Заметки о FreeBSD

FreeBSD 9.3 iSCSI Initiator

2017-02-06T16:56:00.000+03:00

Настройка ISCSI инциатора во FreeBSD 9.3 (Начиная с 10.0 всё еще проще).

Подгружаем модуль ядра

[root@mx1 ~]# kldload iscsi_initiator

[root@mx1 ~]# cat /boot/loader.conf
iscsi_initiator_load="YES"

Инициализируем блочное устройство

[root@mx1 ~]# iscontrol -v -d targetaddress=192.168.154.60 initiatorname='iqn.2017-02.ru.spb.testcorp:testsrv31'
port = 3260
tags = 0
maxluns = 0
iqn = iqn.2005-01.il.ac.huji.cs:
maxConnections = 1
maxRecvDataSegmentLength = 65536
maxXmitDataSegmentLength = 65536
maxBurstLength = 131072
firstBurstLength = 65536
defaultTime2Wait = 0
defaultTime2Retain = 0
maxOutstandingR2T = 1
errorRecoveryLevel = 0
targetPortalGroupTag = 0
headerDigest = None,CRC32C
dataDigest = None,CRC32C
initialR2T = 1
immediateData = 1
dataPDUInOrder = 1
dataSequenceInOrder = 1
sessionType = Normal
targetAddress = (null)
targetAlias = (null)
targetName = (null)
initiatorName = (null)
initiatorAlias = (null)
authMethod = None
chapSecret = (null)
chapIName = (null)
tgtChapName = (null)
tgtChapSecret = (null)
tgttgtChallengeLen = 0
adding 'targetaddress=192.168.54.6'
I-: cmd=0x3 len=296
SessionType=Discovery
InitiatorName=iqn.2017-02.ru.spb.testcorp:testsrv31
MaxBurstLength=131072
HeaderDigest=None,CRC32C
DataDigest=None,CRC32C
MaxRecvDataSegmentLength=65536
ErrorRecoveryLevel=0
DefaultTime2Wait=0
DefaultTime2Retain=0
DataPDUInOrder=Yes
DataSequenceInOrder=Yes
MaxOutstandingR2T=1
T-: cmd=0x23 len=238
TargetPortalGroupTag=0x03e8
MaxRecvDataSegmentLength=65536
HeaderDigest=None
DataDigest=None
MaxBurstLength=65536
DefaultTime2Wait=0
DefaultTime2Retain=0
ErrorRecoveryLevel=0
MaxOutstandingR2T=1
DataPDUInOrder=Yes
DataSequenceInOrder=Yes
I-: cmd=0x4 len=16
SendTargets=All
T-: cmd=0x24 len=84
TargetName=iqn.1992-08.com.netapp:sn.142238657
TargetAddress=192.168.154.60:3260,1000
TargetName=iqn.1992-08.com.netapp:sn.142238657
TargetAddress=192.168.154.60:3260,1000
I-: cmd=0x6 len=0
T-: cmd=0x26 len=0

Конфиг

[root@mx1 ~]# cat /etc/iscsi.conf
napp_disk_testsrv31 {
initiatorname = iqn.2017-02.ru.spb.testcorp:testsrv31
TargetName=iqn.1992-08.com.netapp:sn.142238657
TargetAddress=192.168.154.60:3260,1000
}

Подключаем

[root@mx1 ~]# iscontrol -c /etc/iscsi.conf -n napp_disk_testsrv31
iscontrol[7678]: running
[root@mx1 ~]# iscontrol[7678]: (pass3:iscsi0:0:0:0): tagged openings now 0

[root@mx1 /dev]# gpart list da2
gpart: No such geom: da2.

Создаем разметку и файловую систему на новом устройстве

[root@mx1 /dev]# gpart create -s GPT /dev/da2
da2 created
[root@mx1 /dev]# gpart list da2
Geom name: da2
modified: false
state: OK
fwheads: 255
fwsectors: 63
last: 1468149726
first: 34
entries: 128
scheme: GPT
Consumers:
1. Name: da2
Mediasize: 751692677120 (700G)
Sectorsize: 512
Mode: r0w0e0

[root@mx1 /dev]# gpart add -t freebsd-ufs /dev/da2
da2p1 added
[root@mx1 /dev]# gpart list da2
Geom name: da2
modified: false
state: OK
fwheads: 255
fwsectors: 63
last: 1468149726
first: 34
entries: 128
scheme: GPT
Providers:
1. Name: da2p1
Mediasize: 751692642816 (700G)
Sectorsize: 512
Stripesize: 0
Stripeoffset: 17408
Mode: r0w0e0
rawuuid: 8e622b5c-e9f0-11e6-8e23-005056845619
rawtype: 516e7cb6-6ecf-11d6-8ff8-00022d09712b
label: (null)
length: 751692642816
offset: 17408
type: freebsd-ufs
index: 1
end: 1468149726
start: 34
Consumers:
1. Name: da2
Mediasize: 751692677120 (700G)
Sectorsize: 512
Mode: r0w0e0

[root@mx1 /dev]# newfs -U /dev/da2p1
/dev/da2p1: 716869.9MB (1468149688 sectors) block size 32768, fragment size 4096
using 1145 cylinder groups of 626.09MB, 20035 blks, 80256 inodes.
with soft updates
super-block backups (for fsck_ffs -b #) at:
192, 1282432, 2564672, 3846912, 5129152, 6411392, 7693632, 8975872, 10258112, 11540352, 12822592, 14104832, 15387072, 16669312, 17951552,
19233792, 20516032, 21798272, 23080512, 24362752, 25644992, 26927232, 28209472, 29491712, 30773952, 32056192, 33338432, 34620672,
....

Включаем журналирование:

[root@mx1 /dev]# tunefs -j enable /dev/da2p1
Using inode 4 in cg 0 for 33554432 byte journal
tunefs: soft updates journaling set

Монтируем

[root@mx1 /dev]# mount /dev/da2p1 /wrk2

[root@mx1 /dev]# mount
/dev/da0p3 on / (ufs, local, journaled soft-updates)
devfs on /dev (devfs, local, multilabel)
/dev/da1p1 on /wrk (ufs, local, journaled soft-updates)
/dev/da2p1 on /wrk2 (ufs, local, journaled soft-updates)

Записываем в fstab для автомонтирования при загрузке сиситемы

[root@mx1 /dev]# ee /etc/fstab
# Device Mountpoint FStype Options Dump Pass#
/dev/da0p2 none swap sw 0 0
/dev/da0p3 / ufs rw 1 1
/dev/da1p1 /wrk ufs rw 2 2
/dev/da2p1 /wrk2 ufs rw 3 3

FreeBSD 11 IPFW Kernel NAT

2017-02-01T15:43:00.003+03:00

Настройка "ядерного" IPFW NAT на FreeBSD 11

em0 - внутренний интерфейс
em1 - внешний интерфейс

Версия FreeBSD:

root@test_machine_bsd11:~ # uname -mrs
FreeBSD 11.0-RELEASE amd64
root@test_machine_bsd11:~ # freebsd-version
11.0-RELEASE

Подгружаем нужные модули ядра:

root@test_machine_bsd11:~ # cat /boot/loader.conf
ipfw_load="YES"
ipfw_nat_load="YES"

Можно подгружать только ipfw_nat.ko - он сам подгрузит ipfw.ko, но лучше перестраховаться.

Разрешаем запуск ipfw в rc.conf:

root@test_machine_bsd11:~ # cat /etc/rc.conf
...
firewall_enable="YES"
firewall_type="/etc/ipfw.rules"

firewall_nat_enable в rc.conf писать не нужно. Теперь это ни на что не влияет.

Правила фаервола:

root@test_machine_bsd11:~ # cat /etc/ipfw.rules
# Правило необходимо чтобы пакеты от самого сервера не попадали в NAT (в правило 07000)
add 02000 allow all from me to any via em1 keep-state
nat 1 config if em1 log reset same_ports deny_in
add 03001 nat 1 all from 192.168.94.0/24 to 8.8.8.8 out via em1
# Правило для "обратного" NAT
add 07000 nat 1 all from any to 214.3.198.40 in via em1

FreeBSD 11 gmirror GPT на установленной системе

2017-01-12T13:38:00.000+03:00

[root@testsrv998 ~]# freebsd-version
11.0-RELEASE-p6

У нас есть два диска:
ada0, где уже установлена система и ada1, который мы хотим использовать в качестве зеркала.

[root@testsrv998 ~]# ls | grep ada
ada0
ada0p1
ada0p2
ada0p3
ada1

Первым делом разрешаем загрузку модуля адра gmirror при старте системы:

[root@testsrv998 ~]# cat /boot/loader.conf
geom_mirror_load="YES"

[root@testsrv998 ~]# sysctl kern.geom.debugflags=16
kern.geom.debugflags: 0 -> 16

Делаем копию таблицы разделов на новый диск:

[root@testsrv998 ~]# gpart backup ada0 | gpart restore -F /dev/ada1

Получится примерно так:

[root@testsrv998 ~]# gpart show
=> 40 976773088 ada0 GPT (466G)
40 1024 1 freebsd-boot (512K)
1064 8388608 2 freebsd-swap (4.0G)
8389672 52428800 3 freebsd-ufs (25G)
60818472 915954656 - free - (437G)
=> 40 976773088 ada1 GPT (466G)
40 1024 1 freebsd-boot (512K)
1064 8388608 2 freebsd-swap (4.0G)
8389672 52428800 3 freebsd-ufs (25G)
60818472 915954656 - free - (437G)

Устанавливаем загрузчик на новый диск:

[root@testsrv998 ~]# gpart bootcode -b /boot/pmbr -p /boot/gptboot -i 1 ada1

[root@testsrv998 ~]# mount
/dev/ada0p3 on / (ufs, local, journaled soft-updates)
devfs on /dev (devfs, local, multilabel)

На новом диске создаем файловую систему для корневого раздела (для boot и swap не надо)

[root@testsrv998 ~]# newfs -U /dev/ada1p3

Так так на ФС на существующем диске (ada0) включено журналирование - включаем его и на новом диске:

[root@testsrv998 ~]# tunefs -j enable /dev/ada1p3

Создаем зеркало для раздела boot:

[root@testsrv998 ~]# gmirror label -v -b round-robin boot /dev/ada0p1 /dev/ada1p1
Metadata value stored on /dev/ada0p1.
Metadata value stored on /dev/ada1p1.
Done.

