальной сети (http, https,
Существуют локальные поисковые года. Новый движок в SUSE позицио- ftp, nntp и news).
машины, такие как Google Desktop нируется как локальный поисковик, но Поисковая машина функциониру-

№5, май 2006 81

 web
Рисунок 1. Минимальные набор параметров indexer.conf
Рисунок 2. Минимальные параметры search.htm
ет с самыми распространенными СУБД SQL, такими как
MySQL [10], firebird [11], PostgreSQL [12] и другими. По заяв-
лению разработчиков, DataparkSearch стабильно работает
на различных *nix-операционных системах: FreeBSD, Solaris,
Red Hat, SUSE Linux и других. По сравнению с MnogoSearch
в движке были исправлены некоторые ошибки, изменены
в лучшую сторону некоторые функции. На сайте разработ-
чиков приведены ссылки на рабочие версии движка в се-
ти Интернет. Большой плюс – качественная документация
на русском языке.
Итак, сравнив все «за» и «против», для реализации по-
иска на файловом сервере был выбран движок поисковой
машины DataparkSearch.
Установка
Для работы нам понадобятся: веб-сервер Apache, сервер
базы данных MySQL и исходные коды DataparkSearch. Ус-
танавливаем сервер Apache и БД MySQL (со всеми необхо-
димыми библиотеками). Если на вашем сервере установле-
на иная СУБД, то можно использовать и ее (см. документа-
цию по движку). Далее распакуем архивы DataparkSearch
и приступим к сборке нашего комплекса.
Запустим скрипт install.pl и ответим на необходимые воп-
росы: выбор папки установки движка, базы данных и дру-
гие относящиеся к параметрам работы движка. Рекомен-
дуется оставит настройки по умолчанию. Опытные поль-
зователи, прочитав документацию, расположенную в пап-
ке doc, могут вручную сконфигурировать движок (коман-
да configure). Если при инсталляции скрипт не может найти
mysql, возможно не установлены библиотеки для разработ-
чиков (libmysql14 devil). Теперь скомпилируем и установим
DataparkSearch командами make и make install.
Минимальное конфигурирование
Создадим базу данных:
sh$ mysqladmin create search
Командой mysqlshow просмотрим все таблицы в БД.
Сразу хочу отметить, что удобнее работать с MySQL с по-
82
мощью веб-консоли phpmyadmin, но можно обойтись и стан-
дартным набором утилит. Необходимо создать нового поль-
зователя в MySQL:
sh#mysql --user=root mysql
mysql> GRANT ALL PRIVILEGES ON *.* TO пользователь@localhost
IDENTIFIED BY 'пароль' WITH GRANT OPTION;
exit
Перезагрузим MySQL.
Допустим, имя пользователя – searcher, пароль –
qwerty.
Теперь создаём файл indexer.conf в папке /etc/ движка,
примеры данного файла (для некоторых задач) можно най-
ти в папке /doc/samples исходников DataparkSearch. Пример
с минимальными настройками приведен на рис. 1.
Рассмотрим файл подробнее. Как упомянуто в коммен-
тарии, команда DBAddr указывает путь к SQL-серверу (в на-
шем случае это MySQL), способ хранения данных и другие
параметры (если необходимо). Существуют несколько ре-
жимов хранения: если не указывать dpmode, то по умолча-
нию будет значение single – самый медленный. Рекомен-
дуется использовать режим cache, но если с ним возник-
ли проблемы, можно использовать менее эффективный,
но более простой в конфигурировании режим multi. Под-
робное описание всех параметров dbmode находится в до-
кументации.
DoStore хранит сжатые копии проиндексированных до-
кументов. Sections – модуль, предоставляющий гибкие воз-
можности индексирования. Допустим, можно создать огра-
ничение по тэгу или настроить индексацию не только со-
держимого файлов, но и URL (хост, путь, имя). Langmap –
специальные языковые карты для распознавания кодиро-
вок и языков, эффективны, если документы размером бо-
лее 500 байт.
Второй необходимый конфигурационный файл – файл
результатов поиска search.conf. Рекомендуется взять гото-
вый шаблон (файл /etc/search.htm-dist) и отредактировать
его под свои запросы. Нужно заметить, что основные па-
раметры, указанные в файле indexer.conf, должны совпа-
дать с параметрами в search.htm, иначе будут ошибки при
работе движка. Search.htm состоит из нескольких блоков:
первый – variables – содержит данные для работы движ-
ка (скрипт search.cgi), а все остальные блоки необходимы
для формирования html-страницы результатов поиска. При-
мер блока variables в search.conf приведен на рис. 2.
Рассмотрим search.htm подробнее. Как видно, пара-
метры DBAddr и LocalCharset совпадают с идентичны-
ми параметрами в indexer.conf. Если ваш веб-клиент под-
держивает формат xml, то можно установить параметр
ResultContentType text/xml. Ниже идут HTML-блоки, необ-
ходимые для дизайна страницы результатов, они здесь
не представлены из-за большого объема. Рекомендуется
пользоваться готовым шаблоном, расположенным в фай-
ле /etc/search.htm-dist. В сопроводительной документации
полностью описан формат HTML-блоков (дизайна), жела-
ющие могут настроить его по своему вкусу.
Теперь можно запускать файл indexer из папки sbin движ-
ка DataparkSearch с параметром -Ecreate. Если все было сде-
лано правильно, то будут созданы необходимы sql-табли-
 web
цы в БД. Если появились ошибки, следует проверить имя
пользователя mysql и пароль в файле indexer.conf, это на-
иболее распространенная ошибка.
Для тестирования рекомендуется проиндексировать не-
большой участок ресурса, чтобы если возникнут ошибки, Рисунок 3. Форма ввода данных
новая переиндексация не заняла много времени. Индек-
сирование выполняется командой indexer без параметров,
в итоге нам выведут результаты: затраченное время, коли-
чество документов и скорость работы.
Ско пируе м файл bin /search.cgi и з д ир е к тор ии
DataparkSearch в папку cgi-bin нашего веб-сервера и отре-
дактируем файл index.shtml нашего веб-сервера Apache
(расположенный в папке html), добавив в него код фор-
мы поиска:

<FORM METHOD=GET ACTION="/cgi-bin/search.cgi">

<INPUT TYPE="text" NAME="q" VALUE="">
<INPUT TYPE="submit" VALUE="Search">
</FORM>

Теперь можно зайти на ресурс localhost, используя лю-

бой доступный браузер. В появившейся форме ввести ис-
комое слово, допустим «процессор» (см. рис. 3). В итоге
мы должны получить страницу с результатами поиска, ес-
ли, конечно, такие документы существуют (см. рис. 4). Ес-
ли вместо страницы с результатами поиска появится до-
кумент с ошибками, то следует проверить работу скрип-
та. Зайдя в директорию cgi-bin веб-сервера, выполним
скрипт «seach.cgi test >> test.htm». Если страница результа-
тов сформирована правильно, следует проверить конфи-
гурацию сервера Apache: правильно ли указан путь до cgi-
скрипта, выполняется ли тестовый скрипт test.cgi в дирек-
тории веб-сервера.
Если test.htm пуст или также содержит ошибки, рекомен-
дуется проверить, существуют ли данные в базе, делается
это командой «indexer -S». Возможно, следует переиндек-
сировать сервер командой «indexer – v 5» – максимальный
уровень выдачи отладочной информации. Выставив в фай-
ле search.htm команду LogLevel 5 и внимательно просмот-
рев логи веб-сервера, можно выяснить, как выполняется
обработка данных в SQL-сервере.
Добавление дополнительных модулей (парсетов)
По умолчанию движок работает только с файлами html и txt,
но возможно установить дополнительные модули (парсе-
ты), которые преобразуют иные типы документов в html или
txt (plain text). Возможна работа с xls (Excel), doc (Word), rtf
(Word), ppt (Power Point), pdf (Acrobat Reader) и даже rpm
(RedHar Package Manager)-файлами, в последнем будут
отображаться только метаданные. В нашем случае пона-
добится обработка офисных форматов. Для xls и doc су-
ществует несколько парсетов: catdoc [14] преобразует до-
кументы в txt-формат, XLHTML [15] и vwHtml [16] конверти-
руют файлы в HTML-формат.
Я рекомендую использовать пакет catdoc, так как ско-
рость преобразования в txt-формат намного выше преоб-
разования в HTML-формат, к тому же программа XLHTML
иногда «подвисала» при конвертировании документов. Хотя
разработчики предвидели данную проблему и рекомендуют
во избежание «зависания» парсета установить в indexer.conf
Рисунок 4. Страница результатов поиска
параметр ParserTimeOut 300 (число указывается в секундах),
но время индексирования тогда еще более возрастет.
Также нам понадобится еще один парсет – unrtf [17] –
для работы с rtf-файлами, он конвертирует документы
в html-код или text/plain-формат на выбор пользователя.
Скачаем и установим нужные пакеты, для подключения
парсета нужно добавить строки в indexer.conf:
Для формата xls (программа xls2csv входит в пакет
catdoc):
Mime application/vnd.ms-excel text/plain "xls2csv $1"
AddType application/vnd.ms-excel *.xls *.XLS
для документов doc параметры выглядят так:
Mime application/msword text/plain "catdoc $1"
AddType application/vnd.ms-excel *.doc *.DOC
обработка RTF-документов:
AddType text/rtf* *.rtf *.RTF
AddType application/rtf *.rtf *.RTF
Mime text/rtf* text/html "/usr/local/bin/unrtf ↵
--text $1"
Mime application/rtf text/html "/usr/local/bin/unrtf ↵
--text $1"
Cтоит напомнить, что некоторые Windows-приложения
иногда создают файлы с тем же расширением в верхнем
регистре, поэтому добавим в список AddType те же расши-
рения, но с иными названиями.
Для индексации можно добавлять любые типы доку-
ментов, но движок будет показывать только ссылки на име-
на файлов.
Допустим, если необходимо проиндексировать rpm
или iso-файлы и получить из них метаданные, вам понадо-
бится сначала найти соответствующую программу (парсет)
и добавить нужные параметры в index.conf. Список подде-
рживаемых типов документов можно посмотреть, напри-

