Так видит журнал читатель, который забыл оформить подписку:

ЛИ
С
ЛИ
ТЯ Е

Ж ПИ
ЗА ДНИ
НУ

РА КУ
ЛЫ ГО

ТИ РАС
К У ВО

РО
№11(72) ноябрь 2008
НИ НО

СТ
БЫ
подписной индекс 20780
КА

www.samag.ru
Телефония для эпохи Web 2.0

№11(72) ноябрь 2008

И
ЬГ
ЬД О
БО А
К

ИС НН
ЕН
РА СК
ТЕ
Службы доменов Active Directory
УС

ИЛ ДА
У
ТП

НА П
Л ОТ

НЧ ЖИ
ВО

в Windows Server 2008

РА ЛЕ

КО НЕО
Л

АВ ОС
ХА
УЕ

ЗА
Оптимизация сетевой печати

Так видит журнал читатель, оформивший подписку: VMware Esxi – виртуализация

уровня предприятия

Создаем сервер сетевой установки

Fedora/RHEL

Технология борьбы со спамом DKIM

Почтовый шлюз для Exchange 2007

на базе FreeBSD и Postfix

XFS от SGI: структура и алгоритмы

Lustre FS: используем

ПОДПИШИТЕСЬ И ЧИТАЙТЕ! кластерную систему
в промышленных масштабах
Роспечать – 20780, 81655
Пресса России – 88099, 87836 Обзор CMS Skeletonz
Найди в журнале код.
Интер-почта – тел. (495) 500-00-60 Следуй инструкциям.
На кону настоящий
«АДМИНСКИЙ ПРИЗ»
Реклама
Реклама

3 ТЕНДЕНЦИИ
РЕПОРТАЖ
6 Октябрьская встреча российского
PostgreSQL-сообщества
Обзор мероприятия.
Кирилл Сухов
АДМИНИСТРИРОВАНИЕ
8 Службы доменов Active Directory
в Windows Server 2008
Посмотрим, чем может порадовать администраторов
новая Active Directory.
Александр Емельянов
14 Оптимизация сетевой печати
Любой сервер печати должен обеспечивать быструю
и надежную печать. Для достижения поставленной це-
ли займемся оптимизацией драйверов.
Иван Коробко
22 Обзор CMS Skeletonz
Skeletonz – одна из несложных систем управления со-
держимым сайтов, написанная на языке Python и ис-
пользующая для хранения информации СУБД MySQL.
Сергей Супрунов
27 Lustre FS. Настраиваем и используем
кластерную систему в промышленных
масштабах. Часть 1
Первые шаги по созданию хранилищ на основе клас-
терной системы Lustre.
Виталий Банковский
30 VMware Esxi – виртуализация уровня
предприятия
В свете выхода Microsoft Hyper-V компания VMware идет
на беспрецедентный шаг, делая бесплатной систему
виртуализации уровня предприятия – Esxi. Давайте
разберемся, что кроется за этим названием?
Виктор Карабедянц
34 Создаём сервер сетевой установки
Fedora/RHEL
Дистрибутив Fedora использует для установки много-
функциональную программу Anaconda, вместе с ря-
дом других технологий вы можете значительно облег-
чить процессы развертывания и обслуживания вашей
Linux-инфраструктуры.
Андрей Маркелов
37 Технология борьбы со спамом DKIM
Разработчики DomainKeys Identified Mail предлагают
свой способ борьбы со спамом.
Сергей Яремчук
42 Почтовый шлюз для MS Exchange 2007
на базе FreeBSD 7.0 + Postfix 2.4
Как защитить почтовый сервер от внешних атак и спа-
ма.
Антон Сенько
46 XFS от SGI: структура и алгоритмы
Файловая система XFS считается многими пользовате-
лями ОС Linux и IRIX одной из самых стабильных и про-
изводительных ФС поколения 90-х. Посмотрим, за счет
каких архитектурных решений она добивается столь
высоких показателей.
Андрей Пешеходов
№11, ноябрь 2008
в номере
56 ITIL: необходимо и достаточно?
Ваше предприятие растет, а служба IT по-прежнему
представляет собой «черный ящик»? Вы не понимае-
те, как и зачем расходуются выделенные на IT сред-
ства? Вы считаете IT-бюджет необоснованно высоким
или просто необоснованным? Вы видите выход в уволь-
нении всех IT-специалистов и найме новых? Не спеши-
те! Возможно, вам поможет внедрение ITIL.
Александр Башкиров
59 ЗАКОН ЕСТЬ ЗАКОН
IP-ТЕЛЕФОНИЯ
60 Телефония для эпохи Web 2.0
Рассмотрим инструментарий, который поможет донес-
ти наш голос до удаленного собеседника.
Антон Борисов
БЕЗОПАСНОСТЬ
66 Установка цепочки серверов сертификации
как часть внедрения PKI в домене
Часть 3
Осталось произвести некоторые настройки в домене,
чтобы вся конструкция перестала быть бесполезным
железом и наконец заработала.
Станислав Шпак
ОБРАЗОВАНИЕ
70 Немного о сертификации Cisco
Что из себя представляет сертификация Cisco? Как луч-
ше готовиться, чтобы получить статусы CCNA, CCSP,
CCNP?
Андрей Бирюков
WEB-ПРОГРАММИРОВАНИЕ
75 Каркасная разработка веб-приложений
на основе фреймворка Kohana
Основные принципы работы фреймворка.
Александр Слесарев
АДМИНИСТРИРОВАНИЕ «1С»
82 Переносим данные с использованием
технологии OLE
Рассмотрим типовой случай перехода с платформы
«1С:Предприятие» версии 7.7 на версию 8.1.
Андрей Луконькин
РЕТРОСПЕКТИВА
84 «Магические» технологии:
история компании General Magic. Часть 2
General Magic была очередной «сверхновой звёздоч-
кой на небосклоне», чья жизнь была невероятно яркой,
однако и столь же быстротекущей.
Дмитрий Мороз
91 СИСАДМИН ТОЖЕ ЧЕЛОВЕК
92 КНИЖНАЯ ПОЛКА
13, 21 BUGTRAQ
Код для участия в розыгрыше призов.
Следуйте инструкциям на стр. 4.

колонка главного редактора

П
рошел еще один месяц напряженной работы редакции, и мы с удо-
вольствием представляем Вашему вниманию плод нашего труда –
ноябрьский выпуск журнала «Системный администратор».

Традиционно в этом номере мы подготовили для Вас множество инте-

ресных статей. В продолжение рассказа о Windows 2008 Server читайте
материал о службе доменов Active Directory. Статья «Оптимизация сете-
вой печати» ответит на вопрос оптимизации драйвера принтера, исполь-
зующегося для сетевой печати. Тему кластерных технологий мы продол-
жим развивать в первой части цикла о Lusture FS. Извечная «почтовая» те-
ма затронута в статье о связке MS Exchange с Postfix, а также в материале
о технологии антиспама DKIM. Тем, кто собирается пройти обучение по про-
дукции Cisco, будет любопытно узнать подробности о сертификации это-
го производителя. Популярную тему виртуализации продолжит обзор бес-
платной системы виртуализации уровня предприятия VMware Esxi. Также
вниманию всех любителей истории мы представляем вторую часть статьи
о «магических» технологиях. Разумеется, я упомянул далеко не все инте-
ресные и полезные статьи, которые Вы найдете на страницах ноябрьско-
го номера журнала.

Наиболее внимательные читатели уже заметили, что в предыдущем ок-

тябрьском выпуске появилась квитанция для оформления редакционной
подписки (для частных лиц). Уже сейчас Вы можете оформить редакцион-
ную подписку на следующий год, а в качестве приятного приложения вместе
с февральским выпуском журнала годовые подписчики получат диск с ар-
хивом всех статей с 2002 по 2008 год.

И под конец (вопреки мрачной атмосфере, царящей последнее время

вокруг мировой экономики) у меня есть к Вам, дорогие читатели, предло-
жение. Так как в связи с сами знаете чем тема альтернативного заработка
вновь становится популярной, хочу напомнить, что редакция журнала всег-
да рада сотрудничеству с новыми авторами. Так почему бы не совместить
приятное с полезным и не попробовать себя в качестве автора?

Приятного вам чтения.

Алексей Коршунов


 тенденции
Азиатские гиганты поддержали Android в России: отечественной компании ALT Linux и французс-
Если в начале октября крупнейший японский оператор NTT кой Mandriva. Окончательное решение руководство фонда
DoCoMo сообщал о намерении выпустить Android-смартфон примет в конце этого или начале следующего года.
для своей страны, то теперь с подобными заявлениями вы-
ступили Lenovo и China Mobile, а чуть позже и ASUSTeK. На Linux-десктопах нельзя заработать?
Так, генеральный менеджер департамента комму- Марк Шаттлворт (Mark Shuttleworth), основатель проекта
никаций Lenovo Mobile на мероприятии P&T/Expo Comm Ubuntu и исполнительный директор компании Canonical,
China 2008, проходившем в Пекине с 21 по 25 октября, со- строящей свой бизнес вокруг этого популярного Linux-дист-
общил, что его компания собирается выпустить смарт- рибутива, сделал довольно неожиданное для многих заяв-
фон под управлением Android в феврале-марте 2009 года. ление. На вопрос о том, можно ли заработать с Linux на на-
Для этого Lenovo объединяет усилия с China Mobile, круп- стольных ПК, он ответил следующее: «Не думаю, что кто-
нейшим сотовым оператором в Китае и мире. либо может заработать на Linux-десктопах». Это заявление
Вскоре стало известно о том, что подобная инициа- вызвало немалое удивление у Open Source-энтузиастов хо-
тива зреет и в недрах тайваньской компании ASUSTeK тя бы потому, что Шаттлворт создал проект одного из на-
Computer, которая пообещала выпустить свой смартфон иболее популярных на сегодняшний день Linux-дистрибу-
с Android в первой половине 2009 года. Вероятно, снача- тивов, который хорошо известен своей изначальной на-
ла Asus будет продавать устройства с Android под своим правленностью на применение именно на десктопах. Шат-
брендом на родном для себя тайваньском рынке, а уже по- тлворт сказал даже больше: в Canonical всегда рассматри-
том представит «зарубежные» модели для всего мира. Ин- вали десктоп как продукт с «нулевым доходом». После это-
тересно, что Asus пока не удалось добиться мирового ус- го он пояснил свою мысль: «Я никогда не видел, чтобы ра-
пеха со своими смартфонами на базе Windows Mobile, за- ботала идея продажи упакованных и готовых к использо-
то дешевые мини-компьютеры Asus Eee PC стали настоя- ванию пакетов из свободного программного обеспечения.
щим хитом. Судя по всему, теперь, с платформой Android, Единственный способ создать бизнес вокруг программно-
в Asus намерены повторить этот успех и на рынке смарт- го обеспечения – услуги». Свои слова глава Canonical под-
фонов, выпустив портативные, дешевые и многофункцио- твердил и на примере Microsoft: ни для кого давно не секрет,
нальные Linux-устройства. что и этот гигант софтверной индустрии переходит к серви-
сам как основному источнику доходов.
МИД Германии: Open Source
использовать выгоднее Подготовил Дмитрий Шурупов
по материалам www.nixp.ru
Рольф Шустер (Rolf Schuster), немецкий дипломат и в прош-
лом глава ИТ-отдела Министерства иностранных дел Гер-
мании, заявил, что обслуживание десктопов с програм-
мным обеспечением с открытым кодом (Open Source) об-
ходится гораздо дешевле, чем в случае с проприетарным
ПО. Об этом он сообщил на конференции Open Source World
в Малаге (Испания).
МИД Германии переводит около 11 тысяч десктопов
на GNU/Linux и Open Source. По словам Шустера, этот шаг
позволяет добиться существенной экономии по сравнению
с другими министерствами: «В МИД десктопы функциони-
руют в очень удаленных и малодоступных местах. Но на об-
служивание каждого десктопа мы тратим всего 1000 евро
в год. Это гораздо дешевле, если сравнивать с другими
министерствами, где средние ежегодные расходы за деск-
топ составляют более 3000 евро». Завершение миграции
Министерства на GNU/Linux и другое ПО с открытым ко-
дом ожидается к лету 2009 года. На данный момент пере-
ход осуществлен более чем в половине посольств и пред-
ставительств (всего их – 230). Во время миграции возни-
кают и некоторые сложности: «Переход осуществляется
не без проблем. Например, наши разработчики не знают
японского языка, поэтому не понимают местных сложнос-
тей, и нам пришлось найти специалиста в Японии, чтобы он
помог разобраться с шрифтами в OpenOffice.org».
Почти одновременно с этим стало известно, что на GNU/
Linux и другое ПО с открытым кодом переходит и отечес-
твенная организация – Фонд социального страхования
Российской Федерации. В ФСС тестируют дистрибутивы
двух Linux-производителей, продвигающих свои решения

№11, ноябрь 2008 

 г р а т ь
а в ы и
шанс очки!

Три
а л
а н н ые п
ь! Б араб
т дц а л ос ь
н н а с та
р ? ! Оди а ч и т, о
н
щ и й ша , а э то з
След
ую
у р н а ла
м ер ж
и 11 н о
од . о м е ра.
р е д в ам
о о д ин к э т о го н
Пе ь вс е г к о д из
ч и т ат ь в ам
полу с тр и р о в
зД В А »
а р е г и
и й п р и
0 8 год.
б у д ьте з д м и нс к 1 2 з а 20
Не за р ы ш е «А
№ 1 0 , 11, ша
з ы г л о в ы г р ы
т и я в ро з ж у р на п а х роз
час
Для у бятся код
ыи
р в ы х эта А»
о ву х пе и з ДВ э та п,
д д р й
по на а с т и ев н с к ий п т т р ети
м е т уч « А д м и
ж и д ае у м е ни е
к то пр и Р А З »и о д о в, о то л ько
, з к ится
Всех ский при е ш е с ть д о б
д м ин р у е т вс а м п о на
« А с тр и о мв
р е г и т о р
и за т и я в ко
ча с
д ля у гр ы ша н а с айте
д ат ь. ат ы розы к о в ан ы
ж
р е зульт т о п убли г од а.
то буд у 200 8
и н а ем, ч АЗ » бр я
Напо
м
й П риз Р ru 27 ноя
д м и нски .s a m ag.
«А а w ww
а л
ж ур н
 Приз
нск ий
ми
Ад РАЗ»
П р из «
м и н с к ий атор
Ад н и к
К о мму к ур с ы

б н ы е р од ук ты с е р в ер ы
че еп е
 У граммны ыделенны
ро в
 П туальные
ир
 В В А»
« Д
й П р из
нс к и
А д м и
н и к атор
К о мму к ур с ы

б н ы е р од ук ты с е р в ер ы
че еп е
 У граммны ыделенны
ро в
 П туальные
ир
 В РИ»
з «Т
к и й При
нс
Адми тбук
оу ы
 Н бные курс родукты
У че м н ы еп
 г р ам
р о
 П

улся…
Лед трон

Более подробную информацию о сроках и правилах проведения розыгрышей призов смотрите на сайте журнала – www.samag.ru
 репортаж

Октябрьская встреча российского

PostgreSQL-сообщества
Skype, myYearbook.com и все-все-все
Шестого октября в стенах Высшей школы экономики на Мясницкой состоялась ставшая уже
традиционной встреча российского PosrgreSQL-сообщества.

Н
а мероприятие были пригла- n OLPT (Skype Databases) таблицы можности для горизонтального масш-
шены разработчики компании с несколькими миллиардами запи- табирования системы. PL/Proxy име-
Skype (http://skype.com), про- сей в каждой. ет простой синтаксис и вообще досто-
филь деятельности которой пояснять ин отдельного рассмотрения, которое,
не надо (когда попросили поднять руки Основной упор был сделан на опи- я надесь, ещё появится на страницах
тех, кто не использует продукты Skype, сание применения инструментов для журнала.
из аудитории откликнулись всего два- работы с PostgreSQL, разработанных Следующий подарок PostgreSQL-
три человека). программистами компании и опубли- сообществу от Skype называется
Надо сказать, что хоть разработ- кованных под открытой лицензией. SkyTool. Это пакет утилит, предна-
чики были из близкой Эстонии и не- Прежде всего это pgBouncer – значенных для упорядочивания дос-
которые из них изучали русский язык простой и легковесный менеджер со- тупа, репликации и восстановления
в школе, «нелёгкие» годы в Евросо- единений (точнее, Connection pooler) данных.
юзе дали о себе знать. Полноценные для PostgreSQL. К его достоинствам Прежде всего это PgQ – инстру-
доклады и общение с ними были воз- относится несколько режимов работы мент для создания очередей запро-
можны только на английском. К счас- с соединениями, гибкое управление сов, Londiste – движок для master-slave
тью, Иван Золотухин (Postgresmen), вы- «самостоятельностью» соединения, репликации PostgreSQL, написанный
ступил в роли переводчика. низкое потребление памяти и возмож- на языке Python, DBScript framework –
С первым докладом, «Архитектура ность работы с разными хостами. среда для управления базой дан-
распределённой базы данных Skype», Далее был представлен PL/Proxy – ных и Walmgr – скрипт для «горяче-
выступил Аско Оя (Asko Oja), веду- язык для прозрачного удалённого вы- го» развёртывания сервера из бэкапа
щий эксперт по базам данных компа- зова процедур, позволяющий, напри- на основе трансфера логов или под-
нии Skype. мер, вызывать произвольную функцию ключения резервного сервера.
Представляя архитектуру Skype на любом узле кластера БД. Второй доклад представил техни-
Databases (см. рисунок), Оя подчерк- Тут следует заметить, что дос- ческий директор сети myYearbook.com
нул её масштабы: туп к управлению данными в Skype (социальная сеть, третья по величине
n более 100 СУБД-серверов; Databases осуществляется исключи- в США), Гевин Рой (Gavin Roy). Он пред-
n более 200 баз данных; тельно посредством вызова хранимых ставил интересный рассказ о развитии
n более 10 000 тысяч транзакций процедур, что при использовании дан- и поэтапном масштабировании своей
в секунду; ного инструмента даёт отличные воз- системы, использующей PostgreSQL
в качестве серверов баз данных.
Б ы л о и н т е р е с н ы м и к ул у а р -
ное общение. Достаточно сказать,
что на встрече присутствовали такие
известные персоналии PostgreSQL-
сообщества России, как Олег Барту-
нов, Федор Сигаев, Алексей Борзов
и другие. Skype, кроме Аско Оя пред-
ставлял также инженер Марко Креэн
(Marko Kreen), являющийся соавтором
таких проектов, как Skytools, plProxy,
pgBouncer.
Хочется поблагодарить Николая
Самохвалова и Ивана Золотухина
за организацию встречи.

Архитектура Skype Databases Кирилл Сухов


Реклама
 администрирование

Службы доменов Active Directory

в Windows Server 2008

Александр Емельянов
Именно так теперь называется обновленная служба каталогов производства компании
Microsoft. Сама серверная операционная система, на которой базируется данная технология,
уже преподнесла немало приятных сюрпризов конечному потребителю. Посмотрим, чем может
порадовать администраторов новая Active Directory.

Э
то уже третья «редакция» служ-
бы каталогов со времен ее пер-
вого появления в Windows 2000.
И, забегая вперед, нужно сказать, что
основной упор специалисты Microsoft
сделали на то, чтобы упростить управ-
ление службами доменов AD (AD DS,
Active Directory Domain Services), а так-
же повысить уровень безопасности.
Претерпело изменения меню управле-
ния ролями сервера, что позволит ад-
министратору создать единый центр
управления как самим сервером, так и
сервисами, которые он будет предо-
ставлять. Из новшеств служб доменов
можно отметить:
n специальный тип установки кон-
троллера домена только для чте-
ния (RODC, Read-Only Domain
Controller);
n новые политики паролей и блоки-
ровки учетных записей;
n улучшения в групповых полити-
ках.


 администрирование
Об этих и других нововведениях пойдет речь в статье n службы сертификации Active Directory (AD CS, Active
далее. Directory Certificate Services) – это служба сертифика-
тов, которая позволяет создавать и управлять сертифи-
Не просто служба… катами открытых ключей для приложений, поддержива-
С выходом новой серверной операционной системы назва- ющих технологию открытого ключа; AD CS поддержи-
ние Active Directory представляет некую общность служб вают криптографический интерфейс нового поколения
для управления доступом и проверки подлинности учетных CNG, который пришел на смену CryptoAPI, старые ал-
записей. Если смотреть шире, то совокупность этих техно- горитмы шифрования данных поддерживаются с помо-
логий занимает центральное место в концепции, которой щью поставщиков служб сертификации.
Microsoft уделяла основное внимание со времен выхода
Windows 2000. Речь идет об управлении идентификацией Все эти службы управляются при помощи новой консо-
и правами доступа (IDA, Identification and Access). Основные ли диспетчера серверов Windows Server 2008, которая яв-
постулаты – гибкость и удобство управления инфраструк- ляется единым центром управления как операционной сис-
турой предприятия и обеспечение максимального уровня темой, так и сетевыми сервисами.
безопасности. В основе обновленной службы каталогов ле- В дополнение нужно заметить, что при использовании
жат 5 основных компонентов, с которыми администраторы специального варианта установки Server Core администра-
знакомы со времен выхода Windows Server 2003 R2: тору будут доступны для развертывания только две из вы-
n службы доменов Active Directory – это старая служ- шеперечисленных служб: AD DS и AD LDS.
ба каталогов на новый лад, она позволяет обеспечи-
вать аутентификацию пользователей и компьютеров, Новый мастер установки служб доменов
используя единую базу данных, а также протоколы бе- Как театр начинается с вешалки, так и контроллер домена
зопасности; предоставляет гибкие механизмы управле- начинает жизнь с мастера DCPROMO. Инженеры Microsoft
ния как отдельными пользователями и группами, так и учли опыт обращений пользователей (читать «администра-
целыми подразделениями при помощи групповых по- торов») в службу технической поддержки, после чего пере-
литик; писали DCPROMO заново и представили свету новый мас-
n службы Active Directory облегченного доступа к ка- тер установки служб доменов. Все новшества в целом на-
талогам (AD LDS, Active Directory Lightweight Directory правлены на предотвращение ошибок, которые могут воз-
Services) – это бывший вариант установки службы ка- никнуть в процессе установки контроллера. Это и ошибки
талогов, называемый AD AM (Active Directory Application
Mode); его особенность состоит в том, что вы можете
развернуть службу каталогов без создания доменной
инфраструктуры, то есть фактически получаете LDAP-
сервер для работы с приложениями, которые ориенти-
рованы на работу с каталогами; также есть возможность
спокойно развернуть несколько экземпляров AD LDS
на одном сервере, и каждый будет иметь свою собст-
венную схему;
n службы управления правами Active Directory (AD
RMS, Active Directory Rights Management Services) –
бывший сервер управления правами; AD RMS позволя-
ют управлять правами доступа к данным приложений,
которые поддерживают эту технологию; используя AD
RMS, организации могут создавать шаблоны для обес-
печения конфиденциальности финансовых докумен-
тов, сообщений электронной почты и т. д.; в отличие от
Windows Server 2003 R2 управление AD RMS происхо-
дит при помощи консоли MMC, помимо этого, при уп-
равлении AD RMS снижается вероятность ошибок при
настройке из-за разбиения задач на 3 категории: обя-
зательные, рекомендованные и необязательные;
n службы федерации Active Directory (AD FS, Active
Directory Federation Services) – во многом за счет ин-
теграции служб федерации с AD RMS имеется возмож-
ность создавать безопасную среду работы для клиен-
тов, находящихся вне корпоративной сети, без созда-
ния дополнительных учетных данных, а использование
приложений с поддержкой RMS позволяет детально кон-
тролировать работу удаленных пользователей с внут-
рикорпоративными документами;

№11, ноябрь 2008 

 администрирование
в распределении ролей FSMO, и недо- Плюс данного нововведения нали- лере RODC, все сделано для того, что-
статочное количество серверов гло- цо, хотя бы потому, что администрато- бы минимизировать возможность рас-
бального каталога, и неверная нас- ру не нужно выполнять перезагрузку ширения привилегий в домене. А имен-
тройка сервера DNS. сервера, который может предостав- но, существует два способа делегиро-
Запустив мастер, можно выбрать лять какие-то другие сервисы, тем са- вания прав администратора для опера-
два режима (без использования клю- мым обеспечив бесперебойную рабо- ции обслуживания контроллера RODC.
ча /ADV): основной и расширенный. Ад- ту организации. Администратор домена может, попрос-
министратор может быстро настроить ту говоря, при помощи оснастки «Active
контроллер домена, указав основной Контроллер домена Directory Users and Computers» создать
режим, либо внести дополнительные только для чтения заготовку контроллера домена только
настройки в расширенном режиме, на- Это еще один шаг, который Microsoft для чтения, назначить политику реп-
пример, указать сервер, с которого бу- сделала в сторону безопасности служб ликации паролей и пользователя либо
дет производиться репликация при по- доменов. Скорее даже можно гово- группу, которые завершат процесс пе-
вышении роли рядового сервера. Ес- рить о том, что инженеры учли опыт ревода на удаленном сервере. Второй
ли вы имеете широко развитую инфра- прошлых разработок и выпустили со- вариант предполагает создание ро-
структуру, это позволит снять нагрузку вокупное решение. Имеется в виду, лей администратора на самом RODC.
с основных контроллеров. Кроме этого, что в доменах NT 4 были понятия PDC В целом они не отличаются от локаль-
существует возможность расположить (контроллер домена для чтения и за- ных групп безопасности, хранятся в ре-
контроллер в конкретном сайте, исхо- писи учетных данных) и BDC (резер- естре и определяются только данным
дя из его IP-адреса (мастер сам выбе- вные контроллеры только для чтения), RODC, но управляются с помощью ути-
рет подходящий сайт). от которых с выходом Windows 2000 литы NTDSUTIL.
Наверняка многие администрато- Microsoft отказалась, сделав все кон- Если пользователь удаленного
ры возьмут на вооружение режим ра- троллеры в домене равноправными офиса впервые проходит аутентифи-
боты мастера с использованием фай- с точки зрения операций чтения и запи- кацию на RODC, его запрос переда-
ла ответов – режим unattend (знако- си в базу данных. С выходом Windows ется прямиком на основной контрол-
мый, например, по сборке дистрибу- Server 2008 администраторы могут лер. При удачной обработке запро-
тива Windows). Нет необходимости пи- строить комплексные решения. са RODC получает хешированный па-
сать его вручную, все параметры мо- Контроллер домена только для чте- роль при помощи репликации. Одна-
гут быть сохранены в файл после вне- ния (RODC, Read-Only Domain Controller) ко такое поведение можно изменить
сения всех настроек и прямо перед за- является специальным вариантом раз- для отдельно взятых учетных записей
пуском повышения роли сервера. ворачивания доменного контроллера при помощи политики репликации па-
для филиалов и удаленных подразде- ролей для каждого RODC. Например,
Стоп машина! лений компаний. При его использова- хэш пароля учетной записи админи-
В Windows Server 2008 появилась воз- нии службы доменов работают в режи- стратора хранить локально небезо-
можность останавливать сервис служ- ме «только для чтения». Это означает, пасно. Так нас уверяют специалисты
бы каталогов «на лету». Речь идет что никаких изменений в базу данных по безопасности компании Microsoft,
о том, что теперь нет необходимости такого контроллера локально внести сетуя на то, что в этом случае он мо-
загрузки сервера в режиме восста- нельзя. Изменения могут быть произ- жет быть взломан, но, с другой сторо-
новления службы каталогов (Directory ведены на основном контроллере и за- ны, все в этом разделе говорит о том,
Services Restore Mode) для проведения тем при помощи однонаправленной что с RODC невозможно нанести ка-
операций по обслуживанию контрол- репликации распространены на конт- кой-либо вред остальному домену, по-
лера домена, таких как дефрагмента- роллеры RODC. Понятно, что, посколь- этому данное предостережение мож-
ция или восстановление базы данных ку RODC не способны осуществлять но посчитать, по меньшей мере, сом-
каталога. Нужно всего лишь выполнить репликацию между собой, нет смыс- нительным.
одно из действий: остановить службу ла устанавливать несколько таких кон- Есть еще некоторые особенности,
«Контроллер домена» или выполнить троллеров в удаленном офисе. касающиеся безопасности, о которых
команду «net stop ntds». При этом вы Основное отличие RODC от BDC- стоит упомянуть. Контроллеры доме-
остаетесь аутентифицированным как доменов NT 4 в том, что администра- на только для чтения не являются до-
администратор домена. В предыду- тор может определять, какой набор веренными с позиции доверительных
щих же версиях Windows Server в ре- данных будет поставляться на опреде- отношений в домене, они трактуются
жиме восстановления AD нужно было ленный контроллер RODC. Это влечет как рядовые серверs. Более того, вы
регистрироваться и вспоминать па- за собой уменьшение трафика репли- не найдете таких контроллеров в груп-
роль, указанный при работе масте- кации, и, несомненно, это будет полез- пах «Контроллеры домена» и «Конт-
ра DCPROMO (согласитесь, была ве- ным для подразделений, не имеющих роллеры домена предприятия». RODC
роятность его забыть либо потерять). хорошей устойчивой связи с головным является центром распространения
По окончании всех необходимых опе- офисом. Одновременно с этим обеспе- ключей Kerberos только для своего фи-
раций нужно запустить вышеуказан- чивается сохранность основных дан- лиала. Это возможно из-за того, что он
ный сервис либо выполнить команду ных домена Active Directory. Что каса- использует собственную учетную за-
«net start ntds». ется прав администратора на контрол- пись KrbTGT и собственные ключи.

10

Для системы DNS появилась возможность создания зоны
только для чтения на контроллере RODC. Динамическая ре-
гистрация записи компьютера в такой зоне невозможна, вза-
мен этого на DNS-сервер с возможностью записи посылает-
ся запрос на регистрацию, и уже после репликации проис-
ходит обновление зоны в филиальном сервере DNS.
Для развертывания контроллера RODC необходимо
иметь в домене хотя бы один основной (то есть в режи-
ме чтение/запись) контроллер домена под управлением
Windows Server 2008. Плюс к этому домен должен находить-
ся на уровне не ниже Windows Server 2003 (смотри врезку
«Функциональные уровни домена и леса»). Понятно, что и
сам RODC должен работать под управлением серверной ОС
последней версии. Использование RODC в варианте уста-
новки Server Core дает возможность держать в удаленном
филиале безопасный сервер, имеющий небольшие требо-
вания по производительности.
Новые политики паролей
Очень часто на технических форумах можно было встре-
тить вопросы, касающиеся политик паролей и блокировки
учетной записи. Проблема состояла в том, что многие ад-
министраторы не могли понять, как при помощи групповых
политик назначить ограничения параметров паролей для
отдельных групп или организационных единиц. Такая воз-
можность до выхода Windows Server 2008 отсутствовала, и,
если было необходимо выделить группу со специфичными
настройками для политик паролей, нужно было создавать
№11, ноябрь 2008
администрирование
отдельный домен, так как они могли быть применены толь-
ко к уровню домена.
В AD DS появились подробные политики паролей, кото-
рые можно применять как к отдельным учетным записям,
так и к группам. Хотя специалисты рекомендуют пользо-
ваться группами для распределения этих политик, чтобы
упростить дальнейшее администрирование.
Рассмотрим процесс создания и привязки политик паро-
лей, а также некоторые атрибуты, связанные с ними. Спе-
циального графического средства для создания и управ-
ления такими политиками нет, вместо этого можно исполь-
зовать программу ADSIEdit либо другие программы, кото-
рые позволят управлять объектами схемы AD (об одной
из них будет сказано ниже). Итак, для создания полити-
ки нужно создать объект msDS-PasswordSettings или PSO
(Password Settings Object) в контейнере Password Settings
Container в узле System Container вашего домена. Далее
вам будет предложено ввести значения обязательных ат-
рибутов данного объекта. Для понимания, какие политики
паролей сможет применять администратор, рассмотрим
некоторые атрибуты:
n msDS-PasswordSettingsPrecedence – здесь содержит-
ся некоторый номер, определяющий приоритет дейст-
вия настроек, если для одного объекта применяется не-
сколько;
n msDS-PasswordComplexityEnabled – определяет, дол-
жен ли пароль отвечать требованиям сложности (значе-
ние по умолчанию для домена True);
Реклама
11
 администрирование
Функциональные уровни домена
и леса
Как и следовало ожидать, с выходом но-
вой серверной операционной системы
от компании Microsoft, которая расшири-
ла возможности службы каталогов, появи-
лись новые функциональные уровни лесов
и доменов. Что касается уровня Windows
Server 2008 для лесов, сам по себе ника-
ких возможностей он не добавляет. Это
сделано для того, чтобы все домены в ле-
су находились на одном уровне. Повыше-
ние домена до этого уровня позволит ис-
пользовать следующие нововведения. Во-
первых, новый движок репликации DFS
(Distributed File System, распределенная
n msDS-MinimumPasswordLength –
минимальная длина пароля в сим-
волах (семь по умолчанию);
n msDS-LockoutThreshold – коли-
чество неудачных попыток ввода па-
роля, после которых пользователь
будет заблокирован (0 по умолча-
нию, это означает запрет блокиров-
ки при неудачном вводе пароля).
После создания объекта типа PSO
нужно привязать его к пользовате-
лю или группе, для этого нужно доба-
вить их в атрибут msDS-PSOAppliesTo
данного объекта. Понятно, что дан-
ный атрибут может иметь не одно зна-
чение. Более того, в атрибутах поль-
зователя или группы можно найти
msDS‑PSOAppliedTo, который содер-
жит все PSO, связанные с данным
пользователем или группой. Исходя из
этого, следует, что для объекта поль-
зователя может применяться несколь-
ко политик, так как пользователи мо-
гут входить сразу в несколько групп.
Но в какой очередности применяются
политики в этом случае?
Существуют некоторые правила,
согласно которым эта очередность оп-
ределяется.
1. При непосредственной привязке
PSO к объекту пользователя при-
меняется данная политика.
2. При привязке к объекту пользова-
теля сразу нескольких политик бу-
дет применена политика с наимень-
шим значением атрибута очеред-
ности (был рассмотрен выше).
3. Если несколько PSO имеют од-
но и то же значение атрибу та
очередности, выбирается объект
12
файловая система) для папки SYSVOL. Ис-
пользование разностного метода дает при-
рост в скорости репликации. Во-вторых,
увеличение длины ключа шифрования AES
(Advanced Encryption Standard) для прото-
кола Kerberos с 128 до 256 бит. Шаг в сто-
рону усиления безопасности. Ну и, в-треть-
их, изменения, коснувшиеся политик па-
ролей для доменов, управление которы-
ми стало более гибким за счет снятия ог-
раничения применения их исключительно
ко всему домену.
Многие другие расширенные возмож-
ности служб доменов AD требуют всего
лишь наличия контроллера домена под уп-
равлением Windows Server 2008.
с наименьшим идентификатором
objectGUID.
4. В случае если есть несколько PSO,
привязанных к группам, в которых
состоит пользователь, применяет-
ся политика с наименьшим значе-
нием атрибута очередности.
Если же к объекту пользовате-
ля не привязано ни одного PSO, бу-
дет применена политика паролей для
домена. Для определения применен-
ного к пользователю PSO админист-
раторы могут использовать атрибут
msDS‑ResultantPSO, который содер-
жит DN имя PSO.
Возможно, администраторам бу-
дет полезна также утилита командной
строки, написанная Джо Ричардсом,
для создания и привязки PSO. Она на-
зывается PSOMgr.exe, найти ее можно
на сайте Джо – www.joeware.net.
Групповые политики
в Windows Server 2008
Не секрет, что групповые политики
в рамках домена дают возможность
администратору централизованно соз-
давать рабочее окружение для пользо-
вателей. Windows Vista – расширенный
набор групповых политик. Несмотря на
это, данное нововведение было беспо-
лезно для использования в домене, так
как Windows Server 2003 не имел воз-
можности управления новыми полити-
ками. Такой механизм появился с вы-
ходом Server 2008.
Однако использование связки но-
вой серверной ОС с Windows Vista
для применения максимума возмож-
ностей групповых политик может вы-
звать некоторый скепсис, учиты-
вая требования последней к произ-
водительности оборудования, а так-
же то, насколько удачной получилась
Windows XP в качестве настольной
платформы. Это тема отдельного спо-
ра, поэтому просто посмотрим, что но-
вого получили администраторы для уп-
равления групповыми политиками. Во-
обще, этот материал может без тру-
да потянуть на отдельную статью, по-
этому рассмотрим лишь основные из-
менения.
Начнем с того, что теперь механизм
групповой политики – это отдельная
служба Group Policy Client, не имеющая
возможности перезапуска. Новая вер-
сия провайдера NLA (Network Location
Awareness) позволила улучшить про-
цессы обнаружения медленных линий,
а также фонового обновления группо-
вых политик.
Важные улучшения получила кон-
соль управлений GPMC (Group Policy
Management Console, консоль управ-
ления групповой политикой) – теперь
есть возможность осуществлять по-
иск параметров (которых, кстати, бо-
лее 2000) объектов групповой поли-
тики (GPO, Group Policy Object). По-
мимо этого, при необходимости мож-
но добавлять комментарии в объекты,
а также их параметры.
Есть изменения в формате адми-
нистративных шаблонов, использу-
емых в Windows Vista и Server 2008.
О них можно найти материалы на сай-
те Microsoft TechNet.
В заключение
Безусловно, инженеры Microsoft сде-
лали огромный шаг в сторону безопас-
ности и усовершенствования механиз-
мов управления сетевой средой пред-
приятия. Многие новшества служб до-
менов Windows Server 2008, такие, на-
пример, как расширенный аудит, мо-
ментальные снимки Active Directory, ре-
зервное копирование и восстановле-
ние служб доменов, не вошли в статью.
С ними можно ознакомиться на сайте
компании Microsoft, а также в блогах
и статьях многих специалистов и MVP
по внедрению служб доменов.
1. http://www.minasi.com.
2. ht tp: // tec hnet.mic rosof t.c om /ru - ru /
magazine/default.aspxRODC.
3. http://windowsitpro.com.
 bugtraq

Уязвимость в службе Server Уязвимость при обработке IPv6-пакетов

в Microsoft Windows в Cisco ASA и PIX
Программа: Microsoft Windows 2000; Microsoft Windows XP; Программа: Cisco PIX версии 7.2(4)9 и 7.2(4)10; Cisco
Microsoft Windows 2003; Microsoft Windows Vista; Microsoft Adaptive Security Appliance (ASA) версии 7.2(4)9 и 7.2(4)10.
Windows 2008. Опасность: Средняя.
Опасность: Критическая. Описание: Уязвимость существует из-за неизвестной
Описание: Уязвимость существует из-за ошибки в службе ошибки при обработке IPv6-пакетов. Удаленный пользо-
Server при обработке RPC-запросов. Удаленный пользова- ватель может с помощью специально сформированного
тель может с помощью специально сформированного RPC- IPv6‑пакета вызвать перезагрузку устройства.
запроса выполнить произвольный код на целевой системе. URL производителя: www.cisco.com.
Для удачной эксплуатации уязвимости на Windows Vista Решение: Установите последнюю версию 7.2(4)11 с сайта
и Windows Server 2008 атакующий должен успешно аутен- производителя.
тифицироваться на системе.
Примечание: уязвимость активно эксплуатируется на на- Утечка памяти в Cisco ASA
стоящее время. Программа: Cisco Adaptive Security Appliance (ASA) версии
URL производителя: www.microsoft.com. до 8.0(4) и 8.1(2).
Решение: Установите исправление с сайта производителя. Опасность: Средняя.
Описание: Уязвимость существует из-за утечки памяти
Множественные уязвимости в IBM DB2 в Crypto Accelerator. Удаленный пользователь может с по-
Программа: DB2 Enterprise Server Edition версии 8.1, 8.2, мощью специально сформированных пакетов вызвать от-
9.1 и 9.5; DB2 Workgroup Server (все версии); DB2 Express каз в обслуживании устройства.
Server (все версии); DB2 Personal Edition версии 8.1, 8.2, 9.1 URL производителя: www.cisco.com.
и 9.5; DB2 Connect Server (все версии). Решение: Установите последнюю версию 8.0(4) или 8.1(2)
Опасность: Средняя. с сайта производителя.
Описание: 1. Уязвимость существует из-за неизвестной
ошибки в функции SQLNLS_UNPADDEDCHARLEN(), кото- Уязвимость в реализации VLAN Trunking
рая позволяет вызвать ошибку сегментации в DB2-серве- протокола в Cisco IOS и CatOS
ре. Уязвимости подвержена версия 9.1. Программа: Cisco Catalyst 6500 Series 12.x; Cisco CATOS 5.x;
2. Уязвимость существует из-за того, что виды и триг- Cisco CATOS 6.x; Cisco CATOS 7.x; Cisco CATOS 8.x; Cisco
геры не сбрасываются или помечаются как недееспособ- IOS 10.x; Cisco IOS 11.x; Cisco IOS 12.x; Cisco IOS R11.x; Cisco
ные в Native Managed Provider for .NET, если определитель IOS R12.x; Cisco IOS XR 3.x.
не способен управлять объектами. Уязвимости подверже- Опасность: Низкая.
ны версии 8.1, 8.2, 9.1 и 9.5. Описание: Уязвимость существует из-за неизвестной
3. Уязвимость существует из-за неизвестной ошибки ошибки при обработке VLAN Trunking Protocol (VTP)-паке-
в Sort/List-службах, которая позволяет раскрыть пароли, тов. Удаленный пользователь может отправить специально
относящиеся к строкам подключения. Уязвимости подвер- сформированный пакет на интерфейс коммутатора в режи-
жены версии 9.1 и 9.5. ме транка и аварийно завершить работу устройства. Для ус-
URL производителя: www-306.ibm.com/software/data/ пешной эксплуатации уязвимости VTP Operating Mode дол-
db2/9. жен быть установлен в server или client.
Решение: Установите исправление 8.1FP17, 8.2FP10, 9.1 FP6 URL производителя: www.cisco.com.
или 9.5FP2 с сайта производителя. Решение: В настоящее время способов устранения уязви-
мости не существует.
Обход аутентификации в Cisco ASA и PIX
Программа: Cisco PIX версии до 7.0(8)3, 7.1(2)78 и 7.2(4)16; Переполнение буфера
Cisco Adaptive Security Appliance (ASA) версии до 7.0(8)3, в Trend Micro OfficeScan
7.1(2)78 и 7.2(4)16; Cisco PIX 8.x версии до 8.0(4)6 и 8.1(1)13; Программа: Trend Micro OfficeScan 7.3 Patch 4 build 1362,
Cisco Adaptive Security Appliance (ASA) версии до 8.0(4)6 возможно, более ранние версии; Trend Micro OfficeScan 8.0
и 8.1(1)13. SP1, возможно, более ранние версии.
Опасность: Средняя. Опасность: Средняя.
Описание: Уязвимость существует из-за неизвестной Описание: Уязвимость существует из-за ошибки провер-
ошибки в Cisco ASA and PIX, которая позволяет удаленному ки границ данных при обработке CGI-запросов. Удаленный
пользователю обойти VPN-аутентификацию. Для успешной пользователь может с помощью специально сформирован-
эксплуатации уязвимости устройства должны быть сконфи- ного HTTP POST-запроса вызвать переполнение стека и вы-
гурированы на VPN-доступ с использованием IPSec или SSL полнить произвольный код на целевой системе.
и аутентификацию в Microsoft Windows-домене. URL производителя: www.trendmicro.com.
URL производителя: www.cisco.com. Решение: Установите последнюю версию с сайта произ-
Решение: Установите последнюю версию с сайта произ- водителя.
водителя. Составил Александр Антипов

№11, ноябрь 2008 13

администрирование

Оптимизация сетевой
печати

Иван Коробко

Любой сервер печати должен обеспечивать быструю и надежную печать. Для достижения
поставленной цели займемся оптимизацией драйверов.

14
 администрирование

В
крупных сетях используются PS или PCL Эмуляция PS – не самый лучший
так называемые серверы печа- В настоящее время активно использу- выход, поскольку значительно падает
ти (print server), которые пред- ется два типа драйверов: скорость печати. Однако большинс-
ставляют собой компьютеры под уп- n PCL (Printer Command Language) – тво лазерных принтеров, например
равлением операционной системы разработан компанией HP. HP1200, поддерживают PS.
семейства Windows Server 2K, на ко- n PS (Post Script) – создан Джоном
торых установлено до нескольких де- Уорноком и Чаком Гешке из Adobe PPD-файл
сятков принтеров. в начале 80-х годов. PPD-файл (см. рис. 1) представля-
Во время настройки таких серве- ет собой текстовый файл, который
ров системные администраторы ис- Принципиальная разница между можно открыть обычным блокнотом
пытывают проблемы, связанные с не- PCL и PS заключается в том, что по- (notepad.exe). Этот файл является, если
устойчивой работой драйверов. Боль- мимо растровых шрифтов (True Type так можно выразиться, переводчиком,
шинство администраторов решает эту и Open Type), PS также поддержива- который делает понятным для принте-
проблему подбором стабильно работа- ет векторные шрифты (Post Script), ра язык PostScript.
ющего драйвера с удовлетворитель- что позволяет успешно использовать Во время установки драйверов PPD-
ной производительностью. их в полиграфии, обеспечивая высо- файлы копируются в папку %WinDir%\
В большинстве случаев таким кое качество продукции. system32\spool\drivers\w32x86\3. Об-
драйвером оказывается PS-драйвер Кроме того, PS выгодно отличает- ратите внимание на последний подка-
или, как его еще называют, PostScript- ся от PCL следующим: талог. В зависимости от версии PS он
драйвер. Однако не все они отличают- n увеличение скорости и надежнос- может изменяться. Поскольку в насто-
ся надежной работой. ти печати; ящее время используется PS версии 3,
Многочисленные эксперименты n поддержка большого количества то название подкаталога соответству-
показали, что на стабильность рабо- шрифтов разных типов; ющее – 3 (см. рис. 1).
ты драйвера сильно влияет его графи- n кэширование шрифтов и изобра-
ческое оформление: в inf-файле, отве- жения; Структура
чающем за установку драйвера, осу- n поддержка цветоделения в самом PostScript‑драйвера
ществляется установка дополнитель- контроллере; Большая ошибка считать, что PostScript-
ных компонентов. Удалив из INF-фай- n получение высокого качества драйвер для каждого принтера свой.
ла все лишнее, можно получить ста- печати при использовании вектор- Он один – стандартный, универсаль-
бильно работающий драйвер, причем ной графики и векторных шриф- ный. Его достаточно один раз устано-
без потери функционала, например, тов. вить в операционной системе и исполь-
возможности двухсторонней печати зовать для всех принтеров, назначая
при ее аппаратной поддержке. Основным недостатком PS-драй- только PPD-файл.
Объединение множества inf-фай- веров является необходимость их ап- У читателя возникнет закономер-
лов в один дает возможность объеди- паратной поддержки печатающим ус- ный вопрос: в чем же разница в прин-
нить несколько драйверов в один – уни- тройством, что сказывается на цене терах? Ответ очень прост: в PPD-фай-
версальный. принтера. лах.