И swap:

[root@testsrv998 ~]# gmirror label -v -b round-robin swap /dev/ada0p2 /dev/ada1p2
Metadata value stored on /dev/ada0p2.
Metadata value stored on /dev/ada1p2.
Done.

Теперь раздел root, но пока добавляем только ada1p3, т. к. система не даст записать метки на диск, с которого работает:

[root@testsrv998 ~]# gmirror label -v -b round-robin root /dev/ada1p3
Metadata value stored on /dev/ada1p3.
Done.

Должно получиться примерно так:

[root@testsrv998 ~]# gmirror status
Name Status Components
mirror/boot COMPLETE ada0p1 (ACTIVE)
ada1p1 (ACTIVE)
mirror/swap DEGRADED ada1p2 (ACTIVE)
mirror/root COMPLETE ada1p3 (ACTIVE)

Зеркало swap в режиме DEGRADED. После перезагрузки сервера перейдет в режим COMPLETE.

Теперь будем копировать данные через dump/restore на зеркальный диск:

[root@testsrv998 ~]# mkdir -p /new/root
[root@testsrv998 ~]# mount /dev/mirror/root /new/root/
[root@testsrv998 ~]# ( dump -0f - / ) | ( cd /new/root ; restore -rf - )
...
DUMP: 57.94% done, finished in 0:03 at Thu Jan 12 11:33:22 2017
DUMP: 76.99% done, finished in 0:02 at Thu Jan 12 11:37:44 2017
DUMP: DUMP: 2225748 tape blocks
DUMP: finished in 840 seconds, throughput 2649 KBytes/sec
DUMP: DUMP IS DONE

Правим fstab на новом диске:

[root@testsrv998 ~]# cat /new/root/etc/fstab
# Device Mountpoint FStype Options Dump Pass#
/dev/mirror/swap none swap sw 0 0
/dev/mirror/root / ufs rw 1 1

И на рабочей системе:

[root@testsrv998 ~]# cat /etc/fstab
# Device Mountpoint FStype Options Dump Pass#
/dev/mirror/swap none swap sw 0 0
/dev/mirror/root / ufs rw 1 1

[root@testsrv998 ~]# umount /new/root/
[root@testsrv998 ~]# reboot

После загрузки проверяем:

[root@testsrv998 ~]# mount
/dev/mirror/root on / (ufs, local, journaled soft-updates)
devfs on /dev (devfs, local, multilabel)

[root@testsrv998 ~]# gmirror status
Name Status Components
mirror/boot COMPLETE ada0p1 (ACTIVE)
ada1p1 (ACTIVE)
mirror/swap COMPLETE ada0p2 (ACTIVE)
ada1p2 (ACTIVE)
mirror/root COMPLETE ada1p3 (ACTIVE)

И добавляем недостающий раздел в зеркало root (ada0p3):

[root@testsrv998 ~]# gmirror insert root /dev/ada0p3

Синхронизация:

[root@testsrv998 ~]# gmirror status
Name Status Components
mirror/boot COMPLETE ada0p1 (ACTIVE)
ada1p1 (ACTIVE)
mirror/swap COMPLETE ada0p2 (ACTIVE)
ada1p2 (ACTIVE)
mirror/root DEGRADED ada1p3 (ACTIVE)
ada0p3 (SYNCHRONIZING, 3%)

Завершилась:

[root@testsrv998 ~]# gmirror status
Name Status Components
mirror/boot COMPLETE ada0p1 (ACTIVE)
ada1p1 (ACTIVE)
mirror/swap COMPLETE ada0p2 (ACTIVE)
ada1p2 (ACTIVE)
mirror/root COMPLETE ada1p3 (ACTIVE)
ada0p3 (ACTIVE)

После перезагрузки проверяем:

[root@testsrv998 ~]# dmesg | grep MIRROR
GEOM_MIRROR: Device mirror/boot launched (2/2).
GEOM_MIRROR: Device mirror/swap launched (2/2).
GEOM_MIRROR: Device mirror/root launched (2/2).

DHCP Failover на FreeBSD 11

2016-11-22T16:56:00.000+03:00

Отказоустойчивый DHCP-сервер на основе isc-dhcpd на FreeBSD 11.0

В данной кофигурации будет два сервера:

srv8768test-1 (192.168.87.200)
srv8768test-2 (192.168.87.201)

На обоих FreeBSD 11:

[root@srv8768test-1 ~]# uname -rms
FreeBSD 11.0-RELEASE-p2 amd64

Начинаем, как обычно, с rc.conf

[root@srv8768test-1 ~]# ee /etc/rc.conf
dhcpd_enable="YES"
dhcpd_ifaces="em0"

dhcpd_ifaces="em0" указывает isc-dhcpd обрабатывать запросы только на интерфейсе em0.

Основной конфиг dhcpd:

[root@srv8768test-1 ~]# ee /usr/local/etc/dhcpd.conf

log-facility local7;
authoritative;
default-lease-time 86400; # 1 day
max-lease-time 604800; # 1 week
omapi-port 7911;
omapi-key omapi_key;
key omapi_key {
algorithm hmac-md5;
secret Ofakekeyfakekeyfakekey==;
}
# DHCP Failover, Secondary
include "/usr/local/etc/dhcpd/dhcpd.conf_primary";
# Subnet declaration
include "/usr/local/etc/dhcpd/dhcpd.subnet";

OMAPI ключ можно создать вот такой командой:

[root@srv8768test-1 ~]# dnssec-keygen -a HMAC-MD5 -b 512 -n USER DHCP_UPDATER

В результате получим два файла:
Kdhcp_updater.+157+57657.key
Kdhcp_updater.+157+57657.private

Из которых и копируем ключ в файл dhcpd.conf

[root@srv8768test-1 ~]# mkdir /usr/local/etc/dhcpd/ && cd /usr/local/etc/dhcpd/
[root@srv8768test-1 ~]# touch dhcpd.conf_primary dhcpd.static dhcpd.subnet

Этот файл есть только на первом сервере srv8768test-1:

[root@srv8768test-1 /usr/local/etc/dhcpd]# ee dhcpd.conf_primary
##########################
# DHCP Failover, Primary #
##########################
failover peer "net87" {
primary;
address 192.168.87.200;
port 519;
peer address 192.168.87.201;
peer port 520;
max-response-delay 60;
max-unacked-updates 10;
mclt 3600;
split 128;
load balance max seconds 3;
}

Описание подсетей:

[root@srv8768test-1 /usr/local/etc/dhcpd]# ee dhcpd.subnet
subnet 192.168.87.0 netmask 255.255.255.0 {
interface "em0";
group { include "/usr/local/etc/dhcpd/dhcpd.static"; }
pool {
failover peer "net87";
range 192.168.87.51 192.168.87.70;
}
default-lease-time 432000;
max-lease-time 604800;
option routers 192.168.87.1;
option domain-name-servers 192.168.87.200, 192.168.87.201;
}

В этом файле можно задавать резервирование определенных IP-адресов:

[root@srv8768test-1 /usr/local/etc/dhcpd]# ee dhcpd.static
host SomePC { hardware ethernet 00:c7:93:07:52:3c; fixed-address 192.168.87.202; }

Переходим к настройке второго сервера

[root@srv8768test-2 ~]# ee /usr/local/etc/dhcpd.conf
log-facility local7;
authoritative;
default-lease-time 86400; # 1 day
max-lease-time 604800; # 1 week
omapi-port 7911;
omapi-key omapi_key;
key omapi_key {
algorithm hmac-md5;
secret Ofakekeyfakekeyfakekey==;
}
# DHCP Failover, Secondary
include "/usr/local/etc/dhcpd/dhcpd.conf_secondary";
# Subnet declaration
include "/usr/local/etc/dhcpd/dhcpd.subnet";

[root@srv8768test-2 ~]# mkdir /usr/local/etc/dhcpd/ && cd /usr/local/etc/dhcpd/
[root@srv8768test-2 ~]# touch dhcpd.conf_secondary

Этот файл есть только на втором сервере srv8768test-2?

[root@srv8768test-2 /usr/local/etc/dhcpd]# ee dhcpd.conf_secondary
############################
# DHCP Failover, Secondary #
############################
failover peer "net87" {
secondary; # I am the secondary
address 192.168.87.201; # My IP address
port 520;
peer address 192.168.87.200; # Peer's IP address
peer port 519;
max-response-delay 60;
max-unacked-updates 10;
mclt 3600;
load balance max seconds 3;
}

Файлы dhcpd.static и dhcpd.subnet копируем с первого (srv8768test-1) сервера. В дальнейшем будем их синхронизировать автоматически.

Проверяем

[root@srv8768test-1 ~]# service isc-dhcpd restart
Stopping dhcpd.
Starting dhcpd.
Internet Systems Consortium DHCP Server 4.3.5
Copyright 2004-2016 Internet Systems Consortium.
All rights reserved.
For info, please visit https://www.isc.org/software/dhcp/
Config file: /usr/local/etc/dhcpd.conf
Database file: /var/db/dhcpd/dhcpd.leases
PID file: /var/run/dhcpd/dhcpd.pid
Wrote 0 deleted host decls to leases file.
Wrote 0 new dynamic host decls to leases file.
Wrote 81 leases to leases file.
Listening on BPF/em0/00:00:d6:be:7a:37/192.168.87.0/24
Sending on BPF/em0/00:00:d6:be:7a:37/192.168.87.0/24
Sending on Socket/fallback/fallback-net
failover peer wifi: I move from normal to startup

Если посмотреть в лог-файл, то нас интересует вот эта строка:

failover peer wifi: I move from startup to normal

Итак, мы хотим чтобы при перезапуске демона isc-dhcpd на основном сервере все конфигурационные файлы копировались на резервный сервер

Для этого необходимо чтобы пользователь dhcp-updater имел беспарольный доступ к каталогу /usr/local/etc/dhcpd на резервном сервере через ssh.

