Блог айтишника

Установка усилителей сигнала и апгрейд железа на серверах

2016-08-19T09:29:00.001+03:00

Как прошёл четверг.

Наконец-то к нам приехали сотрудники компании Билайн для установки усилителей. Менеджер нам клялся обещался месяц назад что через месяц у нас тут будет базовая станция рядом, но, как говорится "семь раз услышь - один сделай" по этому мы всё-таки уговорили его на установку усилителей, приехали монтажники, всё сделали вполне оперативно. Даже покатались на погрузчике:

После этого занялись серверами. У нас три физических сервера:
hv1 - supermicro 1027R-n3rf используется в качестве гипервизора
hv2 - HP DL360 G7 используется также в качестве гипервизора
files - HP DL120 G6 используется в качестве файлового сервера для хранения бэкапов и расшаренных каталогов общего пользования

На dl360 пришла верхняя плата для установки дисков верхним рядом, в базе был нижний ряд дисков а сверху был только сидюк. Встала без проблем, заодно прочистили внутрянку от пыли, теперь блестит.

Поскольку салазки для дисков не успели найти, то прибегли к такому высокотехнологичному решению:

На этом сервере стоит внешний контроллер p410i и собран RAID 5. Я не фанат 5го рейда, поскольку давно видел статистику гугла об увеличении деградации 5го raid-массива с увеличением кол-ва дисков, но, к сожалению, контроллер не позволяет на лету пересобрать 5й в 6й, по этому план был хотя бы просто увеличить общий обьём.

Зашёл в HP Smart Storage Administrator и запустил ребилд, добавление двух дисков занимает 16 часов:

На DL120 нужно было ставить внешний raid-контроллер поскольку встроенный b110i не читает диски обьёмом больше 2Тб, а мы закупили диски по 4Тб для хранения снимков виртуальных машин и бэкапов почтового сервера, который, на минуточку, весит 850Гб.

Посоветовавшись с заморскими коллегами на Spiceworks я рискнул и заказал такой же контроллер HP p410i хотя официально он не был заявлен как совместимый, но тем не менее надежда оставалась. Хотелось контроллер именно с батарейкой для использования кэша. Из совместимых были p212i без батарейки и p411i который стоит конских денег и сложно найти.
Как запасной вариант держу p411i в уме на случай если с p410i ничего не выйдет.

Вобщем пока всё безуспешно: bios не видит контроллер, никак не опознаётся. Скачал HP SmartStart CD и HP Firmware CD для записи на флешку, возможно с ними взлетит.
На просторах забугорного интернета нашел несколько форумов об установке этого контроллера на разные сервера и, как ни странно, все в один голос пишут что контроллер со странностями.

Цитата:

o G6 and G7 systems usually only require 2-3 attempts to get into ORCA by hitting ESC 8 at exactly the right time and with exactly the right gap between the two chars. G8 systems ignore it entirely - even on the legacy redirected video console. The only way to configure mirroring for a boot volume before OS installation is to fire up the redirected video console and boot the offline ACU .ISO using media redirection, which itself requires MSIE running in MS Windows on a virtual machine. Once the offline ACU is booted, it displays a double cursor that makes operation awkward.

По этому надежда остаётся, сегодня будет весёлый вечер. Если не получится то придётся возвращать и менять на другой.

Группировка архива Kerio Connect

2015-02-09T18:10:00.002+03:00

Так исторически сложилось, что в нашей компании в качестве почтового сервера используется Kerio Connect.

И так же исторически сложилось, что стоит он на Виндах.

Поскольку мне это хозяйство досталось в наследство, я его изучил, подлатал дыры, подружил его с AD и обновил до последней версии.

Обязательно отдельным постом опишу интеграцию с AD и автоматизацию сего счастья с помощью моего любимого Powershell.

На днях возникла необходимость поднять переписку сотрудника из почтового архива, который велся уже несколько лет.

И я обнаружил вот что:

Оказывается архив сохранялся в отдельные папки для каждого дня. Это создало очевидные проблемы в поиске писем.

Я обратился в Т.П. Kerio за помощью, возможно они реализовали этот функционал, но увы...пришлось писать скрипты.