№5, май 2006 83

 web
мер, в файле mime.types сервера Apache. Готовые решения
для конвертации файлов или получения из них метаданных
можно найти среди настроек пакета Midnight Commander,
в файле mc.ext.
Режим хранения cache
Существует несколько способов ускорить работу движ-
ка, один из них – использовать метод хранения данных
cache. Для работы в этом режиме нам потребуются утили-
ты cached и run-splitter, находящиеся в директории sbin от-
носительно движка. Если у вас уже создана SQL-база дан-
ных в другом режиме (dpmode), не забудьте сначала ее
удалить и только потом изменить режим хранения. Очис-
тим базу данных командами: «indexer -С» (очистка SQL-таб-
лиц) и «indexer -Edrop» (удаление таблиц). Далее создайте
из файла шаблона cached.conf-dist, расположенного в пап-
ке etc нашего движка, файл cached.conf. Не забудем изме-
нить в нем параметры доступа к SQL БД:
DBAddr mysql://searcher:qwerty/search/?dbmode=cache
Теперь можно отредактировать файлы index.conf
и search.conf, изменив в них параметры:
indexer.conf
DBAddr mysql://searcher:qwerty@localhost/search/ ↵
?dbmode=cache&cached=localhost:7000
можно добиться большей функциональности и гибкости
движка, все зависит от поставленных задач. Для повыше-
ния скорости работы поиска движка можно использовать
модуль mod_dpsearch для сервера Apache. Потребность
в данном модуле возникает, если индексируются сотни ты-
сяч документов и необходимо повысить скорость работы
движка до максимума. Также в документации можно най-
ти и другие методы ускорения работы движка, например:
оптимизация SQL БД или использование виртуальной па-
мяти в качестве кэша.
Достаточно часто возникает необходимость в поис-
ке грамматических форм слов. Допустим, нам нужны все
формы слова «процессор» (процессоры, процессоров, ...),
для этого можно настроить модули ispell или aspell. Более
подробно о них написано в документации.
В DataparkSearch имеется возможность индексиро-
вать сегменты сетей, за это отвечает параметр: subnet
192.168.0.0/24 в indexer.conf.
Также возможно запрещать индексировать опреде-
ленные типы файлов или конкретные папки на серверах:
Disallow *.avi или Disallow */cgi-bin/*.
В шаблонах конфигурационных файлов можно най-
ти описания (с примерами) других полезных параметров,
которые могут понадобиться для реализации определен-
ной задачи.

search.htm
Выводы
DBAddr mysql://searcher:qwerty/search/?dbmode=cache Поисковый движок DataparkSearch – мощное средство для
работы c веб-ресурсами, расположенными как в локальной
Этого изменения в целом достаточно, но если вы же- сети, так и в глобальной. Проект постоянно развивается
лаете достичь еще большей гибкости движка, то рекомен- и дорабатывается, на момент написания статьи последняя
дуется ознакомиться с дополнительными параметрами ре- стабильная версия движка 4.38 (от 13.03.2006) и снапшота
жима cache и внести необходимые изменения в конфигу- 4.39 (от 19.04.2006). Должен заметить, что обновления пос-
рационные файлы. ледней версии происходят почти через день.
Далее перейдем в директорию sbin нашего движка и за- Мы не рассматривали вопрос о создании публич-
пустим утилиту cached с параметрами: ного поискового сервиса в Интернете, если же вам это
требуется, ознакомтесь с соответствующей документа-
cached & 2> cached.out цией по СУБД, веб-серверу и другим моментам, каса-
ющимся защиты информации от несанкционированно-
Демон запустится и будет записывать отладочную ин- го доступа.
формацию в файл cached.out. Порт работы cached по умол-
чанию – 7000, но если необходимо, его можно изменить Ссылки:
(в cached.conf). 1. Google Desktop Search – http://desktop.google.com.
Заново создадим SQL-таблицы для нового режима хра- 2. Ask Jeeves Desktop Search – http://about.ask.com.
нения данных командой «indexer -Ecreate» и проиндекси- 3. DataparkSearch – http://www.dataparksearch.org.
руем сервер – indexer. После завершения выполним ко- 4. Wordindex – http://wordindex.sourceforge.net.
манду: 5. ASPseek – http://www.aspseek.org.
6. Beagle – http://beagle-project.org.
run-splitter -k 7. MnogoSearch – http://www.mnogosearch.ru.
8. Ищейка – http://www.isleuthhound.com.
Должен сказать, что данный метод ускоряет не только 9. Htdig – http://htdig.org.
скорость поиска по базе, а также скорость индексирова- 10. Mysql – http://www.mysql.com.
ния. Теперь можно попробовать произвести поиск по БД, 11. Firebird – www.firebirdsql.org.
если все было сделано правильно, то мы получим резуль- 12. PostgreSQL – http://www.postgresql.org.
таты поиска. 13. Apache – http://www.apache.org.
14. Catdoc – http://www.45.free.net.
Дополнительные функции 15. XLHTML – http://chicago.sourceforge.net/xlhtml.
В приведенной конфигурации использовались минималь- 16. vwHtml – http://wvware.sourceforge.net.
ные параметры настройки, с помощью дополнительных 17. unrtf – ftp://ftp.gnu.org/pub/gnu/unrtf.