На обоих серверах создаем пользователя dhcp-updater

[root@srv8768test-1 ~]# adduser
Username: dhcp-updater
[root@srv8768test-2 ~]# adduser
Username: dhcp-updater

Права на каталоги, чтобы пользователь dhcp-updater имел возможность заменять файлы

[root@srv8768test-1 ~]# chown -R dhcp-updater:dhcp-updater /usr/local/etc/dhcpd
[root@srv8768test-2 ~]# chown -R dhcp-updater:dhcp-updater /usr/local/etc/dhcpd

На втором сервере под пользователем dhcp-updater генерируем ключи

[root@srv8768test-2 ~]# su dhcp-updater
[root@srv8768test-2 ~]# ssh-keygen -t rsa

В результате получим 2 файла в каталоге /home/dhcp-updater/.ssh/: id_rsa и id_rsa.pub. Это приватный и публичный ключи. Теперь необходимо скопировать публичный ключ на основной сервер (srv8768test-1), для этого:

[root@srv8768test-2 ~]# scp id_rsa.pub dhcp-updater@192.168.87.200:/home/dhcp-updater/.ssh/authorized_keys

Далее нам понадобится sudo на обоих серверах

[root@srv8768test-1 ~]# cd /usr/ports/security/sudo && make install clean
[root@srv8768test-2 ~]# cd /usr/ports/security/sudo && make install clean

Сам скрипт синхронизации конфигов будет расположен на основном сервере

[root@srv8768test-1 ~]# touch /usr/local/adm/dhcp-updater.sh
[root@srv8768test-1 ~]# chmod 755 /usr/local/adm/dhcp-updater.sh

[root@srv8768test-1 ~]# ee /usr/local/adm/dhcp-updater.sh
#!/bin/sh

date=`date -v-1d '+%Y%m%d'`
month=`date '+%Y-%m'`

sudo_app="/usr/local/bin/sudo"
base_dir="/usr/local/etc/dhcpd"
backup_user="dhcp-updater"
backup_server="192.168.87.201"

echo " "
echo "Start config sync"
echo " "

for file in `/bin/ls /usr/local/etc/dhcpd/ | /usr/bin/grep dhcpd.s`
do

echo " Sync file: ${file}"
${sudo_app} -u ${backup_user} scp -q ${base_dir}/${file} ${backup_user}@${backup_server}:${base_dir}/${file}
done

echo " "
echo "End config sync"
echo " "

${sudo_app} -u ${backup_user} ssh ${backup_server} ${sudo_app} /usr/local/etc/rc.d/isc-dhcpd restart

Запускать скрипт будем при рестарте демона isc-dhcpd

[root@srv8768test-1 ~]# ee /usr/local/etc/rc.d/isc-dhcpd

В функцию dhcpd_checkconfig () необходимо добавить строку "else sh /usr/local/adm/dhcp-updater.sh" так:

dhcpd_checkconfig ()
{
local rc_flags_mod
setup_flags
rc_flags_mod="$rc_flags"
# Eliminate '-q' flag if it is present
case "$rc_flags" in
*-q*) rc_flags_mod=`echo "${rc_flags}" | sed -Ee 's/(^-q | -q | -q$)//'` ;;
esac
if ! ${command} -t -q ${rc_flags_mod}; then
err 1 "`${command} -t ${rc_flags_mod}` Configuration file sanity check failed"
else sh /usr/local/adm/dhcp-updater.sh
fi
}

Проверяем

[root@srv8768test-1 ~]# service isc-dhcpd restart
Start config sync
Sync file: dhcpd.static
Sync file: dhcpd.subnet
End config sync
Stopping dhcpd.
Starting dhcpd.
Internet Systems Consortium DHCP Server 4.3.5
Copyright 2004-2016 Internet Systems Consortium.
All rights reserved.
For info, please visit https://www.isc.org/software/dhcp/
Config file: /usr/local/etc/dhcpd.conf
Database file: /var/db/dhcpd/dhcpd.leases
PID file: /var/run/dhcpd/dhcpd.pid
Wrote 0 deleted host decls to leases file.
Wrote 0 new dynamic host decls to leases file.
Wrote 81 leases to leases file.
Listening on BPF/em0/00:00:d6:be:7a:37/192.168.87.0/24
Sending on BPF/em0/00:00:d6:be:7a:37/192.168.87.0/24
Sending on Socket/fallback/fallback-net
failover peer wifi: I move from normal to startup
Stopping dhcpd.
Starting dhcpd.
Internet Systems Consortium DHCP Server 4.3.5
Copyright 2004-2016 Internet Systems Consortium.
All rights reserved.
For info, please visit https://www.isc.org/software/dhcp/
Config file: /usr/local/etc/dhcpd.conf
Database file: /var/db/dhcpd/dhcpd.leases
PID file: /var/run/dhcpd/dhcpd.pid
Wrote 0 deleted host decls to leases file.
Wrote 0 new dynamic host decls to leases file.
Wrote 81 leases to leases file.
Listening on BPF/em0/00:00:d6:be:25:41/192.168.87.0/24
Sending on BPF/em0/00:50:d6:be:25:41/192.168.87.0/24
Sending on Socket/fallback/fallback-net
failover peer wifi: I move from normal to startup

Здесь можно видеть два перезапуска. Первый - на основном сервере. Второй - на резервном.

В логах обоих серверов можно увидеть подобные записи:
dhcpd: DHCPREQUEST for 192.168.87.61 from 00:00:23:18:b3:a8 via em0
dhcpd: DHCPACK on 192.168.87.61 to 00:00:23:18:b3:a8 via em0

Проверить работоспособность можно просто service isc-dhcpd stop на одном из серверов.

Мои источники:

https://kb.isc.org/article/AA-00502/0/A-Basic-Guide-to-Configuring-DHCP-Failover.html
http://bos-info.com/freebsd/failover-dhcp.html

WITHOUT_X11=YES в make.conf FreeBSD 10

2014-04-03T11:40:00.000+04:00

В FreeBSD 10 опцию WITHOUT_X11 в make.conf запретили и заменили на общее WITHOUT.

Вот так теперь система предупреждает админа при сборке порта:

/!\ WARNING /!\
You are using the following deprecated options: WITHOUT_X11
If you added them on the command line, you should replace them by
WITH="" WITHOUT="X11"
If they are global options set in your make.conf, you should replace them with:
OPTIONS_UNSET=X11
If they are local to this port, you should use:
misc_mc_UNSET=X11

Теперь в make.conf пишем так:

OPTIONS_UNSET=X11

Upgrade FreeBSD 9.1 to FreeBSD 10.0-RELEASE

2014-02-19T09:25:00.001+04:00

Обновление FreeBSD 9.1 до 10.0-RELEASE при помощи freebsd-update.

Обновляться будем вот с такой версии (не самой последней):

[root@test258 ~]# uname -a
FreeBSD test258 9.1-RELEASE-p4 FreeBSD 9.1-RELEASE-p4 #0: Mon Jun 17 11:42:37 UTC 2013 root@amd64-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC amd64

[root@test258 ~]# freebsd-update upgrade -r 10.0-RELEASE
Looking up update.FreeBSD.org mirrors... 5 mirrors found.
Fetching metadata signature for 9.1-RELEASE from update2.freebsd.org... done.
Fetching metadata index... done.
Fetching 2 metadata patches.. done.
Applying metadata patches... done.
Inspecting system...
The following components of FreeBSD seem to be installed:
kernel/generic src/src world/base world/lib32

Так как при установке мы отказались от установки документации и игры, freebsd-update уточняет этот момент:

The following components of FreeBSD do not seem to be installed:
world/doc world/games
Does this look reasonable (y/n)? y
Fetching metadata signature for 10.0-RELEASE from update2.freebsd.org... done.
Fetching metadata index... done.
Fetching 1 metadata patches. done.
Applying metadata patches... done.
Fetching 1 metadata files...
The update metadata is correctly signed, but failed an integrity check.
Cowardly refusing to proceed any further.

Что-то пошло не так. Скорее всего необходимо обновить текущую систему до последней версии (до 9.1-RELEASE-p10).

Обновляем:

[root@test258 ~]# freebsd-update fetch install
Looking up update.FreeBSD.org mirrors... 5 mirrors found.
Fetching metadata signature for 9.1-RELEASE from update2.freebsd.org... done.
Fetching metadata index... done.
Fetching 1 metadata patches. done.
Applying metadata patches... done.
Inspecting system... done.
Preparing to download files... done.
Fetching 60 patches.....10....20....30....40....50....60 done.
Applying patches... done.
The following files will be updated as part of updating to 9.1-RELEASE-p10:
/boot/kernel/kernel
/boot/kernel/kernel.symbols
/boot/kernel/linker.hints
...
/usr/src/sys/vm/vm_map.c
/usr/src/usr.sbin/freebsd-update/freebsd-update.sh
/var/db/mergemaster.mtree
Installing updates... done.

[root@test258 ~]# reboot

Проверяем. Обновились:

[root@test258 ~]# uname -a
FreeBSD test258 9.1-RELEASE-p10 FreeBSD 9.1-RELEASE-p10 #0: Sun Jan 12 20:11:23 UTC 2014 root@amd64-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC amd64

Теперь снова пробуем апгрейд до 10.0-RELEASE:

[root@test258 ~]# freebsd-update upgrade -r 10.0-RELEASE
Looking up update.FreeBSD.org mirrors... 5 mirrors found.
Fetching metadata signature for 9.1-RELEASE from update6.freebsd.org... done.
Fetching metadata index... done.
Inspecting system... done.
The following components of FreeBSD seem to be installed:
kernel/generic src/src world/base world/lib32
The following components of FreeBSD do not seem to be installed:
world/doc world/games
Does this look reasonable (y/n)? y
Fetching metadata signature for 10.0-RELEASE from update6.freebsd.org... done.
Fetching metadata index... done.
Inspecting system... done.
Fetching files from 9.1-RELEASE for merging... done.
Preparing to download files...