1. Первое и самое главное понадобится программка Bulk Rename Utility в консольном варианте

2.Второе - скрипт для переименования всех файлов, лично я писал на cmd:

chcp 1251

setlocal enabledelayedexpansion

set input=d:\arch

set output=d:\test

d:

for /f %%i in ('dir /b %input%\') do (

cd %input%\%%i\#msgs

for /f %%j in ('dir /b %input%\%%i\#msgs\') do (

ren %%j %%i_%%j

)

set h=%%i

IF NOT EXIST "%output%\!h:~0,4!\!h:~0,8!\#msgs" ( mkdir %output%\!h:~0,4!\!h:~0,8!\#msgs )

move %input%\%%i\#msgs\* %output%\!h:~0,4!\!h:~0,8!\#msgs\

)

for /f %%k in ('dir /b %output%\') do (

for /f %%l in ('dir /b %output%\%%k') do (

IF NOT EXIST %output%\%%k\%%l\#assoc ( mkdir %output%\%%k\%%l\#assoc )

IF NOT EXIST %output%\%%k\%%l\index.fld ( type NUL > %output%\%%k\%%l\index.fld )

IF NOT EXIST %output%\%%k\%%l\properties.fld ( type NUL > %output%\%%k\%%l\properties.fld )

IF NOT EXIST %output%\%%k\%%l\status.fld ( type NUL > %output%\%%k\%%l\status.fld )

D:\test\BRC_Unicode_64\BRC64.exe /DIR:%output%\%%k\%%l\#msgs /SORTBY:n /REMOVENAME /AUTONUMBER:1:1:S::12:8 /EXECUTE

)

)

Отказоустойчивая инфраструктура на базе Microsoft Hyper-V 2012

2015-01-13T12:14:00.002+03:00

Отказоустойчивая инфраструктура на базе Microsoft Hyper-V 2012

Основные критерии:

1.Распределение нагрузки и обеспечение масштабируемости предоставляемых сервисов

2.Резервирование на программном и железном уровне максимальное кол-во узлов

3.Доступность инфраструктуры 24х7

4.Время восстановления инфраструктуры в случае падения в течении 3х часов.

Сформированные серверы:

Контроллер домена, DNS
Почтовый сервер на Kerio Connect
Терминальный сервер 1С via RDP
Сервер баз данных 1С MS SQL
Сервер CRM Bitrix

Решение:

1.Поскольку практически вся инфраструктура построена на базе продуктов Microsoft, то решено использовать Hyper-V 2012 в качестве гипервизора для разнесения служб по отдельным виртуальным машинам

2.Для резервирования на железном уровне:

Использовать существующий сервер HP DL120 G6 в качестве файлового хранилища
Использовать существующий сервер HP DL360 G7 в качестве резервного гипервизора
Использовать новый сервер Supermicro 1027R-N3RF в качестве основного гипервизора

С точки зрения отказоустойчивости встал выбор между тремя вариантами обеспечения резервирования:

Первый вариант:

Обеспечить холодный бэкап используемых VM

С помощью VSS снимать каждый час снимок VM с 8:00 до 19:00 и хранить 5 дней.
Делать полную копию VM с основного на резервный гипервизор и хранить в выключенном состоянии

Второй вариант:

Обеспечить избыточность VM, создав на резервном гипервизоре:

вторичный контроллер домена
резервный почтовый сервер с синхронизацией каталогов раз в 30 минут
суточную копию терминального сервера
вторичный сервер баз данных MS SQL с репликацией
вторичный сервер CRM с синхронизацией веб-данных rsync и репликацией MySQL

Третий вариант:

Обеспечить полное дублирование данных используя Hyper-V Clustering на SMB 3.0

В данный момент провожу анализ обоих методов, после описания плана восстановления в случае сбоя при использование этих трех методов и сроков внедрения напишу результаты.

Sentinel vs Oracle

2012-02-01T12:09:00.002+04:00

Всем дня доброго!

Отдел внедрения сегодня обратился с проблемкой: поставили на тестовом сервере Oracle WebLogic а он через раз пускает в админку...

По скольку я с этим продуктом общался мало, взял документацию, начал изучать, изучал несколько часом пока netstat -nab не показал что порты 7001 и 7002, которые слушает WebLogic по умолчанию радостно подхватывает сервис Sentinel Key Server для выдачи лицензий.