84

Множественные уязвимости
в Symantec Scan Engine
Программа: Symantec Scan Engine 5.0.
Опасность: Средняя.
Описание: 1. Ошибка дизайна обнаружена в механизме ау-
тентификации, используемом Symantec Scan Engine. Уда-
ленный пользователь может получить доступ к админист-
ративному веб-интерфейсу с помощью специально сфор-
мированного XML-запроса.
2. Symantec Scan Engine использует статический част-
ный DSA-ключ для SSL-соединения между сервером и ад-
министративным приложением. Данный ключ не может быть
изменен. Удаленный пользователь может произвести атаку
«человек посредине» и расшифровать передаваемые дан-
ные между сервером и административным клиентом.
3. Symantec Scan Engine недостаточно ограничивает до-
ступ к файлам в установочной директории приложения. Уда-
ленный неавторизованный пользователь может с помощью
HTTP-запроса скачать произвольные файлы приложения,
например: конфигурационные файлы, лог файлы сканиро-
ваний и файлы с текущим описанием вирусов.
URL производителя: www.symantec.com.
Решение: Установите последнюю версию (5.1) с сайта про-
изводителя.
Переполнение буфера и раскрытие
данных в MySQL
Программа: MySQL 4.1.18 и более ранние версии, MySQL
5.0.20.
Опасность: Средняя.
Описание: 1. Уязвимость существует из-за недостаточной
обработки данных в команде COM_TABLE_DUMP. Удален-
ный пользователь может с помощью специально сформи-
рованного пакета получить доступ к важным данным на
системе (к частям запросов или результатам их выполне-
ния другими пользователями).
2. Переполнение стека обнаружено в команде COM_
TABLE_DUMP. Удаленный пользователь может послать
серверу специально сформированную последователь-
ность COM_TABLE_DUMP-пакетов и вызвать отказ в об-
служивании или выполнить произвольный код на целе-
вой системе.
URL производителя: www.mysql.com.
Решение: Установите последнюю версию (5.0.21) с сайта
производителя.
SQL-инъекция в Oracle
Программа: Oracle 10g.
Опасность: Низкая.
Описание: Уязвимость существует из-за недостаточ-
ной обработки входных данных в пакете DBMS_EXPORT_
EXTENSION. Удаленный пользователь может выполнить
произвольные SQL-команды в базе данных приложения.
URL производителя: www.oracle.com.
Решение: В настоящее время способов устранения уязви-
мости не существует.
№5, май 2006
bugtraq
Переполнение буфера в ClamAV
Программа: Clam AntiVirus (clamav) 0.80 по 0.88.1.
Опасность: Средняя.
Описание: Уязвимость существует из-за ошибки проверки
границ данных в HTTP-клиенте в утилите Freshclam. Уда-
ленный пользователь может вызвать переполнение стека,
если размер HTTP-заголовков, полученных от веб-серве-
ра, превышает 6 Kб. Удачная эксплуатация уязвимости воз-
можна, если Freshclam используется для закачки обновле-
ния сигнатур вирусов с злонамеренного сервера (напри-
мер, посредством отравления DNS-кэша).
URL производителя: www.clamav.net.
Решение: Установите последнюю версию (0.88.2) с сайта
производителя.
Множественные уязвимости в Ethereal
Программа: Ethereal 0.8.5 по 0.10.14.
Опасность: Высокая.
Описание: Различные типы ошибок (ошибки обработки
границ данных, ошибки завышения на единицу, бесконеч-
ный цикл) существуют в большом количестве диссекторов
в Ethereal. Удаленный пользователь может аварийно завер-
шить работу приложения, потребить все доступные ресур-
сы на системе и выполнить произвольный код.
URL производителя: www.ethereal.com.
Решение: Установите последнюю версию (0.99.0) с сайта
производителя
Раскрытие данных в MySQL
Программа: MySQL 4.1.18, и более ранние версии, MySQL
5.0.20.
Опасность: Низкая.
Описание: Уязвимость существует при обработке име-
ни анонимного пользователя (пользователя с пустым па-
ролем) в процессе аутентификации. Удаленный пользо-
ватель может послать серверу специально сформирован-
ный пакет и получить доступ к важным данным на системе
(к частям запросов или результатам их выполнения други-
ми пользователями).
URL производителя: www.mysql.com.
Решение: Установите последнюю версию (5.0.21) с сайта
производителя.
Отказ в обслуживании в ISC BIND
Программа: ISC BIND 9.3.x и более ранние версии.
Опасность: Низкая.
Описание: Уязвимость существует из-за ошибки при обра-
ботке TSIG в последующих сообщениях в механизме транс-
фера зон. Удаленный пользователь может с помощью спе-
циально сформированного TSIG в сообщении вызвать от-
каз в обслуживании процесса named.
URL производителя: www.isc.org.
Решение: В настоящее время способов устранения уязви-
мости не существует.
Составил Александр Антипов
85
 ретроспектива
Надежда умирает последней:
история компании SGI
Часть 2
Уход основателя Silicon Graphics Джима Кларка из компании изначально не был воспринят
всерьёз. «Подумаешь, ушёл один человек, когда в компании таких, как он, – тысячи». Однако,
если поломка даже единственной шестерёнки может стать причиной выхода из строя всего
механизма, что ждало Silicon Graphics?
Хочешь жить – умей
вертеться
К 1994 году продажи рабочих станций
Silicon Graphics перевалили за отмет-
ку в полмиллиона единиц в год. Коли-
чество приложений для платформы до-
стигло 1300 штук. Несмотря на это, це-
ны как на аппаратное, так и програм-
мное обеспечение являлись для мно-
гих непреодолимым барьером.
Желание сэкономить и выбрать на-
иболее оптимальный вариант посетило
и студию Pixar, занявшуюся созданием
первого полнометражного мультфиль-
ма, созданного целиком при помощи
компьютерной графики. В результате
рабочие станции Silicon Graphics хоть и
были использованы, но только в качес-
тве рабочего инструмента для художни-
ков и аниматоров, и лишь исключитель-
но из-за многообразия программных
пакетов, доступных для платформы.
Что же касается серверов, составляв-
ших систему просчёта (rendering farm),
и систем хранения данных, тут компа-
нию опередила Sun Microsystems.
Итог известен всем: выход в 1995
году анимационного мультфильма «Иг-
86
Дмитрий Мороз
рушечная история» позволил Sun отоб- на, и все, казалось бы, были доволь-
рать у Silicon Graphics частицу всемир- ны… до появления Windows 95.
ной славы. Жестокая война продук- В начале 1995 года Microsoft запус-
ции компании с рабочими станциями тила программу по поддержке разра-
от DEC, Hewlett-Packard и уже упоми- ботки игр, работающих на её новой
навшейся Sun Microsystems, а также ОС. Суть этой программы заключалась
появление нового «конкурента» – про- в захвате персональными компьютера-
цессора Pentium Pro вынудили Silicon ми, работающими на базе Windows 95,
Graphics признать, что она более не од- части рынка игровых консолей, на ко-
на и теперь ей придётся изрядно потру- тором в то время доминировали ком-
диться, чтобы сохранить свои позиции пании Nintendo и Sega.
в этом секторе рынка. Microsoft приняла решение не ис-
Однако первая настоящая «пощёчи- пользовать OpenGL, к тому времени
на» была получена от «злейшего врага успешно применявшийся в Windows NT,
всего компьютерного мира» – Microsoft. для обработки трёхмерной графи-
Как только Silicon Graphics объявила о ки в играх. Вместо этого она приоб-
лицензировании API OpenGL, эта ком- рела компанию Rendermorphics, Ltd.
пания в срочном порядке записалась разработавшую API под названием
в члены комитета ARB. Между ними RealityLab. После его доработки и пе-
сразу же был заключен договор, со- реименования в Direct3D Microsoft объ-
гласно которому Silicon Graphics помо- явила о своём намерении сделать но-
жет Microsoft написать версию OpenGL вый API единственным стандартом
для её новой операционной системы для Windows 95. Специально для этого
Windows NT, предназначенной для ра- компания отказалась предоставить не-
бочих станций, работающих на различ- обходимую информацию относительно
ных архитектурах (х86, PowerPC, PA- своей новой операционной системы
RISC Alpha, SPARC и MIPS). Работа бы- разработчикам приложений и игр под
ла проделана, Windows NT – выпуще- OpenGL. Фактически на протяжении
 ретроспектива
длительного периода времени компа- твенным системам компании. Поз-
ния специально «тормозила» развитие же это мнение окажется ошибочным,
OpenGL, а также появление этого API однако в 1995-97 гг. Silicon Graphics
на Windows 95. Примером может слу- продолжала не спеша «плыть по те-
жить тот факт, что приложения, напи- чению».
санные на базе OpenGL и работавшие Как известно, компьютер или в дан-
на Windows NT, на Windows 95 запус- ном случае рабочая станция являют-
каться просто отказывались. ся для артиста лишь инструментом,
После этого последовала так назы- причём не самодостаточным. Кроме
ваемая война API, в которую были вов- него необходимы и программы. По-
лечены не только производители гра- нимала это и Silicon Graphics. Поэто- Рисунок 1. Игровая консоль Nintendo 64
фических карт, но и разработчики при- му 7 февраля 1995 года она объявила
ложений и игр, а также простые поль- о покупке за 650 млн. долл. компаний
зователи. Многочисленные статьи, Alias Research и Wavefront Technologies,
сравнивающие оба стандарта, анали- являвшихся главными поставщика-
тические очерки, публичные обраще- ми программных продуктов в сфе-
ния к Microsoft – всё это мир ПК пере- ре трёхмерной графики и анимации,
жил за каких-то два года. К 1997 го- а также промышленного дизайна,
ду компания смогла достаточно до- и их объединении в одну под назва-
работать Direct3D (сделав его частью нием Alias|Wavefront (в апреле 2003
DirectX), чтобы не беспокоиться конку- переименованную в Alias). Новоиспе-
ренции со стороны OpenGL, поэтому- чённая компания начала параллельно Рисунок 2. Рабочая станция O2
таки сподобилась обеспечить его огра- с выпуском обновлённых версий уже
ниченную поддержку в Windows 95. Од- успевших зарекомендовать себя про- 12 июля 1995 года стал самым счас-
нако к тому времени имидж Microsoft грамм разработку графического паке- тливым днём в истории компании – сто-
был уже подпорчен. та нового поколения для трёхмерного имость одной акции Silicon Graphics со-
Тем не менее Silicon Graphics моделирования и анимации под назва- ставила рекордные 45,25 долл., что на
не сильно огорчилась. Профессио- нием Maya, который с выходом в 1997 то время было в два раза больше сум-
нальный рынок всё ещё принадлежал году стал стандартом де-факто в про- мы, которую просили за акцию Microsoft.
ей, а персональные компьютеры не изводстве компьютерных спецэффек- В различных подразделениях компании
могли составить конкуренции собс- тов для кинофильмов. по всему миру работали 12 тысяч чело-
век. Сравните эти цифры с показателя-
Проект «Действительность» тота работы 62,5 МГц), состоит из двух от- ми начала 2006 года: менее доллара за
История появления консоли Nintendo 64 дельных процессоров: RSP (занимается акцию и менее 2100 сотрудников.
столь же интересна, как и сама игро- обработкой полигонов: трансформацией, Однако всё это ждало компанию
вая приставка. Когда к компании Sega of освещением, обрезанием и т. д.) и RDP в будущем, а пока 23 апреля 1996
America поступили данные о будущей це- (на его плечах лежит Z-буферизация, ап- года свет увидела игровая консоль
не их новой консоли Sega Saturn, которая паратное сглаживание и текстурирование). Nintendo 64, являвшаяся результа-
должна была стоить $549, к ней обратился Объём оперативной памяти RDRAM в 4 Мб том проекта Project Reality. Для Silicon
Джим Кларк, в то время ещё надеявший- мог быть увеличен вдвое путём установки Graphics приставка значила одно –
ся воплотить свои мечты в недрах Silicon в консоль специальной платы расширения. финансовые поступления. От прода-
Graphics. «У меня есть несколько процессо- Nintendo 64 обрабатывала около 100 тыс. жи каждой консоли компания получа-
ров, производных архитектуры MIPS, кото- полигонов в секунду, хотя при отключении ла свою частичку, которая позволила
рые как нельзя лучше подойдут для вашей аппаратного сглаживания и других функ- Silicon Graphics сделать одну из самых
системы», – говорил он. Несмотря на согла- ций эта цифра переваливала за полмил- больших ошибок за время своего су-
сие американского подразделения корпо- лиона треугольников. ществования – купить за 764 млн. долл.
рации принять предложение Кларка, Sega К сожалению, несмотря на свои выда- компанию Cray Research.
Japan ответила отказом. Однако предпри- ющиеся графические возможности (кото- К тому времени Cray Research яв-
имчивый Джим обращался с целью поиска рые лишь немногим не дотягивали до уров- лялась одним из двух основных пос-
потенциального клиента не только к Sega, ня IRIS Crimson), использование морально тавщиков параллельных векторных
но и к другим компаниям. Одной из них устаревших картриджей в качестве носи- суперкомпьютеров. Кроме того, в ар-
была Nintendo, с радостью согласившаяся теля информации, а также банальный пе- сенале компании присутствовали
совместно с Silicon Graphics разрабатывать ренос срока выхода консоли на год (с пла- и обычные массивно-параллельные
консоль следующего поколения. нировавшегося 1995 на 1996 г.) не позво- «суперы». Во время совершения сдел-
В основе приставки лежат два про- лили Nintendo 64 стать лидером продаж. ки доход Cray достиг отметки 900 млн.
цессора. Первый, NEC VR4300, основан- К концу 2002 года было продано 32 млн. долл. В штате компании работало око-
ный на базе ядра MIPS R4300i, работает приставок, тогда как основной конкурент, ло 4500 сотрудников.
на частоте 93,75 МГц и отвечает в основ- Sony PlayStation, разошлась по миру 100- Итак, что же Silicon Graphics при-
ном за игровую логику. Второй, RCP (час- миллионным тиражом. обрела за баснословную сумму? Во-