Долго ждем:

Fetching 40217 patches.....

Снова долго ждем:

7550....27560....27570.. done.
Applying patches... done.
Fetching 11592 files... done.
Attempting to automatically merge changes in files... done.
The following file could not be merged automatically: /etc/motd
Press Enter to edit this file in /usr/bin/ee and resolve the conflicts manually...

freebsd-update нам говорит, что автоматическое изменение некоторых файлов невозможно и просит внести изменения вручную.

Один из примеров:

The following changes, which occurred between FreeBSD 9.1-RELEASE and
FreeBSD 10.0-RELEASE have been merged into /etc/group:
--- current version
+++ new version
@@ -1,6 +1,6 @@
-# $FreeBSD: release/9.1.0/etc/group 218046 2011-01-28 22:28:12Z pjd $
+# $FreeBSD: release/10.0.0/etc/group 256366 2013-10-12 06:08:18Z rpaulo $
#
wheel:*:0:root
daemon:*:1:
kmem:*:2:
sys:*:3:
@@ -16,10 +16,11 @@
sshd:*:22:
smmsp:*:25:
mailnull:*:26:
guest:*:31:
bind:*:53:
+unbound:*:59:
proxy:*:62:
authpf:*:63:
_pflogd:*:64:
_dhcp:*:65:
uucp:*:66:
Does this look reasonable (y/n)?

После внесения необходимых изменений в файлы необходимо еще раз запустить freebsd-update install:

To install the downloaded upgrades, run "/usr/sbin/freebsd-update install".
[root@test258 ~]# freebsd-update install
Installing updates...
Kernel updates have been installed. Please reboot and run "/usr/sbin/freebsd-update install" again to finish installing updates.

Перезагружаем и видим что версия FreeBSD 10.0-RELEASE:

[root@test258 ~]# uname -a
FreeBSD test258 10.0-RELEASE FreeBSD 10.0-RELEASE #0 r260789: Thu Jan 16 22:34:59 UTC 2014 root@snap.freebsd.org:/usr/obj/usr/src/sys/GENERIC amd64

Как и просили, запускаем freebsd-update install еще раз:

[root@test258 ~]# freebsd-update install
Installing updates...

В FreeBSD 10 рекомендуют использовать pkg для работы с пакетами. Для этого нужно сконвертировать базу установленных приложений в новый формат:

[root@test258 ~]# pkg2ng

Обновляем репозитации:

[root@test258 ~]# pkg update

Обновляем установленные приложения:

[root@test258 ~]# pkg upgrade

Можно принудительно изменить необходимые зависимости на нужные версии, например:

[root@test258 ~]# pkg set -o lang/perl5.14:lang/perl5.16

После обновления всех приложений необходимо запустить freebsd-update instal:

[root@test258 ~]# freebsd-update install
Installing updates... done.

Всё. Система обновлена.

Включаем SNMP в VMware ESXi 5.1

2013-08-30T09:24:00.000+04:00

Включить SNMP в VMware ESXi 5.1 можно через ssh.
Чтобы использовать ssh для подключения к хосту, необходимо его для начала включить. Делается это, как и в ESXi 4.1, через vShpere Client в меню хоста Configuration - Security Profile:

После этого заходим по ssh на хост (например, используя Putty).

Задаем коммъюнити и адрес хоста системы мониторинга:

~ # esxcli system snmp set -c public
~ # esxcli system snmp set -t 192.168.200.52@161/public

Разрешаем запуск демона snmp:

~ # esxcli system snmp set -e true

Проверяем конфигурацию:

~ # esxcli system snmp test
Comments: There is 1 target configured, send warmStart requested, test completed normally.

Проверяем работоспособность со стороны системы мониторинга:

[root@cacti ~]# snmpwalk -v2c -c public esx249.test.eu

Результат:

Включаем SNMP в VMware ESXi 4.1

2013-08-30T08:45:00.002+04:00

Включить SNMP в ESXi 4.1 можно двумя способами: через ssh и через CLI. Но, чтобы использовать ssh, необходимо его для начала включить.

Делается это через vShpere Client в меню хоста Configuration - Security Profile:

После этого заходим по ssh на хост (например, используя Putty).
Необходимо отредактировать файл /etc/vmware/snmp.xml:

~ # vi /etc/vmware/snmp.xml

Редактируем до такого состояния:

truepublic192.168.200.52@161 public

Синим выделено то, что я изменил:
true, - разрешаем работу snmp,
public - имя коммьюнити,
192.168.200.52@161 public - хост, которому разрешено считывать данные по snmp с коммьюнити public.

После этого перезагружаем хост. Как запустить демона snmp на ESXi 4.1 без перезагрузки хоста - я не нашел.

~ # reboot

После перезагрузки можно снимать данные с помощью любой системы мониторинга:

Синхронизация двух каталогов при помощи rsync на FreeBSD

2013-08-14T14:00:00.001+04:00

Для синхронизации каталогов между двумя серверами FreeBSD будем использовать rsync.

На обоих серверах ставим rsync из портов.

[root@office-rsync-server ~]# cd /usr/ports/net/rsync

Я использую следующие опции:

[root@office-rsync-server /usr/ports/net/rsync]# make showconfig
===> The following configuration options are available for rsync-3.0.9_3:
ACL=off: Add backward-compatibility for the --acls option
ATIMES=off: Preserve access times, adds --atimes
DOCS=on: Build and/or install documentation
FLAGS=off: File system flags support patch, adds --fileflags
ICONV=on: Encoding conversion support via iconv
POPT_PORT=off: Use popt from devel/popt instead of bundled one
RENAMED=off: Add support for renamed file detection
SSH=on: Use SSH instead of RSH
TIMELIMIT=on: Time limit patch
===> Use 'make config' to modify these settings

[root@office-rsync-server /usr/ports/net/rsync]# make install clean

На сервере, с которого будем синхронизировать файлы:

[root@office-rsync-server ~]# ee /usr/local/etc/rsyncd.conf

Редактируем файл rsyncd.conf до следующего состояния:

pid file = /var/run/rsyncd.pid
uid = root
gid = wheel
use chroot = yes
max connections = 10
syslog facility = local5
[wrk]
path = /wrk
comment = Working files
hosts allow = 192.168.249.250, 192.168.249.251

В rc.conf разрешаем запуск rsyncd:

rsyncd_enable="YES"

На сервере, который будет в роли клиента создаем shell-скрипт следующего содержания:

[root@office-rsync-client ~]# ee /root/sync_files.sh

#!/bin/sh
rsync -qrul --delete-excluded 192.168.249.50::wrk /wrk

, где:
-q - "тихий режим", не выводить никакие сообщения об ошибках
-r - рекурсивный режим, т.е. копировать директорию и поддиректории
-u - пропускать более свежие на клиенте файлы
-l - копировать симлинки (symlinks) как симлинки
--delete-excluded - удалять файлы, если они удалены на сервере

Этот скрипт можно прописать в cron для периодического запуска.

Всё.

FreeBSD: description в ifconfig

2013-07-23T13:27:00.000+04:00

Начиная с 8 ветки FreeBSD можно добавить поле description в ifconfig. Это очень удобно если на сервере установлено много сетевых интерфейсов.

Вот выдержка из man ifconfig:

description value, descr value
Specify a description of the interface. This can be used to
label interfaces in situations where they may otherwise be diffi‐
cult to distinguish.

В rc.conf можно использовать как "description", так и "descr":

ifconfig_em0="inet 192.168.251.8/24 description LocalNet"
ifconfig_em1="inet 192.168.252.9/24 descr TestNet"

Пример вывода ifconfig

em0: flags=8843 metric 0 mtu 1500
description: LocalNet
options=9b
ether 00:50:56:84:72:90
inet 192.168.251.8 netmask 0xfffffe00 broadcast 192.168.251.255
inet6 fe80::250:56ff:fe84:7290%em0 prefixlen 64 scopeid 0x1
nd6 options=29
media: Ethernet autoselect (1000baseT )
status: active
em1: flags=8843 metric 0 mtu 1500
description: TestNet
options=9b
ether 00:50:56:84:3d:f9
inet 192.168.252.9 netmask 0xffffff00 broadcast 192.168.252.255
inet6 fe80::250:56ff:fe84:3df9%em1 prefixlen 64 scopeid 0x2
nd6 options=29
media: Ethernet autoselect (1000baseT )
status: active

Установка и настройка net-snmp на FreeBSD для мониторинга сервера

2013-07-19T13:14:00.001+04:00

Настраиваем минимальную конфигурацию net-snmp на FreeBSD для мониторинга сервера по протоколу snmp, например, с помощью cacti, nagios и т.д.

Как обычно, сперва обновляем дерево портов, например, при помощи portsnap.
snmpd ставим из портов. Порт называется net-snmp.

[root@srv251test ~]# cd /usr/ports/net-mgmt/net-snmp/

[root@srv251test /usr/ports/net-mgmt/net-snmp]# make config

Я выбираю следующие опции конфигурации.

DMALLOC
DUMMY
PERL
PERL_EMBEDDED

В дальнейшем я смогу использовать скрипты на Perl для мониторинга состояния некоторых сервисов.