Вот такие пироги. Будьте бдительны, уважаемые!)

EventID:38 Source: TermServLicensing ошибка 0xc0110011

2012-01-13T10:44:00.001+04:00

Столкнулся с ошибкой на сервер терминалов Windows 2003: при попытке войти в свойства сервера лицензий в оснастке "Лицензирование серверов терминала", получал ошибку "При работе мастера активации сервера возникла внутренняя ошибка на сервере лицензирования 0xc0110011"

Ну и в логе соответственно тоже было не все гладко, были записи такого характера:

Тип события:     Ошибка
Источник события:     TermServLicensing
Категория события:     Отсутствует
Код события:     38
Дата:          13.01.2012
Время:          10:22:42
Пользователь:          Н/Д
Компьютер:     ISL-T7TERM
Описание:
Не удалось создать лицензию для клиента из-за следующей ошибки: 'Не удалось добавить сертификат в хранилище, ошибка c0010020.

Решилось все очень просто:
1.Останавливаем службу лицензирования сервера терминалов
2.Удаляем записи:

HKLM\Software\Microsoft\TermServLicensing\Certificates.

HKLM\System\CurrentControlSet\services\TermservLicensing\Parameters\Certificates.000

HKLM\System\CurrentControlSet\services\TermservLicensing\Parameters\Certificates.001

3.Запускаем службу лицензирования сервера терминалов.

Вуаля!

Служба Браузера Компьютеров и ошибка MrxSmb 8003

2011-12-26T17:06:00.011+04:00

Недавно пришлось откапывать информацию об этой службе и как оказалось, информации в интернете не так уж и много.

Общая информация

Служба была задействована в сетях Microsoft для совместимости со старыми версиями ОСей, таких как Windows 3.x, Windows 9x, Линолеум и тд.

Она нужна для того, чтобы один компьютер в сети находил другой с помощью широковещательных запросов.Через маршрутизаторы эти запросы не проходят, эта служба как раз и создавалась для внутренних сетей.

Как она работает

Хосты делятся на Master-browser (главный обозреватель), backup browser ( резервный обозреватель) и клиенты.

Изначально в сети происходят выборы за звания Master-browser, чаще всего его получает либо контроллер домена (в домене) либо ОС старшей версии. Его роль - хранить, обновлять и передавать список компьютеров сети серверам backup browser.
Дальше Master-browser формирует список backup-browser, которые будут предоставлять клиентам список хостов сети.

Когда компьютер попадает в сеть, его служба "Браузера компьютеров" начинает слать широковещательные запросы по сети в поисках Master-Browser, с просьбой добавить себя в список компьютеров сети.
Master-browser обрабатывает запрос, добавляет запись об этом хосте в список компьютеров сети , отсылает клиенту список Backup-browser серверов.
Клиент в дальнейшем обращается к Backup-browser серверам за предоставлением списка компьютеров сети.

Вот такая схема реализована компанией Microsoft. К чему я это? Столкнулся я с ошибкой:

Судя по ошибке, клиентские компьютеры претендуют на роль Master-browser. И похожая ошибка вылетает каждые N часов. В один момент мне это надоело и я......исправил это=)

Настройки службы "Браузер компьютеров"

У службы "браузер компьютеров" существует парочка необходимых настроек:

HKLM -> System -> CurrentControlSet -> Services -> Browser -> Parameters

1.Параметр "IsDomainMaster", как можно догадаться по названию говорит о том, может ли быть данный компьютер Master-Browser.
Может принимать значение "TRUE" и "FALSE"

2.Параметр "MaintainServerList", говорит о том будет ли компьютер учавствовать в выборах Master-Browser или backup-browser.
Может принимать значение:
"YES" (учавствовать в выборах на роль главного браузера)
"NO"(не учавствовать в выборах)
"AUTO"(клиент может учавствовать в выборах но как на роль главного обозревателя, так и на роль клиента)

Соответственно мне нужно, чтобы ни один из клиентов не мог стать Master-Browser и не учавствовал в выборах.