№5, май 2006 87

 ретроспектива
Рисунок 3. Сервера Origin 2000
первых, нереа лизованный товар
на 600 млн. долл. Во-вторых, семейс-
тво «суперсерверов» Superserver, ко-
торое компания сразу же продала
Sun Microsystems (моментально стар-
товавший на базе купленной линей-
ки проект «Starfire» вылился в появ-
ление очень удачного семейства сер-
веров Enterprise, благодаря которым
Sun и по сей день конкурентоспособна
в этом секторе рынка). В-третьих, но-
вые каналы продаж (Cray поставляла
свои системы в Министерство обороны
США, Министерство топлива и энерге-
тики, NASA, военные базы, крупные на-
учно-исследовательские лаборатории
и т. д.). И, наконец, в-четвёртых, техно-
логии Cray, а также высококвалифици-
рованных инженеров, большинство ко-
торых, правда, через некоторое вре-
мя уволили.
Политика Slicon Graphics по отно-
шению к Cray была просто варварс-
кой: производство векторных супер-
компьютеров, которыми так славилась
компания, было практически прекра-
щено; Cray были «навязаны» собствен-
ные сервера Silicon Graphics, над ко-
торыми компания отныне должна бы-
ла трудиться.
Однако всё это не шло в сравнение
с главной проблемой, возникшей пос-
ле приобретения. Silicon Graphics так
долго и так рьяно соперничала с Cray
на рынке суперкомпьютеров, что,
как только обе компании стали парт-
нёрами, они не смогли договориться
88
ни по одному выдвигавшемуся Silicon
Graphics пункту (отношения между ин-
женерами обеих компаний иначе как
войной назвать было нельзя). «Это бы-
ло похоже на то, как если бы ваш злей-
ший враг женился на вашей сестре,
и после этого стал членом семьи», – го-
ворил в то время один индустриальный
источник. Поэтому многие аналитики
в один голос заявили, что этому «сою-
зу» долго не просуществовать, и впос-
ледствии оказались правы.
Однако оставим Cray на некоторое
время в покое и поговорим о Silicon
Graphics, вернее, о новых продуктах,
выпущенных компанией в 1996 году.
Обновление модельного ряда рабо-
чих станций от Silicon Graphics состо-
ялось 10 октября 1996 года, когда ми-
ру была представлена модель O2, при-
шедшая на замену станции Indy. Глав-
ным новшеством О2 стала архитек-
тура её памяти, представлявшая со-
бой реализацию UMA (Unified Memory
Architecture – унифицированная ар-
хитектура памяти). Сердцем рабочей
станции, кроме процессора, также яв-
лялся специальный «контроллер памя-
ти и графики», передававший данные
между процессором и ОЗУ на скорости
2,1 Гбайт/с (в 20 раз быстрее ПК образ-
ца 1996 года). CPU выступал как в ка-
честве основного, так и графическо-
го процессора. Все данные хранились
в оперативной памяти, в результате че-
го отпадала необходимость в исполь-
зовании дополнительной видеопамя-
ти. Приведём результат использова-
ния UMA и O2 в частности. Поток виде-
оданных, получаемый при помощи вхо-
Передовая технология
NUMA (Non-Uniform Memory Access – до-
ступ к неоднородной памяти) представля-
ет собой многопроцессорную архитектуру,
в которой местоположение оперативной
памяти выбирается наиболее оптималь-
ным образом для максимального умень-
шения времени доступа.
Например, скорость работы процес-
сора с собственной локальной памятью
всегда будет значительно выше, чем с не-
локальной (памятью, которая «принадле-
жит» другому процессору или разделена
между ними).
Архитектура SN (Scalable Node – мас-
штабируемый узел), разработанная Silicon
Graphics, является примером реализации
NUMA. В SN-системе процессоры, ОЗУ,
дившей в комплект станции веб-каме-
ры, сохранялся в оперативной памяти,
после чего пользователь при желании
мог парой нажатий мышью превратить
его в текстуру для 3D-модели, которая
продолжала храниться ОЗУ.
Несмотря на позиционирование
в качестве рабочей станции началь-
ного уровня, O2 при установке более
мощного процессора по производи-
тельности «обходила» Indy, Indigo 2
с большинством графических карт,
Power Challenge, и даже в некоторых
случаях сервер Origin 200. Кстати,
о нём, родимом. «Звездой» того вре-
мени, бесспорно, стал анонс Silicon
Graphics высокомасштабируемых сер-
веров семейства Origin 2000 (поколе-
ние SN-0), построенных на базе NUMA-
архитектуры. Сервер начального уров-
ня, Origin 200, мог содержать от одного
до четырёх процессоров MIPS R10000,
тогда как топовая модель, Origin 2000 –
до 128 чипов и до 256 Гб ОЗУ. Дальней-
шие усовершенствования позволили
серверам Origin 2000 «нести на бор-
ту» до 512 процессоров и до 2 Тб опе-
ративной памяти.
Для демонстрации масштабируе-
мости этих серверов также приведём
один пример. Суперкомпьютер Blue
Mountain, установленный в Лос-Ала-
мосе был получен путём объединения
пятидесяти систем Origin 2000. Общее
количество процессоров в системе со-
ставило 6400 штук.
Выпущенные в это же время графи-
ческие суперкомпьютеры Onyx2 (быв-
шие Onyx Reality Engine) представляли
собой сервера Origin 2000 с графичес-
а также контроллер шин объединены вмес-
те в единицу, известную как «узел», пред-
ставляющий собой обычно одну плату. Уз-
лы, в свою очередь, объединяются пос-
редством высокопроизводительной вне-
шней шины, названной NUMAlink. Внут-
ренняя системная шина отсутствует. Вмес-
то неё обмен данными между процессора-
ми, памятью и устройствами ввода/выво-
да происходит посредством линии пере-
ключателей и маршрутизаторов. Основ-
ное преимущество SN-систем, кроме высо-
кой скорости передачи информации – мас-
штабирование, которое происходит сразу
во всех направлениях: с линейным увели-
чением количества процессоров увеличи-
вается объём ОЗУ, количество устройств
ввода/вывода и т.д.