Устанавливаем:

[root@srv251test /usr/ports/net-mgmt/net-snmp]# make install clean

После установки пример конфигурационного файла net-snmp можно найти по этому пути:

/usr/local/share/snmp/snmpd.conf.example

Я создам файл с нуля:

[root@srv251test ~]# mkdir /usr/local/etc/snmp && ee /usr/local/etc/snmp/snmpd.conf

snmpd.conf

# Название "сообщества" только для чтения и какие сети могут иметь доступ к нему
rocommunity secretcomm 192.168.240.0/24 sysLocation Server Room
sysContact email@address.com
sysServices 72
proc mountd # Мониторим процесс mountd
proc sendmail 10 1 # Мониторим процесс sendmail. Должен быть запущен
# хотя бы один процесс, но не более 10
disk / 10% # Свободное дисковое пространство
includeAllDisks 10%
load 12 10 5

Разрешаем запуск net-snmp в rc.conf

snmpd_enable="YES"
snmpd_flags="-a"

Запускаем

[root@srv251test ~]# /usr/local/etc/rc.d/snmpd start

Проверяем

[root@srv251test ~]# ps ax | grep snmp
62532 ?? S 4:33,70 /usr/local/sbin/snmpd -p /var/run/net_snmpd.pid -a

Пробуем опросить наш сервер по snmp при помощи утилиты snmpwalk

-c secretcom - название коммьюнити

-v2c - версия snmp

[root@srv251test ~]# snmpwalk -c secretcomm -v2c 192.168.240.254
SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD srv251test 9.1-RELEASE-p4 FreeBSD 9.1-RELEASE-p4 #0: Mon Jun 17 11:42:37 UTC 2013 root@amd64-builder.daemonology.net:/usr/obj/usr/src/sys/GENERIC amd64
...
и т.д.

Установка VMware Tools на FreeBSD 9

2013-07-18T13:12:00.003+04:00

Для установки VMware Tools на FreeBSD 9 необходим Perl и compat6.x

[root@srv250test ~]# cd /usr/ports/misc/compat6x
[root@srv250test /usr/ports/misc/compat6x]# make install clean

В vSphere Client выбираем "Install/Upgrade VMware Tools"

Монтируем виртуальный CD

[root@srv250test ~]# mount -t cd9660 /dev/cd0 /media

Копируем архив VMware tools в любой каталог (предварительно создав его)

[root@srv250test ~]# mkdir /root/vmwaretools && cp /media/vmware-freebsd-tools.tar.gz /root/vmwaretools

Распаковываем

[root@srv250test ~]# cd /root/vmwaretools && tar xvf vmware-freebsd-tools.tar.gz

Запускаем установщик

[root@srv250test /root/vmwaretools]# ./vmware-install.pl

Скрипт установки задает вопросы, на которые даем утвердительные ответы, соглашаясь на предложенные варианты.

Installing VMware Tools.
In which directory do you want to install the binary files?
[/usr/local/bin]
In which directory do you want to install the startup script?
[/usr/local/etc/rc.d]
In which directory do you want to install the daemon files?
[/usr/local/sbin]
In which directory do you want to install the library files?
[/usr/local/lib/vmware-tools]
The path "/usr/local/lib/vmware-tools" does not exist currently. This program
is going to create it, including needed parent directories. Is this what you
want? [yes]
In which directory do you want to install the documentation files?
[/usr/local/share/doc/vmware-tools]
The path "/usr/local/share/doc/vmware-tools" does not exist currently. This
program is going to create it, including needed parent directories. Is this
what you want? [yes]
The installation of VMware Tools 9.0.5 build-1065307 for FreeBSD completed
successfully. You can decide to remove this software from your system at any
time by invoking the following command:
"/usr/local/bin/vmware-uninstall-tools.pl".
Before running VMware Tools for the first time, you need to configure it by
invoking the following command: "/usr/local/bin/vmware-config-tools.pl". Do you
want this program to invoke the command for you now? [yes]
Initializing...
Making sure services for VMware Tools are stopped.
Stopping VMware Tools services in the virtual machine:
Guest operating system daemon: done
The vmblock enables dragging or copying files between host and guest in a
Fusion or Workstation virtual environment. Do you wish to enable this feature?
[no]
No X install found.
Starting VMware Tools services in the virtual machine:
Switching to guest configuration: done
Guest memory manager: done
Guest operating system daemon: done
For the VMware Tools for FreeBSD 9.1 it is recommended that you install the
following packages:
xf86-video-vmware
xf86-input-vmmouse
The easiest way to install these packages is by using pkg_add utility. Refer
to the man pages on how to properly use this utility.
The configuration of VMware Tools 9.0.5 build-1065307 for FreeBSD for this
running kernel completed successfully.
You must restart your X session before any mouse or graphics changes take
effect.
You can now run VMware Tools by invoking "/usr/local/bin/vmware-toolbox-cmd"
from the command line.
Please remember to configure your network by adding:
ifconfig_vxn0="dhcp"
to the /etc/rc.conf file and start the network with:
/etc/netstart
to use the vmxnet interface using DHCP.
Enjoy,
--the VMware team
Found VMware Tools CDROM mounted at /media. Ejecting device /dev/cd0 ...

После этого в vSphere client видим, что VMware Tools работают:

Настраиваем quagga (zebra, bgpd) во FreeBSD для отказоустойчивости каналов передачи данных

2013-07-09T08:00:00.000+04:00

В данной статье я покажу на живом примере как можно использовать протокол динамической маршрутизации BGP для реализации отказоустойчивости двух и более каналов передачи данных между двумя серверами на FreeBSD.

Будем использовать FreeBSD 9.1, quagga (zebra) и vtun.
Quagga поддерживает следующие протоколы динамической маршрутизации:

Routing Information Protocol (RIP): v1, v2, v3;
Open Shortest Path First (OSPF): v2, v3;
Border Gateway Protocol (BGP): v4;
Intermediate System to Intermediate System (IS-IS).

В данном примере я буду использовать протокол BGP.

В предыдущей статье я уже описывал настройку vtun для создания шифрованного туннеля между двумя серверами. Этот туннель я буду использовать как один из каналов передачи данных.

Итак, есть два сервера, которые необходимо обеспечить двумя каналами передачи данных и чтобы в случае падения одного канала маршруты автоматические перестраивались на другой.

Маршрутизатор 1:

em0 - 192.168.111.254/24 (локальная сеть основного офиса)

em1 - 44.44.44.254 (сеть Интернет)

em2 - 10.10.10.1 (канал передачи данных между серверами 1 и 2)

tun0 - 172.16.0.1 (туннель на основе vtun между серверами 1 и 2)

Маршрутизатор 2:

em0 - 192.168.222.254/24 (локальная сеть филиала)

em1 - 44.44.55.254 (сеть Интернет)

em2 - 10.10.10.2 (канал передачи данных между серверами 2 и 1)

tun0 - 172.16.0.2 (туннель на основе vtun между серверами 2 и 1)

Установка quagga

После обновления дерева портов ставим пакет quagga на оба сервера:

[root@srv501gw-bgp-test /usr/ports/net/quagga]# make install clean

После успешной установки quagga в директории /usr/local/etc/quagga создаем следующие файлы:

bgpd.conf daemons isisd.conf ospf6d.conf ospfd.conf ripd.conf ripngd.conf zebra.conf

[root@srv501gw-bgp-test /usr/local/etc/quagga]# touch bgpd.conf daemons isisd.conf ospf6d.conf ospfd.conf ripd.conf ripngd.conf zebra.conf

Из этих файлов нам понадобятся только: daemons, zebra.conf и bgpd.conf

Остальные необходимо создать файлами нулевой длины иначе quagga будет ругаться на их отсутствие при запуске.

[root@srv501gw-bgp-test /usr/local/etc/quagga]# ll
total 20
drwxr-xr-x 2 quagga quagga 512B Jul 5 16:59 .
drwxr-xr-x 8 root wheel 512B Jul 8 09:30 ..
-rw-r--r-- 1 quagga quagga 1.9k Jul 5 19:00 bgpd.conf
-rw-r--r-- 1 quagga quagga 66B Jun 11 15:43 daemons
-rw-r--r-- 1 quagga quagga 0B Jul 5 16:59 isisd.conf
-rw-r--r-- 1 quagga quagga 0B Jul 5 16:52 ospf6d.conf
-rw-r--r-- 1 quagga quagga 0B Jul 5 16:52 ospfd.conf
-rw-r--r-- 1 quagga quagga 0B Jul 5 16:52 ripd.conf
-rw-r--r-- 1 quagga quagga 0B Jul 5 16:52 ripngd.conf
-rw-r--r-- 1 quagga quagga 599B Jul 5 17:44 zebra.conf

Также необходимо создать лог-файлы и выставить соответствующие права:

[root@srv501gw-bgp-test /usr/local/etc/quagga]# touch /var/log/zebra.log /var/log/bgpd.log
[root@srv501gw-bgp-test /usr/local/etc/quagga]# chown quagga:quagga /var/log/zebra.log
[root@srv501gw-bgp-test /usr/local/etc/quagga]# chown quagga:quagga /var/log/bgpd.log

Настройка quagga (zebra и bgpd)

В файле daemons указываем какие демоны нам нужны. В моем случае это zebra и bgpd.