Рисунок 1. PPD-файлы

№11, ноябрь 2008 15

 администрирование
Рассмотрим кратко структуру драйвера: К ним относятся следующие стандартные разделы:
n INF-файл. Ядро инсталлятора, в котором описано, ка- n [Version] – идентифицирует INF и класс устанавливае-
кие драйверы присутствуют в нем, для каких операци- мого устройства;
онных систем он подходит, какие изменения необходи- n [Manufacturer] – идентифицирует производителя уст-
мо сделать в реестре, какие библиотеки зарегистриро- ройства. Каждый INF-файл должен иметь по крайней
вать и, наконец, список файлов, участвующий в уста- мере один такой раздел;
новке драйвера; n [Strings] – определяются значения констант, использу-
n САВ-файл, в котором находится PS (включая PPD) емых в пределах файла.
или PCL-драйвер; n [DestinationDirs] – описывается местоположение драй-
n Различные библиотеки графического оформления драй- вера на локальном компьютере.
вера. n [SourceDisksNames] – описание установочного диска
с драйверами;
Для создания инсталлятора можно пойти по одному n [SourceDisksFiles] – список файлов драйвера.
из путей: взять какой-либо PS-драйвер и «урезать» его, ли-
бо, изучив структуру INF-файла создать новый файл, за- Рассмотрим каждый из них подробнее.
имствовав необходимые библиотеки из имеющегося драй-
вера. Раздел [Version]
Раздел [Version] состоит из ряда ключей. Полный их список
Структура INF-файла можно найти на сайте Microsoft [1].
Любой INF-файл представляет собой тестовый файл в фор- В данном случае рассмотрим лишь минимум необходи-
мате ASCII, состоящий из нескольких разделов. Каждый мых (см. листинг 2).
из них предназначен для выполнения определенной за-
дачи. Имена разделов обычно заключены в квадратные Листинг 2. Структура раздела [VERSION]
скобки. Элементы раздела – ключи и значения, соединен- [Version]
ные знаком равенства. В разделе может присутствовать Signature="signature-name"
Class=class-name
несколько значений. ClassGuid={nnnnnnnn-nnnn-nnnn-nnnn-nnnnnnnnnnnn}
Кроме того, в состав элемента может входить коммен- CatalogFile=filename.cat
DriverVer=mm/dd/yyyy[,w.x.y.z]
тарий, который отделяется от ключей и значений точкой
с запятой (см. листинг 1). В приведенном листинге с помощью параметра Signature
описывается операционная система, для которой создан
Листинг. 1. Структура INF-файла INF-файл. Значение параметра указывается в знаках дол-
[section] лара ($) с двух сторон и может быть следующим:
key1 = value1 ; comment n $Windows 95$ – для Windows 9x;
key2 = value2
n $WINDOWS NT$ – для Windows 2k;
n $CHICAGO$ – для всех видов операционных систем.
Разделы INF-файла
Любой INF-файл имеет ряд обязательных разделов, кото- Поскольку в настоящее время Windows 9x снята с под-
рые считываются в первую очередь. По их содержимому оп- держки, то обычно указывается значение $CHICAGO$.
ределяется тип INF-файла, определяются константы и т. д. Второй и третий параметр указывают на класс устанав-
Поскольку рассматривается INF-файл драйвера, то разде- ливаемого устройства. В таблице приведен список широко
лы зарезервированы для этого типа драйверов. используемых устройств и соответствующие им значения
параметров Class и ClassGuid (полный
Классы часто используемых типов устройств список классов и соответствующих им
Тип устройства Класс устройства (Class) Идентификатор безопасности (ClassGuid) идентификаторов безопасности при-
CD/DVD CDROM {4d36e965-e325-11ce-bfc1-08002be10318} веден в [2]).
Видеоадаптер Display {4d36e968-e325-11ce-bfc1-08002be10318} Значение четвертого параметра –
файл с расширением CAT, который
IEEE 1394-контроллер 1394 {6bdd1fc1-810f-11d0-bec7-08002be2092f}
содержит в себе сам драйвер, вклю-
Сканеры и камеры Image {6bdd1fc6-810f-11d0-bec7-08002be2092f}
чая PPD-файл.
Клавиатура Keyboard {4d36e96b-e325-11ce-bfc1-08002be10318} Забегая вперед заметим, что САT-
Монитор Monitor {4d36e96e-e325-11ce-bfc1-08002be10318} файл не указывается в списке ус-
Мышь Mouse {4d36e96f-e325-11ce-bfc1-08002be10318} танавливаемых файлов в разделах
Сетевая карта Net {4d36e972-e325-11ce-bfc1-08002be10318} [SourceDisksFiles] or [CopyFiles]. Пос-
COM и LPT-порты Ports {4d36e979-e325-11ce-bfc1-08002be10318}
ледний параметр – DriverVer, значение
которого дата создания INF-файла.
Звуковая карта Sound {4d36e97c-e325-11ce-bfc1-08002be10318}
Замечание. GUID – уникальный
SCSI и RAID-контроллеры SCSIAdapter {50dd5230-ba8a-11d1-bf5d-0000f805f530}
128-битный идентификатор безопас-
USB USB {36fc9e60-c465-11cf-8056-444553540000} ности. Все жизненно важные объек-
Принтер Printer {4d36e979-e325-11ce-bfc1-08002be10318} ты домена или операционной сис-

16
 администрирование
темы имеют фиксированные идентификаторы безопас-
ности. Например, папка «Мой компьютер» на любом ком-
пьютере имеет идентификатор {20D04FE0-3AEA-1069-
A2D8‑08002B30309D}. Существует также GUID, которые
генерируются случайным образом на основе текущего
времени.
Таким образом, суммируя полученную информацию
и учитывая, что необходимо создать INF-файл для уста-
новки принтера, получаем следующий раздел [Version]
(см. листинг 3). Поскольку создается универсальный драй-
вер, то все файлы будут располагаться в одном каталоге
с INF-файлом, а из CAT-файла будут заимствованы лишь
некоторые файлы. Поэтому параметр CatalogFile не исполь-
зуется в листинге 3.

Листинг 3. Раздел [Verison] для установки принтера

[Version] Рисунок 2. Присвоение значений без подстановки

Signature="$CHICAGO$"
Class=Printer
ClassGUID={4D36E979-E325-11CE-BFC1-08002BE10318}
DriverVer=09/31/2008

Раздел [Manufacturer]
В разделе [Manufacturer] назначается производитель уст-
ройства, отображаемый при установке драйвера (см. рис. 2).
Название производителя может быть произвольным: рус-
ским или английским. Для того чтобы устанавливаемый
драйвер было легко найти, рекомендуется его поместить
в начало списка, использовав в качестве первого символа
спецзнак – звездочку или восклицательный знак. При сор-
тировке все русские названия идут после английских.
Существует два способа присвоения значений: с помо-
щью подстановки и без нее. На рис. 2 проиллюстрирован
второй способ. Способ с подстановкой рассмотрен далее.
Определив название производителей, необходимо оп- Рисунок 3. Присвоение значений методом подстановки
ределить список оборудования. Для этого необходимо соз-
дать одноименный раздел [infotec], в котором будут созда- где file-list-section название секции. По умолчанию –
ны ключи и соответствующие им значения. DefaultDestDir; dir и subdir папки, в которые необходимо ско-
Имя ключа совпадает с названием оборудования, а зна- пировать данные.
чение состоит из нескольких частей, которые между со- В случае с принтером, PostScript драйвер копирует-
бой разделены запятыми. Первая часть – название разде- ся в папку %WinDIR%\System32\spool\drivers\w32x86\3\
ла, в котором будут указаны инсталлируемые файлы. Вто- для 32‑биной оперционной системы и PostScript 3, которой
рой – уникальный идентификатор устройства, который на- соответствует 66000 (см. листинг 4).
значается производителем.
Листинг 4. Раздел [DestinationDirs]
Раздел [Strings] [DestinationDirs]
В этом разделе, который обычно расположен в конце фай- DefaultDestDir=66000
ла, назначаются константы. Название ключа – перемен-
ная, которая будет фигурировать в файле. Значение клю-
ча – соответственно, – подставляемое значение (см. рис. 3). Раздел [SourceDisksNames]
В приведенном примере параметра BrandName присваива- Название раздела [SourceDisksNames] является общим
ется значение Lexmark. для всех типов операционных систем. В случае создания
одного INF-файла для разных операционных систем, в за-
Раздел [DestinationDirs] висимости от ее типа, название раздела может меняться:
В этом разделе присутствуют ключи, в которых описыва- n [SourceDisksNames.x86] – платформа Intel 80x86,
ется местоположение драйвера на локальном компьютере. 32‑bit;
Шаблон ключа следующий: n [SourceDisksNames.ia64] – платформа x86, 64-bit;
n [SourceDisksNames.amd64] – архитектура процессора,
file-list-section = dir[,subdir] разработаная AMD, 64-bit.

№11, ноябрь 2008 17

 администрирование
Рисунок 4. Вызов свойств сервера
В этом разделе располагаются ключи, построенные
по следующему шаблону:
Для Windows 2000:
diskid = disk-description[,[tag-or-cab-file], ↵
[unused,path][,flags]]
Для Windows XP и старше:
diskid = disk-description[,[tag-or-cab-file], ↵
[unused,path],[flags][,tag-file]]
где disk-description (обязательный параметр) – описание
диска. Описание остальных параметров выходит за рам-
ки этой статьи.
Полное описание всех параметров приведено на офи-
циальном сайте компании Microsoft [3].
Для обеспечения работоспособности драйвера в раз-
деле [SourceDisksNames] необходимо создать всего один
ключ (см. листинг. 5).
Листинг 5. Раздел [SourceDisksNames]
[SourceDisksNames]
1 = "HP",,,""
Раздел [SourceDisksFiles]
В этом разделе перечисляются все файлы дистрибутива,
за исключением CAT-файла.
Шаблон ключа в разделе [SourceDisksFiles]:
filename = diskid[,[ subdir][, size]]
где:
n filename – имя файла (обязательный параметр);
n diskid – идентификатор диска (любое число);
n subdir – подкаталог, в котором находится файл в дист-
рибутиве;
n size – его размер.
18
Приведем раздел [SourceDisks
Files] для установки PS‑драйвера
для HP1200 в листинге 6.
Листинг 6. Раздел [SourceDisksFiles]
[SourceDisksFiles]
HP1200.ppd = 1
В данном случае – это PPD-файл
HP1200.PPD. Остальная часть драй-
веры входит в состав операционной
системы.
Если до этого драйвера не были
установлены, то инсталлятор будет
их искать в каталоге с INF-файлом.
Стандартный PostScript-драйвер
состоит из следующих файлов:
n PS5UI.DLL;
n PSCRIPT5.DLL;
n PSCRIPT.HLP;
n PSCRIPT.NTF.
Все эти файлы можно найти в любом PS-драйвере. Они
находятся в CAT-файле, описанном в параметре CatalogFile
раздела [Version].
INF-файл для HP1200 PS
Теперь, когда описаны все необходимые ингредиенты
INF‑файла, рассмотрим файл инсталлятора Post Script драй-
веров для принтера HP-1200.
Создание TCP/IP-порта
Для установки сетевого принтера необходимо создать TCP/
IP-порт и подключить к нему сетевой принтер. Все дейст-
вия осуществляются на выделенном сервере. Кроме того,
к USB-принтеру должен быть подключен Jet Direct, позво-
ляющий его подключить к сети с настроенным интерфей-
сом и известным IP-адресом, который необходим для соз-
дания TCP/IP-порта.
Для создания сетевого порта на сервере, к которому
будет подключен принтер, существует два способа. Если
Рисунок 5. Создание TCP/IP-порта
 администрирование
необходимо создать несколько пор-
тов одновременно, то рекомендует-
ся войти в свойства сервера печати
и создать пул портов. Для этого не-
обходимо войти в папку «Принтеры»,
расположенную в панели управления
выбрать «Файл → Свойства сервера».
В появившемся диалоговом окне не-
обходимо перейти во вкладку порты
и нажмите кнопку «Добавить порт…»
(см. рис. 4), в выведенном окне требу-
ется выбрать тип порта: в данном слу-
чае – «Standard TCP/IP port».
Для создания порта необходи-
мо нажать на кнопку «Новый порт…».
В появившемся диалоговом окне, не-
обходимо указать IP-адрес нового пор-
та. Имя порта назначается автомати-
чески. Им является IP-адрес с префик-
сом «IP_». Назначаемое имя админист-
ратор может изменить по своему ус- Рисунок 6. Запуск мастера установки принтеров
мотрению (см. рис. 5).
ров мастеру необходимо указать местоположение INF-фай-
Установка принтера на сервере ла. По идентификаторам Class и ClassGuid (см. таблицу)
Для создания принтера на сервере необходимо запустить в разделе [Version], система определяет, что этот файл – ин-
«Мастер установки принтеров». Для этого необходимо в пап- сталлятор драйвера принтера. Если INF-файл создан кор-
ке «Принтеры и факсы», расположенные в «Пуск → Нас- ректно, то на экране появляется диалоговое окно, содер-
тройка → Панель Управления», нажать на кнопку установ- жащее список оборудования.
ка принтера (см. рис. 6). Замечание:
Работа мастера состоит из нескольких шагов. На пер- n Во время работы мастера администратор не увидит раз-
вом шаге необходимо указать порт, к которому будет при- дел, созданный в разделе [Manufacture]. Она будет вид-
соединен принтер. Как уже отмечалось, для реализации на только при повторной установке драйверов (рис. 2
сетевой печати требуется выбрать TCP/IP-порт. Создание и рис. 3).
порта описано в разделе «Создание TCP/IP-порта». n Необходимо наличие ключа Provider с произвольным
На втором шаге мастера начинается процесс установки значением в разделе [Version]. При отсутствии это-
драйвера. Для удобства восприятия приведем блок-схему го параметра во время установки возникает ошибка
работы этого мастера (см. рис. 7). Для установки драйве- (см. рис. 8); драйверы не устанавливаются.

Рисунок 7. Структура INF-файла

№11, ноябрь 2008 19

 администрирование
Далее, необходимо Include=NTPRINT.INF
Needs=PSCRIPT.OEM
задать имя создаваемо-
го принтера. По умолча- [DestinationDirs]
DefaultDestDir=66000
нию предлагается имя,
заданное в INF-файле [SourceDisksNames.x86]
Рисунок 8. Ошибка при 1 = "HP",,,""
(строка 11). Затем дает-
отсутствии ключа Provider
в разделе [Version] ся возможность предо- [SourceDisksFiles.x86]
HP1200.ppd = 1,,,,,,,11,3
ставить к нему сетевой HP4100.ppd = 1,,,,,,,11,3
доступ. Поскольку создаваемый принтер сетевой, то необ- HP2727.ppd = 1,,,,,,,11,3
ходимо указать сетевое имя, например, HP1200. На следу- [Strings]
ющем шаге (см. рис. 9) можно указать размещение и ком- Company = "*Island Printers"
ментарий. В качестве комментария рекомендуется указы-
вать название подразделения, в котором физически нахо- Таким образом, в состав дистрибутива входят:
дится сетевой принтер. n PS5UI.DLL;
Затем выводится суммарная информация по устанав- n PSCRIPT5.DLL;
ливаемому принтеру. На следующем шаге осуществляет- n PSCRIPT.HLP;
ся копирование необходимых файлов (cм. рис. 7) и созда- n PSCRIPT.NTF;
ние принтера в папке «Принтеры и факсы». На этом уста- n HP1200.PPD;
новка принтера закончена. n HP2727.PPD;
n HP4100.PPD.
Создание INF-файла с несколькими
принтерами Заключение
Для создания INF-файла для нескольких принтеров, не- Итак, в результате всех манипуляций получим универсаль-
обходимо в разделе [FIRM] (см. рис. 7) создать несколь- ный PS-драйвер для 3 принтеров, количество которых мо-
ко строк по образцу строки 11. Шаблон строки следующий: жет меняться в зависимости от нужд системного админи-
название ключа – отображаемое имя принтера. Его значе- стратора. Созданный драйвер не содержит в себе никаких
ние – имя инсталляционного раздела, в котором указан PPD графических надстроек и характеризуется стабильной ра-
(до запятой) и уникальный идентификатор, который можно ботой. В завершение – совет: при создании своего драйве-
взять из дистрибутива. ра не пишите INF-файл с нуля, а возьмите готовые. Это поз-
Разделы, соответствующие указанному принтеру, так- волит сэкономить массу времени.
же создаются копированием с последующим переименова-
нием имен PPD-файлов. В разделе SourceDisksFiles добав- 1. INF Version Section – http://msdn.microsoft.com/en-us/library/
ляются в существующий список PPD-файлы. В листинге 7 ms794526.aspx.
приведен INF-файл, с помощью которого можно установить 2. System-Supplied Device Setup Classes – http://msdn.microsoft.
три PS-драйвера для HP1200, HP4100 и HP2727. com/en-us/library/ms791134.aspx.
3. INF SourceDisksNames Section – http://msdn.microsoft.com/en‑us/
Листинг 7. Мультидрайверный INF-файл library/ms794354.aspx.
[Version]
Signature="$Windows NT$"
ClassGUID={4D36E979-E325-11CE-BFC1-08002BE10318}
Class=Printer
Provider="temp"

[Manufacturer]
%Company%=firm

[firm]
"Hewlett-Packard 1200" = HP1200.PPD,HP1200_PS_PPD
"Hewlett-Packard 4100" = HP4100.PPD,HP4100_PS_PPD
"Hewlett-Packard 2727" = HP2727.PPD,HP2727_PS_PPD

[HP1200.PPD]
CopyFiles=@HP1200.PPD,PSCRIPT_NT ; PPD-файл.
DataSection=PSCRIPT_DATA ; раздел PSCRIPT
DataFile=HP1200.PPD
Include=NTPRINT.INF ; инсталляция NTPRINT.INF.
Needs=PSCRIPT.OEM ; инсталляция PSCRIPT.

[HP4100.PPD]
CopyFiles=@HP4100.PPD,PSCRIPT_NT
DataSection=PSCRIPT_DATA
DataFile=HP4100.PPD
Include=NTPRINT.INF
Needs=PSCRIPT.OEM

[HP2727.PPD]
CopyFiles=@HP2727.PPD,PSCRIPT_NT
DataSection=PSCRIPT_DATA
DataFile=HP2727.PPD Рисунок 9. Предоставление сетевого доступа к сетевому
принтеру

20
 bugtraq

Целочисленное переполнение Множественные уязвимости в Wireshark

в продуктах F-Secure Программа: Wireshark версии до 1.0.4.
Программа: F-Secure Internet Security 2008; F-Secure Опасность: Средняя.
Internet Security 2007 Second Edition; F-Secure Internet Описание: 1. Уязвимость существует из-за ошибки
Security 2007; F-Secure Internet Security 2006; F-Secure Anti- в Bluetooth ACL-диссекторе. Удаленный пользователь мо-
Virus 2008; F‑Secure Anti-Virus 2007 Second Edition; F-Secure жет с помощью специально сформированного пакета вы-
Anti-Virus 2007; F-Secure Anti-Virus 2006; F-Secure Client звать отказ в обслуживании приложения. Уязвимости под-
Security 7.12 и более ранние версии; F-Secure Anti-Virus for вержены версии с 0.99.2 по 1.0.3.
Workstations 7.11 и более ранние версии; F-Secure Linux 2. Уязвимость существует из-за ошибки в Q.931-дис-
Security 7.01 и более ранние версии; F-Secure Anti-Virus Linux секторе. Удаленный пользователь может с помощью спе-
Client Security 5.54 и более ранние версии; Solutions based on циально сформированного пакета вызвать отказ в обслу-
F-Secure Protection Service for Consumers version 8.00 и бо- живании приложения. Уязвимости подвержены версии
лее ранние версии; Solutions based on F‑Secure Protection с 0.10.3 по 1.0.3.
Service for Business version 3.10 и более ранние версии; 3. Уязвимость существует из-за наличия неинициализи-
F‑Secure Home Server Security 2009; F-Secure Anti-Virus for рованных структур данных в Bluetooth RFCOMM и USB‑дис-
Windows Servers 8.00 и более ранние версии; F-Secure Anti- секторах. Удаленный пользователь может с помощью спе-
Virus for Citrix Servers 7.00 и более ранние версии; F‑Secure циально сформированного пакета вызвать отказ в обслу-
Linux Security 7.01 и более ранние версии; F-Secure Anti- живании приложения. Уязвимости подвержены версии
Virus Linux Server Security 5.54 и более ранние версии; с 0.99.7 по 1.0.3.
F‑Secure Anti-Virus for Linux Servers 4.65; F-Secure Anti-Virus 4. Уязвимость существует из-за ошибки при обработке
for Microsoft Exchange 7.10 и более ранние версии; F-Secure Tamos CommView-файлов. Удаленный пользователь может
Internet Gatekeeper for Windows 6.61 и более ранние версии; с помощью специально сформированного файла вызвать
F-Secure Internet Gatekeeper for Linux 2.16 и более ранние вер- отказ в обслуживании приложения. Уязвимости подверже-
сии; F-Secure Anti-Virus for Linux Gateways 4.65; F-Secure Anti- ны версии с 0.99.7 по 1.0.3.
Virus for MIMEsweeper 5.61 и более ранние версии; F-Secure 5. Уязвимость существует из-за ошибки в диссекторах
Messaging Security Gateway 5.0.4 и более ранние версии. PRP и MATE. Удаленный пользователь может вызвать от-
Опасность: Средняя. каз в обслуживании приложения. Уязвимости подвержены
Описание: Целочисленное переполнение обнаружено версии с 0.99.2 по 1.0.3.
при обработке RPM-файлов. Удаленный пользователь мо- URL производителя: www.wireshark.org.
жет с помощью специально сформированного RPM-файла Решение: Установите последнюю версию 1.0.4 с сайта про-
вызвать переполнение буфера и выполнить произвольный изводителя.
код на целевой системе. Для успешной эксплуатации уязви-
мости приложение должно быть сконфигурировано на ска-
нирование файлов внутри сжатых архивов. Множественные уязвимости в Opera
URL производителя: www.f-secure.com. Программа: Opera версии до 9.61.
Решение: Установите исправление с сайта производителя. Опасность: Средняя.
Описание: 1. Уязвимость существует из-за того, что неко-
Множественные уязвимости торые части посещенных страниц недостаточно проверя-
в IBM WebSphere Application Server ются функционалом History Search перед использованием.
Программа: IBM WebSphere Application Server версии Удаленный пользователь может с помощью специально
до 6.0.2.31. сформированного веб-сайта внедрить и выполнить произ-
Опасность: Средняя. вольный код сценария в браузере жертвы и получить дос-
Описание: 1. Уязвимость существует из-за неизвестной туп к ранее посещенным страницам пользователя.
ошибки при включенном функционале fileServing. 2. Уязвимость существует из-за ошибки в реализации
2. Уязвимость существует из-за ошибки при обработке функционала Fast Forward. Удаленный пользователь мо-
HTTP-запросов. Удаленный пользователь может с помощью жет с помощью специально сформированного JavaScript
специально сформированного HTTP-запроса, содержаще- URL выполнить произвольный код сценария в контексте
го слишком длинный заголовок HOST (более 256 байт), вы- запрещенного фрейма.
звать зависание сервера. 3. Уязвимость существует из-за ошибки при блокиро-
3. Уязвимость существует из-за того, что приложение вании сценариев во время предварительного просмотра
некорректно обрабатывает Certificate Revocation Lists (CRL), новостных лент. Удаленный пользователь может получить
что может привести к тому, что отозванные X509-сертифи- доступ к данным в новостных лентах или подписать поль-
каты не буду отвергнуты системой. зователя на произвольные новостные ленты.
URL производителя: www-306.ibm.com/software/webservers/ URL производителя: www.opera.com.
appserv/was. Решение: Установите последнюю версию 9.61 с сайта про-
Решение: Установите исправление Fix Pack 31 (6.0.2.31) изводителя.
с сайта производителя.
Составил Александр Антипов

№11, ноябрь 2008 21

 администрирование

Обзор CMS Skeletonz

Сергей Супрунов
Системы управления содержимым (content management system, CMS) с каждым днём
приобретают всё большую популярность. Оно и понятно – интернет-сайты из категории
«творчества» постепенно переходят в «бизнес», и поэтому значительное место начинают
занимать не только вопросы эффективности их разработки, но и последующего
сопровождения.

Н
а рынке уже присутствует до-
вольно большое число CMS
с богатым набором возмож-
ностей. Среди открытых решений
с разу же вс поминаютс я Joomla!
(http://www.joomla.org) и Drupal (http://
drupal.org), из коммерческих в на-
шей стране, пожалуй, наиболее из-
вестны продукты «1С-Битрикс» (http://
www.1c‑bitrix.ru).
Однако всё это могучие системы,
позволяющие создавать сайты поч-
ти любой сложности и, как следствие,
требующие определённой квалифи-
кации веб-разработчика или време-
ни на изучение всех их возможностей.
Да и вопросы сопровождения могут
требовать не меньшего внимания.
Однако иногда такие возможности
оказываются избыточными, и для за-
дачи создания простейшего сайта (па-

22

ра новостей в неделю, контактная информация, несколько
статей-инструкций) хочется найти что-нибудь «поскромнее».
Одну из таких CMS – Skeletonz – мы и рассмотрим.
Первое знакомство
Skeletonz – это одна из несложных и не особо известных
систем управления содержимым сайтов (CMS), написанная
на языке Python и использующая для хранения информа-
ции СУБД MySQL. Первоначально основанная на веб-фрей-
мворке CherryPy (http://www.cherrypy.org) и ORM-библио-
теке SQLObject (http://www.sqlobject.org), в настоящее вре-
мя Skeletonz развивается с акцентом на простоту и быст-
родействие.
В основе последней версии Skeletonz (которая всё ни-
как не выйдет в релиз, оставаясь в beta-статусе) лежит на-
бор модулей, разработанных Амиром Салихефендиком
(Amir Salihefendic, http://amix.dk). Так, веб-фреймворк был
заменён модулями AmiWeb, функцию взаимодействия с ба-
зой данных взял на себя AmiDB (основанный на SQLAlchemy,
http://www.sqlalchemy.org). Неизменной осталась, пожа-
луй, лишь система разработки шаблонов Cheetah (http:// и содержит лишь необходимый минимум опций. Многие
www.cheetahtemplate.org).
Поставляется Skeletonz с собственным веб-сервером, что значения, выставленные по умолчанию, соответству-
что весьма удобно для разработки, но привносит ряд осо- ют вашим желаниям):
бенностей в процесс развёртывания для «промышленной
эксплуатации» (о них мы поговорим ниже).
Официальный сайт проекта – http://orangoo.com/
skeletonz.
Инсталляция
Устанавливать будем на FreeBSD (хотя подойдёт любая сис- n TITLE_PREFIX – префикс заголовка, который будет при-
тема, где работает Python). В коллекции портов Skeletonz
не представлена, так что исходные коды – единственный
путь обзавестись этой CMS. Впрочем, ничего сложного
здесь нет.
Для начала нужно установить язык программирова-
ния Python и СУБД MySQL (или убедиться, что эти пакеты
уже присутствуют в системе). Жёстких требований к вер-
сиям с точки зрения совместимости нет – интерпретатор
Python должен быть не ниже версии 2.4, MySQL – 4.1 и вы-
ше (версии 5.х тоже будут работать нормально). Установка
из портов отлично решит задачу. Также понадобится python- n C H E C K _ LO G I N , A D M I N _ U S E R N A M E , A D M I N _
модуль MySQLdb (http://sourceforge.net/projects/mysql-python),
установить его можно также из коллекции портов: /usr/ports/
databases/py-MySQLdb.
Дополнительно можно установить графическую библи-
отеку PIL (Python Image Library, http://www.pythonware.com/
products/pil) – без неё Skeletonz работать будет, но не под-
ключится плагин «ImgTitle», позволяющий «на лету» генери- n START_PAGE – имя страницы, которая будет открывать-
ровать графические изображения из заданного текста:
$ fetch http://effbot.org/downloads/Imaging-1.1.6.tar.gz
Imaging-1.1.6.tar.gz 100% of 425 kB 102 kBps
$ tar xf Imaging-1.1.6.tar.gz
$ cd Imaging-1.1.6
$ sudo python setup.py install
Для полного счастья понадобятся также TTF-шрифты
(можно поискать что-нибудь в коллекции портов, например,
№11, ноябрь 2008
администрирование
поставив x11-fonts/freefont-ttf, или просто «натаскать» шриф-
ты в систему вручную из «открытых источников»). Путь к ка-
талогу со шрифтами, а также шрифт по умолчанию нужно
будет затем указать в настройках плагина.
Теперь дело, собственно, за Skeletonz. Поскольку данная
CMS написана на языке Python, установка заметно упро-
щается (а заодно снижается и число возможных проблем),
поскольку этапы компиляции и инсталляции будут отсутс-
твовать: скачиваем архив с исходным кодом, распаковыва-
ем в рабочий каталог, выполняем правку конфигурацион-
ного файла general_config.py, и можно запускать:
$ fetch http://orangoo.com/skeletonz/uploads/ ↵
skeletonz_beta.zip
skeletonz_beta.zip 100% of 753 kB 96 kBps
$ tar xzf skeletonz_beta.zip
$ cd skeletonz_beta
$ vi general_config.py
Конфигурационный файл хорошо прокомментирован
из параметров вам нужно будет изменить (или проверить,
n PORT – задаёт номер порта, на котором будет работать
собственный веб-сервер Skeletonz (по умолчанию ис-
пользуется значение 14002; номер порта меньше 1024
потребует прав суперпользователя, поэтому не реко-
мендуется; как обеспечить доступ через стандартный
80-й порт, мы поговорим отдельно).
сутствовать на каждой странице сайта (т.е. тег <title>
каждой страницы будет формироваться как TITLE_
PREFIX + имя страницы). Здесь есть одна особенность,
связанная с поддержкой национальных кодировок, о ко-
торой будет сказано чуть позже.
n BASE_URL – базовый адрес сайта (на каждую страни-
цу сайта будет добавлен тег <base ...> с данным значе-
нием, что наверняка создаст проблемы, если сайт дол-
жен быть доступен на разных интерфейсах, имеющих
разные DNS-имена).
PASSWORD – параметры доступа к административ-
ным функциям CMS. Понятно, что права доступа к кон-
фигурационному файлу, поскольку он содержит пароль
в открытом виде, должны быть максимально жёсткими
(но достаточными для того, чтобы его могла «прочитать»
сама Skeletonz).
ся при первоначальном входе на сайт.
n TABLE_PREFIX, DB_USER, DB_PASSWORD, DB_HOST,
DB_DATABASE – параметры доступа к СУБД. Возмож-
ность указывать префикс имён таблиц позволяет за-
действовать для Skeletonz одну из существующих баз
данных MySQL. Однако, если такая возможность име-
ется, лучше всё-таки создать отдельную БД специально
для нужд CMS. Возможности работать с другой СУБД нет
(не считая правки исходников), хотя ходят слухи о гря-
дущей поддержке SQLite.
23
 администрирование
Нужно обратить внимание на следующую особенность –
файл general_config.py является обычным сценарием
Python, поэтому он должен соответствовать синтаксису
этого языка. Не забывайте заключать в кавычки тексто-
вые строки, ставить знаки равенства между именем па-
раметра и значением, соблюдайте правильный регистр
имён параметров и внимательно следите за отступами
(точнее, за их отсутствием – все строки должны начинать-
ся строго с первой позиции). Кроме того, интерпретатор
Python по умолчанию ожидает увидеть в своём коде ис-
ключительно ASCII-символы, так что если хочется задать
какую-то строку на русском языке (пожалуй, кроме пара-
метра TITLE_PREFIX такая необходимость нигде возник-
нуть не должна), нужно первой строкой конфигурационно-
го файла добавить следующую:
# -*-coding: utf8 -*-
Причём именно UFT-8, независимо от вашей систем-
ной локали, – эта кодировка используется по умолчанию
во всех подсистемах CMS, и способа её изменить без глу-
бокого погружения в исходный код я не нашёл. Очевидно,
что и значение параметра в конфигурационном файле при-
дётся задавать в этой кодировке. Если ваш редактор не под-
держивает UTF-8, можно воспользоваться утилитой iconv
для последующего преобразования в Юникод:
$ iconv -f koi8-r -t utf-8 general_config.koi.py > ↵
general_config.py
Ну вот, собственно, и все приготовления. Можно запус-
кать сервер.
Первый запуск
Как я уже упоминал, Skeletonz поставляется со встроен-
ным веб-сервером. Запуск этого сервера осуществляет-
Пример страницы, тема «Dragon»
24
ся следующей командой из каталога, куда распакована
Skeletonz:
$ python launch_server.py
При таком запуске сервер останется активным, и вы смо-
жете в терминале отслеживать все его сообщения. Запус-
кать сервер в фоновом режиме придётся, например, сле-
дующим образом:
$ nohup python launch_server.py &>skeletonz.log &
Ожидать запросы веб-сервер будет на указанном в кон-
фигурации порту на всех сетевых интерфейсах. Способа
запустить его на конкретном интерфейсе я не нашёл, так
что если на всех интерфейсах он вам не нужен, придётся
использовать пакетный фильтр для запрета доступа на со-
ответствующие порты. Впрочем, в любом случае для «про-
мышленной» эксплуатации лучше использовать доступ че-
рез проски-сервер, о чём мы поговорим в разделе, посвя-
щённом вопросам развёртывания сайта на Skeletonz.
Если сообщение о том, что модуль sre устарел, кото-
рое будет появляться при каждом старте сервера, будет
вас сильно раздражать, можно подправить файл amilib/
simplejson/scanner.py, изменив в шестой строке имя моду-
ля sre на re.
Ну всё, теперь можете подключаться на соответствую-
щий порт и приступать к знакомству с этой CMS.
Обзор административных функций
На стартовой странице вас встретит приятный глазу лого-
тип, уведомление, что this page has no content, и две ссыл-
ки – на официальный сайт Skeletonz и административный
вход. Последней и воспользуемся, введя логин и пароль,
заданные в конфигурационном файле.
Здесь, щёлкнув по кнопке Admin,
вы сможете выполнять следующие
действия:
n Создавать/удалять пользовате-
лей и группы (User manager и Group
manager соответственно). Пользо-
ватель может принадлежать к одно-
му из двух типов: user (по умолча-
нию бесправный) и admin (по умол-
чанию обладающий всей полнотой
власти).
n Раздавать созданным пользовате-
лям и группам права на редакти-
рование отдельных страниц сайта
(Site manager).
n Смотреть, кто какие файлы загру-
жал (Upload manager), и при жела-
нии удалять загруженное. Однако
выполнить новую загрузку отсюда
нельзя.
n Создавать резервные копии сайта
(Backup manager). Для этого от вас
потребуется лишь указать имя
«снапшота», и после создания вы
 администрирование
сможете скачать себе архивную копию и сохранить дет просто скопировать в site_plugins (вручную; интерфейс
в надёжном месте. для добавления плагинов не предусмотрен).
n Просмотреть информацию о системных настройках Есть и один довольно неприятный момент – Skeletonz
(Site manager). Здесь же размещена полезная кнопка – выставляет адресом страницы её наименование, то есть
Terminate server, которая позволяет «культурно» оста- если создать страницу «Вопросы и ответы», то URL будет
новить сервер, а не «грохать» его командой kill (правда, выглядеть как «http://mysite.ru/Вопросы и ответы». Вроде бы
при запуске через nohup она не работает, так что в этом даже хорошо, но в некоторых браузерах в строке адреса
случае придётся-таки использовать kill). будет красоваться «http://mysite.ru/%D0%92%D0%BE%D0%
n Просмотреть синтаксис использования различных BF%D1%80%D0%BE%D1%81%D1%8B_%D0%B8_%D0%
плагинов, а некоторые из них и понастраивать (Plugin BE%D1%82%D0%B2% D0%B5%D1%82%D1%8B/».Так что
manager). хоть победа Юникода и неизбежна, но борьба будет дол-
n Наконец, выбрать одну из тем для сайта (Template гой и кровопролитной. Пока же в качестве обходного ма-
manager). К всеобщему сожалению, только выбрать – невра «прокатывает» следующий приём (правда, нет ни-
создавать и устанавливать придётся вручную. каких гарантий, что данная «фича» сохранится в будущих
версиях): всем вновь создаваемым страницам задавайте
Профессионалу «развернуться», конечно, негде, зато имена в латинице и без пробелов (так, как вам хотелось бы
новичок точно не заблудится.
Реклама
Наполнение сайта
Здесь в принципе всё просто – в режиме администрато-
ра (или под именем пользователя, которому делегирова-
ны права на редактирование данной страницы) заходим
на сайт и пользуемся доступными здесь «органами уп-
равления».
«Типовая» иерархия Skeletonz предусматривает нали-
чие двух уровней навигации: главное меню и (опциональ-
но) локальное меню страницы (Page tabs). Каждая ссылка
меню ведёт на определённую страницу. Содержимое стра-
ницы создаётся вручную, используя несложный синтаксис:
скажем, «%(b)text%» означает выделение текста text полу-
жирным шрифтом, «h1.» с последующим текстом – заго-
ловок первого уровня, и т. п. Чтобы посмотреть все воз-
можности, щёлкните кнопку Syntax help. При необходи-
мости никто не запрещает прибегать к HTML-синтаксису
(например, именно так придётся делать таблицы). Некото-
рые сложные элементы (скажем, те же меню) вставляются
как «плагины» (выглядят такие вставки следующим обра-
зом – [pagetabs=news]). Если что-то забыли, можно щёлк-
нуть на значке Add plugin syntax и выбрать нужный плагин
из списка (там же будет подсказка по параметрам).
Немного странно работает вставка изображений. Вам
нужно будет в режиме редактирования контента добавить
вызов плагина: [image=img2], где img2 – некоторое условное
наименование рисунка. Теперь, сохранив страницу, вы по-
лучите на месте изображения иконку-ссылку, позволяю-
щую загрузить файл. После загрузки изображение займёт
своё законное место, а управлять файлом можно будет че-
рез панель управления, раздел Upload manager.
Среди остальных плагинов: блоги, лента новостей (прав-
да, RSS-возможности оказываются практически неработос-
пособны из-за жёсткой привязки к iso-8859-1; править это
придётся в исходниках – amilib/PyRSS2Gen.py, dynamic_dirs/
rss/news_section_news.xml и ряде других файлов), некая па-
родия на wiki, подсветка текста и прочая «мелочёвка». Нель-
зя сказать, что все они близки к совершенству, но обеспе-
чить основную функциональность могут. Подгонка дизайна
обычно сводится к правке соответствующих классов в CSS-
файле шаблона. Для добавления нового плагина (если та-
кой посчастливится найти) каталог с его кодом нужно бу-

№11, ноябрь 2008 25

 администрирование
Эта же страница в режиме редактирования (тема «Default»)
видеть их URL). А позже можно будет изменить наименова-
ние страницы – в заголовках и меню оно изменится, а URL
останется прежним. Дело в том, что он сохраняется в дру-
гой SQL-таблице, которая не перезаписывается при изме-
нениях страницы – что бы вы ни делали со страницей, её
адрес останется таким, какой она получила при создании.
Сама по себе «фича» очень неприятная, поскольку, если
возникнет необходимость изменить URL страницы, при-
дётся создавать новую, а старую удалять. Ну или лезть ру-
ками в базу MySQL. Так что будьте внимательны и проду-
мывайте структуру сайта заранее.
Развёртывание сайта
Встроенный веб-сервер Skeletonz удобен для разработки
сайта, но не слишком хорош для «промышленной эксплуа-
тации». Одна из причин – необходимость в правах root для
запуска на 80-м порту.
Разработчики Skeletonz предлагают два варианта ре-
шения этой задачи – связка с Apache (потребуются моду-
ли mod_rewrite и mod_proxy) и при помощи прокси-серве-
ра Delegate. Смысл обоих сводится к тому, чтобы 80-й порт
прослушивался «сторонним» сервером, работающим в ре-
жиме прокси и пересылающим запросы серверу Skeletonz.
Подробности можно найти на сайте проекта, здесь для при-
мера остановимся на связке с Delegate.
Для начала в general_config.py рекомендуется вклю-
чить кэширование (USE_CACHING и BUILD_CACHE_ON_
START), а также установить переменную MODE в значение
deployment. Также придётся изменить параметр BASE_URL,
чтобы он указывал на адрес сайта с точки зрения клиен-
та.
Теперь следует решить проблему автоматического за-
пуска самой Skeletonz. В составе дистрибутива нет и на-
мёка на стартовый сценарий (учитывая, что сервер даже
не предусматривает работу в режиме демона, это неуди-
вительно), его придётся писать самому, используя для за-
пуска всё тот же «некрасивый» приём с nohup, а для оста-
нова – утилиту kill.
Ну и теперь запускаем Delegate (подробно этот сервер
рассматривался в журнале за октябрь 2008 года):
# delegated -P80 MOUNT="/* http://localhost:14002/* ↵
PERMIT="http:localhost:*"

Контроль версий Очевидно, что все эти сложности практически ставят

Несмотря на свою простоту, Skeletonz предоставляет и не- «крест» на использовании данной CMS в условиях вирту-
которые функции контроля версий – изменения каждой ального хостинга, поэтому область её применения сужается
страницы отслеживаются, и вы имеете возможность про- до подконтрольных вам серверов (веб-сайт компании, внут-
смотреть внесённые изменения и при необходимости «от- рисетевой сайт, страничка «кампусной» сети и т. п.).
катиться» на любую версию.
Для использования этих возможностей щёлкните, нахо- Резюме
дясь в режиме администрирования страницы, кнопку «Page Итак, из плюсов: простота и понятность, неплохое быстро-
log». А дальше вопросов возникать не должно. действие, низкое ресурсопотребление. Для себя я отме-
чаю ещё язык Python, хотя это уже довольно субъектив-
Темы но. Недостатки: «сырость» проекта, невысокие темпы раз-
В дистрибутиве Skeletonz присутствуют три темы – Default работки, отсутствие нормального механизма развёртыва-
(на её базе создан официальный сайт CMS – http:// ния, проблемы с «не-Юникодом», не слишком богатый вы-
orangoo.com/skeletonz), сверхупрощённая Dummy и ориги- бор плагинов.
нальная, но слишком неэкономно использующая рабочее Как видите, Skeletonz ещё очень далека от совершенс-
пространство Dragon. Если вас в них что-то не устраива- тва. Если вы планируете (не обязательно прямо сейчас) раз-
ет или же хочется чего-то совсем иного, выход один – соз- вивать свой сайт в направлении интерактивности, если вам
дание своей темы (возможно, на основе одной из сущес- в будущем может понадобиться большая гибкость дизайна,
твующих). если хочется вместо ручной вёрстки шаблонов просто под-
Рассматривать здесь данный процесс не будем. Ска- ключать готовые компоненты – изучайте Joomla! или что-
жу лишь, что «верстать» тему придётся вручную. Помимо то не менее мощное. Если же ваши амбиции в ближайшие
знаний HTML и CSS, вам понадобится умение использо- годы не выходят за рамки небольшого информационного
вать шаблоны Cheetah, а также нужно будет иметь пред- сайта на сервере компании и не пугает вывод «обратной
ставление о «стандартных объектах», предоставляемых трассировки» интерпретатора Python при ошибках плаги-
системой Skeletonz. Если интересно, на официальном сай- нов, то Skeletonz вполне способна взять на себя большую
те есть пример разработки собственной темы. Добавле- часть рутины, оставив вам лишь задачу наполнения сайта.
ние темы сводится к копированию соответствующего ка- А там – кто знает? – может, и появится пара-тройка по-на-
талога в templates. стоящему шикарных тем и мощных дополнений.

26
 администрирование

Lustre FS.
Настраиваем и используем
кластерную систему
в промышленных масштабах
Часть 1

Виталий Банковский
Наши постоянные читатели уже заметили, что редакция периодически публикует статьи,
связанные с кластерными технологиями. Представляем очередную повесть об использовании
кластерной файловой системы Lustre FS.

У
же прошли те времена, когда сай-
тов было мало и пользователи
были согласны ждать, пока «упав-
ший» сайт «подымется». В Интернете
при столь высокой конкуренции даже построить устойчивый сервис, должен
пятиминутный сбой в работе сервиса начать с ее основ – отказоустойчивой
вызывает отток пользователей к кон- файловой системы. Про одну такую
куренту. Поэтому каждый, кто хочет файловую систему и пойдет речь.