кими акселераторами InfiniteReality 2/3.
Производительность Onyx2, как уже
упоминалось в первой части статьи,
достигла 2 млн. полигонов в секунду.
Завершил обновление модельно-
го ряда Silicon Graphics выход в янва-
ре 1997 года рабочей станции среднего
уровня под названием Octane. Основ-
ные её отличия от O2: упрощённая ар-
хитектура Origin 2000, поддержка двух
процессоров, до 2 Гб ОЗУ, а также ви-
деокарты серии Impact 4-летней дав-
ности, созданные ещё для Indigo 2.
Пользователи, ожидавшие от Silicon
Graphics появления нового «графичес-
кого монстра», призванного напомнить
миру, кто тут главный, были разочаро-
ваны. Как следствие – продажи новин-
ки были весьма вялыми.
Ещё одна проблема, на которую
компания доселе не обращала вни-
мания, – появление персональных
компьютеров, стремительно догоняю-
щих рабочие станции Silicon Graphics
по производительности. Процессор-
ную мощность им обеспечивала ком-
пания Intel, тогда как графическую –
«новоиспечённые» 3Dfx и nVidia (со-
зданные, кстати, бывшими выходцами
из Silicon Graphics). «Компания прос-
то не верила в то, что персональные
компьютеры, бывшие ещё в 1995 году
«игрушками», будут прогрессировать
так быстро, – говорил аналитик Jupiter
Research Майкл Гартенберг. – Она поп-
росту игнорировала Закон Мура».
«Silicon Graphics была всеобщей
любимицей, компания считалась «ко-
ролём горы» рабочих станций, – гово-
рил аналитик Dataquest Питер Фоул-
кис. – Но за своими «розовыми» очка-
ми она не заметила, как рынок с неве-
роятной скоростью меняется за её спи-
Рисунок 4. Графические суперкомпьютеры
Onyx2
№5, май 2006
ретроспектива
Несостоявшийся трёхмерный бран формат файлов программной библи-
Интернет отеки Open Inventor, разработанной Silicon
Ещё одна неудача, которую потерпела Graphics. В октябре того же года доработан-
Silicon Graphics, была связана с VRML. ный инженером Silicon Graphics формат пре-
VRML – стандарт языка описания трех- вратился в первую версию VRML.
мерных сцен, содержащих объекты, а так- В отличие от Sun Microsystems, Silicon
же возможные взаимодействия между объ- Graphics не уделяла интернет-технологи-
ектами и наблюдателем. Основное при- ям должного внимания. «Единственная их
менение нашёл в сети Интернет в качес- попытка заключалась в создании VRML, –
тве средства представления статической говорил аналитик Jupiter Research Ноа Яс-
и интерактивной информации в виде вир- скин. – Они потратили на него много вре-
туальной трехмерной среды, содержащей мени и денег, а отдача от проекта получе-
различные объекты. на так и не была».
В середине 1994 года была придумана «Критической массы» для широкого
концепция трехмерного HTML: своеобраз- распространения VRML не набрал и на се-
ного языка описания трехмерных сцен с под- годняшний день является в основном за-
держкой гиперссылок. Позже она получила бавой для специалистов и немногих ин-
название VRML. Для описания сцен был вы- тернет-магазинов.
ной». И эти слова оказались прелюди- производительностью, и при этом сто-
ей к началу упадка Silicon Graphics. или в несколько раз дешевле. На про-
Первое массивное сокращение ра- тяжении долгого времени компания не
бочего персонала в истории компании понимала, что происходит, а когда до
последовало на следующий день пос- неё дошло – было уже поздно».
ле анонса 27 октября 1997 г. неудов- Все вышеперечисленные пробле-
летворительных показателей Silicon мы вынудили Эда МакКракена уйти
Graphics за прошедший финансовый с поста генерального директора ком-
квартал – 37 млн. долл. убытка (ос- пании. Его место в январе 1998 года
новная причина – 50% падение спроса занял «убийца Silicon Graphics», ярый
на рабочие станции компании), что бо- приверженец Microsoft Рик Белуццо,
лее чем в полтора раза больше показа- до этого практически «уничтоживший»
теля за аналогичный квартал 1996 го- разработки HP/UX (вариант UNIX) и ра-
да. Генеральный директор Эд МакКра- бочих станций на её основе в компа-
кен объявил о том, что работу потеряют нии Hewlett-Packard.
от 700 до 1000 сотрудников. Массовые
увольнения сопровождались бегством Диверсант
и c более высоких постов. Так, вслед Первые же действия новоиспечённо-
за Джимом Кларком компанию посте- го CEO, направленные на «улучше-
пенно покинули президент Том Джер- ние финансовых показателей компа-
молак, управляющий дизайнерскими нии», не заставили себя ждать. В на-
разработками Alias/Wavefront Роберт чале 1998 года Silicon Graphics офи-
Баргисс и исполнительный директор циально объявила о подписании со-
по международным финансовым опе- глашения с Microsoft, согласно кото-
рациям Гари Лаер. рому обе компании будут разрабаты-
Продажи рабочих станций компа- вать графический API под названи-
нии шли из рук вон плохо. Более де- ем Fahrenheit, представляющий собой
шёвые альтернативы из мира ПК стре- смесь DirectDraw, Direct3D и OpenGL
мительно догоняли продукцию Silicon и призванный «закончить войну стан-
Graphics по возможностям, а уж по со- дартов 3D-графики» в Windows. Од-
отношению цена/производительность нако Microsoft, параллельно с работой
давно вырвались вперёд. «Silicon над Fahrenheit, продолжала развивать
Graphics, по существу, вытесняли свой DirectX, нагло копируя в него все
из рынка, на котором она до недавних новшества из «Фаренгейта». Доказа-
пор была единственной, – говорил Гар- тельством этого может служить заяв-
тенберг. – Она продолжала разрабаты- ление одного из разработчиков DirectX,
вать рабочие станции класса high-end, прозвучавшее в августе 1998 года:
тогда как стандартные ПК к тому вре- «Direct3D представляет собой API, ко-
мени уже обладали довольно хорошей торый в будущем будет наиболее сов-
89
 ретроспектива
Рисунок 5. Рабочая станция Octane
Рисунок 6. Рабочие станции
Visual Workstation 320 и 540
местим с Fahrenheit, к тому же оба они
очень похожи».
Постепенно «сотрудничество»
между двумя компаниями зашло в ту-
пик, в результате чего в ноябре 1999
года Silicon Graphics объявила о пре-
кращении работ со своей стороны.
«Мы решили уменьшить наше учас-
тие в разработке Fahrenheit», – та-
кое заявление было опубликовано
на сайте Silicon Graphics. За прошед-
шие два года с момента начала работ
над проектом собственный API компа-
нии, OpenGL, практически не совер-
шенствовался. В то же время Microsoft,
пользуясь наработками инженеров
Silicon Graphics, значительно модерни-
зировала DirectX, превратив его в глав-
ный API для разработки мультимедий-
ных приложений под Windows.
Однако разработка Fahrenheit была
лишь первым этапом роковой ошибки
Silicon Graphics. Мотивируя своё реше-
ние тем, что рабочие станции компа-
нии более не могут соперничать с пос-
тоянно развивающимися персональ-
ными компьютерами, Белуццо объ-
явил о появлении новой линейки Visual
Workstation, основанной на базе про-
цессоров Intel и работающей под уп-
равлением Windows NT. Продажи пер-
вых двух моделей, 320 (на базе двух
процессоров Pentium II) и 540 (четыре
процессора Pentium II Xeon), стартова-
ли в начале января 1999 года.
В принципе Visual Workstation были
не такими уж плохими. Вернее, на мо-
мент выхода они были лучшими среди
рабочих станций на базе процессоров
х86. Являющаяся неким скрещивани-
ем UMA и NUMA, архитектура IVC объ-
90
единяла ОЗУ, процессор, графическую, компании, по существу, на улучшение
звуковую и сетевую подсистемы в еди- её финансового благосостояния никак
ное целое. Ядром Visual Workstation яв- не повлияла. К тому же SGI в то время
лялся чип Lithium, функционирующий было не до имени.
наподобие маршрутизатора и пред- В 1999 году финансовое положе-
ставляющий собой многопозицион- ние компании продолжало ухудшать-
ный переключатель, призванный уб- ся: 40 млн. долл. убытка за истекший
рать узкие места системных шин рабо- финансовый квартал и очередное
чей станции. Графический чип системы, падение курса акций до 14,75 долл.
Cobalt, использовал оперативную па- «Эти временные трудности закрыва-
мять для своих нужд, динамически вы- ют прогресс, который мы делаем в дру-
деляя необходимое в данный момент гих областях нашего бизнеса: анонс
количество ОЗУ под видеопамять. новых продуктов, улучшенное качес-
Тем не менее техническое пре- тво и эффективность, а также более
восходство новых рабочих станций низкие затраты», – объяснял по пово-
от Silicon Graphics не спасло их от про- ду ужасных показателей Рик Белуц-
вала: продажи шли из рук вон плохо. цо. «На данный момент мы фокусиру-
Несмотря на более низкую цену (от 4 ем наши усилия на получение отдачи
тыс. долл.) по-сравнению со своими в новых рынках».
MIPS-собратьями, O2 и Octane, Visual С этими словами 10 августа 1999
Workstation по-прежнему оставались года Белуццо объявил план глобаль-
дороже конкурентов, выпускаемых Dell ной реорганизации компании. Во-пер-
и Compaq. «Современная реальность вых, Silicon Graphics в ближайшее вре-
такова, что заново «изобретать коле- мя продаст подразделения, занимаю-
со» в некоторых сегментах рынка прос- щиеся Visual Workstation, MIPS и Cray,
то бессмысленно», – говорил по поводу а также уволит 1500 инженеров, рабо-
сложившейся ситуации начальник отде- тающих в них. Во-вторых, компания на-
ла маркетинга Visual Workstation Джеф чнёт переход от использования в сво-
Стедман. «Лучшим решением для нас их системах процессоров MIPS и ОС
было бы улучшение стандартной плат- IRIX на процессоры Intel Merced (буду-
формы, уже принятой рынком». щий Itanium) и Linux. И, в-третьих, ком-
Итак, постепенно свершилось то, пания откажется от создания собствен-
во что никто не мог поверить – Silicon ных графических карт в пользу реше-
Graphics потеряла статус признанного ний от сторонних разработчиков.
лидера по производству графических Под это «радостное» заявление Бе-
станций. Хотя к этому времени её руко- луццо 23 августа 1999 г. принял реше-
водство уже не отрицало, что этот сег- ние уйти из SGI. Нанеся ряд сокруши-
мент рынка более не является для неё тельных ударов компании и удостове-
основным. А раз так, необходимо бы- рившись в успешном завершении сво-
ло избавиться от названия «Silicon их замыслов, он поспешно ретировал-
Graphics», всё ещё прочно ассоцииро- ся с «тонущего корабля» и перебрал-
вавшегося с термином «компьютер- ся к Microsoft, заняв должность испол-
ная графика». Отделом маркетинга нительного директора.
компании была предложена идея о её SGI ничего не оставалось, как сроч-
переименовании. 13 апреля 1999 года но искать Белуццо замену. Порядком
Silicon Graphics International лишилась «потрёпанную» компанию возглавил
практически всех букв в собственном новый управляющий, Боб Бишоп. Од-
названии, получив имя SGI. «Такое ре- нако сможет ли он вернуть ей былую
шение позволит SGI развиваться быс- славу?
трее, поскольку «брэнд» должен быть
достаточно гибким, чтобы компания Источники:
могла расширяться, пробуя себя в но- 1. http://arstechnica.com
вых секторах рынка, и при этом оста- 2. http://en.wikipedia.org
валась в памяти у людей, помнящих её 3. http://www.cnet.com
как Silicon Graphics», – говорил по это- 4. http://www.sgi.com
му поводу Клей Таймон, президент 5. http://www.theregister.co.uk
компании Landor Associates, занимаю-
щейся разработками торговых марок Редактор рубрики
и «брэндов». Однако смена названия Кирилл Тихонов