[root@srv501gw-bgp-test /usr/local/etc/quagga]# cat daemons
zebra=yes
bgpd=yes
ospfd=no
ospf6d=no
ripd=no
ripngd=no
isisd=no

В rc.conf добавляем следующие строки:

quagga_enable="YES"
quagga_daemons="zebra bgpd"
quagga_flags="-d -A 127.0.0.1"
watchquagga_enable="YES"
watchquagga_flags="-dz -R '/usr/local/etc/rc.d/quagga restart' * * *"

Я предпочитаю настраивать через VTY-консоль, но в блоге удобнее выложить конфигурационные файлы.

zebra.conf на сервере в офисе:

[root@srv501gw-bgp-test /usr/local/etc/quagga]# cat zebra.conf
!
! Zebra configuration saved from vty
! 2013/07/08 17:22:10
!
hostname srv501gw-bgp-test
password PaSSw0rd
enable password SuperPaSSw0rd
log file /var/log/zebra.log
log syslog
!
interface em0
ip address 192.168.111.254/24
!
interface em1
ip address 44.44.44.254/24
!
interface em2
ip address 10.10.10.1/24
!
interface tun0
ip address 172.16.0.1/24
!
interface lo0
!
ip forwarding
!
!
line vty
!

bgpd.conf на сервере в офисе:

[root@srv501gw-bgp-test /usr/local/etc/quagga]# cat bgpd.conf
!
! Zebra configuration saved from vty
! 2013/07/08 17:41:10
!
hostname srv501gw-bgp-test
password PaSSw0rd
enable password SuperPaSSw0rd
log file /var/log/bgpd.log
!
router bgp 64555
bgp router-id 192.168.111.254
bgp log-neighbor-changes
neighbor 10.10.10.2 remote-as 64556
neighbor 172.16.0.2 remote-as 64556
!
address-family ipv4
neighbor 10.10.10.2 activate
neighbor 10.10.10.2 weight 1500
neighbor 10.10.10.2 route-map DataChannel-out out
!
neighbor 172.16.0.2 activate
neighbor 172.16.0.2 weight 1000
neighbor 172.16.0.2 route-map VTun-out out
neighbor 172.16.0.2 send-community extended
network 0.0.0.0/0
!
ip prefix-list DataChannel-out seq 10 permit 0.0.0.0/0
!
route-map DataChannel-out permit 10
match ip address prefix-list DataChannel-out
set as-path prepend 64555 64555 64555
set community 64555:1001
!
route-map VTun-out permit 20
match ip address prefix-list DataChannel-out
!
!
line vty

Добавлю, что номера AS 64512 — 65535 выделены для частного использования («серые» номера AS).

zebra.conf на сервере в филиале:

[root@srv502gw-bgp-test /usr/local/etc/quagga]# cat zebra.conf!
! Zebra configuration saved from vty
! 2013/07/08 17:22:10
!
hostname srv502gw-bgp-test
password PaSSw0rd
enable password SuperPaSSw0rd
log file /var/log/zebra.log
log syslog
!
interface em0
ip address 192.168.222.254/24
!
interface em1
ip address 44.44.55.254/24
!
interface em2
ip address 10.10.10.2/24
!
interface tun0
ip address 172.16.0.2/24
!
interface lo0
!
ip forwarding
!
!
line vty
!

bgpd.conf на сервере в филиале:

[root@srv502gw-bgp-test /usr/local/etc/quagga]# cat bgpd.conf!
! Zebra configuration saved from vty
! 2013/07/08 17:46:22
!
hostname srv502gw-bgp-test
password PaSSw0rd
enable password SuperPaSSw0rd
log file /var/log/bgpd.log
!
router bgp 64556
bgp router-id 192.168.222.254
bgp log-neighbor-changes
network 192.168.222.0/24
redistribute connected
redistribute static
neighbor 10.10.10.1 remote-as 64555
neighbor 10.10.10.1 weight 1500
neighbor 10.10.10.1 route-map DataChannel-out out
neighbor 172.16.0.1 remote-as 64555
neighbor 172.16.0.1 weight 1000
neighbor 172.16.0.1 route-map VTun-out out
!
ip prefix-list DataChannel-out seq 10 permit 192.168.222.0/24
!
route-map DataChannel-out permit 10
match ip address prefix-list DataChannel-out
set as-path prepend 64556 64556 64556
set community 64556:1001
!
route-map VTun-out permit 20
match ip address prefix-list DataChannel-out
!
line vty
!

Запуск и диагностика quagga

На обоих серверах запускаем quagga и watchquagga:

[root@srv501gw-bgp-test ~]# /usr/local/etc/rc.d/quagga start && /usr/local/etc/rc.d/watchquagga start
[root@srv502gw-bgp-test ~]# /usr/local/etc/rc.d/quagga start && /usr/local/etc/rc.d/watchquagga start

Проверяем:

[root@srv501gw-bgp-test ~]# tail /var/log/bgpd.log
...
2013/07/08 18:35:26 BGP: %ADJCHANGE: neighbor 172.16.0.2 Up
2013/07/08 18:35:36 BGP: %ADJCHANGE: neighbor 10.10.10.2 Up

[root@srv502gw-bgp-test ~]# tail /var/log/bgpd.log
...
2013/07/08 18:34:59 BGP: %ADJCHANGE: neighbor 172.16.0.1 Up
2013/07/08 18:35:09 BGP: %ADJCHANGE: neighbor 10.10.10.1 Up

Маршрутизация

На маршрутизаторе 1 (офис):

[root@srv501gw-bgp-test ~]# netstat -rn
Routing tables
Internet:
Destination Gateway Flags Refs Use Netif Expire
default 44.44.44.1 UGS 0 95947 em1
10.10.10.0/24 link#3 U 0 5383 em2
10.10.10.1 link#3 UHS 0 603 lo0
127.0.0.1 link#5 UH 0 51340 lo0
172.16.0.1 link#6 UHS 0 1 lo0
172.16.0.2 link#6 UH 0 6604 tun0
192.168.111.254 link#1 UHS 0 336 lo0
192.168.222.0/24 10.10.10.2 UG1 0 0 em2
44.44.44.0/24 link#2 U 1 41594 em1
44.44.44.254 link#2 UHS 0 0 lo0

На маршрутизаторе 2 (филиал):

[root@srv502gw-bgp-test ~]# netstat -rn
Routing tables
Internet:
Destination Gateway Flags Refs Use Netif Expire
default 10.10.10.1 UG1 0 0 em2
10.10.10.0/24 link#3 U 0 8398 em2
10.10.10.2 link#3 UHS 0 216 lo0
127.0.0.1 link#5 UH 0 2313 lo0
172.16.0.1 link#6 UH 0 8460 tun0
172.16.0.2 link#6 UHS 0 2 lo0
44.44.55.0/24 link#2 U 0 46500 em1
44.44.55.254 link#2 UHS 0 0 lo0

Как видим, маршрут по умолчанию на сервере в филиале направлен на шлюз 10.10.10.1 (сервер в офисе). При падении канала передачи данных (сетевой интерфейс em2) маршрут автоматически перестроится на 172.16.0.1

Литература:

Шифрованный туннель на FreeBSD через vtun

2013-07-05T15:42:00.001+04:00

VTun - простое и гибкое в настройке средство для настройки туннелей поверх TCP/IP сетей. Поддерживает шифрование, сжатие и шейпинг трафика.

В данном примере я построю шифрованный туннель между основным офисом и филиалом.

Маршрутизатор в офисе:
FreeBSD 9.1 amd64
IP-адрес в публичной сети: 44.44.44.254
IP-адрес в локальной сети: 192.168.111.254

Маршрутизатор в филиале:
FreeBSD 9.1 amd64
IP-адрес в публичной сети: 44.44.55.254
IP-адрес в локальной сети: 192.168.222.254

Установка vtun

Перед установкой обновляем дерево портов, например, при помощи portsnap.

Опций для конфигурации vtun не предлагает, поэтому ставим сразу:

cd /usr/ports/net/vtun
[root@srv501gw-bgp-test /usr/ports/net/vtun]# make install clean

Конфигурация vtun

Конфигурационный файл vtund.conf на маршрутизаторе в офисе:

options {
port 5005; # На каком порту будет слушать vtund
# Syslog facility
syslog daemon;
# Path to various programs
ppp /usr/sbin/pppd;
ifconfig /sbin/ifconfig;
route /sbin/route;
firewall /sbin/ipfw;
ip /sbin/ip;
}
# Опции по умолчанию
default {
compress no; # Сжатие по умолчанию отключено
speed 0; # По умолчанию - не резать скорость (шейпинг трафика выключен)
}
Branch1 {
type tun; # Тип соединения (IP туннель)
device tun0; # Имя сетевого интерфейса
persist keep; # Восстанавливать соединение при обрыве связи
stat yes; # Статистика. Записывает данные в файл каждые 5 минут
compress lzo:9; # Тип и уровень сжатия (9 - максимум)
encrypt yes; # Шифровать соединение по методу blowfish128ecb (по умолчанию)
passwd Pa$$word; # Пароль для установки соединения
proto tcp; # Протокол tcp или udp
keepalive yes; # Поддерживать соединение "живым"
up {
ifconfig "%% 192.168.111.254 192.168.222.254 netmask 255.255.255.0
route "add -net 192.168.222.0/24 192.168.222.254";
};
down {
ifconfig "%% down";
route "delete 192.168.222.0/24";
};
}

Разрешаем запуск VTun в rc.conf

vtund_enable="YES"
vtund_flags="-s"

Конфигурационный файл vtund.conf на маршрутизаторе в филиале:

options {
port 5005;
# Syslog facility
syslog daemon;
# Path to various programs
ppp /usr/sbin/pppd;
ifconfig /sbin/ifconfig;
route /sbin/route;
firewall /sbin/ipchains;
ip /sbin/ip;
}
# Default session options
default {
compress no;
speed 0;
}
Branch1 {
type tun;
device tun0;
persist keep;
stat yes;
compress lzo:9;
encrypt yes;
passwd Pa$$word;
proto tcp;
keepalive yes;
up {
ifconfig "%% 192.168.222.254 192.168.111.254 netmask 255.25
route "add -net 192.168.111.0/24 192.168.111.254";
};
down {
ifconfig "%% down";
route "delete 192.168.111.0/24";
};
}

Разрешаем запуск клиента VTun в rc.conf

vtunclient_enable="YES"
vtunclient_flags="-P 5005 -p Branch1 44.44.44.254"
vtund_enable="NO"

Запуск

На маршрутизаторе в офисе:

[root@srv501gw-bgp-test ~]# /usr/local/etc/rc.d/vtund start

На маршрутизаторе в филиале:

[root@srv502gw-bgp-test ~]# /usr/local/etc/rc.d/vtunclient start

Проверка работоспособности VTun

На маршрутизаторе в офисе:

[root@srv501gw-bgp-test ~]# netstat -an | grep 5005
tcp4 0 0 44.44.44.254.5005 44.44.55.254.59746 ESTABLISHED
tcp4 0 0 *.5005 *.* LISTEN