№11, ноябрь 2008 27

 администрирование
Обзор современных
кластерных систем
В этом разделе приведен список ак-
тивно развиваемых кластерных фай-
ловых систем, включая коммерчес-
кие решения.
n GFS. Высоконадежная файловая
система для совместного исполь-
зования хранилищ Storage Area
Network (SAN). Элементом хране-
ния является блок файловой сис-
темы. Для исключения конфликтов
при доступе к файлам использует-
ся распределенный блокировщик
доступа Distributed Lock Manager
(DLM). Из-за этого у GFS очень низ-
кая масштабируемость и низкая
производительность при большом
количестве обращений серверов-
клиентов.
n LustreFS. Высоконадежная файло-
вая система с двумя подсистема-
ми – сервер метаданных для хра-
нения информации о файлах и сер-
вер для хранения самих данных.
Используется в больших вычисли-
тельных центрах. Пятнадцать су-
перкомпьютеров из мирового top30,
включая Blue Gene/L, использу-
ют именно эту файловую систе-
му. Элементом хранения является
файл, в отличие от файловой сис-
темы GFS.
n GlusterFS. На данный момент на-
ходится в активной разработке
и не рассматривается как пригод-
ная для использования в промыш-
ленных масштабах.
n Google FS. Высоконадежная фай-
ловая система, устойчивая к сбо-
ям. Но доступна только для исполь-
зования в приложениях, написан-
ных с помощью инструментария
Google API.
Немного истории из личного опы-
та по использованию кластерных фай-
ловых систем.
Автор этих строк успешно устано-
вил и запустил в работу комплекс с ис-
пользованием GFS, который включал
в себя:
n HP StorageWorks 1000 как Storage
Attached Network (SAN);
n пять серверов с операционной сис-
темой Linux;
n коммутатор FiberChannel для под-
ключения серверов и вышеуказан-
ного SAN.
28
Основные современные кластерные системы
Название Производитель/владелец
GFS RedHat Inc
Lustre Sun Microsystems, Inc
GlusterFS http://www.gluster.org
Google FS Google, Inc
Этот комплекс предполагался для
построения отказоустойчивого храни-
лища статистического контента для
веб-сайта. Максимальная скорость
отдачи такого комплекса достига-
ла 1 gbps, но при при повышении на-
грузки начали сказываться недостат-
ки Distributed Lock Manager, так как пе-
ред открытием файла сервер должен
опросить все серверы для блокиров-
ки какого-то блока файловой системы
и получить подтверждение, что блок
свободен. В связи с низкой произво-
дительностью я продолжил иссле-
дование кластерных файловых сис-
тем и остановился на файловой сис-
теме Lustre.
Обзор структуры
файловой системы Lustre
Файловая система Lustre (далее –
Lustre) состоит из следующих под-
систем:
n Сервер метаданных (MetaData
Server (MDS)), который хранит
имена файлов и каталогов и их
права.
n Серверы для хранения самих
данных (Object Storage Servers
(OSSes)). Общий объем доступно-
го пространства Lustre вычисляет-
ся как сумма пространств на этих
серверах.
n Клиенты. Серверы, которые име-
ют доступ к файловой системе
Lustre.
MDS, OSSes и клиенты могут распо-
лагаться как и на одном сервере, так и
на разных серверах. Для взаимодейс-
твия Lustre поддерживает различные
протоколы, включая Infiniband, TCP/IP
поверх Ethernet, Myrinet и Quadrics.
OSS поддерживает файловую сис-
тему (на данный момент – ext3, в бу-
дущем – ZFS) для хранения локаль-
ных данных, которая экспортирует-
ся в кластер для операций чтения/за-
писи.
Лицензия Примечания
GPL Используется распределенная система
блокировки
GPL Используется центральный сервер метаданных
GPL Запускается на уровне пользователя. Все еще
находится в состоянии разработки
Доступна как часть –
Google API
Когда клиент пытается получить
доступ к файлу, он обращается к серве-
ру MDS за получением ссылки на OSS,
где хранится сам файл, и в дальней-
шем взаимодействует уже с конкрет-
ным сервером OSS.
Когда клиент пытается изменить
файловую систему (например, запись
файла), то он делегирует эту операцию
серверу MDS. Таким образом мы по-
лучаем практически линейное масш-
табирование (особенно в режиме чте-
ния), в отличие от блочных кластерных
систем, таких как GFS, где клиент дол-
жен получить разрешение от всех сер-
веров на модификацию блоков, прина-
длежащих какому-то файлу.
Это также обеспечивает целост-
ность данных, так как модификацию
данных производит только сервер
MDS, а не несколько клиентов, кото-
рые потенциально могут неправильно
работать с файловой системой.
Установка
В свой работе я использую CentOS, по-
этому описание процедуры установки
и настройки будет ориентировано на
этот дистрибутив.
Сначала нужно получить по адре-
су http://www.sun.com/software/products/
lustre/get.jsp следующие компоненты:
n ядро Linux с специальными патча-
ми для Lustre;
n сами исходники Lustre.
Я использовал ядро версии
2.6.16.54 и версию 1.6.5 Lustre, кото-
рые были доступны по вышеуказанно-
му адресу на момент установки.
Настройка и установка ядра
Linux
Здесь процедура настройки, компи-
ляции и установки ядра не отличается
от типичных, за исключением следую-
щих параметров настроек ядра:
n должна быть включена поддержка
Quote, ext3;

Топология сети и файловой системы Lustre
n должна быть выключена поддержка preemt;
n также обязательна поддержка модулей.
Настраиваем, компилируем, устанавливаем новое ядро
и перезагружаем. Эта процедура должна быть повторена
на всех серверах MDS, OSS и серверах-клиентах.
Как вариант компания Sun Microsystems предоставляет
предкомпилированные компоненты в формате .rpm и .deb.
Настройка и установка программы Lustre
Процесс установки программных компонентов Lustre то-
же не отличается особой оригинальностью и выполняется
следующими шагами:
tar -xzvf lustre-1.6.5.tar.gz
cd lustre-1.6.5
./configure
make
make install
Настройка и запуск системы
Первым шагом необходимо подготовить сервер MDS, кото-
рый будет хранить метаданные. Для этого следует выделить
отдельный раздел для этих данных и отформатировать:
mkfs.lustre --mdt --mgs --fsname=webstorage /dev/sdb
mount -t lustre /dev/sdb /mnt/mdt
где:
n параметр webstorage – имя файловой системы, использу-
емое для идентификации хранилища внутри кластера;
n устройство /dev/sdb – раздел для хранения метаданных.
Примечание. Lustre FS поддерживает хранение и в фай-
ле, но с небольшой потерей производительности и надеж-
ности из-за дополнительного слоя (файловой системы,
где хранится файл данных).
Следующий наш шаг – форматирование и подключение
серверов OSS, где будут храниться данные.
№11, ноябрь 2008
администрирование
На OSS1 выполняем следующие шаги:
mkfs.lustre --ost --fsname=webstorage ↵
—mgsnode=mds.domain.com@tcp0 /dev/sdb
mount -t lustre /dev/sdb /mnt/ost1
где:
n параметр webstorage – имя файловой системы;
n параметр mds.domain.com – адрес сервера MDS (обя-
зательно, чтобы все серверы кластера могли получить
IP по этому имени через DNS или путем прописывания
записей в /etc/hosts) или можно использовать IP-адрес
сервера MDS;
n устройство /dev/sdb – место для хранения самих дан-
ных.
Аналогично выполняем эти же шаги на серверах
oss2.domain и oss3.domain.com, причем разделы для хране-
ния данных могут быть отличными от разделов, используе-
мых на других OSS. И теперь самое главное – подключение
клиентов к нашей кластерной файловой системе:
mount -t lustre mds.domain.com:/webstorage /mnt/lustre
где:
n mds.domain.com – адрес нашего MDS (mds.domain.com);
n webstorage – имя файловой системы;
n /mnt/lustre – точка монтирования, где клиенты могут за-
писывать и читать файлы.
Конечно, процесс запуска MDS, OSS и клиентов нужно
прописать в файле /etc/fstab, чтобы при загрузке серверов
активировались соответствующие сервисы (MDS и OSS)
и подключались клиенты к файловой системе.
Строка для сервера MDS для файла /etc/fstab:
/dev/sdb /mnt/mdt lustre defaults 0 0
Строка для серверов OSS для файла /etc/fstab:
/dev/sdb /mnt/ost lustre defaults 0 0
Строка для клиентов для файла /etc/fstab:
mds.domain.com:/webstorage /mnt/lustre lustre defaults 0 0
Заключение
В первой части статьи я рассмотрел первые шаги по со-
зданию хранилищ на основе кластерной системе Lustre.
Во второй части я планирую описать такие необходимые
операции, как увеличение надежности хранилища, проце-
дуру создания архивных копий.
1. http://en.wikipedia.org/wiki/GPFS.
2. http://en.wikipedia.org/wiki/Google_File_System.
3. http://en.wikipedia.org/wiki/Global_File_System.
4. http://en.wikipedia.org/wiki/Lustre_(file_system).
5. http://en.wikipedia.org/wiki/List_of_file_systems.
29
 администрирование

VMware Esxi – виртуализация

уровня предприятия

Виктор Карабедянц
В свете выхода Microsoft Hyper-V компания VMware идет на беспрецедентный шаг, делая
бесплатной систему виртуализации уровня предприятия – Esxi. Давайте разберемся,
что скрывается под этим названием.

Версии Esxi Какая разница между Esx и Esxi?

Сколько же версий у такого продукта как Esxi? Существует Главное отличие Esx от Esxi – это наличие сервисной кон-
две версии Esxi: соли, которая имеет размер около 2 Гб, сам же гиперви-
n Esxi embedded – поставляется на CompactFlash зор VMkernel очень маленький. Сервисная консоль для Esx
с серверами HP, IBM, DELL. строится на базе RedHat, видимо, поэтому многие думают,
n Esxi installable – тот же Esxi, единственное отли- что Esx это разновидность Linux. Esxi cостоит из очень ма-
чие, как видно из названия, – его можно установить ленького по размеру Linux и гипервизора. Для простоты ус-
самому. тановки и администрирования из него было вырезано все

30
 администрирование
от «старшего брата». Без большой со-
ставляющей Linux-консоли он занима- Что не вошло в Free License Esxi?  VMware Distributed Resource Scheduler
ет 32 Мб. Подробнее обо всех отличи- Технологии VMware Infrastructure (DRS) позволяет динамически распре-
ях Esx и Esxi можно узнать из офици-  VMotion – технология, которая позво- делять ресурсы между виртуальны-
альной документации [1]. ляет в реальном времени перемещать ми машинами по заданным правилам.
виртуальные машины с одного Esx-сер- Можно организовать дополнительную
Функционал вера на другой, при этом виртуальная мощность путем переноса работаю-
бесплатной версии машина всегда находится в состоянии щих и критически загруженных вирту-
Опишу, какие технологии все-таки онлайн. Виртуальные машины должны альных машин на другой физический
поддерживает Free License Esxi: храниться на дисковом массиве, кото- сервер, используя VMware VMotion.
n VMFS – файловая система, разра- рый видят оба Esx-сервера. Vmotion ле-  Средство централизованного обновле-
ботанная компанией VMware спе- жит в основе таких технологий как DPM, ния Update Manager позволяет упрос-
циально для работы виртуальных DRS, Storage Vmotion, High Availability. тить и автоматизировать обновление
машин. Подробнее об этой фай-  Storage Vmotion позволяет обойти огра- Esx-серверов.
ловой системе можно прочитать ничения с единым хранилищем для вир-  High Availability отслеживает состояние
в официальной документации [2]. туальных машин. Машины могут быть виртуальных машин и в случае сбоя ап-
n Virtual SMP – обеспечивает под- перемещены между хранилищами дан- паратного обеспечения включает их
держку многопроцессорности ных без выключения. на других серверах по заданным пра-
в виртуальных машинах.  У хостов Esx Server появилась воз- вилам.
n Core hypervisor functionality – можность экономии электроэнергии  Consolidated Backup – встроенное сред-
собственно сам гипервизор. при падении загрузки виртуального ство бэкапа виртуальных машин.
центра обработки данных для серверов  Агент Virtual Center. Virtual Center – не-
Устанавливаем Esxi VMware Esx. Это достигается за счет отъемлемая часть Virtual Infrastructure
Перейдем к установке Esxi. Для этого использования функций распреде- от VMware. С помощью Virtual Center
нам понадобится установочный дис- ленного управления питанием VMware можно управлять всеми хостами из од-
трибутив, его можно найти по ссыл- Distributed Power Management, которые ной консоли. Без Virtual Center невоз-
ке [3]. Регистрация на сайте бесплат- позволяют автоматически включать можна ни одна из перечисленных тех-
ная. После регистрации и загрузки серверы Esx при возрастании нагрузки нологий. Продукт требует установки
Esxi на регистрационный адрес будет и при падении переводить хосты в ре- на отдельный сервер, при этом исполь-
автоматически доставлена ссылка жим Standby. зует базу MS SQL.
на ключ, который в дальнейшем пона-
добится. Записываем образ на диск, вставляем в CD/DVD- После установки клиента запускаем приложение и вхо-
привод и загружаем сервер. Полный список поддерживае- дим под учетной записью root, используя пароль, который
мого оборудования можно найти по ссылке [4]. мы вводили на этапе конфигурирования (см. рис. 2).
После загрузки и инициализации оборудования получа- Мы попадаем в консоль управления Esxi. Первое, что мы
ем простенькое меню – понятно, что о красивой графике сделаем, это введем наш лицензионный ключ: как вы ви-
речь не идет. Начнем установку, нажав клавишу <Enter>. дите, без ключа у нас есть всего 60 дней на использова-
Читаем условия лицензии и подтверждаем, нажав кла- ние продукта.
вишу <F11>. Далее нам предлагают выбрать жесткий диск, Переходим на вкладку Configuration, выбираем «License
на который мы можем установить Esxi. Source → Edit…» Переходим по ссылке, которую мы полу-
Выбираем диск, нажимаем <F11> для установки. Вся чили на этапе загрузки инсталляционного дистрибутива,
инсталляция по времени не занимает и 5 минут; после ус- и вводим полученный ключ (см. рис. 3).
тановки необходимо перезагрузить сервер.
Сервер загрузился, необходимо произвести минималь-
ные настройки (см. рис. 1). Установим пароль суперполь-
зователя root и настроим сеть управления: configure root
password и configure management network соответственно.
Производим настройки IP, шлюз, имя хоста и DNS.
После настройки сервер предложит перезапустить
management network для применения настроек. После пе-
резапуска мы с помощью браузера можем перейти по ссыл-
ке http://имя_или_адрес_нашего_Esxi.

Устанавливаем клиент,
настраиваем сервер
В отличие от старшего брата, у Esxi нет консоли управле-
ния через web. Для управления сервером нам необходимо
установить клиент VMware Infrastructure Client, ссылка на ко-
торый находится на странице приглашения. Рисунок 1. Меню настроек

№11, ноябрь 2008 31

 администрирование
Рисунок 2. VMware Infrastructure
Client
Рисунок 3. Настройка лицензий
После этой операции мы получаем
лицензионный Free License Esxi, не ог-
раниченный по времени использова-
ния. На закладке Configuration раз-
мещаются настройки сети, хранилищ,
SAN-адаптеров, времени и лицензи-
рования. На закладке Virtual Machines
мы можем посмотреть статус вирту-
альных машин, количество оператив-
ной памяти, которые они потребляют,
а также загрузку процессора. Загруз-
ку Esxi-сервера по памяти, процессо-
ру, диску, сети можно посмотреть на
закладке Performance.
У меня на сервере, как и на боль-
шинстве серверов, имеются две сете-
вые карты. Настроим их, как показа-
но на рис. 4. Одна сетевая карта необ-
ходима только для конфигурирования
Esxi (Management Network), вторая бу-
дет использоваться виртуальными ма-
шинами (VM Network).
Переходим на следующую заклад-
ку: Configuration, раздел Network, до-
бавляем сеть – Add Network. В масте-
ре выбираем Virtual Machine, указыва-
ем сетевую карту, которая будет отве-
чать за VM Network.
32
Сохраняем настройки. Теперь не- ку Console и начинаем устанавливать
обходимо удалить существующую VM операционную систему (см. рис. 6).
Network. Для этого в Properties пер- После установки виртуальной ма-
вой сетевой карты выполним Remove шины нам необходимо установить
VM Network. VMware tools. Все работает и без них,
После всех настроек должна по- но VMware tools содержат дополни-
лучиться конфигурация, показанная тельные драйверы и компоненты, по-
на рис. 5. этому хуже не будет. Для установки на-
жимаем правой клавишей мыши на на-
Создаем виртуальные шу виртуальную машину второй кноп-
машины кой и выбираем меню Install/Upgrade
Esxi, как и Esx, обеспечивает виртуа- VMware tools, на гостевой операци-
лизацию всех массовых операционных онной системе запустится инсталля-
систем, таких как: Windows 2008, 2003, ция. Если у вас на гостевой операци-
Vista, XP, 2000, NT 4.0, Linux, Solaris,онной системе по умолчанию выклю-
Netware. Полный список поддержива- чен автозапуск, необходимо перей-
емых операционных систем можно уз- ти на CD/DVD-ROM и вручную запус-
нать по ссылке [5]. тить Setup.exe. Если в качестве гос-
Приступим к установке гостевой тевой операционной системы высту-
операционной системы. Для этого не- пает Linux, монтируем CD/DVD-ROM
обходимо создать виртуальную ма- и запускаем RPM или распаковыва-
шину. На закладке Getting Started на- ем и компилируем tar.gz. Запускаем
жимаем на ссылку Create a new virtual скрипт конфигурирования vmware-
machine, запустится мастер, который config-tools. Для конфигурации могут
поможет нам создать первую вирту- понадобиться gcc и исходники ядра.
альную машину. Мы будем использо- Теперь машина полностью гото-
вать стандартные настройки, введем ва к работе.
имя виртуальной машины, укажем,
где будут храниться ее диски и на- Полный контроль?
стройки: какая гостевая операцион- Unsupported
ная система у нас будет установлена Данный режим не поддерживается
(в моем случае Windows 2003 Server), официально, но все же бывают слу-
количество процессоров и памяти; се- чаи, когда необходимо получить дос-
тевая карта VM Network, объем жест- туп на сервер по SSH и исправить на-
кого диска виртуальной машины. Все стройки, например для драйверов.
настройки зависят только от аппарат- Также только из консоли можно соз-
ного обеспечения сервера. давать thin-диски для виртуальных
В настройках виртуальной машины машин с помощью vmkfstools (такие
мы можем указать, с какого CD/DVD- диски увеличиваются в объеме толь-
привода источника начать инсталля- ко с наполнением данных, по умолча-
цию. Это может быть CD/DVD-ROM нию диск занимает все место, отведен-
клиента VMware Infrastructure, серве- ное под него). Возможно, в следующей
ра, хранилище ISO-образов. версии это будет реализовано в клиен-
Включаем виртуальную машину те VMware Infrastructure.
и монтируем нужный нам CD/DVD‑ROM После загрузки Esxi нажимаем
либо образ ISO. Переходим на заклад- <ALT> + <F1> и набираем в консоли
Рисунок 4. Схема сети
 администрирование
unsupported (символов не видно), вводим пароль root и по-
падаем в консоль. Теперь нам необходимо сделать доступ
через ssh, для этого редактируем файл /etc/inetd.conf:

#vi /etc/inetd.conf

Раскомментируем строку c SSH, сохраняем файл и вы-

ходим. Перезапускаем inetd:

#ps –aux | grep inetd

#kill "имя полученного процесса"
#inetd
Рисунок 5. VM Network и Mananagement Network
Теперь мы можем заходить на наш сервер любым кли-
ентом SSH, но нас будут предупреждать, что данный ре- После восстановления необходимо перезагрузить
жим не поддерживается. сервер.

Бэкап?
Бэкап Esxi – это сомнительное мероприятие: установка
5 минут и настройка 10, все машины лежат на диске. Де-
лать или не делать бэкап? Выбор за вами. Если не хотите
в критический момент заниматься настройкой сети и уста-
навливать пароли, то создаем бэкап. Для этого нам пона-
добится VMware Infrastructure Remote CLI, найти его мож-
но по ссылке [6]. Качаем и устанавливаем. Далее запус-
каем скрипт, который по умолчанию находится по адресу
C:\Program Files\VMware\VMware VI Remote CLI\bin:
vicfg-cfgbackup.pl --server <server_name> ↵
-s <backup_file_name> для создания бэкапа
vicfg-cfgbackup.pl --server <server_name> ↵
-l <backup_file_name> для восстановления
Заключение
Мы рассмотрели основные настройки Esxi, использова-
ние которого даст вам возможность виртуализации уровня
предприятия. В следующей статье рассмотрим, как на ос-
нове Esxi построить отказоустойчивый кластер.
1. ht tp: // kb.vmware.com /selfser vice/microsites /search.do?
language=en_US&cmd=displayKC&externalId=1006543.
2. http://www.vmware.com/ru/products/vi/esx/vmfs_features.html.
3. https://www.vmware.com/tryvmware/login.php?eval=esxi&t=1.
4. http://www.vmware.com/resources/techresources/1032.
5. http://www.vmware.com/pdf/GuestOS_guide.pdf.
6. http://www.vmware.com/download/vi/drivers_tools.html.

Рисунок 6. Запуск первой виртуальной машины

№11, ноябрь 2008 33

 администрирование

Создаём сервер сетевой

установки Fedora/RHEL

Андрей Маркелов
Дистрибутив Fedora использует для установки весьма мощную и многофункциональную
программу Anaconda, поддерживающую различные режимы работы и сценарии инсталляции.
Вместе с рядом других технологий, в частности Spacewalk-сервером, вы можете значительно
облегчить процесс развертывания и обслуживания вашей Linux-инфраструктуры.

О
днако сегодня мы оставим
Spacewalk-сервер в стороне
и рассмотрим, как можно авто-
матизировать самую начальную ста-
дию жизненного цикла серверов/ра-
бочих станций – их развертывание.
При этом в процессе установки мы пос-
тараемся обойтись без вмешательства
оператора при помощи так называемо-
го сервера сетевой установки. Для ор-
ганизации такого сервера мы исполь-
зуем следующие технологии:
n P X E ( P r e - B o o t E x e c u t i o n
Environment). Минимальное вме-
шательство человека подразуме-
вает загрузку первой стадии инс-
таллятора по сети. Большинство
выпущенных за последние два-три
года сетевых карт и BIOS материн-
ских плат поддерживают эту функ-
цию. Как правило, загрузка по сети
начинается, если на жестком диске
отсутствует загрузчик, при старте
нажата клавиша <F12> или в BIOS
выбран соответствующий пункт
меню. Первый вариант – отсутс-
твие загрузчика на жестком дис-
ке – нас вполне устраивает.
n DHCP-сервер. Предоставляет кли-
ентам сетевые настройки и указы-
вает место, где будут располагать-
ся файлы, необходимые для за-
грузки с использованием Pre-Boot
Execution Environment.
n TFTP-сервер. Там мы и располо-
жим все необходимые для нача-
ла инсталляции файлы. Нужно за-
метить, что мы можем одновре-
менно поддерживать несколько
вариантов дистрибутива, напри-
мер, Fedora 9 и Red Hat Enterprise
Linux 5.

34

n Kickstart-файлы. Для каждого из дистрибутивов мож-
но предусмотреть несколько вариантов установки, ко-
торые и будут задаваться при помощи kickstart-файлов.
Kickstart-файл должен быть доступен по сети при помо-
щи одного из протоколов: http/https, NFS, FTP. Необходи-
мый kickstart-файл можно указывать и вручную, но, пос-
кольку мы хотим максимально автоматизировать раз-
вертывание операционной системы, то нужно предус-
мотреть возможность автоматического выбора. Реали-
зовать это можно следующими способами:
 При помощи DHCP-сервера в зависимости от MAC-
адреса клиента.
 При помощи настроек PXE (конфигурационных фай-
лов первой стадии загрузчика – pxelinux.0) в зависи-
мости от MAC- или IP-адреса, полученного с DHCP-
сервера. В последнем случае может понадобиться
резервирование IP-адресов на DHCP-сервере.
 При помощи Spacewalk-сервера. Мы не будем рас-
сматривать данный вариант, но заметьте, что в за-
висимости от того, в какой из диапазонов IP-адресов
попадает клиент, Spacewalk-сервер может выдавать
свой kickstart-файл. При этом его содержимое будет
создаваться «на лету» из базы данных, а на DHCP-
сервере или при помощи настроек pxelinux.0 можно
будет всегда задавать одно и то же месторасполо-
жение этого «динамического» kickstart-файла.
n Сетевой репозиторий. Файлы дистрибутива, доступ-
ные по http, NFS, FTP или по всем трем протоколам. Быс-
трее всего установка будет производиться при выборе
метода установки по NFS. Медленнее всего – по http.
Теперь попробуем собрать все компоненты вмес-
те. Не буду подробно объяснять ключи командной строки
или подробности работы протоколов – ответы на эти вопро-
сы можно найти в обширной документации, включая офи-
циальную от Red Hat. Приведу рецепт решения конкретной
задачи. Также обратите внимание на утилиту system-config-
netboot, которая может упростить некоторые шаги. Однако
в учебных целях не будем пользоваться GUI. Подробно ис-
пользование system-config-netboot описано в руководстве
системного администратора из комплекта официальной до-
кументации Red Hat Enterprise Linux (см. рис. 1).
Для начала установим и настроим автоматический за-
пуск tftp-сервера:
# yum -y install tftp-server
# chkconfig tftp on
# service xinetd start
По умолчанию корневой директорией tftp-сервера
в RHEL5 выступает /tftpboot, а в Fedora 9 – /var/lib/tftpboot.
Если вы решите использовать директорию, отличную от ус-
тановленной по умолчанию, не забудьте прописать соответ-
ствующие правила в своем модуле SELinux.
Скопируйте в избранный каталог необходимые файлы.
Для начала нам необходима первая стадия загрузчика –
файл pxelinux.0. Документация на загрузчик и сам файл
привносятся в систему пакетом syslinux:
# yum -y install syslinux
№11, ноябрь 2008
администрирование
Рисунок 1. Утилита system-config-netboot
Далее копируем загрузчик в корневую директорию tftp-
сервера:
# cp $(rpm -ql syslinux | grep pxelinux.0) ↵
/var/lib/tftpboot/
Создадим сервер инсталляции для двух дистрибутивов.
В качестве примера возьмем Fedora 9 и Red Hat Enterprise
Linux 5.1, но пойдет и любой другой дистрибутив, использу-
ющий Anaconda. Скопируем в /tftpboot ядро и initrd-образы
обоих дистрибутивов, которые расположены в директории
/images/pxeboot/ установочного диска. Предположим, оба
ISO-образа дистрибутивов смонтированы в /mnt/loop/:
# mkdir /var/lib/tftpboot/{fedora9,rhel51}
# cp /mnt/loop/RHEL_5.1/images/pxeboot/* ↵
/var/lib/tftpboot/rhel51/
# cp /mnt/loop/Fedora9/images/pxeboot/* ↵
/var/lib/tftpboot/fedora9/
Поскольку у нас два варианта дистрибутивов, предоста-
вим оператору возможность выбора. Пусть в качестве ин-
формации наш загрузчик выводит на экран возможные ва-
рианты. Создадим текстовый файл /var/lib/tftpboot/boot.msg
примерно следующего содержания:
--------------------------
MY SETUP MENU FOR PXE BOOT
--------------------------
f - install Fedora 9
r - install RHEL 5.1
q - boot normally
Кстати, в файле /usr/share/doc/syslinux-*/syslinux.doc (по-
мимо опций, использующихся в конфигурационном файле
загрузчика) описано, как сделать информационное сообще-
ние более «веселым», добавив цвета, страницы, переклю-
чаемые при помощи функциональных клавиш, и различные
управляющие символы. Теперь пришло время создать кон-
фигурационный файл загрузчика, пользуясь все тем же ру-
ководством /usr/share/doc/syslinux-*/syslinux.doc:
# mkdir /var/lib/tftpboot/pxelinux.cfg
# vi /var/lib/tftpboot/pxelinux.cfg/default
Наш конфигурационный файл, используемый PXE
по умолчанию, будет содержать следующие строки:
default q
display boot.msg
prompt 1
timeout 100
35
 администрирование
Рисунок 2. Утилита system-config-kickstart
label q
localboot 0
label f
kernel fedora9/vmlinuz
append initrd=fedora9/initrd.img ↵
ks=http://192.168.0.100/f9.cfg
label r
kernel rhel51/vmlinuz
append initrd=rhel51/initrd.img ↵
ks=http://192.168.0.100/rhel51.cfg
Вариант загрузки с меткой q описывает загрузку с ло-
кального диска. Данный вариант используется по умол-
чанию. Для загрузки ядра Fedora или RHEL необходи-
мо выбрать f или r. Заметьте, мы воспользовались са-
мым простым способом предоставления информации
о kikstart-файле через параметры ядра, передаваемые
опцией append. В случае использования Spacewalk-сер-
вера можно было бы обойтись одним «динамическим»
путем к kikstart-файлу. Без него, если необходимо, мож-
но добавить еще несколько меток, указывающих на дру-
гие файлы, например:
label f2
kernel fedora9/vmlinuz
append initrd=fedora9/initrd.img ↵
ks=http://192.168.0.100/f9_2.cfg
Следующий компонент нашего сервера – служба DHCP.
Устанавливаем его:
# yum -y install dhcp
# cp /usr/share/doc/dhcp-*/dhcpd.conf.sample ↵
/etc/dhcpd.conf
С учетом того, что имя kikstart-файла передается без по-
мощи DHCP, а также упростив конфигурацию и не исполь-
зуя классы вендоров, отредактируем нашу область, доба-
вив два параметра:
filename "pxelinux.0";
next-server 192.168.0.100;
36
Остальные настройки используют-
ся в соответствии с вашими пожела-
ниями. Конфигурирование DHCP-сер-
вера, как и написание kickstart-файла,
выходит за рамки этой статьи. Предпо-
лагается, что читатель может самосто-
ятельно скопировать содержимое дис-
трибутива на сервер и сделать его до-
ступным по NFS, FTP или http. В слу-
чае необходимости смотрите соответс-
твующую документацию по настройке
этих служб.
Создание kickstart-файла также
не должно представлять сложностей.
Его формат подробно описан в доку-
ментации Red Hat. Проще всего соз-
дать его при помощи GUI-утилиты
system-config-kickstart или взяв за ос-
нову /root/anaconda-ks.cfg (cм. рис. 2).
Итак, все готово для начала сете-
вой установки. Включаем тестовую ра-
бочую станцию или запускаем виртуальную машину и на-
блюдаем следующую картину (см. рис. 3).
Вводом имени соответствующего пункта меню запус-
каем инсталляцию соответствующего варианта дистри-
бутива.
Как вы видите на рис. 3, до использования конфигу-
рационного файла default загрузчик ищет конфигурацион-
ные файлы, соответствующие вашему MAC-адресу, IP-ад-
ресу и подсетям. Этим можно воспользоваться для созда-
ния конкретных комбинаций «дистрибутив/kickstart-файл»
для определенных серверов или рабочих станций. Управ-
лять привязкой IP-адресов к конкретным машинам можно
в конфигурационном файле DHCP-сервера, используя ре-
зервирование IP-адресов и классы вендоров.
Приведенное решение является лишь «заготовкой»,
на основе которой вы можете самостоятельно собрать нуж-
ную вам конфигурациию сервера инсталляции. Следую-
щим шагом я бы порекомендовал попробовать посмотреть
в сторону Spacewalk-сервера, являющегося Open Source-ре-
шением для управления Linux-инфраструктурой и помимо
прочих задач также служащего для развертывания серве-
ров и рабочих станций.
Рисунок 3. Процесс загрузки PXE
 администрирование

Технология борьбы со спамом DKIM

Сергей Яремчук
Несмотря на обилие различных технологий борьбы со спамом, последний до сих пор
составляет львиную долю почтового трафика. В 2005 году на рассмотрение IETF в качестве
стандарта аутентификации отправителя был предложен еще один стандарт DomainKeys
Identified Mail (DKIM), разработчики которого предлагают свой способ решения этой задачи.

С
егодняшние антиспам-решения
проверяют сообщение на всем
пути его следования, начиная
с проверки легитимности пользова-
теля на этапе отправки, заканчивая
фильтрами, встроенными в почтовый
клиент. Кроме достоинств каждый ме-
тод имеет и свои недостатки, часто ме-
шающие его полноценному исполь-
зованию. О различных решениях уже
не раз говорилось на страницах жур-
нала, потому заострять внимание на
них не буду.
На дальнейшую обработку приня-
того к доставке SMTP-сервером спам-
сообщения будут затрачены опреде-
ленные ресурсы. Именно поэтому на-
ибольший интерес всегда представ-
ляли технологии, позволяющие отсе-
ивать нежелательные сообщения в са-
мом начале пути. Предложено несколь-
ко методов – аутентификация пользо-
вателя перед отправкой сообщения,
рекомендованная в RFC 2505, цвет-
ные списки [1, 2], а также подтверж-
дение прав отправителя – SenderID
(RFC 4407, поддерживается Microsoft)
и SPF (RFC 4408, OpenSource) [3]. Ка-
залось бы, каждая в отдельности мог-
ла бы решить проблему спама, но, как
видно, в реальности это далеко не так.
По информации, опубликованной
в Kaspersky Security Bulletin 2007, доля
спама в почтовом трафике в среднем
составила 79% [5]. Отслеживать «бе-
лые» и «черные» адреса и домены не-
просто, к тому же нередки случаи за-
несения в balcklist нормальных адре-
сов. Количество серверов, использу-
ющих технологии SPF и SenderID, со-
ставляет лишь каплю в море, поэтому
они часто используются только с од-
ной целью – «обелить» отправителя.
Вместо блокировки адреса, не про-
шедшего проверку, ему просто начис-
ляют штрафные балы.
Но если посмотреть на путь со-
общения со стороны пользователей,

№11, ноябрь 2008 37

 администрирование
то можно сделать вывод, что единый гарантированный ме-
тод определения отправителя – PGP-подпись, все осталь-
ное можно легко подделать. Это и явилось основой тех-
нологии DKIM, предложенной Yahoo, Cisco Systems, при
партнерстве Sendmail и PGP, описанной в трех RFC4871
(DomainKeys Identified Mail (DKIM) Signatures), RFC4686
(Analysis of Threats Motivating DomainKeys Identified Mail
(DKIM)), RFC5016 (Requirements for a DomainKeys Identified
Mail (DKIM) Signing Practices Protocol).
Суть DKIM
В основу DKIM легли две разработки – технология
DomainKeys от Yahoo и система Internet Identified Mail от
Cisco. Принцип ее в двух словах очень прост. Каждое сооб-
щение, циркулирующее в такой системе, снабжается циф-
ровой подписью, которая не только удостоверяет отправи-
теля, но и гарантирует, что подписанная часть не была из-
менена. Сам процесс обмена выглядит стандартно и напо-
минает работу с PGP. Владелец домена создает пару клю-
чей – открытый и приватный. Приватный используется на
SMTP-сервере для подписи сообщения, которая передает-
ся в заголовке DKIM-Signature и связана с доменом отпра-
вителя. Запись выглядит примерно так:
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=gamma;
h=domainkey-signature:received:received:message-id:date:from:to
:subject:mime-version:content-type:content-transfer-encoding
:content-disposition;
bh=47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=;
b=rgAlZu……20bvEc=
Всего RFC4871 определяет 11 возможных ключей.
Также один домен может иметь несколько сигнатур, ко-
Рисунок 1. Мастер создания ADSP-записи
38
торые определяются полем selector в записи DKIM-Signature.
Возможность записи нескольких ключей позволяет: исполь-
зовать разные ключи для подписи сообщений с субдоме-
нов, локальной доставки, а также безболезненно произво-
дить смену ключей.
Открытый ключ добавляется в txt-поле DNS-записи
и при поступлении письма запрашивается получателем,
который проверяет, действительно ли подпись была сгене-
рирована для этого домена, указанного в адресе отправи-
теля. В зависимости от результата сообщение может быть
принято, отвергнуто или добавлены штрафные балы в ан-
тиспам-фильтр. Таким образом DKIM существенно отлича-
ется от PGP и S/MIME, которые являются средствами за-
щиты, ориентированными больше на индивидуальное ис-
пользование.
В DKIM используются только проверенные временем
криптографические инструменты. В настоящее время для
цифровой подписи спецификация определяет два алгорит-
ма: RSA-SHA1 и RSA-SHA256, хотя в будущем возможна
поддержка и других алгоритмов. Длину ключа рекоменду-
ется выбирать в диапазоне 1024 до 2048 бит. Ключ длиной
512 байт не рекомендуется из-за меньшей устойчивости,
а 4096-битовый не поместится в максимальный 512-байто-
вый DNS UDP-пакет. При выборе следует также учитывать,
что большее значение ключа потребует большей вычисли-
тельной мощности на обработку каждого сообщения.
Новая технология совместима с существующей инфра-
структурой и не требует коренной перестройки сервисов
(кроме адаптации SMTP) и изменения протоколов, может
быть введена постепенно. Подписанное сообщение полно-
стью «автономно», работа DKIM не зависит от PKI или ка-

ких-либо служб, ключ берется напря-
мую из DNS-записи и не должен под-
тверждаться третьей стороной. Орга-
низация, использующая DKIM, полно-
стью несет ответственность за работу
своего сервера, подпись лишь означа-
ет то, что кто-то отвечает за конкрет-
ное сообщение.
Разработчики утверждают, что тех-
нология на данном этапе относит-
ся скорее к дополнительным. Нали-
чие подписи в сообщении ни к чему
не обязывает принимающую сторону,
не обеспечивает защиту после про-
верки подписи и не может никак пов-
лиять при повторной передаче сооб-
щения, если отправитель и получатель
изменились.
Поэтому RFC рекомендует сообще-
ния с серверов, не поддерживающих
DKIM, обрабатывать обычным обра-
зом. Учитывая малый процент внедре-
ния, это вполне логично, а значит пись-
ма со спамом также смогут проходить
эту проверку и без других технологий
борьбы со спамом не обойтись. Ни-
кто не мешает спамеру создать свои
DKIM-совместимые SMTP и DNS-сер-
веры, которые можно будет использо-
вать в рассылках или рассылать спам
со взломаных компьютеров, являю-
щихся с точки зрения DKIM легальны-
ми. Но такие ресурсы обычно быстро
выявляются и блокируются при помо-
щи других технологий, а использова-
ние своего DKIM потребует некоторой
легализации и затрат, что очень невы-
годно спамерам, желающим остаться
незаметными. Таким образом, в насто-
ящее время технологию DKIM можно
отнести к вспомогательным и ее зада-
ча аналогична SPF и SenderID – «обе-
лить» адрес отправителя. Хотя с увели-
чением поддерживающих эту техноло-
гию систем она может измениться
Когда подписывать
и проверять?
Несмотря на внешнюю простоту DKIM,
при развертывании реальной системы
следует ответить на несколько вопро-
сов, ответы на которые могут повли-
ять на работу всей системы. Напри-
мер, на каком этапе и что подписы-
вать в сообщении. Во избежание зло-
употреблений DKIM-подпись должна
обязательно включать данные из по-
лей From, Sender, Subject, Date, To.
При этом подпись удостоверяет толь-
№11, ноябрь 2008
Рисунок 2. Ответ на тестовое сообщение
ко часть сообщения, доступную на мо-
мент подписания. Идеальный случай –
письмо, отправляемое пользователем,
подписанное полностью и отправлен-
ное по назначению. Но разные компо-
ненты почтового сервера могут добав-
лять новые поля, например списки рас-
сылки. Таким образом, «новое» пись-
мо уже не может быть рассмотрено как
правильное. Поэтому подпись следует
добавлять на самом последнем этапе
отправки сообщения, чем ближе вы-
ход, тем меньше вероятность появле-
ния неподписанных записей.
Еще один метод подписи, пред-
ложенный разработчиками, – ука-
зать длину действительного сообще-
ния в заголовке. Все, что будет добав-
лено в пределах подписанной длины,
будет вполне легальным. Это решает
проблему с теми же списками рассыл-
ки, но у злоумышленника появляется
возможность изменить тело сообще-
ния. Поэтому разработчики стандарта
не рекомендуют указывать длину за-
веренного сообщения. Хотя выходом
из такой ситуации может быть наличие
двух подписей. Первая заверяет огра-
ниченную часть письма, вторая добав-
ляется уже на самом последнем ша-
ге и распространяется на все сообще-
ние. Каждая такая подпись сама по се-
бе автономна и обрабатывается после-
довательно. Но наличие двух подпи-
администрирование
сей – это дополнительная нагрузка на
сервер, как передающей, так и прием-
ной сторонам. Поэтому наиболее опти-
мальным вариантом считается все-та-
ки заверение всего письма на самом
последнем этапе передачи.
Теперь рассмотрим прием подпи-
санного сообщения. Так как ключи
могут быть заменены, рекомендуется
проверку производить как можно рань-
ше. Оптимальным вариантом является
проверка «на лету» в ходе SMTP-сес-
сии после получения всего письма. Это
позволяет не занимать локальную оче-
редь сообщениями, не прошедшими
проверку, упростив дальнейшую рабо-
ту антиспам-фильтров. А передающая
сторона будет знать результат при-
ема уже в ходе сеанса. Но очень часто
SMTP-серверы перегружены. Теперь
если добавить к этому еще и проверку
DKIM-подписи (запрос ключа на DNS,
вычисление и сравнение результата),
то время на всю операцию может уве-
личиться ровно настолько, что переда-
ющая сторона, не дождавшись ответа,
закроет SMTP-сессию.
Повторная попытка может привес-
ти к аналогичному результату. Кроме
этого проверка DKIM на этапе SMTP-
сессии упрощает DDOS-атаку на сер-
вер, ведь, чтобы загрузить систему,
потребуется меньшее количество за-
просов.
39
 администрирование
Поэтому оптимальным выходом из ситуации является
проверка в одной из очередей сервера или обработка пись-
ма антиспам-фильтрами.
Установка DKIM с Postfix
В настоящее время существуют два проекта, позволяю-
щие реализовать DKIM. Первый [6] предлагает Perl-мо-
дуль Mail-DKIM, реализующий поддержку протокола DKIM
и SMTP-прокси DKIMproxy. Последний состоит из двух час-
тей, обеспечивающих подпись исходящих и проверку входя-
щих (Before-Queue или After-Queue) сообщений (при помо-
щи Mail-DKIM). Изначально DKIMproxy написан под Postfix,
но должен работать с любым другим почтовым сервером.
Второй проект – dkim-milter [7] предлагает milter-интер-
фейс, используемый в Sendmail и Postfix. Cостоит из моду-
ля dkim‑filter и библиотеки libdkim, реализующей поддерж-
ку DKIM и DomainKeys.
Для примера, настроим DKIM, использовав связку
Posfix + dkim-filter на примере Ubuntu server 8.04. Установка
указанных приложений из исходных текстов довольно про-
ста, поэтому заострять внимание на этом не буду, тем бо-
лее что поиск в репозитарии приводит к удаче.
$ sudo apt-cache search dkim
dkimproxy – an SMTP-proxy that signs and/or verifies emails,
using the Mail::DKIM module
libmail-dkim-perl – cryptographically identify the sender
of email – perl library
libdkim0 – cryptographically identify the sender of email
dkim-filter – DomainKeys Identified Mail (DKIM) Milter implementation
libsmdkim-dev – DomainKeys Identified Mail (DKIM) library implementation
libsmdkim2 – DomainKeys Identified Mail (DKIM) library implementation
Кстати, команда:
$ sudo apt-cache search milter
показывает наличие и пакета dk-filter, реализующего под-
держку DomainKeys. Учитывая, что технологию DomainKeys
уже используют Google и Yahoo, к ней также стоит при-
смотреться.
Для упрощения будем считать, что Postfix уже установ-
лен и настроен. Устанавливаем компоненты:
$ sudo apt-get install dkim-filter
При настройке dkim-filter получаем сообщение:
Starting DKIM Filter: dkim-filter: /etc/dkim-filter.conf:
at least one selector and key required for signing mode
See /usr/share/doc/dkim-filter/README.Debian for help
Starting for DKIM verification only
показывающее, что демон пока настроен только на про-
верку подписи.
Следующим шагом необходимо сгеренировать пару
ключей. Это можно сделать средствами OpenSSL:
$ openssl genrsa -out private.key 1024
$ openssl rsa -in private.key -pubout -out public.key
Но удобнее для этих целей использовать утилиту
dkim‑genkey, поставляемую вместе с dkim-filter:
$ dkim-genkey -d example.com -s example.com
40
Параметр -d позволяет указать домен, сообщения с ко-
торого будем подписывать, а -s – название файла ключа.
В результате работы в текущем каталоге появятся два
файла: example.com.txt и example.com.private, в которых со-
держатся открытый и закрытый ключи. В качестве имени
ключа лучше всего использовать название домена. Так бу-
дет меньше путаницы при работе с несколькими доменами,
кроме прочего этого требуют и настройки dkim-filter.
Содержимое key.txt следует поместить в файл настрой-
ки зон DNS-сервера. После создания он выглядит так:
$ cat example.com.txt
example.com._domainkey IN TXT "v=DKIM1; g=*; k=rsa;
p=MIGf......pQSA/wIDAQAB" ; ----- DKIM example.com for example.com
Запись DKIM является поддоменом _domainkey, по-
этому перед добавлением в TXT-поле результат работы
dkim‑genkey следует преобразовать к виду:
_domainkey.example.com IN TXT "v=DKIM1; g=*; k=rsa; ↵
p=MIGf......pQSA/wIDAQAB";
Кроме этой записи рекомендуется добавить DKIM
Author Domain Signing Practices (ADSP). Это поле не опи-
сано в RFC4871, обсуждается в документе [9] и призва-
но уменьшить неразбериху на первых порах продвижения
DKIM. Администратор домена публикует политику исполь-
зования DKIM в DNS-записи. Примерно так:
_asp._domainkey.example.com IN TXT ↵
"dkim=OPEN"
Поле «dkim=OPEN/CLOSED/LOCKED» и определяет
политику, то есть разрешена (по умолчанию) или запре-
щена отправка неподписанных сообщений в этом доме-
не. Поле LOCKED указывает, что в этом домене сообще-
ния всегда подписываются и в случае обнаружения непод-
писанного сообщения его нужно блокировать. Для удобс-
тва создания записи можно использовать веб-страни-
цу ADSP Wizard (см. рис. 1) на Sendmail tools [8]. Правда,
там указываются отличные от документа [9] значения по-
ля dkim=unknown|all|strict, фигурировавшие в документах
на первых порах.
Копируем закрытый ключ на свое место.
$ sudo mv -f key.private /etc/postfix
Конфигурационный файл демона DKIM называется /etc/
dkim-filter.conf, по умолчанию в нем раскомментирован толь-
ко один параметр. Поэтому перед запуском его необходи-
мо отредактировать.
# Запись сообщений в syslog
Syslog yes
# Маска доступа для создаваемого сокета
# UMask 002
# Путь к UNIX-сокету или адрес TCP-сокета inet:port[@host]
# по умолчанию 127.0.0.1:8891
# Socket /var/run/dkim-milter/dkim.sock
# В случае проблем с доступом можно запускать dkim-milter
# от имени определенного пользователя
# UserID userid[:group]

Background yes
# Список доменов, перечисленный через запятую, возможно
# использование шаблона "*"
Domain example.com
# Как вариант указывается файл, в котором содержится
# список доменов по одному в строке
# Domain /etc/postfix/dkim-domain.conf
# Файл, содержащий закрытый ключ
KeyFile /etc/postfix/key.private
# Если есть, указываем и селектор
# Selector 01.01.2008
# Если ключей несколько, заносим их перечень в файл,
# при его установке параметр KeyFile игнорируется
# запись выглядит как отправитель:домен:полный путь
# к файлу закрытого ключа
# *example.com:example.com:/etc/postfix/key.private
# Если файл ключа не будет найден, проверяются файлы
# с окончанием ".pem" и ".private"
# KeyList /etc/postfix/dkim-keys.conf
# Перезапускать ли при ошибках
AutoRestart no
# Режим работы - s (signer, подпись)
# и v (verifier, проверка, по умолчанию)
Mode sv
# Подписывать ли сообщения, отправляемые из поддоменов,
# описанных в Domain
SubDomains yes
# Тайм-аут DNS
DNSTimeout 5
# По умолчанию для подписи используется алгоритм rsa-sha256
# SignatureAlgorithm rsa-sha256
# Отключаем ASPD
#UseASPDiscard no
# Всегда добавлять заголовок Authentication-Results
AlwaysAddARHeader yes
# Статистика
Statistics /var/log/dkim-filter/dkim-stats
# Проверка необходимых заголовков сообщения
RequiredHeaders yes
# Что делать с письмами с неверной подписью:
# accept (по умолчанию), discard, tempfail, reject.
# On-BadSignature reject
Это только основные параметры, некоторые другие
позволяют указать специфические для MTA настрой-
ки, пользователей, чьи сообщения должны подписывать-
ся/проверяться, и так далее. Подробно они расписаны
в «man dkim‑filter.conf».
После настройки запускаем dkim-filter:
$ sudo /etc/init.d/dkim-filter start
Starting DKIM Filter
По умолчанию он будет прослушивать порт 8891
на localhost:
$ netstat -an | grep 8891
tcp 0 0 127.0.0.1:8891 0.0.0.0:* LISTEN
Теперь необходимо настроить Postfix (поддерживает
milter с версии 2.3.0), добавляем в /etc/postfix/main.cf сле-
дующие строки:
№11, ноябрь 2008
администрирование
milter_default_action = accept
milter_protocol = 2
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891
Если используется UNIX-сокет, то последние две стро-
ки заменяем на:
smtpd_milters = unix:/var/run/dkim-milter/dkim.sock
non_smtpd_milters = unix:/var/run/dkim-milter/dkim.sock
Перезапускаем Postfix:
$ sudo /etc/init.d/postfix restart
Для проверки работоспособности системы разработчики
создали специальный адрес autorespond+dkim@dk.elandsys.
com, отсылаем на него пустое сообщение и в ответ получа-
ем информацию, работает или нет DKIM (см. рис. 2).
В настоящее время найти запись, свидетельствую-
щую о поддержке SPF и даже DomainKeys, гораздо проще,
чем DKIM.
$ host -t txt _domainkey.dk.elandsys.com
_domainkey.dk.elandsys.com descriptive text "t=y\; o=~\;
r=info+dk@elandsys.com"
И подобный ответ можно считать удачей.
$ host -t txt mail._domainkey.markley.org
mail._domainkey.markley.org descriptive text "v=DKIM1\; k=rsa\;
t=y\; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDY8qM22+BZVHexjzQ
UufK/E1TIZbJgRt98MeMiK8CI0W01mJ/C71Ysh2EyK8CHw2wWKqij9ewHIj/Oj/
+diW0SIc0B4rfBPw1rAYaXvqX725/NSVVbKOhjujLk4cDec5NclR0D8t0dwwrk9rb-
fIIjPrlpfXGPgTbfaDP0tvR9XPwIDAQAB
Учитывая, что технология еще окончательно не утверж-
дена и находится в постоянном развитии, до массового
внедрения еще, наверное, очень далеко. Также стоит от-
метить, что, по сути, они не могут решить проблему спама.
Их внедрение лишь позволяет защититься от подделки ад-
реса, предоставляя дополнительную информацию для при-
нятия решения антиспам-фильтрами.
1. Супрунов С. Greylisting: панацея от спама или «мыльный пу-
зырь»? //Системный администратор, №7, 2006 г., – С. 12-15.
2. Барабанов А. Борьба со спамом как фактор, снижающий на-
дежность почтовой доставки. //Системный администратор, №8,
2007 г., – С. 6-13.
3. Яремчук С. Sender Policy Framework как средство борьбы со спа-
мом. //Системный администратор, №4, 2007 г., – С. 34‑39.
4. Сайты с информацией о DKIM – http://www.dkim.org, http://tools.
ietf.org/wg/dkim.
5. Kaspersky Security Bulletin 2007. Спам в 2007 году – http://www.
viruslist.com/ru/analysis?pubid=204007593.
5. RFC4871 – http://www.ietf.org/rfc/rfc4871.txt.
6. Сайт проекта DKIMproxy – http://dkimproxy.sourceforge.net.
7. Сайт проекта dkim-milter – http://sourceforge.net/projects/dkim‑milter.
8. Инструменты DKIM на сайте Sendmail – http://www.sendmail.org/
dkim/tools.
9. DKIM Author Domain Signing Practices (ADSP) – http://tools.ietf.
org/html/draft-otis-dkim-adsp-04.
41
администрирование

Почтовый шлюз
для MS Exchange 2007
на базе FreeBSD 7.0 + Postfix 2.4

Антон Сенько

Недавно фирма, в которой я работаю, перешла на корпоративную почту на базе MS Exchange 2007.