Создание обьекта групповой политики

Значит, нужно изменить несколько значений реестра. Если бы у меня был домен Win2008, то все было бы проще, но по скольку у меня Win2003, а схема 2000, то буду создавать Административный шаблон.

Для начала я создал GPO с названием "Настройка браузера компьютеров". Потом создал текстовый документ с таким содержанием:

CLASS MACHINE
CATEGORY "Browser"
POLICY "Computer browser configuration"
   KEYNAME "SYSTEM\CurrentControlSet\services\Browser\Parameters"
    EXPLAIN !!BrowserParameters
     PART "IsDomainMaster" EDITTEXT
      VALUENAME "IsDomainMaster"
      DEFAULT "FALSE"
     END PART

     PART "MaintainServerList" EDITTEXT
      VALUENAME "MaintainServerList"
      DEFAULT "AUTO"
     END PART
   END POLICY
END CATEGORY

[strings]
BrowserParameters="Theese parameters specify behavior of Windows host in network"

Далее я его сохраняю с названием "browser.adm" и подсовываю в Group Policy Management, не забыв снять галочку "Only show group policy setting that can be fully managed" во View -> Filtering. Выставляю параметры "FALSE" и "NO", сохраняю GPO. В правом окне с названием "Security Filtering" удаляю Domain Users, добавляю Domain Computers.

Захожу в cmd, делаю gpupdate, проверяю значение ключей реестра.....и все впорядке!

Мне очень помогла эта статья и статья от Microsoft

Понижение контроллера домена Часть 6: Настройка службы NTP

2011-12-20T16:41:00.002+04:00

Конечно служба не NTP, а служба синхронизации времени, но не суть.

Зачем нужна эта служба?

Она синхронизирует время между серверами \ клиентами вне сети и внутри сети.

Особенно актуально это для домена, по скольку токены выдаются с отметками времени и полученные ответы так же содержат отметку времени клиента.

Если эти отметки расходятся на больше чем N секунд, то контроллер домена может отказать в авторизации.

В маленькой сети это не критично, но в крупной, если вдруг у контроллера домена начнут спешить или отставать часы например на 10 минут, это тихий абзац;)

В сети, содержащей контроллер домена на win200х существует два способа синхронизации времени:

1.Внутри домена

2.С помощью внешнего сервера

Так же внутри домена есть своя иерархия серверов, которые могут предоставлять время клиентам, а именно:

1.Явно указанный внешний NTP сервер
2.Эмулятор PDC в лесу корневого домена
3.Другие контроллеры домена в лесу
4.Эмуляторы PDC в дочерних доменах
5.Рабочие станции и рядовые сервера в лесу корневого домена

6.Контроллеры домена в дочернем домене
7.Другие рядовые сервера в дочерних доменах

Информация взята с сайта Windowsnetworking.com

Параметры службы

И так, конкретно в моем случае основным сервером синхронизации времени в домене стал Эмулятор PDC, tolsty. Теперь на нем нужно сконфигурировать службу сервера и клиента.

Основное место, где хранятся параметры службы - реестр, а именно:

HKLM \ System \ CurrentControlSet \ Services \ W32Time.

Параметры делятся на:

1.Глобальные параметры

2.Параметры клиента

3.Параметры сервера

К глобальным параметрам относятся такие параметры, как частота обновления времени, максимальное время расхождения, частота смены интервалов времени и тд.

К параметрам клиента относятся настройки подробности логов, адреса сервера, протокола взаимодействия и тд

К параметрам сервера относятся прочие не особо интересые параметры которые лично я никогда не использовал и в Групповой Политики нет возможности их настройки.

Обратите внимание, что большинство клиентов на Windows 7 (мы используем рабочие станции от HP с предустановленной Win7) используют по умолчанию внешний NTP сервер Microsoft.

На ОС WinXP\2003 список серверов для синхронизации можно посмотреть с помощью команды:

Net Time /querysntp

На ОС Win7\2008 :

w32tm /query /source

При чем консольная утилита w32tm в ОС Win7 была доработана, появился параметр query, который помогает легко проводить диагностику и получать всю необходимую информацию. В то же время, команда net time в более новых ОС уже не доступна.

Вернусь к конфигурации эмулятора PDC.