[root@srv501gw-bgp-test ~]# ifconfig
...
tun0: flags=8051 metric 0 mtu 1500
options=80000
inet 192.168.111.254 --> 192.168.222.254 netmask 0xffffff00
nd6 options=21
Opened by PID 1210

[root@srv501gw-bgp-test ~]# ping 192.168.222.254
PING 192.168.222.254 (192.168.222.254): 56 data bytes
64 bytes from 192.168.222.254: icmp_seq=1 ttl=64 time=0.965 ms
64 bytes from 192.168.222.254: icmp_seq=2 ttl=64 time=1.002 ms
64 bytes from 192.168.222.254: icmp_seq=3 ttl=64 time=1.014 ms
64 bytes from 192.168.222.254: icmp_seq=4 ttl=64 time=0.830 ms
64 bytes from 192.168.222.254: icmp_seq=5 ttl=64 time=0.876 ms

На маршрутизаторе в филиале:

[root@srv502gw-bgp-test ~]# netstat -an | grep 5005
tcp4 0 0 44.44.55.254.59746 44.44.44.254.5005 ESTABLISHED

[root@srv502gw-bgp-test ~]# ifconfig
tun0: flags=8051 metric 0 mtu 1500
options=80000
inet 192.168.222.254 --> 192.168.111.254 netmask 0xffffff00
inet6 fe80::250:56ff:fe84:6868%tun0 prefixlen 64 scopeid 0x6
nd6 options=21
Opened by PID 1170

[root@srv502gw-bgp-test ~]# ping 192.168.111.254
PING 192.168.111.254 (192.168.111.254): 56 data bytes
64 bytes from 192.168.111.254: icmp_seq=0 ttl=64 time=1.066 ms
64 bytes from 192.168.111.254: icmp_seq=1 ttl=64 time=0.819 ms
64 bytes from 192.168.111.254: icmp_seq=2 ttl=64 time=0.827 ms
64 bytes from 192.168.111.254: icmp_seq=3 ttl=64 time=0.857 ms
64 bytes from 192.168.111.254: icmp_seq=4 ttl=64 time=0.874 ms

Блог сменил адрес

2013-07-02T13:28:00.002+04:00

Блог сменил адрес с lehan604.blogspot.com на bsd.lehan.pw (со старого адреса настроен редирект).

Если кому интересно что за зона .pw - вам в википедию.

Настраиваем nginx для работы с phpMyAdmin

2012-07-10T12:44:00.001+04:00

Предполагается что ngnix и php-fpm корректно установлены и настроены на вашей FreeBSD.

В веб-сервере Apache было всё просто. Достаточно было прописать alias типа:

Alias /pma "/usr/local/www/phpMyAdmin/"

В ngnix принцип тот же, но несколько хитрее сама схема :)

Рабочий пример конфига ngnix для работы с phpMyAdmin:

server {
   listen 80;
   server_name help.domain.ru www.help.domain.ru;

   location /phpMyAdmin {
      root /usr/local/www/;
      index index.php;

      location ~ ^/phpMyAdmin/(.+\.php)$ {
            try_files $uri =404;root /usr/local/www/;
            fastcgi_pass 127.0.0.1:9000;
            fastcgi_index index.php;
            fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
            include fastcgi_params;
         }

         location ~* ^/phpMyAdmin/(.+\.(jpg|jpeg|gif|css|png|js|ico|html|xml|txt))$ {
            root /usr/local/www/;
         }
      }

   location /phpmyadmin {
         rewrite ^/* /phpMyAdmin last;
   }
}

Обратите внимание на вложенность одного location в другой.

Таким образом наш phpMyAdmin доступен по адресу http://help.domain.ru/phpMyAdmin/

Не забываем про безопасность! Разрешайте доступ к phpMyAdmin только доверенным хостам или только из локальной сети.

Например, в секцию location можно добавить подобные строки:

allow 192.168.12.230;
allow 127.0.0.1;
deny all;

FreeBSD: putty и авторизация по ключам + sudo

2011-09-21T15:54:00.002+04:00

Под виндой нам понадобятся:
puttygen.exe - для создания приватного (Private Key) и публичного (Public Key) ключей.
pageant.exe - агент, который нужно запустить и добавить в него приватный ключ.
putty.exe - собственно, сам Putty.

Всё это есть здесь: http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html

Запускаем puttygen.exe, нажимаем кнопку Generate и хаотично водим мышкой в окне.
Копируем в буфер обмена появившийся публичный ключ. И пока не закрываем puttygen.

На FreeBSD заходим в домашнюю директорию (не под root)

[15:29 lehan@test249 /]# cd ~

Создаем каталог .ssh

[15:30 lehan@test249 /home/lehan]# mkdir .ssh

Назначаем на него права, чтобы никто кроме нас не получил к нему доступа.

[15:32 lehan@test249 /home/lehan]# chown lehan .ssh && chmod 700 .ssh

Создаём файл authorized_keys

[15:32 lehan@test249 /home/lehan/.ssh]# touch authorized_keys

Также строго назначаем на него права

[15:32 lehan@test249 /home/lehan/.ssh]# chown lehan authorized_keys && chmod 600 authorized_keys

Редактируем файл

[15:33 lehan@test249 /home/lehan/.ssh]# edit authorized_keys

В редакторе жмём Shift+Insert и копируем публичный ключ из буфура обмена.

Затем Esc и два раза Enter :)

Теперь нужно немного поправить конфиг sshd.

[15:38 lehan@test249 /home/lehan/.ssh]# edit /etc/ssh/sshd_config

RSAAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

Остальное не важно в данном случае.

Ну и перезапускаем sshd. Не забываем залогиниться под root или используем sudo (/usr/ports/security/sudo)

[15:39 lehan@test249 /home/lehan/.ssh]# sudo /etc/rc.d/sshd restart

Возвращаемся к puttygen.

В поле Key passphrase вводим пароль (ключ будет зашифрован этим паролем) и повторяем пароль в поле Confirm passphrase.

Нажимаем кнопку "Save private key" и сохраняем свой приватный ключ в надёжное место. Но у Putty должен быть доступ в это место.

Открываем putty. Выбираем нужную сессию. Жмём Load.
В разделе Connection - Data находим пункт Auto-login username и пишем туда имя пользователя. В моём случае - lehan.

В разделе Connection - SSH - Auth находим пункт Private key file for authentication и вводим туда путь до своего приватного ключа (Private Key), который мы ранее сохранили в недёжном месте.

Переходим в Session и не забываем нажать на Save.

Запускаем pagent.exe. Он появится в системном трее (рядом с часами).
Нажимаем на него правой кнопкой мыши и выбираем Add Key. Указываем пусть к своему приватного ключу.
Далее ярлык для запуска pagent лучше добавить в автозагрузку.

Всё.

P. S.: Ещё можно создать отдельные ярлыки на рабочий стол для каждой сессии.
Для этого дописываем -load sessionname, где sessionname - название сессии в Putty.

P. P. S.: Чтобы не ввозить после этого пароль от root и не делать каждый раз "su -", можно установить утилиту sudo.

[15:41 lehan@test249 /home/lehan/.ssh]# cd /usr/ports/security/sudo
[15:47 lehan@test249 /usr/ports/security/sudo]# make install clean

Далее нужно немного отредактировать конфиг

[15:48 lehan@test249 /usr/ports/security/sudo]# edit /usr/local/etc/sudoers

Раскоментируем эту строку, чтобы дать возможность всем пользователям, входящим в группу wheel, использовать sudo.

%wheel ALL=(ALL) ALL

Теперь из под непривилегированного пользователя можно выполнять различные команды. Как в линуксе прям.

[15:48 lehan@test249 /home/lehan]# sudo edit /etc/rc.conf

А это аналог "su -"

[15:48 lehan@test249 /home/lehan]# sudo -s

ar0 в FreeBSD

2011-08-13T15:00:00.000+04:00

Делюсь многолетним опытом:

1. все массивы, которые FreeBSD определяет как "ar" (ar0, ar1) - говно!

2. все RAID-контроллеры, встроенные в материнскую плату (десктопную или серверную - не важно) - говно!

Если нет денег на нормальный контроллер - используйте gmirror. Это надёжнее!

Использование portsnap для обновления дерева портов

2010-04-02T14:44:00.000+04:00

portsnap - штатная утилита FreeBSD начиная с 6 ветки. Работает следующим образом:
в первый раз скачивает образ дерева портов и распаковывает его;
в последующие запуски скачивает только обновления образа.

Для запуска достаточно ввести команду:

[14:41 root@new_atlant /root]# portsnap fetch extract

Пошло обновление:

Looking up ru.portsnap.FreeBSD.org mirrors... 3 mirrors found.

Fetching snapshot tag from portsnap4.freebsd.org... done.

...

Для обновления дерева портов:

[14:43 root@new_atlant /root]# portsnap fetch update

Т. к. дерево портов "свежее", то обновлений пока нет.

Looking up ru.portsnap.FreeBSD.org mirrors... 3 mirrors found.

Fetching snapshot tag from portsnap4.freebsd.org... done.

Latest snapshot on server matches what we already have.

No updates needed.

Ports tree is already up to date.

В хэндбуке также описана возможность запускать portsnap из cron'а по расписанию.

Литература:

http://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/portsnap.html

Приветствие csh, кнопки Home, End, PgUp, PgDwn, Del

2010-04-01T12:19:00.001+04:00

Настраиваем вид командной строки csh.
В файле /etc/csh.cshrc дописываем:

set prompt="[%T %n@%m %/]# "

Получаем достаточно информативный вид командной строки:

[12:15 root@new_atlant /root]#

[12:15 root@new_atlant /usr/local/etc]#

При использовании putty в качестве ssh-клиента бывает не работает кнопка Delete. Лечится так:

в файле /etc/csh.cshrc дописываем:

bindkey "^[[3~" delete-char

Если в mc-light (mc) или mcedit не работают кнопки Home, End, Backspace, PgUp, PgDn, Del -

нажимаем F9 - Настройки - обучение Клавиш и настраиваем соответствие клавиш и команд.