Тут же возник вопрос: как защитить почтовый сервер от внешних атак и спама. Об этом и пойдет
речь в статье.

42
 администрирование
Почему так?
Не секрет, что MS Exchange – мощное средство для постро-
ения корпоративной почты уровня предприятия, и все боль-
ше фирм переходят на это решение от компании Microsoft.
Но вместе с этим множественные проблемы с безопаснос-
тью продуктов Microsoft могут порядком осложнить жизнь
системному администратору, поэтому обычно почтовый
сервер прячется за какой-либо пограничный сервер, кото-
рый работает в качестве SMTP-шлюза – то есть, пересы-
лает письма изнутри периметра безопасности в Глобаль- Рисунок 1. Опции сборки Postfix
ную сеть и наоборот.
В MS Exchange 2007 появилась новая роль сервера – Поскольку мы хотим проверять существование поль-
Edge Transport Server, призванная выполнять функции пог- зователя в Active Directory, собираем Postfix с поддержкой
раничного сервера, но для ее использования необходим вы- OpenLDAP, для этого нужно отметить соответствующую оп-
деленный сервер, работающий под управлением Windows цию в открывшемся диалоге (см. рис. 1):
2003 Server SP1 либо выше. Поэтому для небольших фирм
использование Edge может оказаться неприемлемым, так gw# make install clean
gw# rehash
как это связано с еще большими финансовыми вливани-
ями: сервер, лицензия для серверной Windows, антивирус. После установки в директории /usr/local/etc/postfix по-
Кроме прочего, все это не плохо бы спрятать за ISA. Отлич- явятся конфигурационные файлы, находим main.cf и пра-
ной альтернативой может стать любая Linux/UNIX-система вим параметры:
с установленным MTA Postfix.
# /usr/local/etc/postfix/main.cf
Постановка задачи myhostname = server.company.ru
Итак, что хотим: mydomain = company.ru
myorigin = $mydomain
n каждый пользователь в фирме должен иметь корпора- mydestination = $myhostname
тивную почту; mynetworks_style = host
mynetworks = 192.168.1.1/32, 127.0.0.0/8
n переписку с внешним миром могут вести только поль-
зователи с внешним почтовым адресом; Теперь нужно настроить антивирусную проверку и филь-
n MS Exchange-сервер спрятан в локальной сети за поч- трацию нежелательной почты. Описание этих мероприя-
товым шлюзом; тий выходит за рамки статьи. Как это сделать, можно про-
n письма принимаются только для существующих ад- читать на сайтах [1, 2]. Кроме всего прочего очень реко-
ресов, проверка адресов производится на почтовом мендуется включить грейлистинг. Я использую для этих
шлюзе; целей пакет gld-1.7, который присутствует в портах, в связ-
n единое хранилище пользовательских аккаунтов – Active ке с MySQL [3].
Directory; Для того чтобы Postfix мог пересылать почту внутрь се-
n антивирусная проверка и фильтрация спама происхо- ти, нужно добавить в main.cf следующие параметры:
дит так же на почтовом шлюзе.
# /usr/local/etc/postfix/main.cf
Что имеем: # Описываем виртуальный домен
n server.company.ru – FQDN-сервер, на котором установ- virtual_mailbox_domains = company.ru
# Информацию о почтовых ящиках искать в LDAP
лен Postfix; # (в нашем случае - AD)
n company.ru – имя внешнего почтового домена; virtual_mailbox_maps = ldap:/usr/local/etc/postfix/ldap.cf
# Описываем куда пересылать приходящую почту
n mx.company.local – имя сервера Exchange, работающе- transport_maps = hash:/usr/local/etc/postfix/ ↵
го под управлением Win2k3, IP-адрес – 192.168.1.1; virtual_transport
n company.local – имя локального домена Active Directory;
n gw – имя хоста FreeBSD-сервера, внутренний IP-адрес – После этого создаем файл ldap.cf и описываем, где ис-
192.168.1.10. кать данные о почтовых ящиках:

Настройка Postfix # /usr/local/etc/postfix/ldap.cf

Последней стабильной версией MTA Postfix на момент на- server_host = ldap://company.local
писания статьи являлась postfix-2.4.7, ее и будем исполь- server_port = 389
timeout = 60
зовать для реализации, а в качестве платформы шлюза search_base = DC=company,DC=local
отлично подойдет любая *BSD-система, в данном случае query_filter = (&(proxyAddresses=smtp:%s) ↵
(!(userAccountControl:1.2.840.113556.1.4.803:=2)) ↵
FreeBSD 7.0. (|(objectClass=user)(objectClass=group) ↵
Устанавливать Postfix лучше из портов: (objectClass=contact)(objectClass=publicFolder)))
result_format = %s
result_attribute = cn
gw# cd /usr/ports/mail/postfix24 special_result_attribute =
gw# make config scope = sub
bind = yes

№11, ноябрь 2008 43

 администрирование
Рисунок 2. Добавление глобального домена
bind_dn = ldaplookup@company.local
bind_pw = secret_password
dereference = 0
domain = company.ru
version=3
debuglevel = 0
Здесь, в параметре server_host, указан не сервер, у ко-
торого запрашиваются данные о существовании пользо-
вателя, а имя домена Active Directory, при этом необходи-
мо позаботиться о том, чтобы на FreeBSD корректно раз-
решались имена из DNS-зоны company.local. Это сделано
для того, чтобы Postfix при получении новой корреспонден-
ции не был привязан к конкретному серверу и связка оста-
валась работоспособной, пока доступен хотя бы один кон-
троллер домена.
Особое внимание нужно обратить на параметр query_
filter. По сути, это запрос, который осуществляет выбор-
ку из базы LDAP. Используя такой фильтр, запрос будет
возвращать почтовые адреса для не заблокированных
(!(userAccountControl:1.2.840.113556.1.4.803:=2) [4]) объектов,
принадлежащих классам user, group, contact и publicFolder.
Синтаксис ldap.cf зависит от версии Postfix, так что будьте
внимательны: без правки, со старыми версиями MTA по-
добная схема работать не будет!
Параметры bind_dn и bind_pw содержат имя и пароль
учетной записи в AD (ее нужно предварительно создать),
от имени которой будет происходить поиск.
После этого следует создать файл /usr.local/etc/postfix/
virtual_transport и указать в нем, куда пересылать приходя-
щую в домен company.ru почту:
# /usr/local/etc/postfix/virtual_transport
company.ru smtp:[192.168.1.1]
Адрес сервера взят в квадратные скобки для того, что-
бы система не пыталась разрешать его имя. После этих
манипуляций необходимо создать индексированный файл
командой:
gw# postmap /usr/local/etc/postfix/virtual_transport
44
Для автоматического запуска Postfix, в /etc/rc.conf до-
бавляем:
# /etc/rc.conf
postfix_enable="YES"
Последним штрихом запрещаем пересылку писем в Ин-
тернет от локальных почтовых адресов, например, таким
образом:
# /usr/local/etc/postfix/sender_access
/.*company\.local/i REJECT Sending to internet is forbidden
И подключаем sender_access в main.cf:
# /usr/local/etc/postfix/main.cf
smtpd_sender_restrictions = check_sender_access ↵
regexp:/usr/local/etc/postfix/sender_access
Теперь почта с локальных адресов не будет перенаправ-
ляться в Интернет, и пользователь получит соответствую-
щее сообщение об ошибке, внутренняя же корреспонден-
ция, о которой Postfix даже «не подозревает», будет достав-
ляться без проблем.
Несанкционированно отправить письмо от другого име-
ни пользователь также не сможет, если это не разрешено
ему явно в настройках учетной записи в «Консоли управ-
ления Exchange».
Осталось только запустить Postfix:
gw# postfix start
и убедиться, что в логах нет ошибок:
gw# cat /var/log/maillog
Переходим к MS Exchange.
Настройка MS Exchange
Как установить и сделать начальное конфигурирование
сервера MS Exchange, можно прочитать в [5, 6], мы же ос-
тановимся подробней на том, как «научить» его работать
по задуманной схеме.
На Exchange-сервере понадобится создать SMTP-со-
единитель для отправки почты в Интернет через почтовый
шлюз и разрешить получать почту от Postfix без авториза-
ции, а также указать обслуживаемый домен.
Открываем консоль управления MS Exchange и пере-
ходим: «Конфигурация организации → Транспортный сер-
вер-концентратор» и выбираем в панели задач (Action Panel,
не путать с системной панелью задач) «Создать обслужи-
ваемый домен».
В открывшемся диалоге нужно ввести имя почтового до-
мена company.ru, и выбирать «Домен внутренней ретранс-
ляции», затем нажать кнопку «Создать».
Соединитель отправки и разрешение на получение поч-
ты от Postfix без авторизации проще создать из команд-
ной строки, для этого нужно открыть командную консоль
Exchange и ввести:
 администрирование
[PS] C:\> New-SendConnector -Name 'Outbound' ↵
-Usage 'Internet' -AddressSpaces 'smtp:*;1' ↵
-DNSRoutingEnabled $false ↵
-SmartHosts '[192.168.1.10]' ↵
-SmartHostAuthMechanism 'None' ↵
-SourceTransportServers 'MX'

здесь: Outbound – имя коннектора, MX – NetBios имя

Exchange-сервера.

[PS] C:\> Set-ReceiveConnector "Default MX" ↵

-permissiongroups: "ExchangeUsers, ↵
ExchangeServers, ↵
ExchangeLegacyServers, AnonymousUsers"

Эти настройки можно также сделать в графической кон-

соли управления: «Конфигурация организации → Транспор-
тный сервер-концентратор → Соединители отправки и На-
стройка серверов → Транспортный сервер-концентратор →
Получающие соединители».
Следует отметить, что если Exchange разворачивал-
ся в локальном домене, то политикой по умолчанию каж-
дому почтовому ящику будет присваиваться адрес вида
login@company.local, где login – имя пользователя для вхо-
да в домен AD. Пользователь с таким адресом не сможет
получить почту от других серверов в Интернете, так как
company.local – это локальный домен, известный только
DNS-серверу компании. Поэтому пользователю, которо-
му необходима возможность обмена электронной поч-
той с внешними серверами, нужно добавить адрес ви-
да anyname@company.ru и сделать его адресом по умол-
чанию.
Для этого в консоли управления Exchange нужно пе-
рейти: «Настройка получателей → Почтовые ящики», и от-
крыть свойства почтового ящика на вкладке «Адреса элек-
тронной почты».
В открывшемся диалоге нужно добавить желаемый ад-
рес, убрать галку «Автоматически обновлять адреса элект-
ронной почты на основе политики адресов электронной поч-
ты», встать курсором на созданный адрес и нажать кнопку
«Сделать обратным адресом» (см. рис. 3).
Адрес по умолчанию в этом диалоге выделяется жир-
ным шрифтом. В случае если нужно обеспечить каждого
пользователя внешней почтой, проще будет создать новую
политику адресов электронной почты, либо отредактиро-
вать политику по умолчанию.
Кроме этого, следует четко понимать, что при та-
кой связке на почтовом шлюзе нет локальных почто-
вых ящиков, поэтому адреса «по умолчанию», такие как
postmaster@company.ru, root@company.ru, нужно дополни-
тельно прописать в почтовом ящике системного админи-
стратора описанным выше способом, но не делать их «об-
ратным адресом». Если этого не сделать, то отчеты, кото-
рые шлет и сама FreeBSD, и отчеты о неудачной доставке
от MAILER-DAEMON будут теряться.
Заключение
Хочется отметить, что подобная схема показала себя с на-
илучшей стороны. Postfix, настроенный в соответствии с ре-
комендациями [1, 3], пропускает максимум 5-7 нежелатель-
ных писем в месяц, при нагрузке около 100 пользователей.
В начале внедрения, в течение двух недель, были выявле-
Рисунок 3. Добавление пользователю внешнего адреса
ны и прописаны в исключениях несколько «честных» сер-
веров, письма с которых расценивались как спам.
Все управление учетными записями сводится к мани-
пулированию ими в Консоли управления Exchange, ника-
ких дополнительных настроек на postfix для пользовате-
лей делать не нужно. Кроме того, подобный подход позво-
ляет снять нагрузку с сервера Exchange в плане фильтра-
ции нежелательной корреспонденции и исключить изде-
ржки на приобретение антиспам-фильтров и антивирусов,
умеющих работать с хранилищем Exchange.
Также, будучи скрытым в локальной сети, сервер
Exchange надежно защищен от сетевых атак извне, что де-
лает почтовую систему более устойчивой, а сон системно-
го администратора – глубже и спокойней.
P.S.: Хочется поблагодарить Агапова Владимира за его
статью [8], именно в ней была почерпнута основная идея
такой связки.
1. http://demon.yekt.com/postfix_antyspam.html.
2. http://demon.yekt.com/clamav_antivirus_postfix.html.
3. http://www.reid.ru/freebsd/?p=269.
4. http://blogs.msdn.com/muaddib/archive/2008/10/08/query-
individual-properties-of-the-useraccountcontrol-active-directory-
user-property.aspx.
5. Лопутнев С., Ильин Д. Microsoft Exchange Server 2007. Первые
шаги по развёртыванию и настройке. //Системный админист-
ратор, №2, 2008 г. – С. 40-47.
6. http://www.msexchange.ru.
7. http://antonborisov.ru/2008/06/02/postfix-kak-frontend-dlya-
exchange-2007.
8. Агапов В. Устанавливаем связку Postfix + Exchange. //Систем-
ный администратор, №7, 2005 г. – С. 42-44.

№11, ноябрь 2008 45

администрирование

XFS от SGI:
структура и алгоритмы

Андрей Пешеходов

Файловая система XFS разработки компании Silicon Graphics считается многими пользователями
операционных систем Linux и IRIX одной из самых стабильных и производительных ФС
поколения 90-х. Посмотрим, за счет каких архитектурных решений она добивается столь высоких
показателей.

46
 администрирование
Историческая справка Область данных делится на некоторое количество групп
Исследования концепций файловых систем, проводимые размещения (allocation grup, AG), размер которых выбира-
в начале 90-х годов прошлого века, предрекали скорое ется при создании ФС. AG's чем-то подобны группам бло-
прекращение роста производительности подсистем вво- ков в ext2 или группам цилиндров в FFS, однако задуманы
да-вывода. Инженеры SGI также столкнулись с этим явле- были не для удобства управления дисковым пространс-
нием. Проблемой стала не производительность аппарату- твом, а для распараллеливания запросов к аллокаторам
ры, а ограничения, наложенные старой файловой систе- блоков и inodes.
мой ОС IRIX – EFS.
EFS архитектурно подобна Berkley FFS, однако она ис- B+ деревья
пользует экстенты вместо отдельных блоков для распре- XFS использует B+ деревья повсюду. С их помощью индек-
деления дискового пространства и ввода-вывода. EFS бы- сируются пакеты inodes, списки свободных экстентов, эле-
ла не в состоянии поддерживать файловые системы раз- менты каталогов и записи файловых карт.
мером более восьми гигабайт, файлы длиннее двух гига- B+ деревья XFS имеют вполне традиционную структу-
байт или предоставлять приложению канал ввода-вывода ру: во внутренних узлах хранятся только ключи и указате-
с производительностью на уровне пропускной способнос- ли на потомков, а в листьях – ключи и данные.
ти аппаратуры. Так как типов деревьев в XFS существует несколько, об-
EFS не была спроектирована для работы на больших щий код обрабатывает лишь стандартные заголовки бло-
вычислительных системах, и ее возможностей уже в то вре- ков (xfs_btree.h):
мя не хватало для того, чтобы предоставить приложениям
все возможности нового оборудования. Пока инженеры /*
* Комбинированный заголовок и структура, используемая
рассматривали направления возможного усовершенство- * общим кодом
вания EFS, требования пользователей возросли настоль- */
typedef struct xfs_btree_hdr {
ко, что было решено заменить ее полностью новой файло- __be32 bb_magic; /* magic-номер, зависит
вой системой. * от типа дерева и блока */
__be16 bb_level; /* уровень блока в дереве,
К XFS были предъявлены следующие требования: * 0 если лист */
n быстрое восстановление после сбоя; __be16 bb_numrecs; /* текущее количество записей */
} xfs_btree_hdr_t;
n поддержка больших разделов и файлов;
n эффективная работа с большими каталогами; /* Внутренний узел дерева */
typedef struct xfs_btree_block {
n хорошая масштабируемость как по производительнос- xfs_btree_hdr_t bb_h; /* заголовок */
ти, так и по объемам хранилищ; union {
n эффективное противодействие фрагментации; /* указатели короткой формы */
n высокая степень параллельности обработки запросов. struct {
__be32 bb_leftsib; /* сосед слева */
__be32 bb_rightsib; /* сосед справа */
Практически сразу стало очевидно, что создать ФС, } s;
удовлетворяющую всем этим требованиям, можно только /* указатели длинной формы */
с повсеместным применением B+ деревьев и учетом сво- struct {
__be64 bb_leftsib; /* сосед слева */
бодного пространства с помощь экстентов. __be64 bb_rightsib; /* сосед справа */
Проработка концепции XFS в целом завершилась } l;
} bb_u;
к 1991 году, первые рабочие версии появились в SGI } xfs_btree_block_t;
в 1992 году. В 1994 году XFS вошла в релиз операционной
системы IRIX 5.3. После заголовка располагаются массивы данных. Для
В 2001 году, глядя на IBM, открывшую свою JFS, или же внутренних узлов это два списка – ключей и указателей
руководствуясь какими-то иными соображениями, SGI от- на потомков, растущие к середине. Для листьев – массив
крывает исходный код XFS под лицензией GPL v2 и начи- записей, отсортированный по возрастанию. Формат ключей
нает работы по формированию сообщества программис- и записей соответственно определяется типом дерева.
тов и портированию ее в Linux.
В мае 2001 года выходит релиз 1.0 этой ФС для Linux, Группы размещения
через год код XFS принимается в экспериментальную вет- XFS позиционируется как 64-битная файловая система.
ку 2.5, а в декабре 2003 выходит ядро 2.6.0  стабильной Однако в коде драйвера разработчики старались избегать
XFS на борту. использования 64-битных указателей, пока в этом дейс-
твительно нет нужды. Удержание указателей в рамках
Архитектура 32‑битных значений является одним из мотивов примене-
Файловая система XFS может включать в себя до трех сек- ния allocation groups.
ций: данных, журнала и реального времени. Область дан- В среднем каждая AG имеет 0,5-4 Гб в размере и рас-
ных содержит пользовательские данные и метаданные ФС, полагает собственными структурами данных для управле-
а также (опционально) зону журнала. Секцией реального ния размещением inodes и блоков в своих пределах. Ог-
времени называется некая обособленная часть дискового раниченный размер AG's позволяет использовать внутри
раздела, к которой применяются упрощенные механизмы них относительные 32-битные номера inodes, что удержи-
доступа и выделения блоков и inodes. вает размеры структур данных в рамках оптимальных зна-

№11, ноябрь 2008 47

 администрирование
чений. Пока структуры обслуживают данные внутри сво-
ей AG, в них применяются относительные 32-битные но-
мера, а глобальные структуры данных могут ссылаться
на блоки и inodes в любом месте ФС с помощью 64-бит-
ных указателей.
AG лишь изредка применяются для группировки дан-
ных, вообще же они слишком велики для этого, а центра-
ми сосредоточения данных в XFS (для уменьшения фраг-
ментации и улучшения производительности чтения) служат
файлы или каталоги.
Однако главная задача групп размещения – достиже-
ния явного параллелизма в управлении размещением бло-
ков и inodes. Файловые системы предыдущего поколения
имеют однопоточный механизм выделения и освобождения
дискового пространства. На больших файловых системах
с множеством использующих их процессов такой алгоритм
может создать серьезные проблемы.
Сделав структуры в каждой AG независимыми, раз-
работчики XFS добились, что операции с дисковым про-
странством и inodes могут выполняться параллельно
по всей ФС. Таким образом, несколько пользовательских
процессов могут одновременно запросить свободное мес-
то или новый inode, и ни один из них не будет заблокиро-
ван (т.е. не будет ждать, пока с метаданными поработает
другой процесс).
Первые 2 Кб любой группы размещения являются зоной
метаданных. Она разбита на 4 функционально обособлен-
ных 512-байтных сектора. Первый сектор хранит копию су-
перблока, за ним следует AGF-блок (от Allocation Group Free
Space Block), далее AGI- (от Allocation Group Inodes Block)
и AGFL-блоки (от Allocation Group Free List Block).
Суперблок
Каждая AG хранит копию суперблока, однако только су-
перблок самой первой группы размещения (нулевой сек-
тор дискового раздела) используется реально – остальные
служат избыточной информацией для xfs_repair и необхо-
димы в случае разрушения основного суперблока.
Структура суперблока такова (xfs_sb.h):
typedef struct xfs_sb {
/* magic-номер == XFS_SB_MAGIC ("XFSB") */
__uint32_t sb_magicnum;
/* размер блока в байтах */
__uint32_t sb_blocksize;
/* количество блоков данных */
xfs_drfsbno_t sb_dblocks;
/* количество realtime-блоков */
xfs_drfsbno_t sb_rblocks;
/* количество realtime-экстентов */
xfs_drtbno_t sb_rextents;
/* идентификатор ФС */
uuid_t sb_uuid;
/* стартовый блок журнала (если он встроенный) */
xfs_dfsbno_t sb_logstart;
/* номер корневого inode */
xfs_ino_t sb_rootino;
/* inode, описывающий realtime-bitmap */
xfs_ino_t sb_rbmino;
/* inode, описывающий realtime-summary */
xfs_ino_t sb_rsumino;
/* размер realtime-экстента в блоках */
xfs_agblock_t sb_rextsize;
/* размер AG */
xfs_agblock_t sb_agblocks;
/* количество AG's */
xfs_agnumber_t sb_agcount;
/* количество блоков в realtime-bitmap */
48
xfs_extlen_t sb_rbmblocks;
/* количество блоков в журнале */
xfs_extlen_t sb_logblocks;
/* битовая маска флагов ФС:
* 0x0010 – используются атрибуты
* 0x0020 – используются inodes версии 2
* 0x0040 – используются квоты
* 0x0080 – используется выравнивание пакетов inodes
* 0x0100 – задействовано выравнивание области данных
* 0x0200 – поле shared_vn имеет смысл
* 0x1000 – включено отслеживание незаписываемых
* экстентов
* 0x2000 – используются каталоги версии 2 */
__uint16_t sb_versionnum;
/* размер сектора раздела в байтах */
__uint16_t sb_sectsize;
/* размер inode в байтах */
__uint16_t sb_inodesize;
/* количество inodes на блок */
__uint16_t sb_inopblock;
/* имя ФС */
char sb_fname[12];
/* log2 от sb_blocksize */
__uint8_t sb_blocklog;
/* log2 от sb_sectsize */
__uint8_t sb_sectlog;
/* log2 от sb_inodesize */
__uint8_t sb_inodelog;
/* log2 от sb_inopblock */
__uint8_t sb_inopblog;
/* log2 от sb_agblocks */
__uint8_t sb_agblklog;
/* log2 от sb_rextents */
__uint8_t sb_rextslog;
/* работает mkfs, не монтировать */
__uint8_t sb_inprogress;
/* максимальный процент пространства ФС для inodes */
__uint8_t sb_imax_pct;
/* количество выделенных inodes */
__uint64_t sb_icount;
/* количество свободных inodes */
__uint64_t sb_ifree;
/* количество свободных блоков данных */
__uint64_t sb_fdblocks;
/* количество свободных realtime-экстентов */
__uint64_t sb_frextents;
/* inode квот-файла для пользователей */
xfs_ino_t sb_uquotino;
/* inodes квот-файла для групп */
xfs_ino_t sb_gquotino;
/* флаги квот */
__uint16_t sb_qflags;
/* флаги */
__uint8_t sb_flags;
/* индикатор разделяемого номера версии */
__uint8_t sb_shared_vn;
/* величина выравнивание пакета inodes в блоках */
xfs_extlen_t sb_inoalignmt;
__uint32_t sb_unit;
__uint32_t sb_width;
__uint8_t sb_dirblklog;
/* log2 от размера сектора журнала */
__uint8_t sb_logsectlog;
/* размер сектора для журнала в байтах
* (если он вынесен на отделный раздел */
__uint16_t sb_logsectsize;
__uint32_t sb_logsunit;
__uint32_t sb_features2;
} xfs_sb_t;
AGF-блок
AGF-блок содержит служебную информацию, необходимую
подсистеме выделения блоков (block allocator). Его струк-
тура такова (xfs_ag.h):
typedef struct xfs_agf {
/* magic-номер = XFS_AGF_MAGIC ("XAGF") */
__be32 agf_magicnum;
/* версия заголовка == XFS_AGF_VERSION (1) */
__be32 agf_versionnum;
/* sequence number starting from 0 */
__be32 agf_seqno;

/* размер AG в блоках. Все AG, кроме последней,
* имеют одинаковый размер, определенный в поле
* agblocks суперблока */
__be32 agf_length;
/* Номера корневых блоков для двух деревьев
* свободных экстентов - с сортировкой по номеру
* стартового блока и по длине */
__be32 agf_roots[XFS_BTNUM_AGF];
/* зарезервировано */
__be32 agf_spare0;
/* Количества уровней для двух деревьев свободных
* экстентов – с сортировкой по номеру стартового
* блока и по длине */
__be32 agf_levels[XFS_BTNUM_AGF];
/* зарезервировано */
__be32 agf_spare1;
/* индекс первого активного элемента в AGFL-блоке */
__be32 agf_flfirst;
/* индекс последнего активного элемента в AGFL-блоке */
__be32 agf_fllast;
/* количество активных элементов AGFL-блока */
__be32 agf_flcount;
/* всего свободных блоков */
__be32 agf_freeblks;
/* размер самого большого свободного экстента */
__be32 agf_longest;
} xfs_agf_t;
Для учета свободных блоков XFS использует не тради-
ционные для многих ФС (например, ext2/3/4, reiserfs, reiser4)
битовые карты, а списки свободных экстентов. Эти масси-
вы проиндексированы в двух B+ деревьях, одно из кото-
рых отсортировано по стартовому блоку экстента, другое –
по его длине. Двойное индексирование позволяет не толь-
ко гибко и быстро находить необходимое количество сво-
бодного пространства, но и использовать перспективные
политики выделения блоков, такие как отложенное разме-
щение (delayed allocation).
Алгоритм delayed allocation использует «ленивые» техни-
ки назначения физических блоков файлу. Вместо того что-
бы выделять блоки файлу в момент его записи в кэш, XFS
просто резервирует место в файловой системе, размещая
данные в специальных виртуальных экстентах. Только ког-
да буферизованные данные сбрасываются на диск, вирту-
альным экстентам назначаются конкретные блоки. Реше-
ние о размещении файла на диске откладывается до мо-
мента, когда ФС будет располагать более точной информа-
цией о конечном размере файла. Когда весь файл содер-
жится в памяти, то он обычно может быть размещен в од-
ном куске непрерывного дискового пространства. Файлам,
не умещающимся в памяти, алгоритм delayed allocation поз-
воляет быть размещенными гораздо более непрерывно,
чем это было бы возможно без его применения.
Механизм отложенного размещения хорошо соответ-
ствует концепции современной файловой системы, так как
его эффективность возрастает с увеличением объема сис-
темной RAM – чем больше данных будет буферизовано в па-
мяти, тем более оптимальные решения по их размещению
будет принимать XFS. Кроме того, файлы с малым време-
нем жизни могут вовсе не получить физического воплоще-
ния на диске – XFS не успеет принять решение о размеще-
нии до их удаления. Такие короткоживущие файлы – обыч-
ное дело в UNIX-системах, и механизм delayed allocation поз-
воляет существенно уменьшить количество модификаций
метаданных, вызванных созданием и удалением таких фай-
лов, а также устранить их влияние на фрагментацию ФС.
№11, ноябрь 2008
администрирование
Другой плюс отложенного размещения состоит в том,
что файлы, записанные беспорядочно, но не имеющие
«дыр», чаще всего будут размещаться на диске рядом. Ес-
ли все «грязные» данные могут быть буферизованы в па-
мяти, то пространство для этих данных скорее всего будет
размещено непрерывно в тот момент, когда они сбрасыва-
ются (flushed) на диск. Это особенно важно для приложений,
пишущих данные в отображенные (mmapped) файлы, когда
случайный доступ – правило, а не исключение.
AGI-блок
AGI-блок хранит служебные данные для аллокатора inodes.
Его структура такова (xfs_ag.h):
typedef struct xfs_agi {
/* magic-номер == XFS_AGI_MAGIC ("XAGI") */
__be32 agf_magicnum;
/* версия заголовка XFS_AGI_VERSION (1) */
__be32 agf_versionnum;
/* sequence number starting from 0 */
__be32 agf_seqno;
/* размер AG в блоках */
__be32 agf_length;
/* количество выделенных inodes */
__be32 agi_count;
/* корень дерева inodes */
__be32 agi_root;
/* высота дерева inodes */
__be32 agi_level;
/* количество свободных inodes */
__be32 agi_freecount;
/* номер последнего выделенного inode */
__be32 agi_newino;
/* не используется */
__be32 agi_dirino;
/*
* Хэш-таблица inodes, которые были разлинкованы,
* но все еще достижимы через ссылки в различных
* списках
*/
__be32 agi_unlinked[XFS_AGI_UNLINKED_BUCKETS];
} xfs_agi_t;
XFS выделяет inodes динамически и располагает их
на диске в пакетах по 64 штуки. В каждой AG существует
B+ дерево (на его корень указывает поле agi_root структу-
ры xfs_agi), в листьях которого хранятся структуры такого
вида (xfs_ialloc_btree.h):
typedef struct xfs_inobt_rec {
/* номер первого inode в пакете */
__be32 ir_startino;
/* количество свободных inodes в пакете */
__be32 ir_freecount;
/* битовая карта занятости inodes */
__be64 ir_free;
} xfs_inobt_rec_t;
Ключом в дереве является номер первого inode в па-
кете, magic-номер для всех блоков – «IABT». В XFS номер
inode вычисляется на основе адреса блока, в котором он
хранится. Соответственно, для каждого блока однозначно
определен диапазон возможных номеров inodes, следова-
тельно, информацию о физическом местоположении паке-
тов inodes хранить не требуется – достаточно номера пер-
вого inode в пакете.
AGFL-блок
AGFL-блок содержит линейный массив номеров блоков, за-
резервированных для использования аллокатором в усло-
49
 администрирование
/* формат потока данных */
__int8_t di_format;
/* количество ссылок на inodes версии 1 */
__uint16_t di_onlink;
/* user id владельца */
__uint32_t di_uid;
/* group id владельца */
__uint32_t di_gid;
/* количество ссылок на inode версии 2 */
__uint32_t di_nlink;
/* project id владельца, только для IRIX */
__uint16_t di_projid;
/* не используется */
__uint8_t di_pad[8];
/* инкрементируется при flusf */
__uint16_t di_flushiter;
/* время последнего доступа */
xfs_timestamp_t di_atime;
/* время последнего изменения */
xfs_timestamp_t di_mtime;
/* время создания/модификации inode */
xfs_timestamp_t di_ctime;
/* количество байт в файле */
xfs_fsize_t di_size;
/* количество использованных direct-
* и btree-блоков */
Рисунок 1. Структура первой AG сразу после создания xfs_drfsbno_t di_nblocks;
/* basic/minimum размер экстента файла */
xfs_extlen_t di_extsize;
/* количество экстентов в потоке данных */
xfs_extnum_t di_nextents;
/* количество экстентов в потоке атрибутов */
xfs_aextnum_t di_anextents;
/* смещение потока данных в inode, в 64-битных
* словах от начала u */
__uint8_t di_forkoff;
/* формат потока атрибутов:
* 1 – локальные атрибуты,
* 2 – список экстентов,
* 3 – корень дерева */
__int8_t di_aformat;
/* DMIG event mask */
__uint32_t di_dmevmask;
/* DMIG state info */
__uint16_t di_dmstate;
/* флаги */
__uint16_t di_flags;
/* номер поколения */
__uint32_t di_gen;
} xfs_dinode_core_t;

Вот формат inode целиком:

Рисунок 2. Список разлинкованных inodes
typedef struct xfs_dinode {
/* ядро inode */
виях нехватки свободного места в данной AG. Эти блоки мо- xfs_dinode_core_t di_core;
гут быть использованы только для расширения B+ деревь-
xfs_agino_t di_next_unlinked;
ев свободных блоков, и ни для каких других данных.
В только что созданной файловой системе этот список /* Это объединение описывает поток данных
* (data-fork) */
содержит 4 блока – с 4 по 7. По мере фрагментации сво- union {
бодного и заполнения этих блоков XFS заносит в AGFL дру- /* корень дерева */
xfs_bmdr_block_t di_bmbt;
гие (см. рис. 1). /* список экстентов */
xfs_bmbt_rec_32_t di_bmx[1];
/* короткая форма каталога v2 */
Inodes xfs_dir2_sf_t di_dir2sf;
Каждый inode состоит из четырех частей – ядра, next_unlinked, /* локальное содержимое */
char di_c[1];
u и a. Ядро содержит постоянную информацию, характер- /* устройство */
ную для всех типов inodes. Поле di_next_unlinked, отделен- xfs_dev_t di_dev;
/* точка монтирования */
ное от ядра из-за принятой политики журналирования, по uuid_t di_muuid;
функциям связано с agi_unlinked (см. рис. 2). Вот структу- /* символическая ссылка */
char di_symlink[1];
ра ядра inode (см. xfs_dinode.h): } di_u;

/* Это объединение описывает поток атрибутов

typedef struct xfs_dinode_core { * (attribite-fork) */
/* inode magic # = XFS_DINODE_MAGIC ("IN") */ union {
__uint16_t di_magic; /* корень дерева */
/* mode и тип файла */ xfs_bmdr_block_t di_abmbt;
__uint16_t di_mode; /* список экстентов */
/* версия inode, 1 или 2 */ xfs_bmbt_rec_32_t di_abmx[1];
__int8_t di_version; /* локальные атрибуты */

50
 администрирование
xfs_attr_shortform_t di_attrsf; блок этого дерева состоит из трех частей: общего заголов-
} di_a;
} xfs_dinode_t; ка (см. раздел «B+ деревья» в начале статьи), массива клю-
чей (в этом дереве ключом считается смещение экстента
Формат di_u определяется типом файла, идентификатор от начала файла) и массива указателей на потомки. Лис-
которого хранится в поле di_format ядра inode. Возможные товые узлы, вместо массива указателей, содержат массив
варианты описаны в этом перечислении (xfs_dinode.h): дескрипторов экстентов. Magic-номер для всех блоков та-
кого дерева – «BMAP».
/* Значения для di_format */
typedef enum xfs_dinode_fmt {
/* специальный файл - di_dev */ Атрибуты
XFS_DINODE_FMT_DEV, Каждый файл в XFS может располагать дополнитель-
/* локальное содержимое (файл - di_c,
* короткий каталог - di_dir2sf, ным потоком данных – attribute fork, описываемым объ-
* или symlink - di_symlink) */ единением «a» структуры inode. Как и в случае с данными,
XFS_DINODE_FMT_LOCAL,
/* список экстентов - di_bmx */ inode может содержать поток атрибутов в короткой форме
XFS_DINODE_FMT_EXTENTS, (di_abmbt). Структура di_abmbt имеет следующий формат
/* корень дерева - di_bmbt */
XFS_DINODE_FMT_BTREE, (см. xfs_attr_sf.h):
/* не используется */
XFS_DINODE_FMT_UUID
} xfs_dinode_fmt_t; typedef struct xfs_attr_shortform {
/* заголовок */
struct xfs_attr_sf_hdr {
Если di_format == XFS_DINODE_FMT_LOCAL, значит по- /* размер списка */
__be16 totsize;
ле «u» хранит внутри себя все содержимое файла. Это мо- /* количество активных элементов */
гут быть сырые данные файла (di_c), текстовая строка __u8 count;
} hdr;
с именем цели для символической ссылки (di_symlink), или struct xfs_attr_sf_entry {
небольшой массив элементов каталога, описывающий ко- /* длина имени атрибута */
__uint8_t namelen;
роткий каталог (di_dir2sf, см. далее). /* длина значения атрибута */
В случае di_format == XFS_DINODE_FMT_DEV, «u» ин- __uint8_t valuelen;
/* биты флагов (см. xfs_attr_leaf.h) */
терпретируется как 32-битный дескриптор устройства, со- __uint8_t flags;
держащий его minor и major номера – структура di_dev. /* объединенные строки имени и значения
* атрибута */
При di_format == XFS_DINODE_FMT_EXTENTS, «u» __uint8_t nameval[1];
интерпретируется как массив дескрипторов экстентов /* список переменной длины */
} list[1];
(di_bmx), содержащих данные файла. Структура дескрип- } xfs_attr_shortform_t;
тора экстента такова (xfs_bmap_btree.h):
Если все атрибуты в inode не умещаются, «a» интер-
typedef struct xfs_bmbt_rec_32 претируется в качестве массива дескрипторов экстентов
{
__uint32_t l0, l1, l2, l3; (di_abmx). В случае нехватки места и для списка экстен-
} xfs_bmbt_rec_32_t; тов, в di_a помещается корневой узел дерева атрибутов
typedef struct xfs_bmbt_rec_64 (di_abmbt). Внутренние узлы этого дерева имеют традици-
{ онный формат (magic 0xfbee), листовые же устроены не-
__uint64_t l0, l1;
} xfs_bmbt_rec_64_t; сколько иначе (см. рис. 3).
Структура заголовка листового узла
В 32-битных ядрах поля структуры интерпретируются (см. xfs_attr_leaf.h):
следующим образом:
n l0:31 – флаг экстента (1 если non-normal); #define XFS_ATTR_LEAF_MAPSIZE 3
/* доступное количество free-слотов */
n l0:0-30 и l1:9-31 – это смещение экстента от начала фай-
ла (в блоках), служит ключом в дереве выделенных эк- /* Формат free-карты */
typedef struct xfs_attr_leaf_map {
стентов; /* база свободного региона */
n l1:0-8, l2:0-31 и l3:21-31 – это номер стартового блока __be16 base;
/* длина свободного региона */
от начала AG, используется в свободных экстентах; __be16 size;
n l3:0-20 – это количество блоков в экстенте. } xfs_attr_leaf_map_t;

/* Заголовок листового блока */

Для 64-битных ядер: typedef struct xfs_attr_leaf_hdr {
/* этот заголовок используется для построения
n l0:63 – флаг экстента (1 если non-normal); * двусвязных списков блоков одного уровня
n l0:9-62 – это смещение экстента от начала файла (в бло- * (см. xfs_da_btree.h) */
xfs_da_blkinfo_t info;
ках); /* количество активных leaf_entry */
n l0:0-8 и l1:21-63 – номер стартового блока; __be16 count;
/* количество байт в буфере */
n l1:0-20 – количество блоков. __be16 usedbytes;

При di_format == XFS_DINODE_FMT_BTREE, «u» заголовок массив индексов буфер актуальных данных
и хэшей
считается содержащим корневой узел дерева вы- header info массив freemap локальные атрибуты удаленные атрибуты
деленных экстентов (di_bmbt). Каждый внутренний Рисунок 3. Структура листовых узлов

№11, ноябрь 2008 51

 администрирование
/* первый используемый байт в массиве имен */ /* имя */
__be16 firstused; __u8 name[1];
/* != 0 если блок нуждается в упаковке */ } xfs_attr_leaf_name_remote_t;
__u8 holes;
__u8 pad1;
xfs_attr_leaf_map_t freemap[XFS_ATTR_LEAF_MAPSIZE]; Вот структура листового узла дерева атрибутов
} xfs_attr_leaf_hdr_t; в сборе:

Массив freemap хранит описатели для N (XFS_ATTR_ typedef struct xfs_attr_leafblock {