По скольку наша компания распологается в России, а именно в Санкт-Петербурге, я решил использовать один из четырех серверов N.ru.pool.ntp.org где N - число от 0 до 3.

Судя по отзывам в просторах интрнета, они наиболее адекватные.

В первую очередь включаем службу сервера NTP в W32Time -> TimeProviders -> NtpServer параметр Enabled ставим "1". Так же проверяем, чтобы в TimeProviders -> NtpClient параметр Enabled стоял "1"

В W32Time -> Parameters параметр Type = "NTP" , параметр NTPServer = "0.ru.pool.ntp.org, 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x2 3.ru.pool.ntp.org,0x2"

Обратите внимание, что первый сервер указан без дополнительного флага, у остальных он есть.

Флаг 0х1 означает, что запрос к этому серверу будет отправляться через время, указанное в значении параметра SpecialPollInterval ,а флаг 0х2 означает, что обращаться к эту серверу NTP клиент будет только в случае недоступности основных серверов.

Подробности в статье Microsoft.

В W32Time -> Config параметр AnnounceFlags = "5" по умолчанию "10".

"5" - надежный поставщик времени

"10" - ненадежный поставщик времени.

В W32Time -> TimeProviders -> NtpClient параметру SpecialPollInterval ставим значение "900".

Этот параметр отвечает за частоту проведения опросов к серверу NTP для синхронизации времени и указывается в милисекундах.

Соответсвтенно, если мы хотим, чтобы с PDC синхронизировали время другие клиенты, мы говорим о том, что он надежный поставщик времени.

Теперь делаем w32tm /config /update && w32tm /resync /rediscover

Первая команда обновит конфигурацию службы, а вторая проведет синхронизацию с поиском нового NTP-сервера из списка, содержащегося в конфигурации.

Можно просто перезапустить службу
net stop w32time && net start w32time

Лично у меня все клиенты в домене, по этому было бы неплохо сделать так, чтобы абсолютно все клиенты синхронизировались либо с контроллером домена либо с эмулятором PDC.

Я выбрал синхронизацию с эмулятором PDC.

Настройка синхронизации времени с помощью групповой политки

Во-первых нужно создать GPO, в котором укажем необходимые нам параметры. Во-вторых нужно применить его ко всем Компьютерам в домене, т.е. группе Domain Computers (по скольку к серверам и контроллерам домена эта политика не будет иметь отношения).

Я создал GPO, назвал его "Настройка синхронизации времени клиентов"

Сomputer Configuration -> Windows Settings -> Security Settings -> System Services служба Windows Time поставил в режим Automatic.

Чтобы служба на каджом клиенте запускалась автоматически и не было проблем с авторизацией изза разницы во времени.

Сomputer Configuration -> Administrative Templates -> System -> Windows Time Service здесь находятся все настройки реестра службы W32Time. Здесь параметры делятся как раз на те, которые я уже описывал: Глобальные и параметры Клиента, только параметров сервера здесь нет.

В данной ветке есть настройки "Global Configuration Settings" которые отвечают за общие настройки, а в Сomputer Configuration -> Administrative Templates -> System -> Windows Time Service -> Time Providers есть настройки "Configure Windows NTP client" , которые отвечают за параметры клиента.

Вот как выглядят настройки у меня:

Далее я все это дело сохранил. Применил эту политику ко всему домену, а в "Security Filtering" удаляю Domain Users, добавляю Domain Computers, по скольку эта политика должна применяться к рабочим местам, входящих в домен.

Вуаля!

Полезные ссылки:
http://forum.oszone.net/thread-152127.html недавно нашел эту тему, в ней очень много полезных ссылок на различные ресурсы.
http://support.microsoft.com/kb/816042/ru описание от Microsoft, как по их мнению нужно настраивать NTP сервер
http://technet.microsoft.com/ru-ru/library/cc773263%28WS.10%29.aspx подробное описание параметров утилиты w32tm и ключей реестра.

Понижение контроллера домена Часть 5: Перенос ролей контроллера домена и его понижение

2011-12-19T14:21:00.000+04:00

И так, я на шаг ближе к сносу непокорного Win2000 сервера.

Нужно определить какими ролями он обладает,для этого можно воспользоваться утилитой netdom которая идет в комплекте с Support Tools или ntdsutil и запустить ее на любом контроллере домена.