Литература:

http://www.lissyara.su/articles/freebsd/trivia/set_prompt/

http://www.bsdportal.ru/viewtopic.php?p=54910&sid=88c5787ca3341856bc29b76fdbe32a8e

Редирект протокола FTP через PF в локальную сеть

2010-03-25T10:36:00.002+03:00

Итак, есть роутер на FreeBSD, у которого два интерфейса (локальный и интернет) и есть FTP-сервер на FreeBSD только с локальным интерфейсом.

Нужно пробросить FTP-сессии из инета в локальную сеть причем так, чтобы у клиентов работал и active mode и passive mode.

В качестве FTP-сервера используется proftpd.

В качестве файервола на роутере используется Packet Filter (PF).

В /etc/pf.conf в секции NAT пишем:

binat on $ext_if from 192.168.0.253 to any -> 199.99.88.88

, где

$ext_if - внешний интерфейс

192.168.0.253 - IP-адрес FTP-сервера в локальной сети

199.99.88.88 - IP-адрес роутера в интернете

rdr pass on $ext_if proto tcp from any to any port ftp -> 192.168.0.253

, где

$ext_if - внешний интерфейс

192.168.0.253 - IP-адрес FTP-сервера в локальной сети

Подразумевается, что остальные разрешающие правила в pf.conf уже написаны.

Переходим к настройке FTP-сервера, а именно proftpd, а именно proftpd.conf

MasqueradeAddress 199.99.88.88

Всё.

Работают и активный и пассивный режимы подключения.

Литература:

Установка Firebird 1.5.5 на FreeBSD 7.0 и выше

2009-07-09T11:17:00.003+04:00

Дело в том, что начиная с ветки 7.0 во FreeBSD используется GCC 4, а Firebird 1.5 хочет GCC 3 версии. О чем, собственно, он и сообщает при попытке установки:

Client does not compile with GCC 4.2. Please use firebird2 instead

Предлагает установить Firebird2, но нам то нужен 1.5.5

Но это можно обойти достаточно безболезненно.

Итак:

Устанавливаем GCC 3.4 из /usr/ports/lang/gcc34

Правим файл /usr/ports/databases/firebird-server/Makefile

Комментируем в нем строки:

.if ${OSVERSION} >= 700042
IGNORE= Client does not compile with GCC 4.2. Please use firebird2 instead
.endif

После этого ставим Firebird как обычно. Т. е. даем права 777 на /usr/ports/databases/firebird-server и /usr/ports/databases/firebird-client

[root@test44 ~]# chmod -R 777 /usr/ports/databases/firebird-server

[root@test44 ~]# chmod -R 777 /usr/ports/databases/firebird-client

Заходим по юзером и делаем make

[lehan@test44 /usr/ports/databases/firebird-server]# make

В процессе установки (когда будет устанавливаться firebird-client) система попросит рутовый пароль.

После завершения сборки пакета меняем юзера на root

[lehan@test44 /usr/ports/databases/firebird-server]# su -

И завершаем установку:

[root@test44 ~]# cd /usr/ports/databases/firebird-server

[root@test44 /usr/ports/databases/firebird-server]# make install clean

Проверяем чтобы в /etc/services были эти строки:

gds_db 3050/tcp #InterBase Database Remote Protocol

gds_db 3050/udp #InterBase Database Remote Protocol

Добавляем в /etc/inetd.conf эту строку:

gds_db stream tcp nowait firebird /usr/local/sbin/fb_inet_server fb_inet_server

Не забываем перезапустить inetd

[root@test44 ~]# /etc/rc.d/inetd restart

Stopping inetd.

Starting inetd.

[root@test44 ~]# pkg_info | grep firebird

firebird-client-1.5.5 The open-source InterBase(tm) 6.0 spin-off (client)

firebird-server-1.5.5 The open-source InterBase(tm) 6.0 spin-off (Classic version

Хинт найден на http://www.securitylab.ru/forum/forum21/topic45930/

Работа с portaudit

2009-06-22T15:48:00.003+04:00

portaudit проверяет установленные пакеты (софт, порты) на наличие известных уязвимостей и генерирует отчет со ссылками на бюллетени безопасности. Для работы скачивает базу данных с сайтов freebsd.

Простой пример работы:

[root@test249 ~]# portaudit -Fda
New database installed.
Database created: Mon Jun 22 15:40:03 MSD 2009
Affected package: libsndfile-1.0.19
Type of problem: libsndfile -- multiple vulnerabilities.
Reference:

Affected package: ntp-4.2.4p6
Type of problem: ntp -- stack-based buffer overflow.
Reference:

2 problem(s) in your installed packages found.

You are advised to update or deinstall the affected package(s) immediately.

Параметры:

-F - скачать текущую базу с сайтов freebsd

-d - вывести дату используемой базы в отчете

-a - вывести отчет и проверить все установленные пакеты

Можно также вывести отчет по локальному файлу INDEX:

[root@test249 ~]# portaudit -f /usr/ports/INDEX-7

Все остальное есть в man'е.

Установка и настройка frox (кэширующий ftp-прокси)

2009-06-11T11:30:00.003+04:00

Итак, мы хотим установить ftp-прокси-сервер для общения клиентов внутри сети, сидящих за NAT, c внешними ftp-серврами. Причем, чтобы не было "шаманства" с активными или пассивными режимами работы, настройкой ftp-клиентов для работы с прокси-серверами и т.д. Т. е. сделаем проксирование ftp-трафика прозрачным для клиента, сам трафик будем кэшировать для анонимных соединений и в итоге пустим все через http-прокси-сервер Squid.

Итак, система на тестовой машине:

[root@test249 ~]# uname -mrs

FreeBSD 6.3-RELEASE i386

Идем в порты и конфигурируем:

[root@test249 ~]# cd /usr/ports/ftp/frox

[root@test249 /usr/ports/ftp/frox]# make config

Выбираем нужные нам опции. Я выбираю PF, HTTP_CACHE, CCP.

Устанавливаем

[root@test249 /usr/ports/ftp/frox]# make install clean

Далее редактируем файл /usr/local/etc/frox.conf

# Интерфейс, который мы будем "слушать"

Listen 192.168.110.254

# Собственно, порт, который "слушаем"

Port 2121

# Если мы хотим запускать frox через inetd, то следует раскомментировать эту строку

# FromInetd yes

# Пользователь и группа, от которой работает frox

User nobody

Group nogroup

# Рабочая директорая frox. Здесь он будет хранить временные файлы и сокеты.

# frox должен иметь в нее доступ.

WorkingDir /tmp

# По умолчанию frox делает chroot своей "рабочей директории",

# но т. к. я использую /tmp - я этого делать не буду.

DontChroot Yes

# Собственно, логи. 0 - не писать логи, 5 - только критические ошибки, 10 - все ошибки,

# 15 - ошибки и что-то еще, 20 - ошибки, соединения, кэш, 25 - дебаг.

LogLevel 20

# Если мы хотим, чтобы логи шли через syslog - нужно закоментировать эту строку

LogFile /var/log/frox.log

XferLogging yes

# Где храним PID

PidFile /var/run/frox.pid

# Конвертация Active -> Passive.

# Полезное решение в связи с проблемами у pf и активным режимом ftp.

APConv yes

# Блокировать команду "PORT" на портах меньше 1024.

BounceDefend yes

# По умолчанию frox режет непечатаемые символы, но т. к. мы

# не хотим проблем с ftp-клиентами - включаем.

AllowNonASCII yes

# Какие номера портов разрешаем использовать frox

ControlPorts 40000-40999

PassivePorts 41000-41999

ActivePorts 42000-42999

# Включаем модуль http-кэша

CacheModule http

# Адрес http-прокси-сервера (Squid)

HTTPProxy 127.0.0.1:3128

MinCacheSize 65536

ForceHTTP no

# Если мы хотим кэшировать все (а не только соединения от anonymous), то пишем yes

# CacheAll no

# Дополнительно включаем решим "непрозрачного" проксирования

# Без него frox иногда отваливается

DoNTP yes

NTPAddress 192.168.110.254:2121

# Настраиваем максимальное число процессов

MaxForks 10

# Максимальное число соединений с одного IP

MaxForksPerHost 4

# Можно также ограничить скорость каждого соединения

# MaxTransferRate 4096

# MaxUploadRate 4096

# В секции Access control lists я добавлю лишь следующиее (разрешаю все)

ACL Allow * - *

Добавляем в /etc/rc.conf строку:

frox_enable="YES"

Запускаем

[root@test249 ~]# /usr/local/etc/rc.d/frox start

Проверяем запустился ли

[root@test249 ~]# ps -ax | grep frox

28253 p0- S 0:00.11 /usr/local/sbin/frox

89476 p0 S+ 0:00.00 grep frox

Проверяем слушает ли заданные порты

[root@test249 ~]# sockstat | grep frox

nobody frox 28253 5 dgram -> /var/run/logpriv

nobody frox 28253 6 tcp4 192.168.110.254:2121 *:*

Далее проверяем на клиентском ПК. Пробуем активный решим, пробуем пассивный решим, пробуем авторизоваться на любом ftp-сервере и анонимные соединения. Все работает :)

rm: Argument list too long

2008-12-18T14:40:00.002+03:00

Часто возникает вопрос, что делать если при удалении большого кол-ва файлов мы сталкиваемся с ошибкой Argument list too long. Связано это обычно с превышением кол-ва файлов свыше 1024.

[root@test-srv-04 /root/testdir82]# rm -rf *

bash: /bin/rm: Argument list too long

Выход довольно прост, как оказалось

[root@test-srv-04 /root/testdir82]# find . | xargs rm

Этот код удалит все файлы в текущей папке, независимо от того, сколько их.

Источник: http://www.dp76.com/log/579