Редакция журнала «Системный администратор»
объявляет об учреждении 3 премий авторам
по итогам 2006 года:
 1 место – 30 000 рублей
 2 место – 20 000 рублей
 3 место – 10 000 рублей
Номинации
1. За лучшую серию материалов
2. За лучшую новую авторскую тему
3. За лучшую аналитическую статью
Кто участвует
Участие принимают все авторы, опубликовавшие свои
статьи в журнале «Системный администратор» в тече-
ние 2006 года. Напоминаем, что автором может стать лю-
бой человек.
Условия публикации
Принимаются материалы, нигде ранее не опубликованные
(в том числе в Интернете, прочих глобальных сетях, печат-
ных изданиях и т. д.). Статьи не рецензируются.
За содержание статьи ответственность несет автор.
В течение двух недель редакция принимает решение
о публикации статьи и сообщает об этом автору.
Редакция оставляет за собой право редактировать пре-
доставленные материалы.
Редакция имеет эксклюзивное право на распростране-
ние принятого материала в журнале, включая возможность
его публикации в любой электронной форме.
По истечении двух месяцев с момента выхода журнала,
содержащего публикации, автор имеет право опубликовать
свой материал в другом месте только с предварительного
письменного согласия редакции и с обязательной ссылкой
на журнал «Системный администратор».
По истечении одного года с момента первой публика-
ции автор имеет право опубликовать свой материал в дру-
гом месте без предварительного письменного согласия
редакции.
Общие требования к статьям
Статьи не должны иметь рекламный характер какого-либо
продукта, компании или технологии. В статье указывают-
ся ссылки на источники информации.
Не допускается несанкционированный перевод на рус-
ский язык статей, обзоров и сравнительных тестирований
продуктов, опубликованных в иностранных изданиях.
Рекомендации авторам
Объем статьи – от 4 до 20 тыс. знаков. Если тема ста-
тьи предполагает объем, превышающий 20 тыс. знаков –
№5, май 2006
конкурс
О номинациях
1. Серией материалов считается блок из не менее чем
двух статей. Тема серии – по собственному выбору ав-
тора или же по выбору редакции.
2. Статья, написанная на тему, придуманную автором
и одобренную редакцией.
3. Аналитическая статья может быть написана на тему,
предложенную автором или же на тему, заказанную ре-
дакцией.
Кто судьи
В состав жюри войдут сотрудники редакции и предста-
вители дружественных журналу информационных ре-
сурсов.
разбивайте материал на несколько частей.
Если вы пишете о продукте, технологии или компании,
описывайте не только «плюсы», но и «минусы», а также при-
водите информацию о конкурентах.
Рекомендуем ознакомиться со статьями на интересую-
щую вас тему, которые уже есть на нашем сайте.
Требования к виду присылаемых
материалов
Статьи следует присылать в текстовом виде, предпочти-
тельно в формате RTF или DOC. Имена пересылаемых
файлов только на английском языке. Выравнивание столб-
цов производится табуляцией, а не пробелом. В тексте ста-
тьи рекомендуется указывать местоположение иллюстра-
ций и подписи к ним, а сами иллюстрации не нужно встав-
лять в тело документа, их нужно запаковать в отдельный
архив. Иллюстрации должны быть строго в формате PNG.
Листинги должны содержать не более 60 символов (вмес-
те с пробелами) в одной строчке. Переносы строк листин-
гов должны быть указаны в явном виде (---перенос стро-
ки---). Если в статье приводятся ссылки на ресурсы в сети,
URL должен быть указан в явном виде.
Контакты
Адрес: 107045, г. Москва, Ананьевский переулок
д. 4/2, стр. 1, Редакция «Учительской газе-
ты», журнал «Системный администратор»
Телефон: (495) 628-82-53
Факс: (495) 628-82-53
Сайт: www.samag.ru
e-mail: imp@samag.ru, secretar@samag.ru
91
 книжная полка
Перед вами не просто еще одна кни-
га о С++, в которой будет говорить-
ся о том, как «правильно» писать. Это
нечто большее, это своего рода про-
водник и помощник, а так же добрый
советчик. В введении, которое носит
название «философия неидеального
практика» автор подробно описыва-
ет четыре тезиса, а именно: «С++ ве-
ликолепный язык, но не идеальный»,
Издание является переводом офици-
ального руководства по настройке ком-
мутаторов Catalyst. Благодаря сжато-
му стилю повествования, авторам уда-
лось поместить максимум информации
в минимальный объем. Освоив матери-
ал этой книги, вы без затруднений смо-
жете работать с большинством моделей
коммутаторов серии Catalyst. Вся книга
четко структурирована, и поделена на 14
92
Практический подход к решению
проблем программирования C++
Мэтью Уилсон
«будьте смиренны», «сделайте ком- цовочных и прикрепляемых классах,
пилятор вашим ординарцем» и «ни- а также о шаблонах и конструкторах.
когда не сдавайтесь: решение всегда Отдельный раздел посвящен опера-
можно найти». После столь философ- торам – operator bool(), операторы ин-
ского вступления, начинаются первая дексации и инкремента, арифметичес-
часть, которая называется «Базовые кие типы. Расширение С++ : продолжи-
концепции». Из нее вы узнаете о при- тельность жизни возвращаемых зна-
нудительном проектировании (огра- чений, память, многомерные массивы,
ничения, соглашения и утверждения), функторы и диапазоны. В приложениях
проблеме жизненного цикла объекта, вы также найдете массу полезной ин-
инкапульсации ресурсов, данных, ти- формации. Книга носит сугубо практи-
пах значений, моделях доступа к объ- ческий характер, и весь материал со-
ектам. Вторая часть: двоичный интер- провождается большим количеством
фейс приложения, динамические биб- примеров. Отличная книга, рекомен-
лиотеки, поточная организация вычис- дую всем программистам на C++.
лений, статические объекты, оптими-
зация. В разделе, посвященном язы-  Издательство: «Кудиц-Образ»
ковым проблемам, автор рассказыва-  Год издания: 2006
ет о фундаментальных типах, масси-  Количество страниц: 736
вах и указателях, синтаксисе, именах,  ISBN: 5-91136-006-3
вводимих typedef. Следующая часть –  Цена: ≈ 511 руб.
«Осознанные преобразования», из нее Книга предоставлена издательством «Кудиц-
вы узнаете о приведении типов, обли- Образ».
Руководство Cisco по конфигурированию
коммутаторов Catalyst
Дэвид Хьюкаби, Стив Мак-Квери
глав, из которых вы узнаете о использо- ры (SLB): суть технологии, балансиров-
вании интерфейса коммандной строки, ка нагрузки на брандмауэры, SLB-тесты.
функциях коммутаторов различных се- Управление трафиком и доступом к ком-
рий (2950, 3550, 4000, 5000, 6000). Рас- мутатору (подавление широковещания,
смотривается конфигурирование бло- фильтрация протоколов, функции обес-
ка Supervisor; конфигурирование интер- печения безопасности портов, списки
фейсов второго уровня: таблицы комму- доступа VLAN сетей, аутентификация,
тации, выбор порта, Ethernet, etherchanel, списки разрешения доступа, конфигу-
token ring порты; конфигурирование ин- рирование служб SSH и Telnet, 802.1X).
терфейсов третьего уровня: WAN интер- Управление коммутатором, качество об-
фейсы, VLAN, таблицы маршрутизации. служивания (QoS), поддержка переда-
VLAN-сети и транкинг: конфигурация, чи голосовых данных. Книга – хорошее
назначение сетям VLAN портов, тран- приобретение для всех людей, которые
кинг; протокол распределенного свя- так или иначе работают с оборудовани-
зующего дерева (STP), многоуровне- ем фирмы Cisco.
вая коммутация (экспресс-коммутация
Cisco, экспорт данных NetFlow, резер-  Издательство: «Cisco Press»
вирование модулей MSFC в одном ус-  Год издания: 2004
тройстве, резервирование маршрути-  Количество страниц: 560
заторов с помощью протокола HSRP).  ISBN: 5-8459-0700-4
Многоадресные службы: IGMP-про-  Цена: ≈ 589 руб.
слушивание, протоколы CGMP, GMRP, Книга предоставлена издательством «Cisco
RGMP. Балансировка нагрузки на серве- Press».
 книжная полка