Прежде чем что-то делать, лучше всего прочитать эту статью на сайте Microsoft о возможных ролях FSMO и заодно на Wiki.

По мне так первая для просмотра ролей проще, тем более Support Tools уже установлены

C:\>netdom query fsmo

Schema owner                center.infostroy

Domain role owner           center.infostroy

PDC role                    center.infostroy

RID pool manager            master.infostroy

Infrastructure owner        master.infostroy

Наш клиент - сервер Center. Как оказалось, давным-давно в бородатые года когда только развернули домен, он был единственным контроллером домена. Отсюда и все вытекающие обстоятельства.

Здесь не фигурирует третий контроллер домена с именем tolsty. Не порядок)

Я решил раскидать роли вот каким образом:

master: хозяин схемы

хозяин RID

хозяин именования домена

tolsty: хозяин инфраструктуры

эмулятор PDC

Сначала запускаем утилиты dcdiag и netdiag на всех контроллерах домена и смотрим полученные ошибки.

В моем случае были обнаружены записи о старом WINS сервере. Мелочь, но исправить пришлось.

Так же нужно проверить являются ли остальные серверы серверами глобального каталога. Для этого идем в консоль Active Directory: Сайты и Службы -> Сайты -> [Имя сайта] -> Сервера -> [Имя сервера] -> NTDS Settings -> правой кнопкой мыши-> Свойства и проверяем стоит ли галочка "Глобальный каталог", если нет - ставим.

Теперь нужно очень шустро перекинуть роли с сервера Center и понизить его до рядового сервера.

Есть два пути: через консоль администрирования и через командную строку.

Две полезных статьи на сайтах Microsoft: для cmd и для консоли.

По скольку для переноса роли Хозяина схемы нужно было проводить какието дополнительные манипуляции, я решил роли на master переносить через ntdsutil, а роли на tolsty через консоль.

И так, начинаем с tolsty, по скольку роли Хозяина Инфраструктуры и PDC разрешают появление старого владельца этих ролей в сети.

Идем в консоль Active Directory: Пользователи и Компьютеры -> Сменить контроллер домена вводим имя контроллера домена, НА который переносим роли, в моем случае tolsty.

Далее нажимаем На домене правой кнопкой мыши-> Хозяева Операций заходим в закладку "Инфраструктура" и проверяем: в верхнем поле у меня Center (текущих хозяин операций) в нижнем tolsty (тот на кого переносите), нажимаем Изменить.

Тоже самое проделываем с PDC.

Проверяю

C:\>netdom query fsmo

 Schema owner                center.infostroy

 Domain role owner           center.infostroy

 PDC role                    tolsty.infostroy

 RID pool manager            master.infostroy

 Infrastructure owner        tolsty.infostroy

Теперь идем на сервере в cmd и запускаем утилиту ntdsutils, помните что всегда можно набрать "?" и увидеть список доступных команд :

C:\>ntdsutil roles

fsmo maintenance: connections 

server connections: connect to server master 

Binding to master ...

Connected to master using credentials of locally logged on user.

server connections: q

Передаем роль хозяина схемы:

fsmo maintenance: transfer schema master

Server "master" knows about 5 roles

Schema - CN=NTDS Settings,CN=MASTER,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

Domain - CN=NTDS Settings,CN=CENTER,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

PDC - CN=NTDS Settings,CN=TOLSTY,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

RID - CN=NTDS Settings,CN=MASTER,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ruInfrastructure - CN=NTDS Settings,CN=TOLSTY,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

передаем роль хозяина именования домена:

fsmo maintenance: transfer domain naming master

Server "master" knows about 5 roles

Schema - CN=NTDS Settings,CN=MASTER,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

Domain - CN=NTDS Settings,CN=MASTER,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

PDC - CN=NTDS Settings,CN=TOLSTY,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

RID  - CN=NTDS  Settings,CN=MASTER,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ruInfrastructure  - CN=NTDS  Settings,CN=TOLSTY,CN=Servers,CN=Monetnaya11,CN=Sites,CN=Configuration,DC=infostroy,DC=ru

Как мы видим все хорошо. Теперь можно понизить Center до рядового сервера, заходим в cmd на сервере, пишем dcpromo, открывается окно Удаления Контроллера Домена, главное не забыть убрать галочку о том, что этот "Сервер является последним контроллером домена в сети".