LEAF_MAPSIZE=3 в текущей реализации) наибольших сво-
бодных регионов. Если места в узле недостаточно, вызы-
ваются процедуры упаковки узла и, если не помогло, – его
разбиения.
Структура xfs_da_blkinfo_t определена в xfs_da_btree.h
и используется для построения двусвязных списков блоков
одного уровня в деревьях именованных объектов – атрибу-
тов и каталогов (xfs_da_btree.h):
typedef struct xfs_da_blkinfo {
/* предыдущий блок в списке */
__be32 forw;
/* следующий блок в списке */
__be32 back;
/* тип блока */
__be16 magic;
/* unused */
__be16 pad;
} xfs_da_blkinfo_t;
/* внутренний узел */
#define XFS_DA_NODE_MAGIC 0xfebe
/* лист дерева атрибутов */
#define XFS_ATTR_LEAF_MAGIC 0xfbee
/* лист дерева одноблочной директории */
#define XFS_DIR2_LEAF1_MAGIC 0xd2f1
/* лист дерева многоблочной директории */
#define XFS_DIR2_LEAFN_MAGIC 0xd2ff
Далее следует массив хэшей/индексов:
typedef struct xfs_attr_leaf_entry {
/* хэш имени атрибута */
__be32 hashval;
/* индекс атрибута в буфере данных */
__be16 nameidx;
/* LOCAL/ROOT/SECURE/INCOMPLETE флаги */
__u8 flags;
/* unused pad byte */
__u8 pad2;
} xfs_attr_leaf_entry_t;
/* заголовок */
xfs_attr_leaf_hdr_t hdr;
/* индексы */
xfs_attr_leaf_entry_t entries[1];
/* локальные атрибуты */
xfs_attr_leaf_name_local_t namelist;
/* удаленные атрибуты */
xfs_attr_leaf_name_remote_t valuelist;
} xfs_attr_leafblock_t;
Директории
Содержимое директории в XFS хранится либо прямо в inode
(каталог короткой формы), либо адресуется через дерево
блочной карты файла. Все смещения в структурах катало-
га логические, т.е. для поиска физического положения тех
или иных элементов файловая система обращается к кар-
те блоков файла и выполняет соответствующие преобра-
зования.
В пределах файла выделены три диапазона:
n 0-0x7ffffffff – область блоков данных;
n 0x800000000-0xfffffffff – область хэш-блоков;
n 0x1000000000-0x17ffffffff область freeindex-данных.
Каталог в XFS может храниться в четырех форматах:
n короткая форма;
n одноблочный каталог;
n несколько data-блоков, единственный freeindex-блок;
n блоки данных с B+ деревом, несколько freeindex-бло-
ков.
Каталог короткой формы
Рассмотрим в каком виде XFS хранит директории. Прямо
в inode может содержатся каталог короткой формы, опи-
санный в xfs_dir2_sf.h:

Листовой блок заканчивается буфером актуальных /* Формат номера inode */

typedef union {
данных, содержащим имена и значения атрибутов. Зна- xfs_dir2_ino8_t i8;
чения могут быть локальными (хранятся прямо в буфе- xfs_dir2_ino4_t i4;
} xfs_dir2_inou_t;
ре) и удаленными (в буфере только указатель на выделен-
ный блок). /* Заголовок каталога короткой формы */
typedef struct xfs_dir2_sf_hdr {
/* количество элементов */
/* Локальный атрибут */ __uint8_t count;
typedef struct xfs_attr_leaf_name_local { /* количество 64-битных номеров inodes */
/* дллина значения */ __uint8_t i8count;
__be16 valuelen; /* номер inode родительского каталога */
/* длина имени */ xfs_dir2_inou_t parent;
__u8 namelen; } xfs_dir2_sf_hdr_t;
/* объединенные строки имени и значения атрибута */
__u8 nameval[1]; /* Элемент каталога короткой формы */
} xfs_attr_leaf_name_local_t; typedef struct xfs_dir2_sf_entry {
/* длина имени */
__uint8_t namelen;
/* Удаленный атрибут */ /* saved offset */
typedef struct xfs_attr_leaf_name_remote { xfs_dir2_sf_off_t offset;
/* номер блока, хранящего значение */ /* имя */
__be32 valueblk; __uint8_t name[1];
/* длина значения */ /* номер inode для данного имени */
__be32 valuelen; xfs_dir2_inou_t inumber;
/* длина имени */ } xfs_dir2_sf_entry_t;
__u8 namelen;

52

/* Каталог короткой формы */
typedef struct xfs_dir2_sf {
/* заголовок */
xfs_dir2_sf_hdr_t hdr;
/* массив элементов */
xfs_dir2_sf_entry_t list[1];
} xfs_dir2_sf_t;
Одноблочный каталог
Если каталог не помещается в inode, XFS выделяет под не-
го отдельный блок, размещая там структуры так называе-
мой одноблочной директории (xfs_dir2_block.h):
/* Одноблочный каталог */
typedef struct xfs_dir2_block {
/* заголовок */
xfs_dir2_data_hdr_t hdr;
/* массив элементов каталога */
xfs_dir2_data_union_t u[1];
/* массив индексов */
xfs_dir2_leaf_entry_t leaf[1];
/* хвост блока */
xfs_dir2_block_tail_t tail;
} xfs_dir2_block_t;
Заголовок этого блока имеет следующий формат
(xfs_dir2_data.h):
/* XFS_DIR2_DATA_FD_COUNT равно 3 */
typedef struct xfs_dir2_data_hdr {
__be32 magic;
xfs_dir2_data_free_t ↵
bestfree[XFS_DIR2_DATA_FD_COUNT];
} xfs_dir2_data_hdr_t;
Элемент каталога устроен так (xfs_dir2_data.h):
/* Активный элемент каталога */
typedef struct xfs_dir2_data_entry {
/* номер inode */
__be64 inumber;
/* длина имени */
__u8 namelen;
/* имя */
__u8 name[1];
/* смещение этого элемента в блоке */
__be16 tag;
} xfs_dir2_data_entry_t;
/* Свободный элемент каталога */
typedef struct xfs_dir2_data_unused {
/* XFS_DIR2_DATA_FREE_TAG */
__be16 freetag;
/* длина свободного участка */
__be16 length;
/* смещение этого элемента в блоке */
__be16 tag;
} xfs_dir2_data_unused_t;
/* Обобщенный элемент каталога */
typedef union {
xfs_dir2_data_entry_t entry;
xfs_dir2_data_unused_t unused;
} xfs_dir2_data_union_t;
Индексная информация к массиву элементов ка-
талога хранится в списке структур такого формата
(xfs_dir2_leaf.h):
typedef struct xfs_dir2_leaf_entry {
/* хэш имени */
__be32 hashval;
/* адрес элемента */
__be32 address;
} xfs_dir2_leaf_entry_t;
№11, ноябрь 2008
администрирование
Наконец, так устроен хвост блока (xfs_dir2_block.h):
typedef struct xfs_dir2_block_tail {
/* количество листовых элементов */
__be32 count;
/* количество устаревших листовых элементов */
__be32 stale;
} xfs_dir2_block_tail_t;
Многоблочный каталог
Когда каталог перестает умещаться в одном блоке, XFS
разворачивает под его хранение древовидную структуру,
состоящую из data-блоков, хранящих элементы катало-
га – то есть имена файлов и номера их inodes, и так назы-
ваемых leaf-блоков, содержащих индексную информацию
по data-блокам – хэши имен и смещения соответствующих
элементов в пределах каталога. К этим структурам привя-
зываются так называемые freeindex-блоки, с помощью ко-
торых отслеживаются свободные участки в файле, содер-
жащем каталог, в больших каталогах над этой информа-
цией также может надстраиваться древовидная структура.
Логическое пространство в пределах файла каталога счи-
тается 8-байтными словами – на это рассчитаны все струк-
туры учета свободных участков.
Итак, блоки данных (xfs_dir2_data.h):
/* Активный элемент каталога */
typedef struct xfs_dir2_data_entry {
/* номер inode */
__be64 inumber;
/* длина имени */
__u8 namelen;
/* имя */
__u8 name[1];
/* смещение этого элемента в блоке */
__be16 tag;
} xfs_dir2_data_entry_t;
/* Свободный элемент каталога */
typedef struct xfs_dir2_data_unused {
/* XFS_DIR2_DATA_FREE_TAG */
__be16 freetag;
/* длина свободного участка */
__be16 length;
/* смещение этого элемента в блоке */
__be16 tag;
} xfs_dir2_data_unused_t;
/* Обощенный элемент каталога */
typedef union {
xfs_dir2_data_entry_t entry;
xfs_dir2_data_unused_t unused;
} xfs_dir2_data_union_t;
Структура хэш-блоков (так называемые листовые бло-
ки, xfs_dir2_leaf.h):
/* Заголовок листового блока */
typedef struct xfs_dir2_leaf_hdr {
/* DA-заголовок, см. xfs_da_btree.h */
xfs_da_blkinfo_t info;
/* количество элементов */
__be16 count;
__be16 stale;
} xfs_dir2_leaf_hdr_t;
/* Элемент листового узла */
typedef struct xfs_dir2_leaf_entry {
/* хэш имени */
__be32 hashval;
/* смещение в пределах файла каталога */
__be32 address;
} xfs_dir2_leaf_entry_t;
53
 администрирование
/* Хвост */ n rtb_hardlimit – абсолютное ограничение на количество
typedef struct xfs_dir2_leaf_tail {
__be32 bestcount; RT-блоков;
} xfs_dir2_leaf_tail_t; n rtb_softlimit – предпочитаемое ограничение на количест-
во RT-блоков;
/* Листовой блок в сборе */ n rtbtimer – время, когда обслуживание пользователя бу-
typedef struct xfs_dir2_leaf {
/* заголовок */ дет прекращено, если предпочитаемое ограничение
xfs_dir2_leaf_hdr_t hdr; по RT-блокам уже достигнуто;
/* элементы */
xfs_dir2_leaf_entry_t ents[1]; n rtbwarns – количество предупреждений, выдавае-
/* список свободных участков в диапазоне мых при достижении предпочитаемого ограничения
* листовых блоков */
xfs_dir2_data_off_t bests[1]; по RT‑блокам.
/* хвост */
xfs_dir2_leaf_tail_t tail;
} xfs_dir2_leaf_t; Подсистема real-time ввода-вывода
XFS может выделять на диске специальную секцию реаль-
Нетрудно понять, что древовидными эти структуры ного времени, к которой применяются упрощенные меха-
можно назвать лишь с натяжкой – в сущности, каталоги низмы доступа и выделения блоков и inodes (в том числе
XFS индексируются с помощью хэширования, причем да- битовые карты), позволяющие стабилизировать время вы-
же не расширенного. полнения дисковых операций. Ядро IRIX содержит особые
Управление свободным пространством в каталоге также методы в менеджерах томов и памяти, которые обеспечи-
не на высоте. Все это приводит к отставанию XFS при ра- вают поддержку более производительного realtimе-досту-
боте с большими каталогами от таких продвинутых в этом па, в Linux же таких возможностей нет, поэтому секция ре-
отношении файловых систем, как reiserfs и, в особеннос- ального времени обрабатывается здесь не быстрее сек-
ти reiser4. ции данных. Основная идея – постоянство времени выпол-
нения операций.
Квоты Если файловая система имеет realtime-подраздел, поле
Информация о квотах хранится в файлах, адресуемых по- rbmino суперблока ссылается на файл, содержащий бито-
лями uquotino (квоты для пользователей) и gquotino (квоты вую карту области реального времени. Каждый бит карты
для групп) суперблока. Каждый блок квот-файла содержит контролирует выделение простого realtime-экстента. Кар-
постоянное количество квот-записей. Квот-запись в насто- та обрабатывается 32-битными словами.
ящее время имеет размер 136 байт, поэтому ФС с блоком Поле atime inode, описывающего эту карту, содержит
в 4 Кб хранит 30 записей на блок. В файле квот-записи ин- счетчик, используемый для хранения указателя на пер-
дексируются по идентификатору. вый свободный блок.
Формат квот-записи (xfs_disk_dquot_t) определен Поле rbsumino суперблока ссылается на файл, содер-
в xfs_quota.h: жащий двухмерный массив 16-битных значений, с помо-
n magic («DQ»); щью которого несколько ускоряется поиск необходимого
n version; экстента по битовой карте realtime-блоков.
n флаг; В первом измерении массив упорядочен по размеру
n id – идентификатор (пользователя/группы); (представлены 16 диапазонов возможного размера realtime-
n blk_hardlimit – абсолютное ограничение на количество экстентов), во втором – по смещению экстентов с данным
блоков; размером в битовой карте. Это позволяет быстро отыскать
n blk_softlimit – предпочитаемое ограничение на количест-
свободный realtime-экстент нужного размера.
во блоков;
n ino_hardlimit – абсолютное ограничение на количество Журналирование
inodes; Задачей менеджера журнала является обеспечение сер-
n ino_softlimit – предпочитаемое ограничение на количест- виса, позволяющего быстро и надежно восстанавливать
во inodes; файловую систему после сбоя. Это также увеличивает
n bcount – количество уже использованных блоков; производительность для некоторых операций типа обнов-
n icount – количество уже использованных inodes; ления метаданных. Благодаря использованию этого меха-
n btimer – время, когда обслуживание пользователя будет низма другие сервисы журналируют изменения в метадан-
прекращено, если предпочитаемое ограничение по бло- ных ФС (в inodes, каталогах, пуле свободного пространст-
кам уже достигнуто; ва), а менеджер журнала группирует множество запросов
n itimer – время, когда обслуживание пользователя бу- к диску в один большой синхронный запрос, выполняемый
дет прекращено, если предпочитаемое ограничение аппаратурой гораздо быстрее. Однажды зарегистрирован-
по inodes уже достигнуто; ные клиенты log-менеджера больше не нуждаются в не-
n bwarns – количество предупреждений, выдаваемых медленном сбросе своих грязных данных, эту работу вы-
при достижении предпочитаемого ограничения по бло- полняет log-менеджер, попутно группируя запросы на за-
кам; пись и обеспечивая целостность файловой системы в слу-
n iwarns – количество предупреж дений, выдавае - чае сбоя. Изменения в пользовательских данных не жур-
мых при достижении предпочитаемого ограничения налируются, т.к. их сохранность инвариантна к целостнос-
по inodes; ти структуры ФС.

54

Журнал XFS разбит на 2 части – дисковую и рабочую
(in-core). Назначенные на журналирование операции сна-
чала попадают в рабочий лог, который представляет из се-
бя FIFO-очередь, удерживающую транзакции в памяти
до тех пор, пока некоторое событие не вызовет их принуди-
тельный сброс в дисковый лог. Операции, хранимые в ра-
бочем журнале, называются активными.
Дисковый журнал представляет собой непрерывную
последовательность дисковых блоков, обрабатываемых от-
дельно от блоков данных XFS, и является, по сути, замкну-
той очередью. Операции, хранящиеся в дисковом логе, на-
зываются зафиксированными.
Набор связанных операций, которые должны быть ато-
марно применены к диску, называется транзакцией.
Журнальные записи
Для оптимизации ввода/вывода активные операции груп-
пируются вместе в log-записи и только потом направляют-
ся на диск.
Существуют 3 события, которые могут вызвать фикса-
цию рабочей очереди:
n переполнение рабочего журнала;
n поступление в log-менеджер запроса на немедленный
сброс операции на диск;
n окончание некоторого таймаута.
Сами Log-записи состоят из двух частей – заголов-
ка и тела. Заголовок содержит некую общую информа-
цию обо всей log-записи, тогда как тело хранит связан-
ные log‑операции.
Заголовок log-записи состоит из:
n номер записи;
n номер последней сброшенной записи;
n длина тела записи в 64-битных словах;
n magic-номер;
n количество log-операций в записи.
Log-операции содержатся в теле записи также разби- тается началом журнала.
тыми на 2 части – заголовок и тело операции.
Тело операции – это поток выровненных по 4-байтной Мнение
границе снапшотов, отражающих состояние метаданных XFS довольно сложная – как по идеям, так и по реализа-
после внесения изменений. Заметим, что это подразуме- ции – файловая система. За счет эффективных, хорошо
вает временное упорядочивание записей. Метаданные мо- продуманных алгоритмов распределения дискового про-
гут быть сброшены на диск только после того, как соответ- странства, отложенного размещения и хорошо распарал-
ствующие log-записи внесены в дисковый лог.
Заголовок log-записи содержит:
n идентификатор инициатора операции;
n длина тела в байтах;
n ID транзакции;
n тип операции.
Номер записи представляет собой 64-битное число; ее единственная слабость.
младшие 32 бита содержат номер соответствующего бло-
ка в журнале, старшие – инкрементальный счетчик.
Дисковая структура
Каждая log-запись предваряется информационным заго-
ловком (размер которой не более сектора), который со-
держит:
№11, ноябрь 2008
администрирование
typedef struct xlog_rec_header {
/* ID log-записи */
uint h_magicno;
/* номер цикла записи */
uint h_cycle;
/* версия log-записи */
int h_version;
/* длина записи в байтах */
int h_len;
/* номер сектора для данной записи */
xfs_lsn_t h_lsn;
/* номер сектора первой несброшенной записи */
xfs_lsn_t h_tail_lsn;
/* контрольная сумма тела записи,
* если не используется - 0 */
uint h_chksum;
/* номер блока предыдущей LR */
int h_prev_block;
/* количество log-операций в этой LR */
int h_num_logops;
uint h_cycle_data[XLOG_HEADER_CYCLE_SIZE / ↵
BBSIZE];
/* формат log-записи */
int h_fmt;
/* UUID файловой системы */
uuid_t h_fs_uuid;
/* размер */
int h_size;
} xlog_rec_header_t;
Так как восстановление после сбоя должно быть очень
быстрым, оперативный поиск начала дискового журнала
является приоритетной задачей log-менеджера.
Последняя актуальная log-запись будет удовлетворять
следующим условиям:
n после нее нет действительных log-записей;
n контрольная сумма ее тела будет соответствовать той,
что хранится в заголовке.
Log-менеджер XFS ищет начало журнала, выполняя слу-
чайные выборки по всему журналу и методом последова-
тельных приближений отыскивая log-запись с наибольшим
номером. Затем около нее ищется последняя запись с вер-
ной контрольной суммой, из заголовка которой извлекается
номер первой не сброшенной записи (h_tail_lsn) – она и счи-
леленной обработки пользовательских запросов показы-
вает хорошие результаты на обработке больших и сред-
них файлов. Излишне сложная и недостаточно оптимизи-
рованная схема обработки каталогов не позволяет ей опе-
режать такие ФС, как reiserfs, reiser4 и btrfs на больших ди-
ректориях (ext2/3/4 здесь отстают от нее довольно сущес-
твенно, JFS – примерно на одном уровне) – и это, пожалуй,
1. Исходники XFS ядра Linux-2.6.26.
2. man 5 xfs, man 8 xfs_db.
3. XFS design documents – oss.sgi.com/projects/xfs/design_docs.
4. Масштабируемость в XFS – filesystems.nm.ru/my/xfs_arch.pdf.
5. XFS filesystem structure – oss.sgi.com/projects/xfs/papers/
xfs_filesystem_structure.pdf.
55
администрирование

ITIL: необходимо
и достаточно?

Александр Башкиров

Ваше предприятие растет, а служба IT по-прежнему представляет собой «черный ящик»?

Вы не понимаете, как и зачем расходуются выделенные на IT средства? Вы считаете
IT‑бюджет необоснованно высоким или просто необоснованным? Вы видите выход
в увольнении всех IT-специалистов и найме новых? Не спешите! Возможно, вам поможет
внедрение ITIL.

56
 администрирование

Е
сли проследить за развитием
информационных технологий, Версии ITIL чень процессов приводится по ITIL вер-
то нетрудно заметить, что начи- В настоящее время официально опуб- сии 2. Подробнее об ITIL можно прочитать
ная с 90-х годов прошлого века IT ста- ликована библиотека ITIL версии 3, од- на официальном сайте ITIL: http://www.itil-
ло играть всё более значительную роль нако до сих пор не выполнено ее пере- officialsite.com, сайтах http://www.itil.org.uk
в бизнесе. Если в 90-е годы компьютер вода на русский язык, поэтому пере- и http://en.wikipedia.org/wiki/ITIL.
на производстве, в офисе и магазине
воспринимался как экзотика, то в на- свод лучших практик в отрасли и на- да и перерывов), бесперебойный ре-
стоящее время без компьютера не об- зывался библиотекой ITIL (Information жим работы компьютеров (аналогично)
ходится ни одна организация. Но ком- Technology Infrastructure Library). Биб- и бесперебойный доступ к местной те-
пьютер сам по себе не способен дать лиотека ITIL называется библиотекой лефонной связи. Для упрощения так-
организации ничего, кроме возмож- потому, что состоит из ряда книг, со- же предположим, что менеджер не при-
ности локально создавать и хранить держащих обобщение практического ступает к поиску следующего кандида-
электронные документы (при наличии опыта, так называемые best practiks – та, пока не «отработал» текущего.
соответствующего ПО). Причиной тако- лучшие практики отрасли. В 2001 го- Таким образом, для менеджера
го широкого распространения исполь- ду CCTA вошло в состав OGC (Office по подбору можно выделить, как ми-
зования компьютеров является соз- of Government Commerce), и с тех пор нимум, следующие сервисы со следу-
дание сетей и специализированного развитие ITIL осуществляется OCG. ющим SLA:
программного обеспечения, предна- В том же году вышла вторая версия n доступ в Интернет – с 9 до 18,
значенных для автоматизации бизнес- библиотеки ITIL. с временем простоя не более 10 ми-
операций, таких как, например, при- нут (в это время он может разгова-
ем заказа, передача его на исполне- Основы ITIL ривать по телефону с потенциаль-
ние менеджеру, отгрузка товара и т. д. По замыслу разработчиков, ITIL пред- ным соискателем);
Как следствие, увеличиваются требо- ставляет собой практическое рас- n работоспособность ПК – с 9 до 18,
вания со стороны топ-менеджмента ширение сервисного подхода на об- с временем простоя не более 30 ми-
и владельцев компаний как к качеству ласть информационных технологий нут (в случае наступления времени
самих программ, так и к качеству об- (ITSM – information technology service простоя менеджер может сделать
служивания компьютерного парка. management), основная идея которо- перерыв или пойти на обед).
И если раньше системный адми- го состоит в том, что IT-подразделе- n доступ к внешней телефонной
нистратор и программист в большинст- ние предоставляет основному бизне- связи – с 9 до 18, с временем про-
ве случаев сами устанавливали прави- су не нечто абстрактное, а конкрет- стоя не более 20 минут (в это вре-
ла игры, то есть формировали требо- ные сервисы конкретному внутренне- мя менеджер может производить
вания к инфраструктуре, окружению, му заказчику, для которых определе- поиск кандидата);
определяли характер и объем необхо- ны метрики качества и с потребите- n доступ к внутренней телефон-
димых работ, то с повышением степе- лями которых заключено соглашение ной связи – с 9 до 18 с временем
ни интеграции IT в основные процес- об уровне сервиса (SLA – Service Level простоя не более 4 часов (внутрен-
сы бизнеса с их стороны прозвучало Agreement). няя связь при описанной системе
вполне естественное желание – понять, Для того чтобы понять эту идею, для менеджера нужна как вспомо-
как работает IT, перевести его на бюд- приведу конкретные примеры. Пред- гательная функция, следовательно,
жетное управление, определить крите- положим, есть организация, зани- ей назначено самое высокое время
рии оценки и нормы качества… То есть мающаяся подбором персонала че- простоя).
управлять IT так, как будто оно – одно рез Интернет. Для менеджеров, кото-
из бизнес-подразделений. рые осуществляют подбор, установ- В то же время для координатора
лены следующие нормы: поиск кан- менеджеров (работает с 9 до 18, пере-
История возникновения дидата – 20 минут (включая перенос рывы те же, что и у менеджеров, зада-
Сама идея управления IT как бизне- его резюме во внутреннюю базу дан- ча – определение компетенций менед-
сом не нова. Уже в 80-х годах про- ных); 10 минут – на прозвонку и при- жеров, размещение заказов на канди-
шлого века по заказу британского глашение на собеседование (для уп- датов и категоризация кандидатов, ре-
правительства Центральное агентс- рощения будем считать, что прово- шение текущих вопросов с менедже-
тво по вычислительной технике и те- дят собеседование другие менедже- рами), который не занимается напря-
лекоммуникациям (Central Computer ры). Менеджер имеет право на обед мую работой с клиентами, а работает
and Telecommunications Agency, CCTA) продолжительностью в час и два пе- с внутренней базой, могут быть, напри-
разработа ло принципы управле - рерыва по 30 минут. Итого менеджер мер, выделены следующие сервисы со
ния IT, позволяющие, с одной сторо- за день должен найти минимум 14 кан- следующими SLA:
ны, использовать имеющиеся IT-ре- дидатов. Соответственно у данной ка- n доступ в Интернет – с 9 до 18,
сурсы максимально эффективно, а с тегории менеджеров в рабочее время с временем простоя не более 2 ча-
другой – эксплуатировать IT с мини- (с 9 до 18 часов) должен быть обеспе- сов (Интернет ему не нужен для ре-
мальными затратами. Результат вы- чен бесперебойный доступ в Интер- шения производственных задач,
полнения заказа представлял собой нет (исключая плавающее время обе- но поскольку он занимает руково-

№11, ноябрь 2008 57

 администрирование
дящий пост, то время восстанов- 7. Управление финансами (обеспече- иногда – для организации системы мо-
ления работоспособности вспомо- ние финансирования и бюджетиро- тивации и т. д. Также стоит упомянуть,
гательного сервиса у него больше, вания IT). что библиотека ITIL, будучи собрани-
чем у рядового менеджера); 8. Управление мощностью (обеспече- ем передового практического опыта,
n работоспособность ПК – с 9 до 18, ние необходимых вычислительных не требует безусловного следования
с временем простоя не более 30 ми- мощностей для поддержки серви- всем положениям, описанным в ней,
нут (во время простоя координатор сов). и декларирует возможность гибкого
может сделать перерыв или пойти 9. Управление непрерывностью (обес- встраивания своей философии в ре-
на обед); печение непрерывности предостав- алии конкретной организации прак-
n доступ к внешней телефонной ления IT-услуг). тически любого размера. Например,
связи – с 9 до 18, с временем про- 10. Управление доступностью (обес- большая организация может полу-
стоя не более 1 часа (работоспо- печение доступности сервисов, ка- чить от внедрения рекомендаций ITIL
собность вспомогательного серви- тастрофоустойчивость). предсказуемость и управляемость IT,
са у него должна быть восстановле- средняя – возможность контролиро-
на быстрее, чем у рядового сотруд- Принцип «одного окна» подразу- вать IT-бюджет и понимание принци-
ника); мевает организацию службы Service пов работы IT, небольшая – предвос-
n доступ к внутренней телефон- Desk, то есть подразделения в рам- хищение возможных проблем в IT-ин-
ной связи – с 9 до 18, с временем ках IT, ответственного за прием, ре- фраструктуре и т. д. Естественно, что
простоя не более 10 минут (этот гистрацию и, возможно, разрешение эти преимущества могут мигрировать,
сервис для этого сотрудника явля- части поступающих инцидентов. Инци- то есть в рамках большой организации
ется важным). денты могут поступать в Service Desk также будет заметен эффект предвос-
по телефону, по электронной почте, хищения проблем и т. д.
Таким образом, для IT-подразделе- через корпоративные сайты, систему
ния, осуществляющего поддержку, по- документооборота и т. д. ITIL говорит Что дальше?
являются вполне определенные серви- о том, что все обращения клиентов При всей красоте нарисованной вы-
сы, которые они должны предоставить, (а под клиентом понимается в первую ше картины с внедрением ITIL при-
и характеристики этих сервисов, кото- очередь внутренний заказчик, так как ходят и сложности: с одной стороны,
рые должны быть выдержаны. ITIL смотрит на мир глазами IT-подраз- от IT‑персонала требуется большая
Вторая парадигма ITIL – процес- деления) должны быть зафиксирова- формализация производимых работ
сный подход и принцип «одного окна». ны и обработаны так, чтобы как мож- (например, формализуются процеду-
C точки зрения ITIL, все, что происхо- но быстрее решить возникшую проб- ры приёма инцидента, работы над раз-
дит внутри отдела информационных лему. Если сотрудники подразделения решением инцидента, контроля за ра-
технологий (вне зависимости от его Service Desk не смогли решить возник- ботой, в частности, времени выполне-
размера), можно описать в рамках тех ший инцидент, он передается далее – ния, документирования результатов
или иных процессов. на вторую линию поддержки (напри- работ и т. д.), что на первых порах мо-
В частности, ITIL (второй версии) мер, группе системных администра- жет мешать основной работе (впос-
выделяет следующие основные про- торов) и т. д. ледствии этот эффект нивелируется
цессы: Если с большими организация- за счет адаптации сотрудников к но-
1. Управление инцидентами (скорей- ми, как правило, не возникает вопро- вым условиям работы и понимания ими
шее разрешение сбойных ситуа- са, для чего нужны ITIL и Service Desk, преимуществ подхода ITIL), с другой –
ций, или инцидентов, представля- то в случае небольшой организации выстраивание отношений «по ITIL» мо-
ющих собой отклонения от режи- с маленьким IT-отделом часто мож- жет негативно сказаться и на сотруд-
ма нормального функционирова- но услышать мнение, что такого рода никах бизнес-подразделений, в част-
ния сервиса). служба может оказаться излишней, ности, возможны случаи, когда они на-
2. Управление проблемами (предо- а философия ITIL – бесполезной и не- чнут требовать «всего, здесь и сейчас»,
твращение возникновения инци- применимой. или выступить в оппозиции к новшес-
дентов). Практика показывает, что в этом твам, поскольку формальный подход
3. Управление конфигурациями (хра- случае функцию регистрации инциден- к IT может каким-либо образом заде-
нение описания инфраструктуры тов могут проводить непосредствен- вать их личные интересы (сложно сва-
и связи между ее элементами). но сотрудники группы, которая зани- лить вину «на этого системного адми-
4. Управление изменениями (реали- мается обслуживанием пользовате- нистратора»).
зация изменений максимально бе- лей. Собственно говоря, регистрация Таким образом, при внедрении ре-
зопасным образом). всех инцидентов не является самоце- комендаций ITIL каждая организация
5. Управление релизами (сохранение лью: с её помощью собирается ста- должна найти в ней свой необходимый
работоспособности инфраструкту- тистическая информация, на основа- и достаточный предел, набор ITIL-про-
ры при проведении изменений). нии анализа которой могут быть сде- цессов, подходов и методов работы,
6. Управление уровнем сервиса (оп- ланы те или иные выводы относитель- направленных на улучшение и гармо-
ределение параметров сервиса но того, где есть потенциальные «узкие низацию совместной работы IT-отдела
для конечного потребителя). места», где необходима модернизация, и основного бизнеса.

58

Как наше законодательство регули-
рует интернет-сайты? Скажем, дол-
жен ли сайт соответствовать требо-
ваниям закона о СМИ? Кто несёт от-
ветственность за нарушающее зако-
ны РФ сообщение, опубликованное
на общедоступном постмодерируе-
мом форуме – анонимный автор со-
общения, владелец форума или же
хостер (на дисках которого незакон-
ный контент находится физически
и может быть в ходе соответствую-
щей проверки обнаружен)?
На сегодняшний день российское зако-
нодательство не дает легального опре-
деления понятия «сайт». В общем виде
под сайтом понимается результат ин-
теллектуальной деятельности, кото-
рый следует рассматривать как произ-
ведение, состоящее из комплекса про-
грамм для ЭВМ, баз данных и элемен-
тов контента (текстов, фотографий, ди-
зайна сайта), представленных в фор-
ме, позволяющей обеспечить доступ
к ним посредством информационной
телекоммуникационной сети общего
пользования.
Интернет-сайт не подпадает под
понятие «средства массовой инфор-
мации» (СМИ). Данный вывод осно-
вывается на анализе Закона «О СМИ»,
а также на существующей судебной
практике. Следовательно, и обяза-
тельной регистрации сайта в качест-
ве СМИ не предусмотрено, что не ис-
ключает возможность добровольной
регистрации интернет-сайта как сред-
ства массовой информации по заявле-
нию его владельца.
Теперь рассмотрим вопрос ответс-
твенности владельца сайта за разме-
щение с нарушением законодательс-
тва объектов авторских прав. Выделю
следующие моменты:
1. Когда происходит размещение
на сайте охраняемого объекта автор-
ских прав (статьи, аудио-, видеофай-
лы и т. п.), ответственность несет вла-
делец сайта, на котором были разме-
щены контрафактные произведения
или объекты смежных прав. В послед-
нее время появилась тенденция по при-
влечению к ответственности, кроме
владельцев сайта, хостеров, предо-
ставляющих услуги по размещению
на своих серверах контент-сайтов (на-
пример, дело о привлечении к ответс-
твенности ЗАО «Мастерхост» за разме-
щении сайта www.zaycev.net на его сер-
№11, ноябрь 2008
вере, которое закончилось взыскани-
ем с хостера компенсации за наруше-
ние исключительных имущественных
прав). В случае, если сайт зарегистри-
рован как СМИ, то гражданин или ор-
ганизация вправе потребовать от ре-
дакции опровержения не соответствую-
щих действительности и порочащих их
честь и достоинство сведений, которые
были распространены в данном средс-
тве массовой информации (ст. 43‑45
Закона «О СМИ»). В остальных случа-
ях законодательством не предусмотре-
но направление уведомления об устра-
нении нарушений, но это не исключает
возможность его направления.
Если без ведома правообладателя
происходит использование объекта ав-
торских прав, то правообладатель (ав-
тор или тот, кому автор передал свои
права) может требовать по своему вы-
бору от нарушителя вместо возмеще-
ния убытков выплаты компенсации:
n в размере от десяти тысяч рублей
до пяти миллионов рублей, опреде-
ляемом по усмотрению суда (раз-
мер компенсации в этих пределах
определяется по усмотрению суда
в зависимости от характера нару-
шения и иных обстоятельств дела
с учетом требований разумности
и справедливости);
n в двукратном размере стоимос-
ти экземпляров произведения или
в двукратном размере стоимости
права использования произведе-
ния, определяемой исходя из це-
ны, которая при сравнимых обсто-
ятельствах обычно взимается за
правомерное использование про-
изведения.
Чтобы взыскать компенсацию, до-
статочно доказать факт правонаруше-
ния. Правообладатель, обративший-
ся за защитой нарушенного права, не
обязан доказывать размер причинен-
ных ему убытков. Автор или иной пра-
вообладатель (автор может передать
свои права, тогда это будут разные лю-
ди) может по своему выбору требовать
от нарушителя выплаты компенсации
за каждый случай неправомерного ис-
пользования произведения либо за до-
пущенное правонарушение в целом.
Если говорить об уголовном пре-
следовании, то возможно возбужде-
ние и уголовного дела по заявлению
правообладателя.
закон есть закон
Рубрику ведет юрист
Юлия Штокало
2. Когда размещение информа-
ции, которая нарушает права и инте-
ресы других лиц, происходит на бло-
гах, страницах сайта, ответственность
несут владельцы сайта, блога. Под-
тверждением этой позиции могут слу-
жить недавние судебные процессы над
блоггерами (Дмитрием Соловьевым,
Саввой Терентьевым).
3. Когда информация, нарушаю-
щая права и интересы других лиц бы-
ла размещена на форуме, ответствен-
ность будет в первую очередь нести
автор этой информации. Если устано-
вить авторство не удастся, ответствен-
ность будет нести владелец форума.
Как средство защиты от недобросо-
вестных посетителей форума мож-
но порекомендовать сформулировать
правила форума, в которых обозначить
цели и тематику форума с указанием
на недопустимость выхода за пределы
тематики, недопустимость написания
сообщений, нарушающих нормы права,
установить правила регистрации, кото-
рые бы позволяли идентифицировать
пользователя, размещающего инфор-
мацию, вести модерирование форума.
В данном случае речь идет о модери-
ровании форума как о возможности
удалить сообщения, содержащие, на-
пример, призывы к расовой дискрими-
нации, негативные высказывания в от-
ношении правоохранительных органов,
других юридических лиц, людей, не ос-
нованные на фактах. Именно за такие
высказывания судили блоггеров и был
предъявлен иск к ООО «Мегасофт».
Конечно, если пользователь размес-
тил определенный материал, то нуж-
но исходить из его добросовестности
и удалять такой материал только в слу-
чае возникновения спора об авторстве
материала.
59
 IP-телефония

Телефония для эпохи

Web 2.0

Антон Борисов
Как часто вы находились в ситуации, когда было проще один раз сказать словами, нежели
несколько раз объяснять, например, в окне ICQ-мессенджера? Давайте попробуем разобраться,
как создать комфортные для работы условия, а именно – рассмотрим тот инструментарий,
что поможет донести наш голос до удаленного собеседника.

С
ейчас, наверное, уже трудно ко-
го-то удивить такими термина-
ми, как: VoIP-соединение, SIP-
телефония, сервер телефонии Asterisk
и т. п. И это отрадно, так как означа-
ет, что, во-первых, создана и исполь-
зуется транспортная инфраструктура
для цифрового обмена информацией
(интернет-каналы) и, во-вторых, со-
здано позитивное общественное мне-
ние на такой вид коммуникаций. В об- дится устанавливать и настраивать
щем-то, это должно означать, что лю- SIP-телефонию каждый раз, когда че-
ди представляют себе механизм об- ловек меняет свое местоположение.
щения посредством софтовых теле- Что не всегда кажется удобным и пра-
фонов и более того – немалую часть вильным решением, ибо для того, что-
времени проводят в разговорах че- бы звонить, достаточно будет перенес-
рез IP‑среду. ти только гарнитуры.
Единственное, что может огорчать, Предполагается, что Asterisk у вас
так это привязка звонящего челове- уже настроен (подробно рассмотрено
ка к своему рабочему месту – прихо- в более ранних номерах журнала [1-4]),

60
 IP-телефония
учетные записи пользователей созданы и вы можете поз- allow=gsm
allow=ulaw
вонить своему коллеге с помощью SIP-телефона. Отлично, allow=alaw
следующий шаг – сделать так, чтобы вы могли осуществить
звонок и с любого другого места. И заведем теперь планы дозвона указанным пользовате-
Предварительно убедимся, что Asterisk у нас работоспо- лям – указанные строки вносятся в файл extensions.conf:
собен хотя бы в минимальной конфигурации. Если он в ва-
шей сетевой инфраструктуре никогда не разворачивался exten => 1200,1, Macro(stdexten,1200,SIP/1200)
exten => user1, 1, Goto(1200|1)
ранее, то ничего страшного. Установка тривиальна (приво-
дится пример для FreeBSD 6.2 и Аsterisk версии 1.4.21): exten => 200,1, Macro(stdexten,200,SIP/200)
exten => user3, 1, Goto(200|1)

# cd /usr/ports/net/asterisk/ Делаем рестарт Asterisk:

# make config

В появившемся диалоге выбираете нужные опции. /usr/local/etc/rc.d/asterisk restart

По умолчанию можете выбрать все.
+--------------------------------------------------------------------+
Дело остается за малым. Установить SIP-клиента и про-
| Options for asterisk 1.4.21.2_3 | верить, что базовые настройки правильные и звонок с або-
| +----------------------------------------------------------------+ |
| | [X] OGGVORBIS Enable Ogg Vorbis support | |
нента 200 проходит на абонента 1200.
| | [X] ODBC Enable ODBC support | | При выборе софтового телефона ставка делалась
| | [X] POSTGRES Enable PostgreSQL support | |
| | [X] RADIUS Enable RADIUS accounting support | |
на следующие критерии:
| | [X] SNMP Enable SNMP support | | n мультиплатформенность;
| | [X] H323 Enable H.323 support | |
| | [X] FREETDS Enable FreeTDS support | |
n эстетичность.
| | [X] JABBER Enable Jabber and Gtalk support | |
| | [X] SQLITE Enable SQLITE support | |
| | [X] CODEC_PATCH Apply codec negotiation patch | |
Поэтому при всем богатстве выбора, а выбиралось
| | [X] ILBC Enable iLBC codec | | между Ekiga, Twingle, SJPhone, Linphone, внимание при-
| | [X] MISC_PATCHES Apply additional patches | |
| | [X] ZAPTEL Enable Zaptel support | |
влек X‑Lite от компании CounterPath [6]. Несмотря на за-
| | | | крытость – телефон распространяется только в бинар-
| | | |
+-+----------------------------------------------------------------+-+
ной форме – поддержка Windows/Mac/Linux свидетельс-
| [ OK ] Cancel | твует о том, что больше 95% пользователей смогут сво-
+--------------------------------------------------------------------+
бодно пообщаться.
Далее: Итак, пользовательские настройки сделаны. Абонент
200 звонит своему коллеге – абоненту 1200. Связь иде-
# make && make install && make clean альная.
Теперь приступаем к той идее, название которой бы-
Сервер телефонии теперь установлен. Организуем за- ло озвучено в самом начале. А именно, сделать место зво-
пуск Asterisk при старте системы, для этого в файл /etc/ нящего по-настоящему мобильным. Конечно, полностью
rc.conf добавим строку: мобильным сделать не получится, так как вряд ли у вас
для каждого сотрудника выделен ноутбук.
asterisk_enable="YES" Будем ориентироваться на обычного пользователя, ко-
торый периодически бороздит просторы Сети, т.е. на ра-
Файлы конфигурации могут быть иными, в зависимости бочем столе присутсутвует браузер и для этого браузе-
от выбранной вами платформы или дистрибутива. ра установлены
Добавим учетные записи первых пользователей, от име- дополнительные
ни которых будут произведены звонки. Вносим следующие плагины.
строки в файл sip.conf:
Звонок
[200]
type=friend
с помощью
host=dynamic средств
username=200
secret=mypasswd
Java
nat=y Первое решение
context=default полагается в сво-
callerid="Anton" <200>
allow=gsm ей работе на те
allow=ulaw средства, что раз-
allow=alaw
виты в современ-
[1200] ной Java и разра-
type=friend
host=dynamic ботаны в рамках
username=1200 к лиента IAX [8].
secret=mypasswd
nat=no А именно, обра-
context=default ботка звуковых
callerid="Anton" <1200> Рисунок 1. Звонок абоненту 1200
потоков в форма- через JIAXClient

№11, ноябрь 2008 61

 IP-телефония
Открытость кодов JIAX Client подразумевает, что соб-
рать апплет можно под любую платформу, где может ра-
ботать JVM.
Как происходит установка клиента JIAX на практике?
У меня установлен nginx в качестве веб-сервера, что од-
нако не означает, что любой другой не подойдет. Вовсе нет.
Просто так получилось, что требовался быстрый и легко-
весный веб-сервер.
Итак, настройки nginx не отличаются от стандарт-
ных, произведем изменения только в секции server фай-
ла nginx.conf:

1 server {
2 listen 8811;
3 server_name localhost;
4 location / {
5 root /usr/local/www/nginx;
6 index index.html index.htm;
7 auth_basic "Ask yourself!";
8 auth_basic_user_file /usr/local/etc/nginx/htpasswd;
9 }
Рисунок 2. Авторизация на доступ к ресурам веб-сервера
В строке 2 указываем, чтобы nginx работал на высоком
порту 8811. В строке 5 указываем, где хранятся документы
для веб-сервера. И на время тестового периода я решил
ограничить доступ лиц, которые могут пользоваться услу-
гами телефонии – строки 7 и 8. Для вашего случая, их мож-
но закомментировать.
Копируем содержимое jiaxclient-0.0.6 в директорию /usr/
local/www/nginx/sip/ и с рабочей машины пользователя захо-
дим браузером по адресу – http://mgwe:8811/sip/jiaxtest.html,
где mgwe – адрес вашего Asterisk или nginx-сервера в инт-
ранет, либо в интернет-сети (см. рис. 2).
Вводим пароль для доступа к HTML-страницам серве-
ра nginx (вспомните про строки 7 и 8 файла конфигурации
nginx). И утвердительно отвечаем, что мы доверяем JVM
исполнить апплет jiaxclient (см. рис. 3).
Затем делаем звонок другу (см. рис. 1) и общаемся, по-
ка не закончится последний IP-пакет.
Звонок вызова на стороне вашего коллеги будет проис-
ходить от имени пользователя Guest IAX User (см. рис. 4).
Рисунок 3. Доверить запуск апплета на выполнение На что стоит обратить внимание при использовании
клиента JIAX? На принадлежность пользователей одному
те WAV, GSM (и некоторых других) самой JVM и плюс к это- контексту, а именно default. Специально прописывать на-
му – обработка сигнализации IAX (Inter Asterisk eXchange). стройки для пользовате-
В итоге получился апплет, который физически размеща- ля Guest IAX User не надо.
ется на том же сервере, что и сам Asterisk, а пользователь Asterisk сам подставля-
просто-напросто вводит номер абонента, которому нужно ет название этого поль-
позвонить (см. рис. 1). зователя при установке
И при успешном соединении можно начинать говорить соединения. Если хоти-
через гарнитуру. те особо выделить, что
Плюсы у данного решения: звонок происходит с веб-
n не требуется установка SIP-телефона; сайта, например, как со-
n звонок (кодек и сигнализация) обрабатывается через единение от пользовате-
Java-плагин браузера; ля WebSite Client, то луч-
n мультиплатформенность. ший способ – это обра-
титься к документации
Минусами являются: на Asterisk. В том случае,
n необходимость использовать JVM; когда вы заводите поль-
n получение данных с микрофона происходит через JNI- зователей в соответс-
интерфейс, что требует установки библиотеки libjiaxc.so твии с названием под- Рисунок 4. Входящий звонок
от «фантомного» пользователя
(UNIX) или jiaxc.dll (Windows) на клиентскую машину. разделения или функци- Guest IAX User

62
 IP-телефония
ональной принадлежности, например, office, то следует пом-
нить, что звонок от пользователя SIP1@default будет невоз-
можен своему коллеге SIP2@Office2. Из-за разных контек-
стов – default и Office2. Придется всех заносить в контекст
default, либо дорабатывать сам JIAX-клиент.
Да, и не забудьте поставить драйверы к аудио-систе-
ме на клиентской машине, иначе получите ошибку прило-
жения (cм. рис. 5).