Структура и реализация сетей

Сейчас сложно представить, каки-
ми могли бы быть сети без протокола
динамической маршрутизации OSPF
(Open Shortest Path First). Эта книга
послужит вам как «учебником», так и
справочным пособием по этому прото-
колу маршутизации. Всего в книге три
основные части, которые представле-
ны десятью главами, и заключитель-
ная часть с дополнительным материа-
на основе протокола OSPF
Томас М. Томас II
лом и справочной информацией. «Ос- маштабируемость и топология сети,
новные принципы функционирования рассмотрены вопросы проектирова-
протокола OSPF и организация взаи- ния различных областей). В третей
модействия маршрутизаторов», так части «Внедрение, устранение нару-
называется первый раздел, из кото- шений в работе и управление сетью
рого вы узнаете основные сведения OSPF» автор повествует о протоко-
об организации сетей и маршрути- ле SNMP, защите сети, рассмотре-
зации (модель OSI, протоколы TCP/ ны основные команды, применяемые
IP, типы сетевых топологий, принци- для поиска и устраниения неисправ-
пы адресации, методы VLSM и CIDR). ностей в сети. Не остался без внима-
Введение в OSPF (краткий обзор ал- ния и вопрос о применении протокола
горитма SPF, иерархия маршрутиза- BGP и технологий MPLS в сетях OSPF.
ции и эксплуатационная среда OSPF), По окончания каждой главы матери-
способы взаимодействия по прото- ал резюмируется и приводятся прак-
колу OSPF (анонсы с информацией о тические примеры.
состоянии каналов, способы переда-
чи информации с помощью протоко-  Издательство: «Cisco Press»
ла OSPF, управление анонсами LSA).  Год издания: 2004
Вторая часть носит название «Мар-  Количество страниц: 816
шрутизация и проектирование сетей  ISBN: 5-8459-0594-X
OSPF» в которой написано об основ-  Цена: ≈ 657 руб.
ных принципах проектирования (ме- Книга предоставлена издательством «Cisco
тодология проектирования сети OSPF, Press».

В настоящий момент Eclipse является
одной из самых популярных интегри-
рованных сред разработки. Этот про-
дукт по праву завоевал любовь у тысяч
людей по всем миру за свою простоту,
функциональность, и, что не маловаж-
но, свободность. Несмотря на неболь-
шой объем книги, автор позициониру-
ет её как «исчерпывающее руководс-
тво по Eclipse IDE без излишних отступ-
Eclipse IDE
Эд Барнет
лений». Основной упор сделан на рас-
смотрение инструментария для разра-
ботки приложений на Java. Из главы
«Введение» вы узнаете общие сведения
о Eclipse, установке, запуске и обнов-
лении этого продукта. Во второй главе,
с лаконичным названием «Верстак 101»
будет рассмотрен интерфейс и основ-
ные меню IDE Eclipse. Следом идет гла-
ва «Java быстро», в которой написано о
процессе создания проекта, кодирова-
нии, запуске программы, отладке, юнит-
тестирование, а также советы и хитрос-
ти (помощник создания кода, шаблоны,
автоматический вход, рефакторинг, ги-
перссылки, быстрое исправление, по-
иск, альбомные страницы, Java Build
Path, конфигурация запуска). Для того
чтобы не запутаться в множестве эк-
ранов и панелей инструментов Eclipse,
в главе «Экраны» перечислены основ-
ные объекты. Содержание главы «Ко-
ротко о разном» полностью оправды-
Обзор книжных новинок подготовил Александр Байрак
вает свое название. Из нее вы узнае-
те о CVS, Ant, платформе веб-инстру-
ментов, тестировании и производитель-
ности, визуальном редакторе, AspectJ,
разработке плагинов, платформе Rich
Client. Завершает книгу глава «Получе-
ние помощи», в которой автор предо-
ставил список источников, из которых
можно получить помощь по IDE Eclipse.
Замечательная во всех отношениях
книга – весь материал строго по делу,
и без лишней воды. Если вы собирае-
тесь, или уже работайте с Eclipse это
издание станет вашим незаменимым
спутником и помощником.
 Издательство: «Кудиц-Образ»
 Год издания: 2006
 Количество страниц: 160
 ISBN: ISBN 5-91136-007-1
 Цена: ≈ 99 руб.
Книга предоставлена издательством «Кудиц-
Образ».