Перезагрузил сервер я в 4 часа утра, по расписанию, сутра была куча ошибок в логах от службы IIS (которая оказалось там стояла), от службы DNS и от службы W32TM (синхронизации времени).

Со службой IIS я разобрался просто: удалил этот компонент

Как ни странно служба DNS не удалилась после удаления роли Контроллера домена с сервера... Чтобы снести ее окончательно проделал следующие процедуры:

В консоле DHCP ->Параметры Сервера->DNS сервера удалил сервер Center, остался только Master

Удалил записи о сервере Center в консоле DNS -> Зона прямого просмотра - Имя зоны, Свойства-> Серверы имен и тоже самое с Зоной обратного просмотра

Удалил компонент DNS, так же можно удалить роль DNS-сервера через менеджер ролей.

После этого в консоле DNS -> Свойства-> Репликация смог сменитьс "Для всех контроллеров домена в домене (для совместимости с Windows 2000)" на "Для всех DNS-серверов,работающих на контроллерах домена".

И в консоле Active Directory Сайты и Службы -> Сайты -> [Имя сайта] -> Сервера осталось имя сервера, которое я благополучно удалил. И так же нужно удалить в каждом сервере запись о репликации с сервером Center.

Сервису синхронизации времени посвещена следующая статья....

Понижение контроллера домена Часть 4: Перенос WINS сервера

2011-12-18T12:10:00.000+04:00

Понимаю, что многие думают о том, что сервера WINS уже устарели, но они полезны в НЕ однорагновых сетях с применением VLAN'ов + если крякнулся DNS, WINS может "подхватить" запросы.

С миграцией WINS все гораздо проще:

1.Устанавливаем новый WINS сервер (wins_new)
2.Устанавливаем партнера для репликации на старом WINS сервере (wins_old)
3.Устанавливаем партнера для репликации на wins_new
4.Делаем push & pull или извещающую & опращивающую репликацию.
5.Проверяем результаты репликации
6.Удаляем wins_old, удаляем запись репликации на wins_new.
7.В настройках DHCP указываем IP адрес нового сервера WINS

Устанавливаем WINS из Панель управления -> Установка и удаление программ -> Установка\Удаление Компонентов Windows -> Сетевые службы -> Windows Internet Name Service (WINS)

На Wins_old заходим в консоль WINS -> Партнеры репликации -> Создать партнера по репликации и указываем Wins_new.

Тоже самое проделываем на Wins_new, только в качестве партнера указываем Wins_old.

Со стороны Wins_old запускаем Извещающую репликацию, а со стороны Wins_new запускаем Опрашивающую репликацию, нажав правой кнопкой мыши на имени сервере в разделе "Партнеры по репликации".

На Wins_new заходим в Активные регистрации -> Отобразить Записи -> Найти и если видим подобие того, что было, радуемся, удаляем из партнеров репликации Wins_old и удаляем на нем сервис WIns. Так же я у себя зашел в Свойства Активных регистраций -> Удалить владельца и удалил оттуда владельца Wins_old.

Теперь нужно указать в параметрах DHCP-сервера Wins_new, для этого идем в консоль DHCP -> Параметры сервера-> 044 WINS/NBNS Servers удаляем IP Win_old, добавляем IP Wins_new.

Еще информация о WINS серверах храниться в настройках DNS в: консоль DNS -> Свойства -> WINS и удаляем запись о WINS_old

Вроде бы все...

Понижение контроллера домена Часть 3: Перенос DHCP сервера

2011-12-17T15:59:00.000+04:00

Так, с мат.частью покончено, переходим к поиску информации о переносе сервера DHCP. Разбить его можно на несколько этапов:

1.Установка нового сервера DHCP (dhcp_new)
2.Экспорт конфигурации старого DHCP сервера (dhcp_old)
3.Просмотр\редактирвание (по необходимости) данных
4.Импорт конфигурации на dhcp_new
5.Авторизация dhcp_new
6.Остановка службы DHCP на dhcp_old
7.Мониторинг и в случае отсутствия проблем, удаление службы DHCP на dhcp_old.