Позвоним с помощью add-on

для браузера
Столь замечательный подход использовать взаимодейс-
твие с помощью IAX-сигнализации не мог оставить в сто-
роне идею позвонить не через Java-плагин, а напрямую,
из браузера. Правда объективности ради, следует уточ-
нить, что из семейства Mozilla [10].
Устанавливаем add-on с названием MozIAX. Выставля-
ем нужные параметры в разделах Network и Codecs. Обра-
Рисунок 5. Типичная ошибка, когда не удается
щаю ваше внимание, что необходимо будет добавить новых, инициализировать аудио-подсистему
IAX-пользователей. Указанные для примера пользователи
200 и 1200 были, если можно так выразиться, немного дру-
гого формата, а именно SIP (см. рис. 6).
Добавим пользователя marko2 в файл iax.conf.

[marko2]
type=friend
host=dynamic
regexten=1234
secret=moofoo
context=default
permit=0.0.0.0/0.0.0.0

Не забудем добавить также нужный номер extension это-

го пользователя. И самое главное, нам потребуется еще вне-
сти изменения в Manager Interface – файл manager.conf:

[tony]
secret = mypass
read = system,call,log,verbose,command,agent,user
write = system,call,log,verbose,command,agent,user

Теперь ждите разгоряченных признаний от поклонниц,

звонящих вам из браузера Mozilla Firefox (см. рис. 7). Но вы Рисунок 6. MozPhone плагин установлен и правильно настроен
в безопасности, так как VoIP-пакеты безопасны для орга-
низма.
Какие могут быть «подводные грабли»? Необходимость
открывать наружу порт 5038 от Asterisk Manager Interface –
изменения в секции [general] опции bindaddr. Неспособ-
ность принять звонок, если звонящий пользователь нахо-
дится за NAT.
Текущая версия MozIAX поддерживает версии Mozilla
только на платформах Windows и Linux. «Яблочные» поль-
зователи, по всей видимости, остаются все еще не у дел.

«Встречный звонок»
Использование Asterisk Manager Interface на самом деле
не такая уж и плохая идея. В свете того, что сам Asterisk
и веб-сервер запущены и работают на одной машине –
не придется открывать лишние порты, да и само взаимо-
действие происходит в рамках localhost. Мы можем подго-
товить скрипт, параметрами к которому являются номера
соединяемых абонентов. Рисунок 7. Звонок «приходит» с идентификатором MozPhone

№11, ноябрь 2008 63

 IP-телефония
Как это выглядит на практике? Представим себе следу-
ющую ситуацию (см. рис. 8). Абонент A находится в своем
кабинете, при этом у него на рабочем столе запущен и ав-
торизован SIP-телефон. Абонент B, находящийся в другом
филиале, но фактически в той же локальной сети, решил
позвонить. Благо перед глазами у него аппаратный SIP-те-
лефон, который подключен к Asterisk-серверу. Абонент B за-
ходит на корпоративный сайт, вводит в форму номер своего
телефона и нажимает на кнопку «Соединить с самым глав-
ным». В итоге скрипт производит соединение с самим вы-
зывающим абонентом (B), а затем дозванивается до «са-
мого главного» (абонент A).
Во что выльется практическое примение данного ре-
шения на том или ином предприятии, сказать заранее до-
статочно сложно. Следует, однако, помнить, что как только
у вас разрастается телефонная инфраструктура и между-
городние звонки через SIP-оператора становятся обыден-
ностью, то возникает желание быть на связи с конкретным
человеком вне зависимости от того, где географически он
в данный момент расположен. И звонить ему со служебно-
го портала всегда по одному номеру, например 1200.
Рисунок 8. Схема взаимодействия абонентов с 2 разными типами телефонов
Рисунок 9. Perl-скрипт выполняет всю закулисную работу
64
В качестве скрипта, который делает всю закулисную ра-
боту, выступает TACI-скрипт [11], написанный на Perl. Раз-
местим его на веб-сервере, организуем обработку вызо-
вов скриптов на Perl и попробуем позвонить. Но предва-
рительно не забудьте добавить параметр priority в вызо-
ве через Manager Interface – строка 177. Новая должна вы-
глядеть как:
$tn->print("Action: originate\nExten: ↵
$exten\nContext: $context\nPriority: ↵
$priority\nChannel: ↵
$phonetype/$account\nPriority:1\nCallerid: ↵
$callerid\n\n");
Подсоединяем гарнитуру, заносим нужные телефоны
в поля: Number to call, Your Extension, контекст – default, и на-
жимаем на кнопку «Make call!». Прозвонит сначала телефон
с номером 1200, а затем зазвонит у нужного нам абонента,
в данном случае с номером 200. Соединение состоялось.
Звонок в стиле Flash!
Сегодняшнее повествование было бы неполным, оставь
мы без внимания набирающие всё большую популярность
и распространенность Flash-техно-
логии. Тем более учитывая тот факт,
что сама компания Adobe очень ответс-
твенно подошла к теме P2P- и SIP-ком-
муникаций и на текущий момент дан-
ные технологии представлены в про-
ектах Pacifica и в самом FlashPlayer.
То есть фактически на столе у каж-
дого пользователя находится движок,
с помощью которого можно произвес-
ти звонок. Давайте рассмотрим схему,
по которой работает данное решение
(см. рис. 10).
На стороне веб-сервера дополни-
тельно запущен Red5-сервер. Он пред-
ставляет собой сервер коммуника-
ций, написанный на Java. В свое вре-
мя Adobe Systems придумала про-
токол RTMP (Real Time Messaging
Protocol [12]) для обмена потоковы-
ми сообщениями между flash-плее-
ром (веб-браузер на стороне клиен-
та) и Adobe Flash Media Server. Прото-
кол проприетарный, но благодаря ре-
верс-инжинирингу он был переписан
на Java, и получился Red5. Фактичес-
ки он может работать там же, где ра-
ботает и Java 5/Java 6.
Красным цветом показана сигна-
лизация – передача контрольных со-
общений, индикация звонка и т. п. Си-
ним отмечено прохождение сигнала от
удаленного абонента через SIP-сервер,
а затем через Red5-сервер. Зеленый
цвет – передача голоса с микрофона,
через приложение на стороне браузе-
ра и далее аналогичным путем, что и
сигнал от удаленного абонента.
 IP-телефония
Что у нас получается? Пользователь заходит на стра-
ницу сервера и запускает на ней Flex-приложение (по сути
flash-приложение) (см. рис. 11). Указывает свои параметры
для Asterisk-сервера и, авторизовавшись, получает окошко
с SIP-телефоном (см. рис. 12).
Теперь, набрав заветный номер, он может провести клас-
сическую английскую беседу о чае и погоде со своим да-
леким визави (см. рис. 13).
Как это будет выглядеть на стороне сервера? Во-пер-
вых, потребуется Java версии 6. Хотя может использо-
ваться и предыдущая, 5-я, версия, но разработчики реко-
мендуют все-таки переходить на более новую. На страни-
це [13] забираете tarball версии 0.7.0final сервера Red5, за-
тем ja‑файл red5.jar (детальная инструкция расположена
на сайте [14]) и сам архив SIP-телефона. Его следует раз-
местить в директории webapps, на стороне сервера. Затем,
запустив скрипт red5.sh, вы получите работающий Red5-
сервер, готовый принимать звонки. В целях разграниче-
ния функций вы можете разместить Red5 на другой маши-
не, нежели сам Asterisk.

В качестве эпилога
У каждого рассмотренного решения есть свои сильные
и слабые стороны. Но ясно одно, что телефония, а по боль-
шому счету видео- и аудиоконференции, находит все боль-
шее применение в повседней жизни, будь то совещание ра-
бочей группы в транснациональной компании либо уточне-
ние требований технического задания в маленькой фир-
ме. Как говорил один политический деятель в прошлом
веке: «В решении какой-либо важной задачи непременно
должны быть взяты телефон, телеграф, станции». И если
под станциями рассматривать шлюзы для выхода в Интер-
нет, а под телеграфом подразумевать сервер электронной
почты, то как «взять» телефон для нужд конечного пользо-
вателя, мы рассмотрели сегодня.
1. Платов М. Что важно знать об IP-телефонии? //«Системный
администратор», №5, 2005 г. – С. 20-25.
2. Платов М. Asterisk и Linux: миссия IP-телефония. //«Системный
администратор», №6, 2005 г. – С. 12-19.
3. Платов М. Asterisk и Linux: миссия IP-телефония. Действие 2.
//«Системный администратор», №7, 2005 г. – С. 32-38.
Рисунок 10. Сигнализация и передача данных при использовании
Flash-технологий
4. Платов М. Asterisk и Linux: миссия IP-телефония. Действие 3.
//«Системный администратор», №8, 2005 г. – С. 10-19.
5. http://www.asteriskguru.com/tutorials/sip_nat_oneway_or_no_
audio_asterisk.html.
6. http://www.counterpath.com.
7. http://www.hem.za.org/jiaxclient.
8. http://iaxclient.wiki.sourceforge.net.
9. http://www.voip-info.org/wiki-IAXClient.
10. http://moziax.mozdev.org.
11. http://www.azxws.com/asterisk.
12. http://en.wikipedia.org/wiki/Real_Time_Messaging_Protocol.
13. http://osflash.org/red5/070final.
14. http://code.google.com/p/red5phone.

Рисунок 11. Пользовательские данные Рисунок 12. Абонент авторизован, Рисунок 13. Трубка на удаленном конце
введены и можно произвести звонок поднята – соединение осуществлено

№11, ноябрь 2008 65

 безопасность

Установка цепочки серверов сертификации

как часть внедрения PKI в домене
Часть 3

Станислав Шпак
В первых двух частях статьи [1, 2] мы рассматривали процесс установки и настройки цепочки
из трех серверов, которые будут составлять ядро структуры PKI в вашем домене. Осталось
только произвести некоторые настройки в домене, чтобы вся конструкция перестала быть
бесполезным железом и наконец заработала.

В
отличие от изолированных СА
(Certificate Authority) СА уровня
предприятия обычно настраи-
ваются на автоматический выпуск сер-
тификатов. При этом для заполнения
нужных полей сертификата информа-
ция берется из Active Directory. Разуме-
ется, сертификаты для более важных
целей (например, смарт-карты) можно
выпускать вручную – такой метод дает
возможность более строго контроли-
ровать процесс сертификации.
СА использует шаблоны серти- будут применены к сертификату в про-
фикатов для автоматизации форми- цессе его выпуска.
рования сертификатов из запросов. Шаблоны сертификатов хранятся
Windows Server 2003 Enterprise Edition в Active Directory, поэтому, сконфигу-
(и Datacenter Edition) поддерживают рировав шаблон на одном СА, вы бу-
шаблоны второй версии (V2), в то вре- дете иметь доступ к этому шаблону
мя как более ранние ОС – только пер- на любом другом СА в лесу. Это озна-
вой (V1). Основное различие между чает также и то, что, удалив шаблон,
версиями в том, что шаблоны V1 пре- вы удалите его из Active Directory, и он
допределены и неизменяемы, в то вре- не будет больше доступен нигде.
мя как шаблоны V2 позволяют сконфи- Для использования шаблонов V2
гурировать множество опций, которые в смешанной доменной среде требу-

66
 безопасность
ются расширение схемы AD до уровня
2003 Server и установка, как минимум,
SP3 на контроллеры домена под уп-
равлением Windows 2000. Кроме того,
использовать шаблоны V2 для запро-
са сертификатов могут не все клиен-
ты – тут существуют разные ограниче-
ния в зависимости от метода запроса
сертификата.
Таких методов несколько – серти-
фикат может быть запрошен автома-
тически, через соответствующую ос-
настку MMC, посредством Web или че- Рисунок 1. Оснастка Certifacate Templates
рез скрипт из командной строки. Поз-
же рассмотрим некоторые из них. Имейте также в виду, n Чтобы добавить шаблон в список шаблонов, обрабаты-
что если в домене существуют несколько выпускающих ваемых СА, надо в оснастке Certification Autority в раз-
СА, то запрос сертификата от клиента может быть на- деле Certification Templates нажать правую кнопку мыши
правлен на любой доступный СА, причем этот СА необя- и выбрать «New → Certificate Template to Issue» («Соз-
зательно будет ближайшим. Это стоит учесть, распола- дать → Выдаваемый шаблон сертификата»), после че-
гая СА в домене. го выбрать из списка шаблона нужный.
Автоматический выпуск сертификатов настраивает- n Если вы создали копию шаблона, настроили его свойст-
ся как комбинация доменных политик и шаблонов серти- ва, не забыли отметить опцию Publish in Active Directory,
фикатов. В результате выпуск сертификатов может стать а этот шаблон не появился в списке доступных для СА
для пользователя абсолютно прозрачным. Кроме того, шаблонов, подождите немного.
это снижает стоимость администрирования всей струк- n В тех шаблонах, которые предназначены для выпус-
туры PKI. ка сертификатов с целью шифрования данных, иногда
Те шаблоны сертификатов, по которым СА может выда- имеет смысл включить опцию Archive subject’s encryption
вать сертификаты после установки, можно посмотреть в ос- private key (архивировать закрытый ключ субъекта)
настке Certification Authority (центр сертификации) в разде- на вкладке Request Handling (обработка запроса) –
ле Certificate Templates (шаблоны сертификатов). Если на- это может помочь в будущем в случае необходимости
жать в этом разделе правую кнопку мыши и выбрать пункт восстановления данных, зашифрованных этим серти-
Manage (управление), то запустится оснастка Certificate фикатом.
Templates (шаблоны сертификатов), с помощью которой n Если надо включить в шаблоне какую-то опцию, а это
можно управлять шаблонами сертификатов (см. рис. 1). сделать нельзя ввиду того, что шаблон относится
Эти две оснастки тесно связаны, поэтому уделим им чуть к версии 1, создайте дубликат шаблона (но помните,
больше внимания. что не все клиенты умеют работать с шаблонами V2).
Итак, что нужно знать:
n Шаблоны V2 помечены в списке цветной иконкой, Итак, теперь проведем первичную настройку шабло-
в то время как шаблоны V1 – черно-белой. нов. Нам потребуются, как минимум, шаблоны типа Domain
n Повторюсь: параметры шаблонов V2 менять можно, Controller (контроллер домена), Computer (компьютер) и User
V1 – нет. (пользователь). Все эти шаблоны уже перечислены в раз-
n Очень не рекомендуется удалять шаблоны.
n Если нужно исправить шаблон, лучше создать его ко-
пию (щелкнув правой кнопкой мыши на имени шабло-
на и выбрав из меню Dublicate Template (скопировать
шаблон).
n Для использования в СА становятся доступны те шаб-
лоны, в свойствах которых на вкладке General (общие)
отмечена опция Publish in Active Directory (опубликовать
сертификат в Active Directory).
n Даже если шаблон доступен для СА, чтобы пользовате-
ли могли с ним работать, надо настроить права на вклад-
ке Security (безопасность).
n Если вы используете доменную структуру с корневым
доменом, обратите внимание, что по умолчанию пра-
ва для использования шаблона обычно даются учет-
ным записям из корневого домена. Для учетных запи-
сей из нижележащих доменов эти права надо дать яв-
ным образом. Рисунок 2. Выбор шаблона сертификата

№11, ноябрь 2008 67

 безопасность
деле Certificate Templates оснастки Certificate Authority, Event Type: Error
так что нам остается только проверить, есть ли у пользо- Event Source: AutoEnrollment
Event Category: None
вателей необходимые права на использование этих шаб- Event ID: 13
лонов. Для этого в оснастке Certificate Templates нужно най- Date: 21.10.2008
Time: 20:36:50
ти каждый из этих шаблонов и, заглянув в свойства, про- User: N/A
верить установки на вкладке Security. Поскольку в нашей Computer: RES-DC
тестовой среде мы использовали двухуровневую доменную Description:
Automatic certificate enrollment for local system failed to enroll
структуру с корневым доменом [1], то разрешения для шаб- for one Domain Controller certificate (0x80070005). Access is
лонов установлены только для учетных записей из домена denied.
Dedicated.Root. Нам необходимо в соответствующие шаб-
лоны добавить право Enroll (Заявка) для учетных записей Аналогичным образом можно произвести настройку до-
домена Res.Dom. Если у вас учетные записи пользовате- менной политики для автоматической выдачи сертификатов
лей и компьютеров будут располагаться в том же домене, компьютерам домена и, если необходимо, пользователям.
что и выпускающий СА, то никаких дополнительных настро- Обратите внимание на настройку Autoenrollment setting (па-
ек безопасности не потребуется. раметры автоматической подачи заявок) в ветке «Computer
Как уже говорилось в предыдущей части статьи, в доме- Configuration → Windows Settings → Security Settings → Public
не Windows 2000 происходил автоматический запрос сер- Key Policies». Она позволяет указывать, нужен ли автомати-
тификатов контроллерами домена, как только появлялся ческий выпуск сертификатов и если да, то каким образом
СА уровня предприятия. В домене Windows 2003 этого нет, проводить обновление сертификатов по истечении срока
поэтому начнем с настройки автоматического запроса сер- их действия (см. рис. 3).
тификатов контроллерами домена. Если по каким-то причинам автоматический выпуск сер-
Для этого надо открыть групповую политику контролле- тификатов недоступен (например, нужно выпустить серти-
ров домена (обычно это Default Domain Controller Policy) и пе- фикат для компьютера, который не является членом доме-
рейти в ветку «Computer Configuration → Windows Settings → на), то можно воспользоваться одним из способов, из пе-
Security Settings → Public Key Policies → Automatic Certificate речисленных ранее. Например, через браузер (рекомен-
Request» («Конфигурация компьютера → Конфигурация дуется Internet Explorer версии 5.01, но вообще чем новее,
Windows → Параметры безопасности → Политики откры- тем лучше).
того ключа → Параметры автоматического запроса серти- Примечание: для того чтобы воспользоваться воз-
фикатов»). Здесь надо нажать правую кнопку мыши и вы- можностью веб-запроса сертификата через браузер
брать «New → Automatic Certificate Request» («Создать → из ОС Windows Vista, потребуется применить дополнитель-
Автоматический запрос сертификата»), в результате че- ный патч для выпускающего СА [3].
го запустится несложный мастер, в котором нужно ука- Итак, запускаем браузер и открываем страницу
зать, автоматический выпуск каких типов сертификатов http://EntCA/certsrv (где EntCA – имя нашего СА). Мы попа-
мы хотим настроить. Поскольку эта политика применяется даем на стартовую страницу сервера сертификатов, с ко-
только к контроллерам домена, то и выбираем из предло- торой можно пойти по трем ссылкам:
женного списка Domain Controller (см. рис. 2). После этого n Request a certificate – запросить сертификат;
из командной строки запускаем команду «gpupdate /force» n View the status of a pending certificate request – пос-
для применения групповой политики и проверяем, что кон- мотреть статус запрошенного сертификата;
троллер домена получил сертификат. Для этого открыва- n Download a CA certificate, certificate chain, or CRL –
ем системный журнал событий в разделе Applications (про- скачать сертификат СА, цепочку из сертификатов вы-
граммы), где мы должны увидеть информационное собы- шестоящих СА или CRL.
тие от источника AutoEnrollment с ID 19 примерно следую-
щего содержания: В нашем случае нажимаем Request a certificate и по-
падаем на следующую страницу, где нужно либо выбрать
Event Type: Information
Event Source: AutoEnrollment
тип сертификата, либо перейти к подробному формирова-
Event Category: None нию запроса по ссылке Аdvanced certificate request. Нажав
Event ID: 19 на нее, мы переходим к трем опциям, из которых нас инте-
Date: 21.10.2008
Time: 22:18:29 ресует первая – Create and submit a request to this CA. На-
User: N/A жав на ссылку, можно выбрать нужный тип сертификата
Computer: DC1
Description:
(в списке представлены только те шаблоны, для использо-
Automatic certificate enrollment for local system successfully re- вания которых у пользователя достаточно прав) и ряд до-
ceived one Domain Controller certificate from certificate authority полнительных параметров (которые меняются в зависи-
EntCA on EntCA.Dedicated.Root.
мости от выбранного шаблона) (см. рис. 4). Нажав на кноп-
Это говорит о том, что сертификат успешно получен. ку Submit внизу страницы, мы отправляем запрос на выда-
Если же в групповых политиках будет включено автома- чу сертификата на СА. Если на СА для данного шаблона
тическое получение сертификата, а в шаблоне на вклад- настроен автоматический выпуск сертификата, то ссыл-
ке Security не будут даны права на использование этого ку на скачивание и установку сертификата вы увидите
шаблона, то в журнале событий можно будет увидеть сле- уже на следующем шаге. Иначе вам нужно будет вручную
дующее: выпустить сертификат посредством оснастки Certification

68
 безопасность
Authority и затем либо экспортировать
его из оснастки, либо воспользовать-
ся браузером.
Когда вы устанавливаете серти-
фикат на компьютер, который не явля-
ется членом домена, то нужно не за-
быть, что вам еще потребуется уста-
новить сертификат СА в хранилище
доверенных корневых сертификатов.
Получить сертификат СА можно или
через веб-запрос (по ссылке Download
a CA certificate, certificate chain, or CRL),
или взять из точки распространения
сертификатов, доступной клиентам
(обычно это то же самое место, куда
публикуются CRL из СА предприятия).
Очень важно, чтобы внешние кли-
енты могли получить доступ к серти-
фикату вашего корневого СА, поэтому
не пренебрегайте возможностью раз-
мещения файлов CRL и файла серти- Рисунок 3. Параметры автоматической подачи заявок
фиката корневого СА в местах, доступ-
ных извне (например, на веб-сайте). Имея сертификат кор- воляет создать резервную копию всей связанной с СА ин-
невого СА (в нашем случае это файл RootCA_RootCA.crt), формации.
нужно открыть оснастку Certificates (не важно, для пользова-
теля или компьютера) и открыть ветку «Certificates → Trusted 1. Шпак С. Установка цепочки серверов сертификации как часть
Root Certification Authorities → Certificates» («Сертификаты → внедрения PKI в домене. Часть 1. //Системный администратор,
Доверенные корневые центры сертификации → Сертифи- №8, 2008 г. – С. 54-58.
каты»). Нажать правую кнопку мыши, выбрать All Tasks v 2. Шпак С. Установка цепочки серверов сертификации как часть
Import («Все задачи → Импорт») и далее, следуя указаниям внедрения PKI в домене. Часть 2. //Системный администратор,
мастера, импортировать сертификат в хранилище (на вто- №10, 2008 г. – С. 60-64.
ром шаге лучше указать хранилище в явном виде, не поз- 3. http://support.microsoft.com/kb/922706.
воляя мастеру выбрать его автоматически). 4. Windows Server 2003 PKI Operations Guide – http://technet.
microsoft.com/en-us/library/cc787594.aspx.
Заключение
Теперь, когда мы получили работающую цепочку серве-
ров сертификации, кратко перечислю основные момен-
ты процесса:
n Для установки корневого СА используйте файл
capolicy.inf, в котором разделы указания CDP и AIA надо
оставить пустыми.
n Изолированные СА держите физически выключенны-
ми до тех пор, пока не потребуется обновить файл CRL
или сертификат СА.
n Тщательно выбирайте интервалы публикации списков
отзыва сертификатов.
n При обновлении CRL или сертификата изолированно-
го СА не забывайте импортировать измененные данные
в AD. Только СА уровня предприятия делают это авто-
матически.
n Следите за тем, чтобы в точках CDP всегда лежали
актуальные CRL-файлы, а сами точки CDP были до-
ступны.
n Поместите сертификат корневого СА в такое место, где
он будет легко доступен как для внешних, так и для внут-
ренних клиентов.
n Делайте резервное копирование СА. Для этого можно
использовать команду certutil.exe, но только использо-
вание программы ntbackup с опцией System state поз- Рисунок 4. Запрос сертификата через браузер

№11, ноябрь 2008 69

образование

Немного
о сертификации
Cisco

Андрей Бирюков
Многие специалисты по сетевым технологиям наверняка сталкивались с упоминанием
сертификатов CCNA, CCSP, CCNP и других статусов от компании Cisco Systems. В этой статье
я расскажу о том, что собой представляет сертификация этого производителя, а также
расскажу о том, как лучше готовиться, чтобы получить эти статусы.

П
овышение квалификации – не- та, работающего в IT. Одним из са- ляется сдача тестов и получение сер-
отъемлемая часть работы лю- мых распространенных средств под- тификатов по соответствующим спе-
бого технического специалис- тверждения своей квалификации яв- циализациям. Не буду лишний раз на-

70
 образование
поминать, что сертификация являет- Сертификации Cisco
ся важным критерием при начальном Certification Paths Associate Professional Expert
рассмотрении кандидатуры при тру- Routing & Switching CCNA CCNP CCIE Routing & Switching
доустройстве. Design CCNA & CCDA CCDP CCDE

Какие сертификации Network Security CCNA CCSP CCIE Security

бывают Service Provider CCNA CCIP CCIE Service Provider

Фактически каждый более-менее се- Storage Networking CCNA CCNP CCIE Storage Networking

рьезный разработчик программных Voice CCNA Voice CCVP CCIE Voice

продуктов и оборудования произво-
дит обучение и сертификацию по сво- В России, на мой взгляд, эта сертифи- ям по причине большой распростра-
им продуктам. Наиболее известны кация мало распространена по причи- ненности оборудования данного про-
сертификации от Microsoft (знамени- не того, что компаниям нужны партнер- изводителя.
тые MCSE), Cisco, Sun и других. В за- ские статусы от конкретных произво- Прежде всего определимся с тем,
висимости от условий получения сер- дителей, и они заинтересованы в нали- какие именно сертификации предла-
тификата, принятых тем или иным вен- чии специалистов именно с сертифи- гает Cisco Systems. Для этого обратим-
дором, вы должны сдать один или не- катами от данного производителя. За- ся к содержимому таблицы.
сколько экзаменов. Также произво- тронув тему сертификаций по инфор- Данная таблица нуждается в неко-
дитель определяет, сколько времени мационной безопасности, стоит также торых комментариях. По горизонтали
действителен ваш сертификат. Как упомянуть сертификат для разработ- указываются степени профессиональ-
правило, сертификаты по програм- чиков систем информационной безо- ного владения (мастерства):
мным продуктам действительны до тех пасности CISSP и сертификацию ауди- n Associate – это начальный уровень
пор, пока поддерживается соответс- торов CISA, которые также не зависят владения сетевыми технологиями.
твующий программный продукт, хотя от конкретных производителей. Как видно из таблицы, этот экза-
если у вас есть статус MCSE по NT 4.0, Что же представляет из себя ти- мен присутствует во всех техноло-
то никто его вас не лишит, однако для пичный экзамен? Это набор вопросов, гиях на уровне Associate. В состав
того чтобы обновиться, скажем, до вер- представленных в виде теста, то есть экзамена входят основы, такие как
сии 2003, вам придется сдавать весь у вас есть вопрос и есть варианты от- модель OSI, взаимодействие про-
трек заново. ветов, из которых вам нужно выбрать токолов, стек TCP/IP, основные ти-
Кроме технических сертифика- один или несколько. Также еще быва- пы оборудования (концентрато-
ций, существуют также сертифика- ют вопросы, где нужно указать ответ ры, коммутаторы, маршрутизато-
ции для проектных менеджеров (PMP), самостоятельно, например, посчитать ры и т. п.) Вопросов, привязанных
различные сертификации по продук- маску подсети и указать ее побитно. к настройке конкретной модели
там и решениям для менеджеров по Бывают вопросы, требующие указать того или иного устройства, немно-
продажам. последовательность выполнения оп- го, и они достаточно простые. Под-
Еще, кроме технических сертифи- ределенных действий, например, миг- робнее о том, что входит в каждый
каций, привязанных к решениям кон- рация базы данных с одного жестко- из экзаменов, я расскажу чуть поз-
кретных производителей, существуют го диска на другой. И наконец, быва- же, а сейчас вернемся к таблице.
также сертификации по технологиям. ют симуляции, требующие выполнения n Professional – это профессиональ-
Примером таких сертификаций явля- определенного задания, например, на- ный уровень владения технология-
ются сертификаты от CompTIA. В этих строить соединение между двумя мар- ми, он включает в себя знание конк-
экзаменах не спрашивается о конкрет- шрутизаторами. ретных моделей оборудования, на-
ных командах в конкретных операци- За все правильные ответы вы по- стройку определенных специфи-
онных системах, там спрашивается лучаете баллы. Результат сдачи эк- ческих сервисов, разрешение воз-
о технологиях. К примеру, в Network+ замена, как правило, бинарен: PASS никающих проблем.
вас могут спрашивать об определен- или FAIL. Для того чтобы получить n Expert – является вершиной сер-
ных протоколах, но не о их реализации PASS, необходимо набрать заданное тификации Cisco. Эксперт должен
в конкретных программных и аппарат- количество баллов. Сколько конкрет- уметь не только проектировать,
ных продуктах. А в экзамене Security+ но, вы можете узнать на сайте произ- но и самостоятельно настраивать
вас спросят о том, чем опасны в боль- водителя. Данная информация не яв- и решать возникающие пробле-
шом количестве пакеты с флагом SYN, ляется конфиденциальной. мы. Сдача экзамена на этот статус
но не будут спрашивать, как от них за- также сопряжена с определенными
щититься с использованием опреде- Статусы Cisco трудностями, о которых поговорим
ленной модели межсетевого экрана. Итак, описав основные аспекты IT-сер- позже.
Среди иностранных специалистов тификаций, перейдем к непосредс-
сертификаты серии CompTIA счита- твенной теме статьи – сертификации По вертикали – технологии, по ко-
ются началом карьеры IT-специалис- Cisco. Данная сертификация явля- торым можно сертифицироваться:
та, так как позволяют подтвердить на- ется самой распространенной среди n Routing & Switching (маршрутизация
личие базовых знаний по технологиям. специалистов по сетевым технологи- и коммутация);

№11, ноябрь 2008 71

 образование
n Design (проектирование и дизайн
сетей);
n Network Security (сетевая безопас-
ность);
n Service Provider (провайдеры ус-
луг), Storage Networking (обслужи-
вающие устройства);
n Voice (голосовая связь).
Также существуют сертификации
для специалистов, но в данной ста-
тье они не рассматриваются. Подроб-
нее о сертификациях Cisco можно про-
честь на странице [1].
Выбираем
Routing & Switching
Теперь рассмотрим сертификацион-
ный трек – Routing & Switching и соот-
ветствующие сертификации:
n CCNA;
n CCNP;
n CCIE Routing & Switching.
Эти сертификации предназначе-
ны по большей части для инженеров,
работающих непосредственно с обо-
рудованием (различными моделями
маршрутизаторов и коммутаторов),
в отличие, например, от сертифика-
ций Design, которые предназначены
для проектировщиков. По этой причи-
не сертификации Routing & Switching
являются наиболее распространенны-
ми треками от Cisco.
На момент написания этой статьи
для получения сертификата CCNA тре-
бовалось сдать один экзамен 640-802.
Как вариант можно сдать два упро-
щенных экзамена – 640-822, 640‑816,
но я думаю, что 802-й экзамен не на-
столько сложен и его можно сдать сра-
зу, не теряя времени на сдачу двух эк-
заменов.
С сертификатом CCNP дело обсто-
ит немного сложнее. Здесь необходи-
мо сдать четыре экзамена:
n 642‑901 Building Scalable Cisco
Internetworks (BSCI);
n 642-812 Building Cisco Multilayer
Switched Networks (BCMSN);
n 6 42- 8 25 I mp l ementing S e c ure
Converged Wide Area Networks
(ISCW);
n 642-845 Optimizing Converged Cisco
Networks (ONT).
Сертификат CCIE получить еще
сложнее. Для этого нужно сначала
72
сдать письменный экзамен, а затем
выполнить 8-часовую лабораторную
работу. Причем лабораторную работу
необходимо выполнять только в спе-
циальных центрах, которые находят-
ся за пределами России. Ближайший
находится в Брюсселе. В этой статье я
коснусь только сдачи письменного эк-
замена CCIE Written.
Способы обучения
Определившись с тем, что нам нужно,
приступим непосредственно к подго-
товке. Подготовиться к сдаче серти-
фикационных экзаменов можно дву-
мя способами: пойти на курсы или го-
товиться самостоятельно.
Обучение на курсах, конечно, яв-
ляется хорошим способом подготов-
ки, но за свой счет это делать край-
не проблематично, потому что, к при-
меру, двухнедельный авторизован-
ный курс для подготовки к CCNA стоит
в Москве более 50 тысяч рублей. И это
не предел. Так что учиться на курсах
лучше за счет работодателя. Но пом-
ните, от вас могут потребовать под-
писать договор, по которому в случае
увольнения вы должны будете воз-
местить затраченные на ваше обуче-
ние средства. Так что подумайте, на-
до ли вам это?
Кстати, поговорим немного о том,
какие курсы бывают. В предыдущем
абзаце я упомянул слово «авторизо-
ванные». Это означает, что данный
курс является официальным курсом,
утвержденным Cisco, только русско-
язычным. Помимо авторизованных
курсов бывают еще и авторские кур-
сы, которые разрабатываются сами-
ми учебными центрами. Как прави-
ло, авторские курсы дешевле авто-
ризованных. Однако тут следует пом-
нить, что авторские курсы по Cisco мо-
гут читать только неавторизованные
учебные центры и программа данных
курсов может не соответствовать тем
требованиям, которые предъявляются
на экзамене. В случае с курсами Cisco
более дешевым вариантом подготовки
к базовым экзаменам могут быть кур-
сы по программе Cisco Academy.
Возвращаясь к вопросу о полез-
ности курсов, хотелось бы заметить,
что сдавать экзамен сразу после кур-
сов, как правило, очень рискованно,
так как не все моменты уже усвоены,
и пробелы в знаниях могут повлиять
на результат самым негативным об-
разом. Поэтому одну-две недели пос-
ле курсов все равно необходимо пот-
ратить на самостоятельную подготов-
ку. О том, как это сделать, речь пой-
дет далее.
Путь самурая
Итак, для всех тех, кто не может прой-
ти обучение на курсах или уже про-
шел, но не все понял, остается само-
стоятельная подготовка. Тут стоит сра-
зу отметить, что все вопросы в экза-
менах на английском языке. Исклю-
чением является CCNA 640-802, ко-
торый не так давно стал русскоязыч-
ным, поэтому вам необходимо владеть
английским языком на уровне чтения
технической документации. Проверить
свой уровень можно очень просто, до-
статочно лишь почитать англоязыч-
ную документацию на сайте произво-
дителя, если все понятно, то и на эк-
замене проблем не возникнет. Пого-
ворим о том, что необходимо для того,
чтобы самостоятельно подготовиться
и сдать экзамен.
Литература
Прежде всего нужно хорошо владеть
теорией, то есть читать книги. Поку-
пать бумажные русскоязычные книги,
которые продаются в книжных мага-
зинах и позиционируются как офици-
альное руководство для подготовки
к экзамену, я большого смысла не ви-
жу. Как правило, информация, изло-
женная в этих книгах, сильно устаре-
ла. Причин этому много, прежде всего,
для того чтобы написать и издать кни-
гу, нужно время, англоязычную кни-
гу необходимо перевести на русский
и отредактировать, затем отпечатать
уже русскозычный вариант. На все это
тоже нужно время, как правило, мини-
мум два-три года, за это время техно-
логии успевают уйти вперед, и вопро-
сы по этим устаревшим технологиям
уже удаляются из экзаменов.
Например, когда я готовился к од-
ному из экзаменов трека CCNP, в офи-
циальном русскоязычном руководс-
тве для подготовки к экзамену бы-
ло несколько глав, посвященным та-
ким технологиям, как X.25 и Frame
Relay. Но на экзамене ни одного воп-
роса по этим технологиям не было. За-
то по технологии ATM, которая в книге
вообще не упоминалась, вопросы бы-

ли. Так что тратиться на русскоязыч-
ные книги я не советую.
Многие для подготовки к экзаме-
нам заказывают англоязычные книги
через Amazon. В этих книгах, как пра-
вило, информация поновее, но все же
гораздо легче и быстрее найти элект-
ронный вариант на просторах Интер-
нета. Мне, например, больше всего
нравятся книги для подготовки к экза-
менам от Syngress, в них всегда дается
больше материала, чем нужно для эк-
замена. Думаю, в Сети вы без труда
найдете электронный вариант книги
по сдаваемому экзамену.
Теоретические знания лучше все-
го проверять с помощью симулято-
ров тестов, например от Transcender
или Boson. В этих симуляторах вы,
как на настоящем экзамене, отвечае-
те на аналогичные по сложности воп-
росы и получаете баллы за каждый
правильный ответ. Если ваш результат
стабильно больше 900 балов, то вы ус-
воили материал.
Помимо теоретических вопросов
во всех экзаменах встречаются симу-
ляции. Симуляции на экзамене CCNA
не являются сложными. Например, не-
обходимо настроить на сетевом интер-
фейсе IP-адрес, маску, указать ско-
рость и прописать инкапсуляцию, за-
тем проверить соединение с другим
узлом с помощью пинга. С таким прос-
тым заданием справится любой специ-
алист, хоть немного знакомый с обо-
рудованием Cisco. Но к более серьез-
ным заданиям нужно готовиться пред-
варительно.
Виртуальное
оборудование
На курсах вам, как правило, проде-
монстрируют «живое» оборудование.
Иногда и даже проведут на нем лабо-
раторные работы, а вот при самостоя-
тельной подготовке необходимо само-
му искать нужное оборудование. Хоро-
шо, если у вас на работе имеется пара
лишних маршрутизаторов, на которых
можно тренироваться. Можно, конечно,
для подготовки дома приобрести по-
держанное оборудование, но я не ду-
маю, что ваши домашние сильно обра-
дуются появлению «больших шумных
железок», таких, к примеру, как знаме-
нитый «шеститонник».
Таким образом, лучшим выходом
для самостоятельной подготовки яв-
№11, ноябрь 2008
образование
ляется использование программных
симуляторов.
Существуют симуляторы от Boson,
но, по моему мнению, они пригодны
к подготовке только к CCNA. Для эк-
заменов CCNP их функционала явно
недостаточно.
Так что лучше воспользоваться
бесплатным симулятором Dynamips [2].
С помощью этого симулятора мож-
но построить сеть практически лю-
бой сложности, все будет определять-
ся мощностью компьютера, на кото-
ром запущен симулятор. Описание
настройки и технические особеннос-
ти Dynamips выходят за рамки дан-
ной статьи (возможно, следует напи-
сать отдельную статью, посвящен-
ную этому симулятору), но на некото-
рых моментах я все же хотел бы ос-
тановиться.
Сейчас симулятор поддерживает
следующие платформы:
n Cisco 7200 (NPE-100 to NPE-400);
n Cisco 3600 (3620, 3640 and 3660);
n Cisco 2691;
n Cisco 3725;
n Cisco 3745.
При этом IOS не входит в состав си-
мулятора, и вам необходимо самостоя-
тельно найти файл образа. Существу-
ют версии симулятора как для Windows,
так и для Linux, и даже для Mac OS X.
На машине с 1,5 Гб и под Windows XP
мне удавалось развернуть до 4 одно-
временно работающих маршрутизато-
ров. Думаю, под Linux производитель-
ность будет еще больше.
О том, какие именно симуляции
сейчас присутствуют на экзаменах,
лучше всего узнать на тематических
форумах [3, 4].
Что такое «брейндамп»
и кто такие «дамперы»
Путешествуя по различным интернет-
ресурсам, посвященным сертифика-
ции, вы рано или поздно обнаружи-
те упоминание о braindump, testking,
pass4sure и других «учебных матери-
алах». Поговорим о том, что это такое.
Брейндампы фактически представля-
ют собой вопросы с экзамена, укра-
денные несознательными сотрудника-
ми центров тестирования. Эти вопро-
сы представлены с ответами, и вот тут
начинается самое интересное, так как
эти ответы, как минимум, в 20% случа- Реклама
73
 образование
ев содержат ошибки. К тому же даже Идем на экзамен Заказ сертификата
если ответ правильный, к нему нет по- Вот вы подготовились и пришли на эк- После успешной сдачи последнего эк-
яснения, что тоже не способствует по- замен. Хочу вас сразу предостеречь замена, необходимого для получения
ниманию материала. Соответствен- от различных мошенничеств на экза- статуса, вы получите письмо, в кото-
но те «сертифицированные специа- мене. Советую не вспоминать студен- ром будет содержаться инструкция,
листы», которые бездумно заучивают ческую пору и не пытаться откуда-либо следуя которой вы сможете заказать
брейндампы, сдавая по одному экза- списывать. В каждом классе, где про- сертификат. Заказать можно как бу-
мену за неделю и получая CCNP за ме- ходит тестирование, находится видео- мажную копию, которая затем при-
сяц, зовутся дамперами. камера, и сотрудник центра тестирова- дет по почте, так и электронный вари-
Заучивать ответы из дампа бес- ния должен следить за тем, что проис- ант, который можно распечатать. Если
полезно, ни к чему хорошему это не ходит в классе. В случае если вы попа- вы не уверены в работе почты (обыч-
приведет, особенно молодого специ- детесь на списывании, сотрудник впра- ной, не электронной), то можете зака-
алиста, получившего таким образом ве сообщить об этом в Cisco, и вас мо- зать электронный вариант. Все рав-
свой первый CCNA, так как на пер- гут лишить права сдавать экзамены но, если потребуется подтверждение,
вом же собеседовании всплывут все этого производителя. По-моему, лучше то вы сможете предоставить ссылку
его пробелы в знаниях, и работода- не сдать один экзамен, чем лишиться на сайт Cisco, где будет указан ваш те-
тель скорее предпочтет несертифи- возможности сдавать их в принципе. кущий статус.
цированного знающего специалис- Но списывание – это еще не пре-
та, нежели сертифицированного «бу- дел. Наши коллеги из азиатского ре- Продление статуса
мажного». Но от дампов будет поль- гиона пошли в этом деле еще дальше, Как я уже упоминал в начале статьи,
за, если вы не будете смотреть в ответ, они предлагают за определенную сум- срок действия сертификата ограни-
а попробуете самостоятельно ответить му сдать экзамен за вас. То есть вы ре- чен. Для статусов уровня Associate
на каждый из вопросов и в случае не- гистрируетесь на экзамен где-нибудь и Professional это три года. Как его
ясности уточните на соответствую- в Китае или Индии, а сдает его за вас можно продлить? Для Associate доста-
щем тематическом форуме, а не при- другой человек, но сертификат все- точно либо сдать CCNA заново, либо
мите на веру ответ из дампа. По мое- равно приходит вам. Много раз при- сдать CCNP. Для продления CCNP са-
му мнению, материал нужно понимать, ходилось видеть подобные предложе- мым простым будет сдача письменного
а не заучивать. ния в Сети, в том числе и на русско- экзамена CCIE Written либо повторная
язычных сайтах. сдача всех четырех экзаменов. Если
Заказываем экзамен И вот не так давно в Cisco решили вы собираетесь получать статус CCIE,
Как только вы начинаете чувствовать, бороться с подобными мошенничест- то после сдачи письменного экзамена
что готовы к экзамену, можно заказы- вами. Теперь в процессе экзамена вас CCIE Written вы должны сдать лабора-
вать экзамен. Сделать это можно не- будут снимать на камеру и затем све- торную работу в течение 180 дней.
сколькими способами. Экзамены при- рять с фотографией кандидата. Ре-
нимают в авторизованных центрах тес- зультаты экзамена вы сможете узнать Заключение
тирования, которые имеются при всех только через 72 часа. В течение этого Вот мы и закончили рассмотрение сер-
крупных учебных центрах. В свою оче- времени ваш результат, а точнее, даже тификации Cisco. Основной вывод,
редь экзамены предоставляет провай- поведение на экзамене, будет исследо- который я хотел бы сделать, – это то,
дер тестов: сейчас это Pearson VUE. ваться специальным ПО. То есть если что не стоит полагаться на дампы
Для заказа экзамена вы можете приоб- вы, к примеру, ответили на все вопро- при подготовке к экзамену, главное –
рести по безналичному расчету (VISA, сы экзамена за десять минут, то такое это знания, а не бумажки.
Mastercard) на сайте специальный вау- поведение может показаться подоз- А вообще все это не так сложно,
чер, с которым затем можно обратить- рительным, и результат вполне может как может показаться после прочте-
ся в любой авторизованный учебный быть аннулирован. ния этой статьи. Так что удачи на эк-
центр, и они обязаны будут предоста- В завершение темы сдачи экза- заменах!
вить вам возможность сдать экзамен. мена хочу отметить, что возвращать-
Этот способ является самым деше- ся нельзя, то есть если вы ответили 1. Все сертификации Cisco – ht tp://
вым, так как вы оплачиваете экзамен на вопрос и нажали Next, то вернуть- cisco.com/web/learning/le3/learning_
в долларах и безо всяких дополнитель- ся к предыдущему вопросу вы уже career_certifications_and_learning_
ных процентов. Сейчас 640-802 стоит не сможете. paths_home.html.
$250, экзамены из трека CCNP – $150, Что касается симуляций, то запом- 2. Страничка, посвященная Dynamips –
а письменный экзамен CCIE written ните, что правильно выполненная си- http://www.ipflow.utc.fr/index.php/Cisco_
350-001 – $350. муляция будет зачтена только в случае, 7200_Simulator.
Если этот путь для вас сложен если после ее выполнения вы сохрани- 3. Международный форум, посвящен-
по каким-либо причинам, то вы може- те конфигурацию. Еще на этапе подго- ный различным сертификациям (анг-
те просто заказать экзамен непосред- товки на симуляторах запомните, что лоязычный) – http://www.sadikhov.com/
ственно в центре тестирования, прав- после выполнения каждого практичес- forum.
да, тогда экзамен будет стоить немно- кого задания необходимо на всех уст- 4. Русскоязычный форум, посвященный
го дороже. ройствах делать «copy ru st». сертификации – http://certification.ru.