№5, май 2006 93

 подписка на 2006 год
Российская Федерация
 Подписной индекс: годовой – 20780, полугодовой – 81655
Каталог агентства «Роспечать»
 Подписной индекс: 87836
Объединенный каталог «Пресса России»
Адресный каталог «Подписка за рабочим столом»
Адресный каталог «Библиотечный каталог»
 Альтернативные подписные агентства:
Агентство «Интер-Почта» (495) 500-00-60, курьерская
доставка по Москве
Агентство «Вся Пресса» (495) 787-34-47
Агентство «Курьер-Прессервис»
Агентство «ООО Урал-Пресс» (343) 375-62-74
ЛинуксЦентр www.linuxcenter.ru
 Подписка On-line
http://www.arzi.ru
http://www.gazety.ru
http://www.presscafe.ru
СНГ
В странах СНГ подписка принимается в почтовых отделе-
ниях по национальным каталогам или по списку номенк-
латуры «АРЗИ»:
 Азербайджан – по объединенному каталогу россий-
ских изданий через предприятие по распространению
94
печати «Гасид» (370102, г. Баку, ул. Джавадхана, 21)
 Казахстан – по каталогу «Российская Пресса» через
ОАО «Казпочта» и ЗАО «Евразия пресс»
 Беларусь – по каталогу изданий стран СНГ через РГО
«Белпочта» (220050, г. Минск, пр-т Ф. Скорины, 10)
 Узбекистан – по каталогу «Davriy nashrlar» российс-
кие издания через агентство по распространению пе-
чати «Davriy nashrlar» (7000029, г. Ташкент, пл. Муста-
киллик, 5/3, офис 33)
 Армения – по списку номенклатуры «АРЗИ» через
ГЗАО «Армпечать» (375005, г. Ереван, пл. Сасунци Да-
вида, д. 2) и ЗАО «Контакт-Мамул» (375002, г. Ереван,
ул. Сарьяна, 22)
 Грузия – по списку номенклатуры «АРЗИ» через АО
«Сакпресса» ( 380019, г. Тбилиси, ул. Хошараульская, 29)
и АО «Мацне» (380060, г. Тбилиси, пр-т Гамсахурдия, 42)
 Молдавия – по каталогу через ГП «Пошта Молдавей»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
по списку через ГУП «Почта Приднестровья» (МD-3300,
г. Тирасполь, ул. Ленина, 17)
по прайс-листу через ООО Агентство «Editil Periodice»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
 Подписка для Украины:
Киевский главпочтамт
Подписное агентство «KSS», тел./факс (044)464-0220
Подписные
индексы:
20780*
81655**
по каталогу
агентства
«Роспечать»
87836
по каталогу
агентства
«Пресса
России»
*
годовой
**
полугодовой
 подписка на 2006 год
Редакционная подписка
Открыта подписка через редакцию. Вы можете оформить
подписку на любое количество номеров 2006 года. Редак-
ция не высылает журналы за пределы Российской Феде-
рации.

Для юридических лиц:

№5
по (30
д
ww писн
)м
w.s ой ай 2
По am ин
ag дек
0 05
Ищ чем .ru с 8165
ем у M 5

 Отправьте заявку по факсу (495) 628-82-53 или по e-mail:

Ст пр S S
WP роим ичин QL м
A-E з ы ед
На nte ащи ле
нн
стр rpr ще ор
Ка аи is н
e, ную аб
info1@samag.ru. уд к во ва 80 ота
ем 2.1 бес ет?
ал сс UP
Чт
ов
е н т
ны но а S по
x EA пров
е ф вит дL P-T од
аж LS ную

 Укажите наименование и банковские реквизиты своей но ай ь inu

в к тана зн лы x се
ть:
ор вл ать по
Эф п ор ваи об д BS
по фек ати ем IP- D
ля ти вн Sy тел

организации, почтовый индекс и адрес доставки журна- ми вн ой ma еф

Ко по о у се nte он
с п нтро ль пр ти c
A и и
ом ли зо ав ntiv
Ин ощ ру ва ля iru
ью ем тел ем s9
со терв
ла, телефон и e-mail контактного лица, период подпис- OS без ей .0
зд ью SIM оп вA
ате с ас D
ле Ла но
м я рр сть
зы и У се
ки и количество номеров. Редакция выставит вам счет,
ка ол ти
Pe лом
rl –

после оплаты которого вы начнете получать журналы

по почте. Необходимые бухгалтерские документы вы-
сылаются почтой.

Для физических лиц:

 Заполните нижеприведенную квитанцию, оплатите в лю-
бом банке и пришлите в редакцию копию с отметками
банка.
 После поступления платежа редакция начнет отправ-
лять вам номера.

Стоимость
подписки через
редакцию:

900* руб.
за 6 номеров
1800* руб.
за 12 номеров

* Включая НДС
и почтовую доставку

№5, май 2006 95

СИСТЕМНЫЙ АДМИНИСТРАТОР
№5(42), Май, 2006 год

РЕДАКЦИЯ
ЧИТАЙТЕ
Исполнительный директор
Владимир Положевец В СЛЕДУЮЩЕМ
НОМЕРЕ:
Ответственный секретарь
Наталья Хвостова
sekretar@samag.ru
Технический редактор
Владимир Лукин
Редактор
Алексей Коршунов Современный Linux-сервер: мацию о различных событиях, про-
Внештатные редакторы виртуализация сетевых исходящих в системе. Например, ин-
Алексей Барабанов устройств формацию об ошибках приложений
Кирилл Тихонов В серверном эксплуатационном цикле или о попытках несанкционированно-
Валентин Синицын часто возникает потребность во все- го проникновения в сеть. Автоматиза-
возможных манипуляциях над сете- ция реакции на эти сообщения являет-
РЕКЛАМНАЯ СЛУЖБА выми подключениями в режиме on-line. ся важным элементом в обеспечении
тел./факс: (495) 628-8253
Переведя последние в категорию вир- бесперебойного функционирования
Евгения Тарабрина
туальных можно значительно упрос- всей сети. Конечно, каждый админис-
reсlama@samag.ru
тить их обслуживание и предусмотреть тратор, придя на работу, первым де-
Верстка и оформление многие внештатные ситуации. лом должен проверить протоколы сво-
maker_up@samag.ru их серверов, не произошло ли что-ни-
Дизайн обложки Как настроить будь в течение ночи или за выходные,
Николай Петрочук безопасный роутер и в случае необходимости принять со-
на базе FreeBSD ответствующие меры. Однако иногда
По вопросам распространения В этой статье мы рассмотрим вопросы такая реакция может оказаться запоз-
обращайтесь по телефону: безопасности FreeBSD, работающей в далой, особенно это касается попыток
(495) 628-8253 (доб. 120) качестве маршрутизатора между ло- осуществления несанкционированно-
кальной сетью и Интернетом. Говоря го входа в систему.
107045, г. Москва,
о безопасности в общем, мы постоян-
Ананьевский переулок, дом 4/2, стр. 1
тел./факс: (495) 628-8253 но возвращаемся к одному простому и Linux в школе?
Сайт журнала: www.samag.ru действенному правилу: все, что чело- Из всех сфер применения вычисли-
век создал, человек может и уничто- тельной техники наиболее интересной
РУКОВОДИТЕЛЬ ПРОЕКТА жить. И в вопросе безопасности опе- является использование Linux в сфе-
Петр Положевец рационных систем это правило неиз- ре образования. Конечно, сегодняш-
менно действует: ОС создал человек, няя ситуация с программами, ориен-
УЧРЕДИТЕЛИ следовательно, всегда найдется другой тированными на сферу образования,
Владимир Положевец человек, который сможет обойти ее за- еще далека от идеальной: программы
Александр Михалев щиту, какой бы мощной она не была. локализованы не полностью, нет стан-
дартного интерфейса, не хватает под-
ИЗДАТЕЛЬ
ЗАО «Издательский дом
Пишем систему готовленных специалистов и прочее.
«Учительская газета» динамической защиты Но главное, что общими усилиями про-
ресурсов сети цесс сдвинулся с места. И не исполь-
Отпечатано типографией Серверные журналы, проще говоря, зовать заложенный в Open Source по-
ГП «Московская Типография №13» протоколы, содержат в себе инфор- тенциал – просто преступление.
Тираж 11000 экз.

Журнал зарегистрирован Уважаемые читатели!

в Министерстве РФ по делам печати,
телерадиовещания и средств массо-
вых коммуникаций (свидетельство
Спешите оформить подписку
ПИ № 77-12542 от 24 апреля 2002 г.).
на второе полугодие 2006 года!
За содержание статьи ответственность Приобрести новые и старые номера журнала
несет автор. За содержание рекламно- вы можете через интернет-магазины LinuxCenter.ru и Allsoft.ru.
го объявления ответственность несет
рекламодатель. Все права на опубли-
кованные материалы защищены.

Доставка почтой в любую точку России.

96