74
 web-программирование

Каркасная разработка веб-приложений

на основе фреймворка Kohana

Александр Слесарев
Кто из веб-разработчиков в начале каждого проекта не сталкивался с рутинными
процедурами создания архитектуры приложения, выбора и написания библиотек классов
и функций? Кому не приходилось помногу раз переписывать методы для работы с базой
данных, файлами, постоянно жалея о том, что время, затраченное на эти задачи, можно
было бы использовать в реализации данного проекта? Выход из подобных ситуаций
один – использование каркасной среды разработки, позволяющей во много раз повысить
производительность разработки.

Преимущества
использования
фреймворков
В настоящее время существует огром-
ное количество инструментов, значи-
тельно облегчающих жизнь веб-разра-
ботчикам, одним из которых являются
так называемые каркасные среды раз-
работки. К ним относятся всевозмож-
ные фреймворки, которые позволяют
увеличить производительность созда-
ния приложений, значительно умень-
шая количество написанного кода, со-
ответственно сокращая время, затра-
ченное на разработку. Так что же это
такое – фреймворк? Попросту говоря,
это готовый каркас будущих приложе-
ний, которые будут создаваться на его
основе. Можно писать каждое новое
приложение «с нуля», формируя каж-
дый раз его структуру, распределяя
модули, директории, библиотеки клас-
сов, обрабатывающие основные ком-
поненты приложения, а можно не изоб-
ретать велосипед и воспользоваться
готовым универсальным решением,
которое, собственно, и предоставляет
каркасная среда разработки.
Сегодня слово «фреймворк» – од-
но из самых популярных у програм-
мистов. Для веб-разработки создана
масса различных каркасных сред для
JavaScript, PHP, Python и др. Опреде- зации приложения. Но, на мой взгляд,
лить значение его проще всего как это, скорее, можно отнести к преиму-
набор инструментов, библиотек, со- ществам использования каркасной
глашений, предназначенных для вы- среды, так как данный подход обуча-
несения повторяющихся операций ет разработчика дисциплине написа-
в отдельные модули, которые можно ния кода.
использовать многократно. Главная В этой статье я хотел бы расска-
цель – позволить разработчику со- зать вам об одном из популярных сре-
средоточиться на решении уникаль- ди разработчиков PHP-фреймворке –
ных для каждого проекта задач, ос- Kohana, разработанном командой
тавив все рутинные операции фрейм- Kohana Software Foundation. Он бази-
ворку. Проанализировав свою работу, руется на паттерне MVC (модель-отоб-
вы наверняка замечали, что есть вещи, ражение-контроллер) и имеет каскад-
которые приходится повторять много- но-модульную структуру. Он создан
кратно в каждом проекте. Его цель – на базе не менее популярного и быст-
объединить эти действия в отдельную рого фреймворка Code Igniter и вклю-
структуру, следуя принципу «Не повто- чает все положительные стороны пос-
ряй себя». Это может значительно со- леднего. Однако в отличие от него
кратить время разработки приложения в Kohana отсутствует поддержка PHP
и, соответственно, снизить стоимость версии 4 и изменен механизм модуль-
конечного продукта. ного расширения (на мой взгляд, бо-
Для обеспечения каркаса обычно лее удобный). Но главное его досто-
используется техника объектно-ориен- инство – простота. В отличие, напри-
тированного программирования (ООП), мер, от такого мощного фреймворка,
например, части приложения могут на- как Zend Framework, для работы с ко-
следоваться от базовых классов кар- торым не обойтись поверхностны-
касной среды. Такой подход в соче- ми знаниями в PHP-программирова-
тании с паттернами проектирования нии, а именно в ООП, Kohana доступ-
весьма эффективен, хотя и налагает на, на мой взгляд, даже начинающим
на разработчика некоторые обязан- PHP-программистам, знакомым только
ности, заставляя его следовать согла- с основами объектно-ориентированно-
шениям в написании кода и структури- го программирования.

№11, ноябрь 2008 75

 web-программирование
Архитектура
приложения
Очень часто при разработке не-
больших и средних проектов ис-
пользование мощных средств
напоминает стрельбу из пушки
по воробьям, когда можно значи-
тельно упростить задачу. В этом
случае может помочь исполь-
зование именно такого фрейм-
ворка, как Kohana, предостав-
ляющего разработчику удобный,
гибкий интерфейс и богатый
инструментарий. Как уже гово-
рилось выше, архитектура при-
ложения базируется на паттер-
не MVC, прекрасно зарекомендо-
вавшем себя в разработке и поз-
воляющем максимально инкап-
сулировать задачи, выполняе-
мые различными блоками систе-
мы. Файловая структура Kohana
представлена на рис. 1.
Рассмотрим более подробно
содержимое структуры фрейм-
ворка. В корне располагаются
директории application, modules
и system. В директории application
находится каркас будущего при-
ложения. При разработке в ней
происходит основная работа про-
Рисунок 1. Файловая
структура фреймворка граммиста. Директория modules
предназначена для дополнитель-
ных модулей, расширяющих функциональность приложения.
Директория system – системная директория Kohana.
Теперь рассмотрим подробнее «сердце» нашего прило-
жения, а именно директории controllers, models и views, рас-
положенные в директории application. Именно в них мы про-
ведем большую часть работы над приложением. Как видно
из названий, в директории controllers располагаются конт-
роллеры приложения, в директории models – модели и, со-
ответственно, в директории views – отображения. Взаи-
модействие между этими компонентами осуществляется,
как показано на рис. 2.
Контроллер – это управляющий элемент приложения,
который получает информацию из внешнего запроса и ре-
агирует на нее, заставляя модель предоставить ему необхо-
димые данные, которые в свою очередь он отправляет отоб-
Рисунок 2. Взаимодействие частей фреймворка
76
ражению. Все контроллеры в Kohana – классы, которые на-
следуются от базового класса Controller. Следует отметить,
что имя файла контроллера должно совпадать с именем его
класса, причем имя файла должно состоять только из строч-
ных букв и иметь расширение .php, а имя класса начинать-
ся с прописной буквы. Например, если у нас есть файл кон-
троллера welcome.php, значит, класс, который он содержит,
будет называться Welcome_Controller.
Модель получает и обрабатывает данные, например,
из БД, реагирует на запросы контроллера и предоставля-
ет ему обработанную информацию для отображения. Ана-
логично механизму наследования в контроллерах модели
также наследуются от базового класса Model и имеют те же
правила именования файлов. Например, если файл модели
называется user.php, то, соответственно, класс, содержа-
щийся в этом файле, будет называться User_Model.
Отображение осуществляет вывод информации, полу-
ченной от контроллера, пользователю. По сути, отображе-
ние – это HTML-шаблон приложения, реализующий пользо-
вательский интерфейс. По правилам Kohana файлы отоб-
ражений должны иметь расширение .php и именоваться
строчными буквами.
Вызов контроллера осуществляется GET-запросом.
Это должен быть URL-адрес, состоящий из сегментов, раз-
деленных слэшами. По умолчанию адреса в Kohana явля-
ются дружественными для поисковых систем и понятны для
человека. Подход данного фреймворка, основанный на сег-
ментах URL, выглядит следующим образом:
www.domain.ru/index.php?/controller/method/params
Как видно из приведенного примера, после index.php
идут следующие сегменты:
n controller – имя вызываемого контроллера;
n method – имя метода контроллера;
n params – параметры, передаваемые в контроллер.
В данном случае будет вызван контроллер controller.php,
расположенный в директории application/controllers. Затем
будет вызван метод method из этого контроллера, в кото-
рый передадутся параметры, указанные в сегменте params.
Как видно, все очень просто. Однако есть один недостаток.
Дело в том, что по умолчанию имя файла index.php всег-
да будет отображаться в строке URL, согласитесь, что это
не совсем красиво. К счастью, эта проблема в Kohana лег-
ко решается простым правилом в файле .htaccess:
RewriteEngine on
RewriteCond $1 !^(index\.php|images|robots\.txt)
RewriteRule ^(.*)$ /index.php/$1 [L]
В приведенном выше примере любой запрос HTTP, по-
мимо запросов к index.php, изображениям и robots.txt, трак-
туется как запрос для нашего файла index.php. Теперь наш
запрос будет иметь следующий вид:
www.domain.ru/controller/method/params
Такой подход к созданию URL оправдан с точки зрения
безопасности, так как обращение осуществляется не к ре-

альному файлу, указанному в запросе, а формируется внут-
ренними методами системы. Любой запрос, отличающийся
от данной схемы, вызовет ошибку. Это повышает «иммуни-
тет» приложения к некоторым видам уязвимостей, напри-
мер, таких, как XSS (межсайтовый скриптинг).
Также необходимо отметить, что в каждом файле
фреймворка вставлена строка:
defined('SYSPATH') or die('No direct script access.');
Она запрещает прямой доступ к файлу GET-запросом,
поэтому попытка обратиться через строку браузера к лю-
бому файлу не приведет к успеху.
Следует также сказать, что вы можете изменить свой
URL, добавив к нему произвольный суффикс, например,
html. Для этого в конфигурационном файле application/
config/config.php добавить его значение в параметр
$config['url_suffix'] = ‘html’ (по умолчанию суффикс отсутс-
твует). В этом случае URL может иметь такой вид:
www.domain.ru/controller/method/params.html
Пример каркасной разработки
Теперь пришло время перейти от теории к практике. Да-
вайте соберем все воедино и попробуем создать простое
приложение на основе Kohana. Для этого нам потребуется
дистрибутив фреймворка.
Следует отметить, что Kohana – свободно распростра-
няемый программный продукт, основывающийся на ли-
цензии BSD, поэтому для его использования достаточно
скачать дистрибутив на официальном сайте разработчика
http://kohanaphp.com/download.
Надо сказать, что Kohana запускается с минимально воз-
можными требованиями к серверу, однако следует учесть
необходимые:
n поддержка Unicode;
n интерпретатор PHP версии не ниже 5.2.0;
n наличие сервера баз данных.
Следует отметить, что Kohana непритязательна к HTTP
серверу и прекрасно работает на Apache 1.3+, Apache 2.0+,
lighttpd и MS IIS. Что касается сервера БД, то в Kohana ис-
пользуются драйверы для работы со следующими СУБД:
n MySQL;
n MySQLi;
n PostgreSQL;
n PDOSqlite.
Интерфейс для работы с БД, который предоставляет
фреймворк разработчику, имеет высокий уровень абстрак-
ции, поэтому для выбора и подключения соответствующе-
го драйвера нужно лишь выполнить соответствующие на-
стройки в файле system/config/database.php:
<?php defined('SYSPATH') or die('No direct script access.');
$config['default'] = array
( }
'benchmark' => TRUE,
'persistent' => FALSE,
№11, ноябрь 2008
web-программирование
'connection' => array
(
'type' => 'mysql', //Тип БД
'user' => 'root', //Имя пользователя БД
'pass' => 'pass', //Пароль БД
'host' => 'localhost', //Хост БД
'port' => FALSE,
'socket' => FALSE,
'database' => 'kohana' //Имя БД
),
'character_set' => 'utf8',
'table_prefix' => '',
'object' => TRUE,
'cache' => FALSE,
'escape' => TRUE
);
Для корректной работы приложения следует обратить
внимание на настройки PHP интерпретатора, а именно
на подключенные расширения. К необходимым из них от-
носятся следующие:
n PCRE – функции для работы с регулярными выражени-
ями (Perl-совместимые);
n iconv – интерфейс к библиотеке преобразования коди-
ровок iconv;
n mcrypt – требуется для шифрования;
n SPL – требуется для некоторых библиотек ядра.
Для ускорения функций фреймворка, работающих
со строками UTF-8, рекомендуется подключить расшире-
ние mbstring. Однако нужно заметить, что это расширение
может перегружать встроенные функции PHP для работы
со строками.
Теперь можно приступить, собственно, к инсталляции
фреймворка, которая сводится к загрузке дистрибутива
в директорию DOCUMENT_ROOT сервера и установке ос-
новных конфигурационных настроек. К ним относятся нас-
тройка файла system/config/database.php, как говорилось
выше, и установка некоторых параметров конфигураци-
онного файла application/config/config.php:
$config['site_domain'] = '/kohana/'; //Имя домена
$config['index_page'] = 'index.php'; //Индексный контроллер
Установите значение параметра ‘site_domain’, значению
доменного имени сервера, а $config[‘index_page’] = ‘index.php’.
Этот параметр указывает на то, какой контроллер будет вы-
зван по умолчанию, без явного указания в URL. Обратите
внимание на то, что в значении данного параметра обяза-
тельно указывать расширение файла. Остальные настрой-
ки можно пока оставить без изменений. Далее нужно соз-
дать в корне сервера файл .htaccess (для удаления сегмен-
та index.php), как рассказывалось выше.
Теперь можно приступить к созданию самого приложе-
ния. Первым шагом в этой процедуре будет создание конт-
роллера. Создайте файл index.php в директории application/
controllers и впишите в него следующее:
<?php defined('SYSPATH') or die('No direct script access.');
class Index_Controller extends Controller {
//Конструктор
public function __construct()
{
parent::__construct();
77
 web-программирование
//Метод, вызываемый по умолчанию //Конструктор
public function index() public function __construct()
{ {
echo "Hello, World!"; parent::__construct();
} // Инициализация объекта модели.
} // Теперь он доступен во всех методах контроллера
?> $this->model = new Index_Model;
}

Теперь наберите в адресной строке браузера http:// // Метод, вызываемый по умолчанию

public function index()
kohana/ (доменное имя вашего сервера, указанное в кон- {
фигурационном файле), и вы увидите результат работы кон- // Получение данных из модели
$data = $this->model->GetData();
троллера. Как видите, все довольно просто. Однако в на- // Создание нового объекта отображения и передача
шем случае вывод в окно браузера происходит непосред- // параметров
$view = new View('index',$data);
ственно из контроллера, что не соответствует идеологии // Вывод отображения в браузер
MVC. Чтобы отделить логику от представления, нам необ- $view->render(TRUE);
}
ходимо создать файл отображения index.php в директории }
application/view: ?>

<html> Теперь наше приложение отвечает всем требовани-

<head>
<title><?=$title;?></title> ям паттерна MVC. Это всего лишь упрощенный пример,
</head> но он наглядно иллюстрирует принцип работы фреймвор-
<body> ка. По аналогичной схеме происходит и расширение фун-
<p> кциональности при помощи модулей, поэтому нет необхо-
<?=$content;?>
</p> димости заострять на этом внимание. Следует лишь отме-
</body> тить, что каркас каждого модуля должен располагаться в ди-
</html>
ректории modules/имя_модуля, а в файле application/config/
И переписать метод index() нашего контроллера config.php, в параметре $config['modules'] необходимо ука-
index.php: зать путь к директории этого модуля.

//Метод, вызываемый по умолчанию

public function index()
Архитектура ядра
{ Давайте теперь подробнее рассмотрим схему прохожде-
//Создание нового объекта отображения ния запроса и ответа в работающем приложении на осно-
$view = new View('index');
//Передача параметров в отображение ве Kohana (см. рис. 3). Как уже говорилось выше, вся сис-
$view->title = "Фреймворк Kohana "; тема построена на каскадно-модульном принципе. Каскад-
$view->content = "Приложение, созданное на ↵
базе Kohana "; ность заключается в следующем: система загружает конт-
//Вывод отображения в браузер роллеры из директории application, если там они не найдены,
$view->render(TRUE);
} то из modules (требуется изменение конфигурации), в том же
случае, если и там они не найдены, управление передается
Результатом работы нашего приложения будет строка директории system, где в конечном счете может быть вызван
«Приложение, созданное на базе Kohana». Однако и это контроллер ошибок, например, для генерации 404 ошибки.
еще не все. В данном случае механизм MVC используется В идеальном случае контроллеры из директории system
не полностью. Мы определили переменные title и content не должны вызываться. Если это произошло, значит, в ва-
в контроллере, а должны были получить данные из моде- шем приложении что-то пошло «наперекосяк».
ли. Для чистоты эксперимента давайте создадим файл мо- Все запросы к приложению адресуются файлу index.php,
дели index.php в директории application/models: расположенному в директории DOCUMENT_ROOT. Он вы-
ступает в роли фронт-контроллера и инициализирует под-
<?php defined('SYSPATH') or die('No direct script access.'); ключение остальных частей кода системы. Роутер анали-
class Index_Model extends Model { зирует HTTP-запрос, чтобы определить, что делать с этим
адресом. Если существует кэш этой страницы, то он на-
public function GetData()
{ прямую выдается в браузер, минуя логику приложения. Пе-
$data['title'] = "Фреймворк Kohana"; ред загрузкой контроллера приложения HTTP-запрос и лю-
$data['content'] = "Приложение, созданное ↵
на базе Kohana"; бая информация, отправленная пользователем, фильтру-
return $data; ется на предмет безопасности. Далее запрос передается
}
} контроллеру приложения, который загружает модель, яд-
?> ро библиотек, хелперы и прочие ресурсы, необходимые
для его выполнения. После этого подключается отображе-
Далее следует несколько изменить наш контроллер: ние, и данные отдаются в браузер. Если включено кэширо-
вание, то отображение записывается на диск, чтобы в сле-
<?php defined('SYSPATH') or die('No direct script access.'); дующий раз быть считанным с него.
class Index_Controller extends Controller { Фронт-контроллер загружает и инициализирует базовые
классы ядра, вспомогательные библиотеки, хелперы и дру-

78

Рисунок 3. Схема прохождения запроса
Рисунок 4. Пример работы класса Benchmark
гие ресурсы, необходимые для работы
приложения.
К основным классам ядра, которые
загружаются по умолчанию и доступ-
ны в процессе работы программы, от-
носятся следующие:
n Kohana;
n Benchmark;
n Event;
n Unicode;
n View.
Kohana Class
Основной класс ядра фреймворка. Он
загружает роутер и пересылает дан-
ные контроллеру приложения. Он ини-
циализируется вместе с загрузкой при-
ложения, поэтому нет необходимости
определять его в коде. Он доступен
в виде статических методов, для об-
ращения нужно вызвать нужный ме-
тод следующим образом:
Kohana::config('session.driver');
В данном примере вызван метод
config, который возвращает значение
параметра driver из конфигурационно-
го файла session.php.
Benchmark Class
Этот класс позволяет измерить время
выполнения кода программы. Так же,
как и Kohana Class, он инициализи-
руется в процессе загрузки и предо-
ставляет для доступа свои статичес-
кие методы. По умолчанию метки вы-
№11, ноябрь 2008
полнения установлены на следующие
процессы:
n Kohana Loading – загрузка ядра;
n Environment Setup – загрузка вспо-
могательных библиотек;
n System Initialization – инициализа-
ция системных классов;
n Controller Setup – загрузка конт-
роллера;
n Controller Execution – время вы-
полнения кода контроллера;
n Total Execution – общее время вы-
полнения.
Результаты работы данного класса
можно вывести с помощью библиоте-
ки Profiler. В этом случае будет выведе-
на детальная статистика времени вы-
полнения и объема памяти занимаемо-
го вышеперечисленными процессами.
Достаточно объявить в конструкторе
контроллера объект класса Profiler:
new Profiler;
В этом случае внизу страницы бу-
дет выведена статистика времени ге-
нерации страницы и объема занимае-
мой памяти (см. рис. 4).
Разумеется, можно ставить в коде
приложения и собственные метки. Это
достаточно просто сделать, воспользо-
вавшись методами, предоставляемы-
ми классом Benchmark:
// Начало измерения
Benchmark::start('benchmark1');
web-программирование
...
// Код программы
...
// Остановка измерения
Benchmark::stop('benchmark1');
...
// Вывод значения
print_r(Benchmark::get('benchmark1'));
В данном примере метод get воз-
вратит ассоциативный массив, состоя-
щий из двух элементов: time и memory,
которые содержат время выполнения
кода в секундах и объем, занимае-
мый в памяти в байтах соответствен-
но. Причем будет измерено время вы-
полнения кода, находящегося между
методами start и stop.
Event Class
Класс для управления событиями.
Следует отметить, что Kohana сохра-
няет события в очередях, в отличие
от стеков. Это означает, что каждое
новое событие будет обработано пос-
ле существующего. События в Kohana
обозначаются уникальным именем,
причем имя состоит из префикса
и собственно имени. Это делает их еще
более уникальными. Все предопреде-
ленные события ядра имеют префикс
system. По умолчанию в ядре фрейм-
ворка определены несколько систем-
ных событий:
n system.ready – это самое ран-
нее событие. Оно выполняется
при старте системы, немедленно
после загрузки хуков. Хуки загру-
жаются непосредственно перед
этим событием.
n system.routing – обрабатывает
URL и маршрутизацию. По умол-
чанию вызывается: Router::find_uri
и Router::setup.
n system.execute – контроллер, оп-
ределяющий местонахождение
и инициа лизацию. Объек т со -
здается как экземпляр к ласса
Kohana. По умолчанию вызывает-
ся: Kohana::instance.
n system.post_routing – вызывает-
ся после того, как вся маршрути-
зация выполнена. Вмешательс-
тва в маршрутизацию могут быть
сделаны в этом событии. Если
Router::$controller пуст после это-
го события, будет вызвана ошибка
404.
79
 web-программирование
n system.404 – вызывается, когда страница не мо-
жет быть найдена. По умолчанию вызывается так:
Kohana::show_404.
n system.pre_controller – вызывается в пределах system.
execute, после того, как файл контроллера загружен,
но прежде, чем создан его объект.
n system.post_controller_constructor – вызывается
в пределах system.execute после того, как вызван конс-
труктор контроллера, но до вызова каких-либо мето-
дов внутри него.
n system.post_controller – вызывается в пределах
system.execute, после полного выполнения контрол-
лера.
n system.send_headers – вызывается непосредствен-
но перед тем, как глобальный буфер вывода закрыт,
но прежде, чем любой контент отображен. После этого
события запись в куки уже не возможна и данные сес-
сии не будут сохранены.
n system.display – вызывается в финальном выводе.
В этот момент заголовки уже отправлены пользовате-
лю и отображения загружены.
n system.shutdown – последнее событие, которое про-
исходит непосредственно перед тем, как PHP начи-
нает закрываться. По умолчанию вызывается так
Kohana::shutdown.
Все методы класса Event – статические, поэтому нет не-
обходимости инициализировать объект, реализация мето-
да происходит в момент его вызова.
После того, как выполнены все возвратные вызовы
класса, память немедленно освобождается, поэтому дан-
ные могут быть использованы только во время выполне-
ния возвратного вызова.
Unicode
Предоставляет класс utf8 для работы со строками UTF-8,
так как методы PHP не слишком нативны для выполнения
этих задач. Для этих целей предоставляются статические
методы класса. Например:
utf8::strip_ascii_ctrl($str)
В данном примере из строки $str будут удалены все уп-
равляющие ASCII-символы.
View Class
Класс для работы с отображениями. Главная цель отобра-
жений, а в том числе и класса – хранение прикладной ло-
гики приложения отдельно от кода представления. Обыч-
но код представления в Kohana – это HTML, который отве-
чает за непосредственный вывод интерфейса пользова-
телю. В него могут быть включены файлы CSS, JavaScript,
поэтому в нем можно использовать AJAX и другие техно-
логии. Файлы отображений имеют расширение .php, по-
этому в них можно включать PHP-код, например, для ор-
ганизации циклов.
Как уже было показано в примере выше, создание но-
вого отображения осуществляется с помощью объекта
класса View:
80
// Создание нового объекта отображения
$view = new View('yourview');
// Передача параметра в отображение
$view->title = "Hello world!";
// Вывод отображения в браузер
$view->render(TRUE);
Как видно из примера, мы создали новое отображение
yourview.php (обратите внимание на то, что в параметре
объекта View расширение не указывается), передали в не-
го переменную title и вывели его в браузер.
Еще один момент, на который следует обратить вни-
мание в данном фреймворке, – это хуки, или обработчи-
ки прерываний, о которых уже упоминалось выше. С по-
мощью хуков можно изменять ход работы системы, не за-
трагивая ядро фреймворка. По сути, это файлы, включен-
ные в старт системы. К ним относятся:
n index.php;
n core/Bootstrap.php;
n core/Benchmark.php;
n core/utf8.php;
n core/Event.php;
n core/Kohana.php.
Методы хуков могут использоваться, когда эти фай-
лы загружены. Это происходит до первого системного со-
бытия, а именно system.ready, поэтому прерывания мож-
но использовать в любом событии. Система хуков может
быть включена или выключена глобально (по умолчанию
она отключена). В файле application/config/config.php нуж-
но найти строку:
$config['enable_hooks'] = FALSE;
И установить ее значение TRUE. Файлы хуков необходи-
мо располагать в директории application/hooks. Каждый
файл должен именоваться строчными буквами и содер-
жать класс, причем его имя должно совпадать с именем
файла, начальная буква которого прописная. Простой при-
мер. Создадим файл power.php, расположенный в директо-
рии application/hooks:
<?php defined('SYSPATH') or die('No direct script access.');
class Power {
public function Kohana(){
Event::$data = Event::$data.'<!-- Powered by Kohana-->';
}
}
Event::add('system.display', array('Power', 'Kohana'));
В приведенном примере к событию 'system.display'
в каждой сгенерированной странице будет добавляться
комментарий <!-- Powered by Kohana-->.
Следует также отметить, что после загрузки хуков до-
ступны следующие системные константы, которые можно
использовать при обработке прерываний:
n EXT – содержит расширение файлов фреймворка,
по умолчанию .php;
n KOHANA – базовое имя файла;
n DOCROOT – корневая дирек тория приложения
(DOCUMENT_ROOT);
n APPPATH – путь к директории application;

n SYSPATH – путь к директории system;
n MODPATH – путь к директории modules.
Еще одним способом внесения изменений в функцио-
нальность ядра является использование библиотек. Авто-
матически загружаются системой и доступны в любом мес-
те следующие библиотеки:
n URI;
n Input.
Остальные библиотеки могут быть загружены по мере
необходимости. Для этого достаточно инициализировать
новый объект класса библиотеки:
web-программирование
Существует еще один способ изменения функциональ-
ности ядра с помощью библиотек – переопределение су-
ществующего класса. Для этого нужно всего лишь создать
класс и содержащий его файл, имена которых идентичны
существующей библиотеке, и поместить его в директорию
application/libraries. Вот простой пример, иллюстрирующий
переопределение существующей библиотеки Profiler.
Файл application/libraries/Profiler.php:
<?php defined('SYSPATH') or die('No direct script access.');
class Profiler_Core {
//Код новой библиотеки Profiler
}

?>
$this->profiler = new Profiler;
Еще одним приятным моментом для разработчика яв-
В приведенном выше примере методы библиотеки ляется использование так называемых хелперов – вспо-
Profiler будут доступны в объекте profiler. При необходимос- могательных функций. Наряду с библиотеками Kohana
ти, для изменения функциональности, можно легко расши- предоставляет богатый набор этих функций, но в отличие
рять и переопределять существующие библиотеки Kohana от библиотек, для доступа к методам которых нужно бы-
и создавать собственные. Располагать библиотеки следу- ло инициализировать объект, все методы хелперов явля-
ет в директории application/libraries. Требования к файлам ются статическими и доступны в момент обращения к ним.
при создании новой библиотеки следующие: Так же, как и библиотеки, хелперы автоматически загру-
n первая буква имени файла прописная, остальные строч- жаются системой, и потому нет необходимости беспоко-
ные; иться об их загрузке.
n имя класса должно совпадать с именем файла и иметь Для доступа к методу любого хелпера достаточно обра-
суффикс _Core. титься к нему в нужном месте кода:

Например, файл библиотеки application/libraries/Book.php $url = url::base();

должен содержать класс Book_Core:
<?php defined('SYSPATH') or die('No direct script access.');
class Book_Core {
//Код библиотеки Book
} Следует лишь отметить, что нужно помнить о том, что все
?>
Для расширения существующих библиотек фреймвор-
ка требования следующие:
n имя файла должно совпадать с именем расширяемого
файла и иметь префикс MY_;
n класс библиотеки наследуется от расширяемого клас-
са и имеет такое же имя, но без суффикса _Core.
Например, чтобы расширить класс библиотеки
Controller, необходимо создать файл application/libraries/
MY_Controller.php:
<?php defined('SYSPATH') or die('No direct script access.');
class Controller extends Controller_Core {
public function __construct()
{ изучению Kohana.
parent::__construct();
}
} 1. http://kohanaphp.com – официальный сайт разработчиков
?>
Обратите внимание на то, что в классе обязательно дол-
жен присутствовать метод конструктора со ссылкой на ро-
дительский конструктор.
Механизм добавления, расширения и переопределе-
ния классов хелперов полностью аналогичен такому же
механизму у библиотек. Это же относится и к соглашени-
ям в отношении именования файлов и классов хелперов.
методы хелперов статические и должны объявляться клю-
чевым словом static.
Вместо заключения
Разумеется, в рамках данной статьи невозможно опи-
сать весь инструментарий, который Kohana предоставля-
ет разработчику. Цель статьи лишь познакомить вас с ос-
новными принципами работы фреймворка и дать понять,
насколько может быть оправданно и полезно применение
каркасной среды разработки, а именно Kohana. При созда-
нии реальных проектов вы можете легко воспользовать-
ся огромным набором методов и инструментов, которые
предоставляет фреймворк, и понять, насколько это прос-
то, удобно. Подробное описание можно найти в докумен-
тации на официальном сайте разработчика [3]. Я наде-
юсь, что вы не напрасно потратите время, посвятив его
фреймворка Kohana.
2. http://kohanaphp.com/license – лицензионное соглашение.
3. http://docs.kohanaphp.com – техническая документация.
4. http://kohanaphp.com/download – дистрибутив фреймворка.
5. http://code-igniter.ru – PHP-фреймворк CodeIgniter.

№11, ноябрь 2008 81

 администрирование «1С»
Перенос данных с использованием
технологии OLE
Не за горами новый год, а это значит, что во многих фирмах планируется перевод
автоматизированного учета либо на новый качественный уровень, либо в новую чистую
базу данных. Как правило, переносятся только справочники и остатки по счетам и регистрам.
Существует много способов подобного переноса данных, и каждый выбирает тот, который
ему пришелся по нраву, но сейчас я хочу рассказать о применении технологии OLE к данной
проблеме.
С
разу хочу сказать, что полный программный код всех
обработок печатать бессмысленно из-за достаточ-
но большого объема. На примере одной обработки
я покажу основные принципы работы и расскажу свой ход
мысли. Готовые обработки можно найти на сайте журнала
www.samag.ru в разделе «Исходный код».
Рассмотрим типовой случай перехода с платформы
«1С:Предприятие» версии 7.7 на версию 8.1 с нового года.
Задача: перенести справочники «Контрагенты» и «До-
говора», а также остатки взаиморасчетов по счету 60
из «старой» базы в «новую». До перехода предприятие ра-
ботало с конфигурацией «Производство + Услуги + Бух-
галтерия» (платформа 7.7), после перехода собирается ра-
ботать с конфигурацией «Управление производственным
предприятием» (платформа 8.1).
Разделим за-
дачу на две. Пер-
вая – перенос
справочников,
вторая – перенос
остатков по сче-
там.
При перено -
се справочников
создадим допол-
нительную струк-
туру (регистр све-
Форма обработки загрузки данных
во взаиморасчетах дений), который
будет использо-
ваться для поиска и точной идентификации перенесенных
объектов в базе данных. Назовем этот регистр «Структура-
Перегрузки», первое измерение будет «ИД» (строка, дли-
на 150), второе – «Орг» (для случая многофирменного уче-
та), ресурс «Элемент» составного типа данных, включаю-
щий в себя все справочники, которые мы собираемся за-
полнять переносом данных.
При загрузке справочников, кроме записи самих эле-
ментов, будет заполняться и этот регистр сведений при-
мерно следующим образом:
Спр8 = Справочники.Контрагенты.СоздатьЭлемент();
Спр8.Наименование = Спр77.Наименование;
Спр8.Записать();
82
Андрей Луконькин
Рег = РегистрыСведений.СтруктураПерегрузки. ↵
СоздатьМенеджерЗаписи();
Рег.Ид = Семерка.ЗначениеВСтрокуВнутр ↵
(Спр77.текущийэлемент());
Рег.Орг = Орг.Ссылка;
Рег.Элемент = Спр8.Ссылка;
Рег.Записать();
Будем считать этап загрузки справочников подготови-
тельным, перейдем к более подробному рассмотрению пе-
реноса данных о задолженности контрагентов.
Создадим внешнюю обработку, разместим на форме пе-
реключатель для выбора субсчета 60-го счета, а также дату
итогов и дату создаваемой операции (см. рисунок).
В процедуре «КнопкаСформироватьНажатие» размес-
тим весь необходимый текст программы.
Сначала подключимся через OLE к той базе данных,
из которой будем брать данные:
КаталогПрограммы77 = "C:\Program Files\1Cv77\BIN\";
КаталогБазы77 = "C:\1c_base\ПУБ\";
СтрокаПодключения = """" + КаталогПрограммы77 + """" + ↵
"enterprise /d""" + КаталогБазы77 + """" + ↵
" /nЮзер /p123";
Семерка = Новый COMОбъект("V77S.Application");
Если Семерка.Initialize(Семерка.RMTrade, ↵
СтрокаПодключения,"NO_SPLASH_SHOW") Тогда
Сообщить("Открыта база 7.7");
Соединение=Истина;
КонецЕсли;
Каталоги программы и базы данных можно прописать
в самом модуле, а можно и сделать интерактивный выбор
на форме. Строка подключения собирается из каталога за-
пуска программы, режима запуска, каталога базы данных,
имени пользователя и пароля. В данном случае имя поль-
зователя «Юзер», пароль «123».
Далее производим подключение, причем с параметром
NO_SPLASH_SHOW, это означает, что запуск базы будет
происходить без демонстрации заставки, т.е. практически
незаметно для пользователя.
ИНН = Лев(Семерка.Константа.ИННОрганизации,10);
Орг = Справочники.Организации.НайтиПоРеквизиту("ИНН",ИНН);
Опер = Документы.ОперацияБух.СоздатьДокумент();
Опер.Организация = Орг.Ссылка;
Опер.Дата = ДатаОперации;
Определяем по ИНН организацию, по которой хотим вы-
полнить загрузку, и создаем новый документ «Операция».

БИ77 = Семерка.CreateObject("БухгалтерскиеИтоги"); Движ.СубконтоДт.Вставить ↵
ОлеВидСубконто1=Семерка.EvalExpr ↵
("ВидыСубконто.Контрагенты");
ОлеВидСубконто2=Семерка.EvalExpr("ВидыСубконто.Договоры");
Замечу, что создание объектов в подключаемой по OLE-
базе происходит с помощью англоязычного синонима
CreateObject, а не «СоздатьОбъект». Метод EvalExpr также
часто используется при работе с технологией OLE, означа-
ет вычисление выражения системы.
Если Счет60=1 Тогда
Счет = ПланыСчетов.Хозрасчетный. ↵
РасчетыСПоставщиками;
СчетСтр = "60.1";
ИначеЕсли Счет60=2 Тогда
Счет = ПланыСчетов.Хозрасчетный. ↵
РасчетыПоАвансамВыданным;
СчетСтр = "60.2";
ИначеЕсли Счет60=3 Тогда
Счет = ПланыСчетов.Хозрасчетный. ↵
РасчетыСПоставщикамиВал;
СчетСтр = "60.11";
ИначеЕсли Счет60=4 Тогда
Счет = ПланыСчетов.Хозрасчетный. ↵
РасчетыПоАвансамВыданнымВал;
СчетСтр = "60.22";
КонецЕсли;
Здесь всё достаточно ясно, происходит определение
счета взаиморасчетов в зависимости от установленного
переключателя на форме.
БИ77.ИспользоватьСубконто("Контрагенты");
БИ77.ИспользоватьСубконто("Договоры");
БИ77.ВыполнитьЗапрос(ДатаИтогов,ДатаИтогов,СчетСтр);
БИ77.ВыбратьСубконто(1);
В подключенной базе выполняем запрос по бухгалтерс-
ким итогам на дату, выбранную на форме обработки.
Пока БИ77.ПолучитьСубконто(1)=1 цикл
БИ77.ВыбратьСубконто(2);
ИД = Семерка.ЗначениеВСтрокуВнутр(БИ77.Субконто(1));
Рег = РегистрыСведений.СтруктураПерегрузки;
ОтборПоИД = Новый Структура("ИД, Орг");
ОтборПоИД.ИД = ИД;
ОтборПоИД.Орг = Орг.Ссылка;
ВыборкаИД = рег.Получить(ОтборПоИД);
Суб1 = ВыборкаИД.Элемент.Ссылка;
Начинаем цикл по первому субконто (Контрагенты).
Из регистра сведений получаем ссылку на нужный эле-
мент справочника. Вот тут и начинает работать создан-
ный нами механизм. Идентификация происходит не по коду,
не по наименованию, не по какому-либо другому реквизиту,
а по уникальному внутреннему идентификатору объекта.
Пока БИ77.ПолучитьСубконто(2)=1 цикл
ДебетовоеСальдо = БИ77.скд(1);
КредитовоеСальдо = БИ77.скк(1);
Если ДебетовоеСальдо<>0 Тогда
ИД = Семерка.ЗначениеВСтрокуВнутр ↵
(БИ77.Субконто(2));
Рег = РегистрыСведений.СтруктураПерегрузки;
ОтборПоИД = Новый Структура("ИД, Орг");
ОтборПоИД.ИД = ИД;
ОтборПоИД.Орг = Орг.Ссылка;
ВыборкаИД = рег.Получить(ОтборПоИД);
Элемент8 = ВыборкаИД.Элемент.Ссылка;
Движ = Опер.Движения.Хозрасчетный.Добавить();
Движ.СчетДт = Счет.Ссылка;
Движ.СубконтоДт.Вставить ↵
(ПланыВидовХарактеристик. ↵
ВидыСубконтоХозрасчетные. ↵
Контрагенты,Элемент8.Владелец);
№11, ноябрь 2008
администрирование «1С»
(ПланыВидовХарактеристик. ↵
ВидыСубконтоХозрасчетные. ↵
Договоры,Элемент8);
Движ.СчетКт = ПланыСчетов.Хозрасчетный. ↵
Вспомогательный;
Движ.Сумма = ДебетовоеСальдо;
Движ.Активность=Истина;
Движ.Период = ДатаОперации;
Опер.Движения.Хозрасчетный.Записать();
ИначеЕсли КредитовоеСальдо<>0 тогда
ИД = Семерка.ЗначениеВСтрокуВнутр ↵
(БИ77.Субконто(2));
Рег = РегистрыСведений.СтруктураПерегрузки;
ОтборПоИД = Новый Структура("ИД, Орг");
ОтборПоИД.ИД = ИД;
ОтборПоИД.Орг = Орг.Ссылка;
ВыборкаИД = рег.Получить(ОтборПоИД);
Элемент8 = ВыборкаИД.Элемент.Ссылка;
Движ = Опер.Движения.Хозрасчетный.Добавить();
Движ.СчетКт = Счет.Ссылка;
Движ.СубконтоКт.Вставить ↵
(ПланыВидовХарактеристик. ↵
ВидыСубконтоХозрасчетные. ↵
Контрагенты,Элемент8.Владелец);
Движ.СубконтоКт.Вставить ↵
(ПланыВидовХарактеристик. ↵
ВидыСубконтоХозрасчетные. ↵
Договоры,Элемент8);
Движ.СчетДт = ПланыСчетов.Хозрасчетный. ↵
Вспомогательный;
Движ.Сумма = КредитовоеСальдо;
Движ.Активность=Истина;
Движ.Период = ДатаОперации;
Опер.Движения.Хозрасчетный.Записать();
КонецЕсли;
КонецЦикла;
КонецЦикла;
По каждому договору определяем задолженность,
и в зависимости от знака («+» или «-») формируем движе-
ния документа «Операция».
Опер.Записать();
Семерка="";
Соединение=Ложь;
Сообщить("Закрыта база 7.7");
Записываем созданный документ, закрываем соедине-
ние программно. На этом работа программиста заканчива-
ется, остается только бухгалтеру сверить суммы в «старой»
и «новой» программе.
В случае с другими счетами, возможно, понадобится соз-
дание и других документов. Например, по основным сред-
ствам организации необходим документ «ВводНачальных
ОстатковОС». Но, используя уже имеющиеся наработки,
создать что-то своё, индивидуальное, гораздо проще.
В заключение хочется сказать о некоторых распростра-
ненных трудностях, возникающих при работе с OLE.
Для обращения к перечислениям используется конс-
трукция типа:
ЗначПеречисленияOLE = Объект77.Реквизит.Идентификатор();
«ЗначПеречисленияOLE» будет содержать строку
со значением перечисления. Обращаться к процедурам
глобального модуля можно следующим образом:
ТЗ = Семерка.глРасчетАмортизацииОС ↵
(Спр77.ТекущийЭлемент(), ДатаФормирования);
Остается только пожелать удачи в решении проблем
и в освоении новых методов выполнения поставленных
задач!
83
ретроспектива

«Магические» технологии:
история компании General Magic
Часть 2
Как и смерть многих великих компаний, General Magic была погублена
не голодом, а, наоборот, переизбытком пищи. Переизбытком денег,
всезнающих мозгов и эгоизма, который вызвал расстройство
желудка и удивительно медленную смерть.

Бывший сотрудник General Magic

Дмитрий Мороз

По признанию многих аналитиков, General Magic имела все шансы стать во главе рынка
переносных компьютеров, не поставь она на закрытые коммуникационные сети. Однако могла
ли компания предугадать возникшие на пути трудности, стремительное развитие Интернета,
свою неспособность реагировать на нужды потребителей и действовать в условиях быстро
меняющегося рынка?

84
 ретроспектива

К
огда у игрока в руке припасе-
на пара козырей, он начинает Первый среди первых мы были ещё месяцы доработки, а практи-
действовать более уверенно. Несмотря на то что портативные компью- чески законченный продукт, готовый к вы-
Однако настолько ли оправданным бу- теры под управлением Magic Cap, кото- пуску. Однако подвели Sony не её собс-
дет риск, если карты противника аб- рые всё-таки добрались до рынка, можно твенные инженеры, а партнёр «по цеху» –
солютно нивелируют призрачное пре- пересчитать по пальцам одной руки, раз- General Magic.
имущество? личных прототипов на базе этой операци- К тому времени, когда «Бамбук» был
К 1993 году General Magic имела онной системы, разработанных в недрах на стадии подготовки к серийному произ-
в своём активе две передовые техно- General Magic, Sony и Motorola, было выпу- водству, стало понятно, что компании не-
логии, которые уже были готовы к вы- щено, как минимум, столько же. обходим, как минимум, год, дабы предо-
ходу на рынок. Первой из них являлась Пожалуй, наиболее примечательным ставить рабочую версию Magic Cap. Опе-
операционная система Magic Cap, в ка- из них является Sony HIX-300 под кодо- рационной системе требовалось в два ра-
честве второй же выступал язык про- вым названием «Bamboo» (Бамбук). Дан- за больше оперативной памяти, а также
граммирования Telescript. Обе техно- ный компьютер примечателен своим ди- более ёмкий аккумулятор. Процессор ком-
логии планировалось использовать зайном, который позволял говорить о нём пьютера был слишком медленным для ра-
в тандеме, однако ничто не мешало как о самом тонком из всех устройств под боты ОС. Кроме того, реализация управ-
коммуникационным компаниям приме- управлением Magic Cap. Впрочем, наибо- ления питанием, резервной батарейкой и
нить мультиплатформенный Telescript лее интересной всё же является история памятью в ней повергла инженеров Sony
в собственных проектах, используя его появления на свет, поскольку обычно в ступор. В результате компания отмени-
персональные компьютеры с их «на- прототипы собственного модельного но- ла подготовку к запуску HIX‑300 и заня-
стольными» ОС и устройства типа мера не имеют. лась разработкой Magic Link, который имел
Apple Newton. В 1993 году, во время бурной рабо- больший объём оперативной памяти, более
За сетевые коммуникации между ты по подготовке операционной систе- быстрый процессор, новый дизайн корпу-
устройствами электронных гигантов мы к релизу, лицензии на её использова- са, на котором расположились две клави-
отвечал оператор AT&T. В недрах дан- ние получили три компании: Sony, Motorola ши <Shift> для возможности управления
ной компании специально для рабо- и Matsushita Electric (ныне Panasonic). обеими руками, а также более ёмкий ак-
ты с Telescript было организовано но- По словам Зарко Драганича (Zarko Draganic), кумулятор.
вое подразделение под названием ранее работавшего в General Magic, Sony В итоге можно констатировать факт:
PersonaLink Services, которое она опи- была впереди планеты всей и разработа- если бы Magic Cap 1.0 была готова к мо-
сывала как «фонд или основу для элек- ла свой вариант портативного компьютера менту окончания работ над устройством,
тронного сообщества – такого себе намного раньше остальных игроков. При- HIX-300 уже в 1993 году стал бы первым
центра для пользователей: предпри- чём это был не просто прототип, для под- портативным компьютером под управле-
нимателей, предлагающих свою про- готовки к производству которого необходи- нием этой ОС на рынке.
дукцию и услуги, а также людей встре-
чающихся, покупающих, работающих Envoy 100 отличался лишь нали- нако, к всеобщему удивлению, в те-
и развлекающихся». чием двух разъёмов для карт PC Card чение дня цена поднялась до 32 дол-
Впрочем, выход Magic Cap постоян- вместо одного у PIC‑1000, а также ларов. Однако General Magic рано ра-
но откладывался, и появление на рын- встроенным радиомодемом на осно- довалась, ведь это было лишь началом
ке первого компьютера под её управ- ве технологии DataTAC и поддержкой долгой борьбы за рынок. По мнению
лением, Magic Link PIC-1000 произ- соответствующего сервиса под назва- экспертов, компания заинтриговала
водства Sony, состоялось лишь 28 сен- нием Radiomail, который позволял по- всех своими перспективными разра-
тября 1994 года. Motorola выпустила лучать и отправлять электронную поч- ботками и обещаниями о лучшем ми-
свой вариант под названием Envoy 100 ту без необходимости проводного дос- ре, однако сможет ли она выполнить их
спустя ещё три месяца. тупа к Сети. Что же касается габари- и доказать, что и Magic Cap, и Telescript
Оба устройства были разработа- тов, устройства были гораздо больше имеют право на жизнь – это уже дру-
ны на базе единой платформы раз- своих конкурентов. Так, PIC-1000 имел гой вопрос.
работчика, «сердцем которой» яв- размеры 19х13х2,5 см и вес 545 грамм, В отличие от финансовых показа-
лялся 16 МГц микроконтроллер 68300 а Envoy 100, обладая схожими габа- телей количество реализованных кар-
производства Motorola. В результа- ритами, из-за встроенного радиомо- манных компьютеров Sony и Motorola
те большинство характеристик в ви- дема отягощал своего владельца уже было, мягко говоря, невпечатляю-
де 1 Мб оперативной памяти, чёрно- на 817 грамм. щим: в течение нескольких месяцев
белого экрана с диагональю 5,4 дюй- Когда первые устройства поя- с начала продаж лишь несколько ты-
ма и разрешением 480х320 пикселей вились на рынке, а AT&T запустила сяч устройств нашло новых владель-
и отображением 4 градаций серого, ин- PersonaLink, для General Magic наста- цев. Впрочем, по словам руководства
фракрасного порта, факс-модема со ло время входить в «открытое плава- General Magic, они были готовы к столь
скоростью передачи данных 9,6 Кбит/ ние». Случилось это событие 11 фев- неспешному набору скорости.
с и аккумулятора, обеспечивавшего раля 1995 года. Изначально компания Ещё в преддверии первой публич-
8-12 часов автономной работы, были планировала продать 4 миллиона ак- ной демонстрации технологий сво-
идентичными. ций по цене 14 долларов за штуку, од- ей компании Энди Хертцфилд (Andy

№11, ноябрь 2008 85

 ретроспектива

Sony PIC-1000 Motorola Envoy 100

Hertzfeld) не отрицал, что кампания и Matsushita, эти компании не спеши- даже его назвать уверенным никак
по продвижению устройств на основе ли предлагать рынку свои устройства. нельзя: стоимость одного устройства
Magic Cap рассчитана на долгосроч- Нет, демонстрация публике собствен- в 1000‑1500 долларов, которая при по-
ные перспективы. ных разработок на базе Magic Cap, ко- купке нескольких аксессуаров в виде
«Мы готовились к сравнительно нечно же, была. карты памяти, кабеля для соединения
медленному старту, особенно памя- Та же Matsushita продемонстри- с персональным компьютером и внеш-
туя наш прошлый опыт с Macintosh, ровала прототип своего коммуни- ней клавиатуры вырастала в полтора
которому понадобилось два года, кационного устройства под назва- раза, отпугивала от компьютеров мно-
чтобы «встать на ноги». То же самое нием Panasonic NeoNet на выстав- гих потенциальных покупателей.
и здесь. Экраны недостаточно хоро- ке Consumer Electronics Show (CES) Цена в пару сотен долларов за ус-
ши для удовлетворения запросов на- в 1996 году. Благодаря своим неболь- тройство на базе Magic Cap, о кото-
ших клиентов. Время автономной ра- шим габаритам (подумать только!), за- рой говорили в интервью Билл Эткин-
боты устройств от встроенных аккуму- щитной крышке для экрана и исполь- сон (Bill Atkinson) и Энди Хертцфилд
ляторов очень мало. И также абсолют- зованию более совершенной версии на заре появления своей компании,
но не развита инфраструктура беспро- ОС под номером 1.5 этот портатив- продолжала оставаться недостижи-
водных коммуникаций». ный компьютер смог вызвать интерес мой мечтой.
«Всё это являлось довольно нетри- у покупателей и вынудить их ждать Не стоит забывать, что кроме круг-
виальной проблемой, – честно призна- своё появление на рынке с большим ленькой суммы, которую необходимо
вался Энди. – Однако нам приходи- нетерпением. было выложить за Magic Link или же
лось с чего-нибудь начинать, собст- К сожалению, чуда не случилось: Envoy, покупатель был вынужден еже-
венноручно создавая необходимые постоянное откладывание даты выпус- месячно отдавать ещё несколько де-
условия для появления сетей беспро- ка устройства, а также неготовая сете- сятков долларов в качестве абонент-
водной передачи информации, влияя вая инфраструктура для его функцио- ской платы за использование службы
на улучшение характеристик экранов нирования, за которую отвечал япон- PersonaLink, без которой ориентиро-
мобильных устройств. То есть согласно ский оператор Nippon Telegraph and ванный на сетевые коммуникации ком-
нашему плану мы просто делали свою Telephone (NTT), сделали своё «чёр- пьютер на базе Magic Cap был, в об-
работу, надеясь на то, что остальные ное дело». щем-то, ничем не лучше давно пре-
подтянутся». Та же история постигла и европей- бывавшего на рынке Apple Newton
Оптимистично настроенному руко- ского гиганта потребительской элект- или же карманных компьютеров ком-
водству General Magic приходилось вы- роники – компанию Philips. Изначально пании Psion, которые стоили в два ра-
ступать в неравной игре против целой планировавшийся совместно с фран- за дешевле.
индустрии, и вот здесь вставал вопрос: цузским оператором France Telecom Что же касается возможностей,
у кого окажется более сильная рука – проект по выпуску устройства на базе предоставляемых PersonaLink, они
у компании или же у рынка? По иронии Magic Cap и организация сети для его по большей части ограничивались
судьбы, второй вариант вышел из иг- работы, аналогичной PersonaLink ком- работой с электронной почтой, воз-
ры победителем. пании AT&T, так и не состоялся. можностью получения программного
Как итог – карманные компью- обеспечения, электронных «визитных
Факир был пьян, теры под управлением операцион- карточек» других абонентов службы
и фокус не удался ной системы General Magic продол- и всё. «Умные агенты» Telescript, о ко-
Несмотря на партнёрские соглаше- жали своё скромное шествие лишь торых Билл и Энди так радужно рас-
ния между General Magic и Philips на внутреннем рынке США. Однако сказывали несколько лет назад, на-

86

шли в сервисе лишь ограниченное
применение.
Более того, на раннем этапе
PersonaLink даже не поддерживала
графические и аудиофункции компью-
теров под управлением Magic Cap, ог-
раничиваясь обменом сообщений, со-
державших лишь простой текст. И это
при том, что операционная система
изначально поддерживала «обогаще-
ние» писем рисунками, музыкальным
сопровождением и прочей мультиме-
дийной информацией.
Ещё один недостаток, на кото-
рый жаловались первые покупате-
ли, – отсутствие программ сторонних
разработчиков. General Magic обеща-
ла, что спустя короткое время после
появления первых устройств на базе
Magic Cap выпустит пакет разработ-
ки приложений для своей ОС, а так-
же всю необходимую документацию.
В реальности же к середине 1995 го-
да доступное описание внутренней
архитектуры операционной системы
было поверхностным, к тому же напи-
санное излишне усложнённым языком,
а средства разработки существовали
лишь для рабочих станций производс-
тва Sun Microsystems. «General Magic
давно надо было дать в руки разработ-
чиков инструменты, которые им хоро-
шо известны и понятны, если она хо-
чет продвинуть эту платформу на ры-
нок», – отмечал в июне 1995 года веду-
щий аналитик фирмы Dataquest Майк
МакГир (Mike McGuire).
Ситуация изменилась в лучшую
сторону лишь к концу 1996 года, ког-
да компания Metrowerks выпустила
для Magic Cap версию своего попу-
лярного пакета разработки приложе-
Sony HIX-300
№11, ноябрь 2008
ретроспектива
ний CodeWarrior Magic, работавшего Впрочем, как и компьютеры на ба-
на компьютерах Macintosh. зе «полновесной» Magic Cap, оболоч-
Однако все вышеперечислен- ка для Windows не пользовалась осо-
ные проблемы меркли по сравнению бым успехом у ппользователей и даль-
с главной катастрофой, которую про- ше статуса диковинки на пару часов
игнорировала компания – сеть Ин- не продвинулась.
тернет. Суммируя всё вышесказанное, си-
Появление в 1994 году браузе- туация на рынке для General Magic вы-
ра Mosaic, а чуть позже и Netscape глядела не лучшим образом.
Navigator произвело эффект взорвав-
шейся бомбы: количество пользовате- Попытка перезапуска
лей, стремящихся приобщиться к Все- В середине 1996 года Sony и Motorola
мирной компьютерной Сети, росло представили свои новые модели ком-
в геометрической прогрессии. пьютеров под управлением Magic
И в то время, когда новички на рын- Cap, получившие названия Magic Link
ке взялись за перспективный рынок, PIC‑2000 и Envoy 150 соответственно.
General Magic продолжала поддержи- По сравнению со своей предшес-
вать закрытую сеть PersonaLink. Её по- твенницей PIC-2000 обладала увели-
пулярность напрямую зависела от ко- ченным до 2 Мб объёмом оператив-
личества пользователей устройств ной памяти, двумя слотами PC Card,
на базе Magic Cap, которое в свою оче- более быстрым 14,4 Кбит/с модемом,
редь было ограничено высокой стои- встроенным динамиком, а также, и это
мостью компьютеров на базе этой ОС. главное, экраном с подсветкой, на от-
В результате, не имея хорошего дохо- сутствие которой жаловалось подав-
да от нового сервиса, у AT&T не бы- ляющее большинство пользователей
ло интереса в дальнейшем его совер- оригинального устройства. В качест-
шенствовании. ве операционной системы исполь-
В стремлении популяризировать зовалась Magic Cap 1.5, являвшаяся
свои разработки General Magic выпус- результатом основательной работы
тила в октябре 1996 года программное над ошибками предшественницы.
обеспечение Magic Cap for Windows. Что же касается Envoy 150, то он,
Данное ПО представляло собой гра- как и продукт Sony, обзавёлся допол-
фическую оболочку Magic Cap, рабо- нительным мегабайтом ОЗУ и пассив-
тавшую поверх операционной систе- ной подсветкой экрана, разработанной
мы от Microsoft и предназначавшуюся совместно с компанией Kodak.
для пользователей, которым было не- Впрочем, даже новые устройства
обходимо средство для работы с Ин- от Motorola и Sony всё равно не смог-
тернетом (в комплекте с программой ли исправить сложившуюся ситуацию
поставлялся браузер Microsoft Internet на рынке. Остальные же производите-
Explorer 3.0), электронной почтой, фак- ли и операторы, ранее «бившие себя
симильными сообщениями с интуитив- в грудь» по поводу всесторонней под-
но понятным интерфейсом. держки Magic Cap и Telescript, по-тихо-
Magic Cap for Windows
87
 ретроспектива
Ещё один Data Rover
Data Rover 840 не был последним порта-
тивным компьютером, работавшим под
управлением Magic Cap. Весной 1999 года
в недрах DataRover Mobile Systems старто-
вала разработка нового устройства. Со-
гласно имевшимся на тот момент дан-
ным новинка, над которой также работа-
ла Oki, должна была иметь абсолютно но-
вый форм-фактор корпуса (возможно, «ра-
кушка» с QWERTY-клавиатурой).
Что же касается функционального на-
полнения, новый Data Rover был осна-
щён встроенной цветной фотокамерой
со вспышкой, которая позволяла бы ему
му ретировались с тонущего корабля,
оставив General Magic со своими про-
блемами наедине.
А они у компании, надо признать-
ся, были немалыми.
Начать стоит с того, что, согласно
данным исследовательской организа-
ции International Data Corp., за всё вре-
мя присутствия на рынке портативных
компьютеров на базе Magic Cap их бы-
ло продано всего 30 тысяч штук. Коли-
чество подписчиков PersonaLink было
ещё меньше.
Не удовлетворённая низкими про-
дажами своих портативных компью-
теров Envoy, компания Motorola в се-
редине 1996 года объявила о прекра-
щении их производства. Спустя ко-
роткое время её примеру последова-
ла и Sony. Финальным аккордом стало
объявление AT&T о прекращении под-
держки и дальнейшего развития сер-
виса PersonaLink и концентрации на се-
ти Интернет.
Как итог – финансовые результа-
ты были катастрофическими: с 1990-го
по середину 1996 года суммарный убы-
ток компании составил 74 млн. долла-
ров. Стоимость акций компании, ещё
год назад находившиеся на отметке
в полтора десятка долларов за шту-
ку, рухнула в пятнадцать раз! К кон-
цу года на банковских счетах General
Magic осталось всего 67 млн. долла-
ров, что для фирмы, тратящей боль-
шие средства на исследовательские
разработки – сущие копейки. Неуди-
вительно, что в подобной ситуации
финансовый директор компании Де-
нис Рейни (Dennis Raney) принял ре-
шение сложить полномочия и уйти
в отставку.
88
делать снимки в плохо освещённых поме-
щениях или же ночью. Благодаря обнов-
лённому программному обеспечению стра-
ховой агент, например, мог сфотографи-
ровать необходимый объект, послать фо-
тографию в офис, а после исследования
изображения экспертами получить оцен-
ку соответствия свершившегося события
критериям страхового случая.
К сожалению, к декабрю 1999 года, ког-
да разработка нового компьютера подхо-
дила к концу, компания полностью разоча-
ровалась в собственной платформе, и при-
емник Data Rover 840 «так и не достиг крас-
ной ленточки финишной прямой».
Руководство General Magic осозна-
вало, что с подобными успехами оста-
ваться на плаву компания сможет не-
долго. Основатель фирмы Марк Порат
(Marc Porat) понял, что не может более
контролировать ситуацию, и в апреле
1996 года покинул пост исполнительно-
го директора General Magic. Его место
занял Стив Маркман (Steve Markman),
ранее пребывавший на должнос-
ти исполнительного вице-президен-
та в Novell.
«Мы пытались продавать устройст-
ва, стоившие слишком дорого», – гово-
рил Маркман. – Мы пали так низко, на-
сколько только можно упасть, однако
уже движемся по пути назад».
Первым его шагом к «улучшению»
финансового положения компании
стало увольнение в сентябре 1996 го-
да почти 140 сотрудников компании,
что составило половину всего штата
людей, работавших в General Magic.
Кроме того, новый исполнитель-
ный директор определил и новое на-
правление в развитии компании, кото-
рое заключалось в попытке догнать на-
чавшийся несколькими годами ранее
интернет-бум. Отныне она переква-
лифицировалась в поставщика при-
ложений для передачи данных и го-
лоса через всемирную коммуникаци-
онную сеть.
В марте 1997 года из General Magic
была выделена отдельная компания,
получившая название AltoCom. В на-
чале года General Magic разработа-
ла технологию программных модемов
под названием SoftModem. Она пред-
ставляла собой программное обеспе-
чение, выполнявшее функции переда-
чи данных и факс-модема при помо-
щи центрального процессора без не-
обходимости использования дополни-
тельного цифрового сигнального чипа.
Впоследствии технология SoftModem
была лицензирована и использова-
на в Philips Nino, Compaq С-серии,
Samsung InfoMobile и других карман-
ных компьютерах.
Что же касается новых продуктов
собственного производства, в апре-
ле 1997 года General Magic объявила
о работе над новым проектом под ко-
довым названием Serengeti, которое
на момент его выхода в свет было из-
менено на Portico.
Он был построен на базе платфор-
мы голосового интерфейса компании
под названием MagicTalk и позволял
клиенту получать доступ к электрон-
ной почте, персональному календа-
рю, адресной книге, котировкам ак-
ций, новостям и прочей информации,
используя голосовые команды по те-
лефону.
Всё, что требовалось от пользо-
вателя, – настроить свою учётную за-
пись на сайте, введя номера теле-
фонов, факса, адрес электронной
почты. После этого он получал собст-
венный Portico-номер, позвонив на ко-
торый начинал в прямом смысле об-
щаться со своим виртуальным по-
мощником.
Portico распознавал несколько
миллионов произносимых человеком
фраз, а также обладал собственным
«словарём», состоявшим из пяти тысяч
ответов и различных подсказок. Более
того, один и тот же ответ виртуально-
го помощника на вопрос пользовате-
ля мог звучать по-разному, недаром
за свои исследования в области рас-
познавания голоса General Magic по-
лучила несколько патентов.
Специально для работы Portico
General Magic построила большой ком-
муникационный центр, способный об-
служивать одновременно 100 тысяч
абонентов. Доступ к сервису, по пла-
нам компании, должен был обеспечи-
ваться операторами мобильной и на-
земной связи по абонентской под-
писке. Кроме того, будущие партнё-
ры General Magic, благодаря гибкос-
ти MagicTalk могли оптимизировать
Portico для собственных нужд.
Проект был многообещающим,
но и столь же дорогим. Собствен-
ных средств на его завершение уже
 ретроспектива
не хватало, и потому компания пре- на RISC‑процессор MIPS R3000. Же- лявшим при помощи нескольких щелч-
бывала в постоянном поиске новых лание «освежить» ОС и избавить её ков мышью настроить подключение
инвесторов. от наследия предшественниц выли- к провайдеру. Также стоит отметить
Одним из них стала Microsoft, в на- лось в несовместимость програм- поставлявшийся с Magic Cap 3.0 бра-
чале марта 1998 года объявившая много обеспечения, написанного для узер Presto!Links, поддержку програм-
о подписании соглашения с General Magic Cap 1.х-2.х, с новой операцион- мных модемов SoftModem, возмож-
Magic, согласно которому она вклады- ной системой, а также невозможность ность работы с несколькими почтовы-
вала в компанию 6 млн. долларов в об- обновления системного ПО в уже вы- ми ящиками, а также факсимильными
мен на лицензирование определённых пущенных компьютерах, что вызва- сообщениями.
технологий. Что конкретно они собой ло бурю негодования у горстки всё Вместе с Data Rover 840 General
представляли, Microsoft не рассказала, ещё лояльных General Magic пользо- Magic вышла на рынок, который был
лишь заверила, что полученные дан- вателей. уже давно «поделён» другими игро-
ные будут использованы только в ис- Впрочем, согласно политике Марк- ками в лице компаний Telxon, Symbol
следовательских разработках и не по- мана отныне компьютеры на ба- и Norand. И теперь Data Rover 840 не-
явятся в коммерческих продуктах ещё зе Magic Cap не предназначались обходимо было доказать свою «проф-
в течение нескольких лет. для простых смертных. По его мне- пригодность» перед своими конку-
Впрочем, как окажется позднее, нию, главными потребителями Data рентами.
Microsoft был необходим лишь доступ Rover 840, а именно так впослед- И здесь компьютер спасовал. Ус-
к патентам General Magic, чтобы в бу- ствии было названо устройство, про- тройство, даже несмотря на свою це-
дущем прибрать их к своим рукам. Од- изведённое совместными усилиями ну в 1000 долларов, было очень при-
нако в 1998 году отчаявшаяся компа- General Magic и компании Oki Electric влекательным вариантом. Загвоздка
ния цеплялась за любой шанс, спо- Industry, должны были стать работаю- в данном случае крылась в необходи-
собный помочь ей просуществовать щие вне офиса сотрудники здравоох- мом программном обеспечении, вер-
ещё какое-то время, и посему ковар- ранения, транспортных служб и про- нее, в его отсутствии.
ные планы разработчика Windows бы- чие, нуждающиеся в средствах пос- Дело в том, что узкоспециали-
ли наименьшим, на что она обраща- тоянного подключения к информаци- зированный рынок, на который бы-
ла внимание. онной среде пользователи. ло ориентировано устройство, требо-
Несмотря на то что Portico являлся Кстати, как отмечали впоследствии вал не просто портативный компью-
приоритетным проектом для General обозреватели различных информаци- тер, но и ПО, которое позволяло бы
Magic, компания всё же не забыва- онных ресурсов, Data Rover 840 стал ему функционировать в заданной ин-
ла и про Magic Cap. Однако, посколь- лучшим портативным компьютером формационной среде. Ведь крупные
ку партнёров по выпуску портативных на базе Magic Cap: использование про- компании и организации, покупающие
компьютеров на базе данной ОС у неё цессора MIPS R3000 позволило значи- портативные компьютеры в качестве
больше не осталось, General Magic тельно повысить производительность, коммуникационных устройств для сво-
пришлось самостоятельно осваивать а экран с подсветкой – сделать чтение их сотрудников, приобретают прежде
производство устройств. информации для пользователя более всего законченный и готовый к исполь-
К тому времени у General Magic комфортным. зованию программно-аппаратный ком-
в разработке была новая версия опе- Третья версия операционной сис- плекс, а не набор устройств и ПО, кото-
рационной системы под номером темы обладала улучшенным масте- рые затем ещё необходимо заставить
3.0, проектировавшаяся в расчете ром соединения с Интернетом, позво- функционировать сообща.

Data Rover 840 Sony PIC-2000

№11, ноябрь 2008 89

 ретроспектива
ки. Большая часть руководства ком-
Не свершившееся будущее лектуальной собственности, на которую пании покинула её в поисках более
Magic Cap также положил глаз и Хертцфилд. перспективного места для дальней-
Magic Cap можно назвать ребёнком, ко- Впоследствии один из основателей шей работы.
торому не повезло с родителями. Впро- General Magic продолжал вести переговоры Под руководством нового испол-
чем, осознав свои ошибки, впоследствии с Мирвольдом, дабы вырвать у него права нительного директора Кэтлин Лейтон
они ещё пытались помочь своему чаду, од- на Magic Cap. Однако тот накладывал всё (Kathleen Layton) General Magic в оче-
нако, к сожалению, безрезультатно. больше и больше ограничений на исполь- редной раз решила изменить свою
По словам Стива Шрама, во время бан- зование операционной системы до тех пор, стратегию путём превращения сво-
кротства компании Энди Хертцфилд, ныне пока не стало ясно, что лишь немногие за- их разработок в области голосовых
работающий в компании Google, пытал- интересуются Magic Cap, даже если её ис- коммуникаций в комплексные реше-
ся «освободить» операционную систему ходные коды будут открыты для свободно- ния для корпоративного рынка. Одна-
путём открытия её исходных кодов. Однако го доступа. Поэтому в итоге Энди не оста- ко особым успехом новая инициати-
этому воспрепятствовал Натан Мирвольд лось ничего другого, как сдаться. ва не пользовалась, и компания про-
(Nathan Myrvold), бывший технический ди- С горечью приходится констатировать должала тратить последние сбере-
ректор Microsoft, позже создавший свою факт, что миллионы долларов и усилия де- жения, медленно приближаясь к сво-
компанию Intellectual Ventures. Мирвольд сятков первоклассных инженеров так и ос- ей кончине.
воспользовался процессом банкротства танутся пылиться в каком-нибудь сейфе Случилось это грустное событие
General Magic для покупки всей её интел- за семью замками. 18 сентября 2002 года, когда General
Magic объявила о вынужденном закры-
General Magic же надеялась, что Однако с собственным продуктом тии в связи с отсутствием денежных
сервисы, использующие в своей ос- на её основе в лице Portico General средств, необходимых для обеспече-
нове Data Rover, будут создавать сто- Magic не везло. Нет, инновационный ния дальнейшего существования.
ронние разработчики. Однако желаю- сервис пользовался популярностью, «Комбинация нескольких факторов
щих заняться этим было не так много, однако количество операторов, жела- привела нас к этому решению», – зая-
как того хотела компания. ющих поучаствовать в раздаче досту- вила тогда Лейтон. – Текущее состоя-
Убедившись, что рынок порта- па к нему, было очень небольшим. Не- ние экономики и рынка вместе с про-
тивных компьютеров уже давно стал удивительно, что прибыль от сервиса должающимся замедлением индуст-
для неё тяжёлой ношей, а также же- была соответствующей. рии информационных технологий были
лая сконцентрировать все свои уси- В ноябре 1999 года General Magic главными причинами, не позволивши-
лия на продвижении Portico, General объявила о подписании соглашения ми нам раздобыть необходимые сред-
Magic в конечном итоге приняла ре- с компанией OnStar Corporation, явля- ства. Без возможности немедленного
шение полностью избавить себя от не- ющейся подразделением американ- финансирования извне совет акционе-
обходимости дальнейшего развития ского гиганта автомобилестроения ров решил, что компания более не мо-
Magic Cap. General Motors. жет продолжать функционировать».
В результате в декабре 1998 года Компания предоставляет владель- Итак, спустя 12 лет, первую поло-
была сформирована отдельная ком- цам автомобилей с установленным вину из которых General Magic пыта-
пания под названием DataRover Mobile оборудованием OnStar различные сер- лась изменить мир, а вторую – потрати-
Systems, на плечи которой была взва- висы посредством мобильной связи ла на безуспешные попытки выбрать-
лена судьба операционной системы вроде техслужбы, оповещения о воз- ся из вырытой самой же себе ямы, на-
и единственного оставшегося уст- никшей аварии, нахождения угнанной стал её час расплаты. Как и многие
ройства под её управлением. Управле- машины и т. д. другие компании, General Magic ста-
ние новым предприятием было поруче- Используя облегчённую версию ла очередной сверхновой звёздочкой
но Стиву Шраму (Steve Schramm), быв- Portico, General Magic разработала на небосклоне, чья жизнь была неве-
шему генеральному менеджеру под- для OnStar систему виртуального кон- роятно яркой, однако и столь же быс-
разделения General Magic, занимав- сультанта Virtual Advisor, позволяюще- тротекущей. И теперь всё, что оста-
шегося разработкой Magic Cap. го пользователю посредством голо- лось от неё для будущих поколений, –
В 2000 году компания изменила сового управления работать с элект- лишь память.
своё название на Icras, а вместе с ним ронной почтой, а также получать дос-
переквалифицировалась в постав- туп к различным сетевым источникам 1. http://www.wikipedia.org.
щика решений на основе беспровод- информации: новостям, прогнозу по- 2. http://www.wired.com.
ных технологий передачи информа- годы и т. д. 3. http://www.byte.com.
ции. Главная разработка General Magic, Благодаря сделке с OnStar ком- 4. http://www.mactech.com.
ради которой она появилась на свет, пания получила в своё распоряжение 5. http://joshcarter.com.
окончательно канула в Лету. 20 млн. долларов, которые позволили 6. http://joi.ito.com.
В 1999 году платформа MagicTalk её протянуть ещё несколько лет. Впро- 7. http://www.pencomputing.com.
была лицензирована компанией Excite, чем, особо радостными они не были. 8. http://news.cnet.com.
которая создала на её основе сервис В 2001 году в General Magic про- 9. http://money.cnn.com.
голосовой почты. изошли новые кадровые перестанов- 10. http://www.allbusiness.com.

90

Вам спам не приходил?
Задолбали меня юзвери, жалующиеся на спам. Подумала, де-
шевле настроить им спам-фильтр – пусть радуются. Сказано –
сделано, настроила.
Дело было в пятницу. В понедельник звонят обеспокоенные
юзеры: «А у нас почта работает? А то даже ни одного спама за все
выходные не пришло!»
Анастасия Кузнецова
Пытливый ум
Работаю я на небольшом предприятии программистом и по сов-
местительству админю нашу небольшую сетку (компов на 30). Вот
недавно и дома с двумя соседями тоже прокинули мы сеть, сде-
лали общий Интернет (Интернет во всем доме есть пока только
у меня, ADSL). Поставил я себе на комп Kerio WinRoute Firewall,
ну и даю им Интернет на небольшой скорости, за определенную
плату. И вот один из этих соседей тоже собрался подключить се-
бе ADSL. Второй про это узнал и пишет мне в аську:
– Ты в курсе что ... решил тоже себе Инет подключить?
– Ага, в курсе.
– Я вот тут подумал. Когда он подключит, мне тогда можно бу-
дет по локалке нашей брать Инет и у тебя, и у него одновремен-
но, чтоб скорость больше была.
Я ржал минут 5.
– Ты сам это придумал или кто подсказал?
– А что... создать второе подключение, прописать там его IP...
Все, после этих слов я пад стулом...
Gorizont
Полтергейст
Работаю я на одном предприятии в службе технической поддержки.
Рабочий день, значит, подходит к концу, и я уже было засобирал-
ся до дому, но не тут-то было. Прибегает, значит, менеджер смены
и говорит заученную фразу: «Комп не работает». Ну, соответствен-
но, после некоторых попыток добиться, что же все-таки не работа-
ет, я терплю фиаско. Включаю свой комп, лезу через Dame Ware
на ту самую злосчастную рабочую станцию – ага, заблокирован
пользователь. Ну я, соответственно, разблокировал, залез опять
на тот комп и написал в текстовом файле: «Ребята, все хорошо,
можно начинать работать». Собираюсь в очередной раз домой.
Опять тот же менеджер с криками: «Не работает комп!» Лезу опять
через Dame Ware (при нем), показываю – все работает!
– Нет, – говорит, – что ты водишь мне мышкой по своему мо-
нитору? У меня там не работает, а ты мне здесь что-то показыва-
ешь. Иди, подойди да посмотри.
Иду. Картина следующая. Заходим на производство, подхо-
дим к тому злосчастному компу, окруженному со всех сторон ку-
чей доблестных работников. Ну, думаю, может и правда что не ра-
ботает. Народ расступается, я молча начинаю проверять работо-
способность ПО. Все работает! Спрашиваю: «А в чем собственно
дело?» Тут высказывание: «Вы знаете, комп сошел с ума, он сам
двигает мышкой, и потом он сам написал: «Ребята, все хорошо,
можно начинать работать».
Александр Улыбин
№11, ноябрь 2008
сисадмин тоже человек
Какой он, Интернет
Работал в свое время я в одной районной сети. Периодически
приходилось в проблемных случаях подключать абонентов (когда
монтажники не могут решить проблему подключения). Прихожу,
значит. Встречает женщина бальзаковского возраста. Ну, короче,
все подключил, настроил. Договор подписан. И тут вопрос:
– А где Интернет?
Ну, я показываю, открываю «Яндекс», вбиваю в поиске слово,
показываю, что все работает. Ответ:
– И это Интернет??? За что я деньги платила??? Что за фиг-
ню вы мне показываете???
Я просто упал... У меня дар речи пропал сразу. Не мог ниче-
го сказать.
Я спрашиваю:
– А что вы хотели увидеть?
– Ну не такую фигню.
Пришлось провести краткий курс молодого серфера.
Вот такой забавный случай.
himik_007
О профессии сисадмина
Сижу, пью кофе, слушаю музыку, читаю в Инете про плюсы и ми-
нусы работы системным администратором (думаю про себя о спе-
цифике профессии).
Плюсы профессии:
n Востребованность на рынке труда (согласен).
n Достойный уровень заработной платы (не всегда, но обычно
устраивает).
n Относительная автономность (у кого как).
n Самостоятельность в принятии решений (ну да).
n Относительно свободный график работы (точно не у меня).
n Постоянное повышение уровня образования (век живи, век
учись).
Минусы профессии:
n Не всегда полное взаимопонимание с руководством (бывает).
n Специалисты этой области вынуждены быть мастерами на все
руки, не редки случаи, когда к системному администратору бе-
гут по мелочам (и достаточно часто).
n Ненормированный рабочий день.
n Случаи внештатных ситуаций.
n Общение с большим количеством пользователей, не осведом-
ленных о работе компьютера.
Когда я глазами оказываюсь на строчке про «мелочи», захо-
дит одна из сотрудниц компании и несчастным голосом начина-
ет вещать, что, мол, мужиков у нас на фирме толком нет. Ты один,
кто может помочь принести бутыль воды из подвала.
Kalengil
По материалам сайта «Сисадмин тоже человек» –
http://sysadmin.mail.ru
91
 книжная полка
Регулярные выражения давно пере-
стали быть уделом UNIX-администра-
торов и Perl-программистов. Сегод-
ня это фактически общепризнанный
стандарт для гибкого и мощного раз-
бора простых строк и сложно структу-
рированных данных. Это в свою оче-
редь стало поводом к написанию книг
по такому, казалось бы, скромному яв-
Уже не первый год, как блоги стали
очень заметной и неотъемлемой час-
тью Всемирной паутины. Этот тренд
за короткое время успел породить це-
лую субкультуру, представители ко-
торой с энтузиазмом организовыва-
ют небольшие встречи, проводят кон-
ференции и, конечно же, пишут книги.
Рассматриваемое издание – прекрас-
92
Регулярные выражения, 3-е издание
Джеффри Фридл
лению. Книга в первых своих изданиях ности регулярных выражений в Perl.
заслуженно получила статус класси- Из специфики, затрагивающей Java,
ческой – четкость изложения и спектр стоит отметить приведенные отличия
охватываемых нюансов не могли между ее разными версиями (1.4.2 и
остаться не замеченными со стороны 1.5.0, 1.5.0 и 1.6.0). В случае .NET рас-
как не очень опытных пользователей, смотрены «нетривиальные возмож-
так и квалифицированных специалис- ности»: сборка регулярных выраже-
тов. Около половины издания отведе- ний, поиск вложенных конструкций,
но на всеобъемлющую теорию по ре- объект Capture. В PHP интересно на-
гулярным выражением с многочислен- личие информации о недостающих
ными примерами их применения. В ней функциях preg, которые при желании
рассматриваются основы составления можно заимствовать у сторонних раз-
выражений, их возможности и диалек- работчиков, а также несколько «рас-
ты, механизмы обработки. Отдельная ширенных примеров»: разбор данных
глава отведена построению эффектив- в формате CVS, «проверка тегирован-
ных регулярных выражений с примера- ных данных на корректность вложен-
ми стандартных оптимизаций и быст- ных конструкций».
рых выражений, описаниями методов
«раскрутки» цикла, исключений слу- n Издательство: «Символ-Плюс»
чайных совпадений. Вторая половина n Год издания: 2008
книги посвящена практическому ис- n Количество страниц: 608
пользованию выражений на различ- n ISBN: 978-5-93286-121-9
ных языках программирования: Perl, n Цена: ≈ 650 руб.
Java, C# (.NET), PHP. Особое внима- Книга предоставлена интернет-магазином
ние уделено проблемам эффектив- Books.Ru.
Блоги и бизнес: путь к успеху
Дл Байрон и Стив Брубек
ное тому доказательство. Ее отличи- нципы, которыми стоит руководство-
тельная особенность – практическая ваться при открытии блога любой ком-
направленность. Авторы позициони- пании – конечно, если создаваемый
руют блог как важную часть современ- блог не просто является «данью мо-
ного бизнеса, способную заметно по- де», а призван стать полезным. Пос-
высить его эффективность. Такое по- ледняя глава книги знакомит читате-
зиционирование они пытаются оправ- лей с перспективами блогинга как яв-
дать с первых страниц, на которых при- ления – это такие развивающиеся се-
водят многочисленные примеры «ис- годня направления, как контент по тре-
торий успеха» и известных брендов, бованию и мультимедийный контент,
активно использующих блоги в сво- мобильный блогинг, микроформаты
ем бизнесе. Уже по одному этому по- (т.е. ориентированные на динамичес-
нятно, что книга скорее ориентирова- кий обмен данными вроде каталога то-
на на маркетологов, а не технических варов и прайс-листов) и мэшапы (объ-
специалистов и в дальнейшем эта те- единение данных с различных серви-
ория лишь подтверждается. Какую по- сов в единое целое).
лезную информацию все же можно по-
черпнуть из книги? Авторы помогают
ответить на популярные вопросы, воз- n
Издательство: «Символ-Плюс»
никающие при создании блогов, вроде n
Год издания: 2008
«Каким должен быть блог?», «Как пра- n
Количество страниц: 208
вильно вести блог?», «Как привлечь n
ISBN: 978-5-93286-111-0
пользователей?», «Как следить за бло- n
Цена: ≈ 220 руб.
госферой и развивать блог?». В об- Книга предоставлена интернет-магазином
щем в первую очередь это все те при- Books.Ru.
 книжная полка

Книжек про JavaScript в последнее вре-
мя стало очень много, но редко попа-
дается что-то по-настоящему толко-
вое: большинство из них ориентиро-
вано на начинающих программистов,
представленная информация лишь
в очередной раз повторяет уже напи-
санное в других изданиях. Эта книга
выгодно отличается от своих собрать-
JavaScript. Профессиональные
приемы программирования
Джон Рейсиг
ев благодаря тому, что она изначально
ориентирована на веб-разработчиков,
которые уже компетентны в базовых
манипуляциях с JavaScript и настрое-
ны развиваться дальше. Рассматри-
ваются важные характеристики язы-
ка: ссылки, перегрузка функций, об-
ласть видимости переменных, замы-
кания, контекст, объекты. Затем автор
знакомит с принципами создания мно-
гократно используемого кода за счет
наследования прототипов, использо-
вания библиотек Base и Prototype, соз-
дания пакетов. Следующая глава – от-
ладка и тестирование кода с помощью
специализированных инструментов
(консоль ошибок в браузерах, Firebug,
Venkman, JS-библиотеки для тестиро-
вания). Третья часть книги посвящена
«ненавязчивому коду», под которым
автор понимает «невмешательство ко-
да в работу браузера с отсутствующей
или отключенной пользователем под-
держкой JavaScript». В ней раскрыва-
ются темы модели DOM, событий, CSS,
HTML-форм, а в завершении приведе-
ны примеры галерей изображений: как
готовых, так и своей. В последней час-
ти книги рассматриваются как основы
AJAX, так и конкретные применения:
использование JSON, AJAX для бло-
гов, поиск с автодополнением. Также
доступны примеры создания JavaScript-
реализаций Wiki и блога с помощью
AJAX. Завершают книгу три приложе-
ния: справочники по DOM и по событи-
ям, краткая информация о браузерах
(IE, Mozilla, Safari, Opera).
n
Издательство: «Питер»
n
Год издания: 2008
n
Количество страниц: 352
n
ISBN: 978-5-91180-904-1
n
Цена: ≈ 367 руб.
К н и г а п р е д о с т а в л е н а и з д ат е л ь с т в о м
«Питер».

LINQ: язык интегрированных запросов

Автор книги сразу, без какого-либо тра-
диционного «Введения», выдает пример
кода на C#, предлагая читателю само-
стоятельно почувствовать «смещение
парадигмы». Приведенный пример де-
монстрирует использование языка ин-
тегрированных запросов в C#, который
многим по праву изначально кажет-
ся «необычным». Более того, он опре-
в C# 2008 для профессионалов
Джозеф Раттц-мл.
деленно напоминает SQL, встроенный полнительные возможности. В LINQ to
прямо в сам язык программирования DataSet – различные типы операций (об-
и предназначенный для работы с раз- щие, множеств, над полями). Часть кни-
личными типами данных. На этом ав- ги LINQ to SQL, посвященная примене-
тор не останавливается и показывает нию LINQ в связке с Microsoft SQL Server,
еще пару примеров, чтобы окончатель- является самой объемной. В ней вкрат-
но убедить читателя в полезности и мо- це освещаются инструменты SQLMetal
щи LINQ – и вот только тогда начинается и Object Relational Designer, рассматри-
введение. Книга является удачной сме- ваются операции для баз данных, сущ-
сью из учебного пособия и справочни- ностные классы, класс DataContext, кон-
ка, поданной в свободном стиле, скла- фликты параллельного доступа, допол-
дывающемся из пошаговых объяснений, нительные возможности SQL вроде
как и чего можно добиться. Рассмат- представлений и транзакций.
риваются 4 основные привязки LINQ:
к объектам, XML, DataSet и SQL. В LINQ n
Издательство: «Вильямс»
to Objects рассматриваются отложенные n
Год издания: 2008
и не отложенные операции. В LINQ to n
Количество страниц: 560
XML – создание, сохранение и загруз- n
ISBN: 978-5-8459-1427-9
ка XML, работа с такими документами n
Цена: ≈ 900 руб.
и их атрибутами, аннотации и события, К н и г а п р е д о с т а в л е н а и з д ат е л ь с т в о м
доступные операции, некоторые до- «Вильямс».
Обзор книжных новинок подготовил Дмитрий Шурупов

№11, ноябрь 2008 93

 подписка на 2009 год

Редакционная подписка
для физических лиц
n Вы можете оформить подписку
только на российский адрес.
n При заполнении квитанции обя‑
зательно РАЗБОРЧИВО укажи‑
те фамилию, имя, отчество пол‑
ностью, почтовый индекс и ад‑
рес получателя (область, город,
улица, номер дома, номер квар‑
тиры), контактный телефон.
n Журнал высылается почтой заказ-
ной бандеролью только после пос-
тупления денег на расчетный счет
и копии заполненного и оплачен‑
ного бланка, отправленной в ре‑
дакцию по факсу: (495) 628‑82‑53
(доб. 120) или на электронный
адрес: subscribe@samag.ru.

ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ

 

ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ ɏ
 

94

Российская Федерация
n
Подписной индекс: годовой – 20780, полугодовой – 81655
Каталог агентства «Роспечать»
n Подписной индекс: годовой – 88099, полугодовой – 87836
Объединенный каталог «Пресса России»
Адресный каталог «Подписка за рабочим столом»
Адресный каталог «Библиотечный каталог»
n Альтернативные подписные агентства:
Агентство «Интер-Почта» (495) 500-00-60, курьерская
доставка по Москве
Агентство «Вся Пресса» (495) 787-34-47
Агентство «Курьер-Прессервис»
Агентство «ООО Урал-Пресс» (343) 375-62-74
ЛинуксЦентр www.linuxcenter.ru
n Подписка On-line
http://www.arzi.ru
http://www.gazety.ru
http://www.presscafe.ru
СНГ
В странах СНГ подписка принимается в почтовых отделе-
ниях по национальным каталогам или по списку номенк-
латуры «АРЗИ»:
n Азербайджан – по объединенному каталогу россий-
ских изданий через предприятие по распространению
подписка на 2009 год
печати «Гасид» (370102, г. Баку, ул. Джавадхана, 21)
n
Казахстан – по каталогу «Российская Пресса» через
ОАО «Казпочта» и ЗАО «Евразия пресс»
n
Беларусь – по каталогу изданий стран СНГ через РГО
«Белпочта» (220050, г. Минск, пр-т Ф. Скорины, 10)
n
Узбекистан – по каталогу «Davriy nashrlar» российс-
кие издания через агентство по распространению пе-
чати «Davriy nashrlar» (7000029, г. Ташкент, пл. Муста-
киллик, 5/3, офис 33)
n Армения – по списку номенклатуры «АРЗИ» через
ГЗАО «Армпечать» (375005, г. Ереван, пл. Сасунци Да-
вида, д. 2) и ЗАО «Контакт-Мамул» (375002, г. Ереван,
ул. Сарьяна, 22)
n Грузия – по списку номенклатуры «АРЗИ» через АО
«Сакпресса» ( 380019, г. Тбилиси, ул. Хошараульская, 29)
и АО «Мацне» (380060, г. Тбилиси, пр-т Гамсахурдия, 42)
n Молдавия – по каталогу через ГП «Пошта Молдовей»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
по списку через ГУП «Почта Приднестровья» (МD-3300,
г. Тирасполь, ул. Ленина, 17)
по прайс-листу через ООО Агентство «Editil Periodice»
(МД-2012, г. Кишинев, бул. Штефан чел Маре, 134)
n Подписка для Украины:
Киевский главпочтамт
Подписное агентство «KSS», тел./факс (044)464-0220

Подписные
индексы:
20780 *
+ диск с архивом
статей 2008 года

81655 **
без диска

по каталогу агентства
«Роспечать»

88099 *
+ диск с архивом
статей 2008 года

87836
без диска
**

по каталогу агентства
«Пресса России»
*
Годовой
**
Полугодовой
***
Диск вкладывается
в февральский
номер журнала,
распространяется
только на территории
России

№11, ноябрь 2008 95

СИСТЕМНЫЙ АДМИНИСТРАТОР
№11(72), Ноябрь, 2008 год

УЧРЕДИТЕЛИ
Частные лица

РЕДАКЦИЯ
Генеральный директор
Владимир Положевец
Главный редактор
Алексей Коршунов
chief@samag.ru
Ответственный секретарь
Наталья Хвостова
sekretar@samag.ru
Технический редактор
Владимир Лукин Вы знаете, как бороться
с «Просачивающейся А дварью»?
Главный редактор
электронного приложения
Применяете «Чарующий скрипт»?
«Open Source»
Дмитрий Шурупов Редакция журнала «Системный администратор» представляет
Внештатные редакторы
вам новый админский сувенир для истинных знатоков своего дела –
Алексей Барабанов карточную игру «AYTCOPCEP».
Кирилл Сухов
Сергей Супрунов
Олег Щербаков
В ходе игры участники тянут из колоды карты «Проблем», с которым
Валентин Синицын им предстоит бороться один на один или с помощниками, используя
Александр Емельянов подручные средства. Успешное решение «Проблемы» добавляет игроку
Дмитрий Павлов
уровни. Если вы не считаете себя добрым и милым, то для вас в игре
РЕКЛАМНАЯ СЛУЖБА предусмотрена специальная возможность – сделать гадость другому
тел./факс: (495) 628-8253 участнику и обойти его в погоне за уровнями.
Евгения Тарабрина (доб. 120)
reсlama@samag.ru
Победителем становится тот, кто быстрее всех
Верстка и оформление доберется до 10 уровня. Остальные подробности об игре,
maker_up@samag.ru
Дизайн обложки
«Чарующем скрипте», «МегаУтилите» и «Клановом коктейле»
Дмитрий Репин вы сможете узнать из правил игры.
По вопросам распространения
обращайтесь по телефону:
«AYTCOPCEP» – это пародия на жизнь, которая позволит вам
Светлана Зобова ощутить всю прелесть аутсорсинга... но без всей словесной мишуры,
(495) 628-8253 (доб. 120) типа, «утром стулья, вечером деньги…»!
107045, г. Москва,
Ананьевский переулок, дом 4/2, стр. 1 Приобретайте игру «AYTCOPCEP» в редакции.
тел./факс: (495) 628-8253
Сайт журнала: www.samag.ru

ИЗДАТЕЛЬ
ООО «С 13»
Отпечатано типографией
ООО «Периодика»
Тираж 17000 экз.

Журнал зарегистрирован в Министерстве РФ

по делам печати, телерадиовещания и средств
массовых коммуникаций (свидетельство ПИ
№ 77-12542 от 24 апреля 2002 г.).

За содержание статьи ответственность несет

автор. Мнение редакции может не совпадать
с мнением автора. За содержание рекламных
материалов ответственность несет рекламо-
датель. Все права на опубликованные мате-
риалы защищены.

96