Экспорт можно провести тремя способами:

netsh dhcp server export [путь] all

netsh dhcp server dump [путь]

С помощью утилиты dhcpexim

импорт можно сделать двумя способами:

netsh dhcp server import [путь] all

С помощью утилиты dhcpexim

По скольку у меня сервер win2000, пришлось использовать для экспорта утилиту dhcpexim, для импорта я использовал командную строку.
Для импорта необходимо запустить службу DHCP, после импорта ее можно остановить.

После импорта оказалось, что вся информация об арендах, областях и резервациях сохранилась и никаких танцев с бубном мне не предстоит.

Для авторизации сервера нужно зайти в консоль DHCP -> Действия-> Управление авторизованными серверами -> Авторизовать и выбрать dhcp_new.

Далее я остановил службу на dhcp_old, запустил службу на dhcp_new, для подстраховки в Свойствах -> Восстановление я установил при любом типе сбоя делать перезапуск службы.

Так же решил предусмотреть ситуацию с отстутсвием прав на обновление записей DNS и добавил права учетной записи компьютера dhcp_new:

Консоль DNS -> Зона прямого просмотра -> [название домена] -> Свойства -> Безопасность добавил dhcp_new$ и права на "Записать все свойства" "Чтение разрешений" и "Все проверенный операции записи".
Обязательно проверьте наследование прав!

Тоже самое проделать с Зоной обратного просмотра.

Ну и конечно же нужно сделать так, чтобы клиенты от Win2003\WinXP сами создавали в DNS записи А, а остальные только по запросу к DHCP:

Консоль DHCP -> Свойства сервера -> Служба DNS поставить "Динамически обновлять DNS A- и PTR-записи только по запросу DHCP-клиента" и "Динамически обновлять DNS A- и PTR-записи для DHCP-клиентов, не требующих обновления.

Вроде бы все.

Понижение контроллера домена Часть 2: Сбор информаци о DHCP сервере

2011-12-16T13:57:00.002+04:00

И так, что мы имеем?

Сеть одноранговая, scope одна: 192.168.0.х из них пул динамических адресов в диапазоне со 192.168.0.100 по 192.168.0.200.

Клиенты DHCP:

1.Рабочие станции на WinXP, Win7

2.Учетные записи пользоватей, подключащихся по VPN

3.IP телефоны Polycom Sound Point 330\310

4.Сетевые принтеры HP\Sharp\Kyocera

5.Несколько сетевых коммутаторов L2

Пункты 2,3,4,5 имеют статическую привязку на сервере, при этом у сететвых принтеров настройки прописаны вручную, на случай отключения электричества и позднего старта DHCP сервера.

Некоторые рабочие станции имеют статическую привязку. На серверах соответственно все прописано ручками.

И так, что я выяснял по поводу DHCP сервера в среде Microsoft:

1.Понятие об "авторизованном сервере"

Актуально тоьлко для DHCP серверов в домене на базе Windows. В статье Microsoft описаны основные понятия. Авторизация сервера DHCP необходима для защиты сети от вторжения с подменой DHCP сервера или DHCP starvation.
Звучит красиво, но по сути реализован вот какой механизм:
Есть сеть с доменом на Windows 200х, на одном из серверов разворачивается DHCP сервер, который получает статус авторизованного.
Любому другому DHCP серверу, не авторизованному в домене будет послана команда контроллером домена на остановку службы DHCP.
Обращаю внимание, что на сервера типа BIND9 эта фишка не распространяется.

2.Параметры, которые выдает DHCP-сервер

DHCP-сервер от Microsoft может выдавать своему клиенту информаицю об основных службах в сети: серверы DNS, серверы AD, NTP, WINS и тд. Наиболее интересная "фича" заключается в том, что сервер DHCP так же дает своему клиенту свой IP-адрес, чтобы в следующий раз клиент не забивал сеть широковещательными запросами, а напрямую обращался к нему.Список большой, посмотреть его можно в консоле DHCP -> Параметры сервера -> Настроить параметры.
Обратите внимания, что есть отдельно Параметры Сервера, отдельно Параметры Области. Не путайте!

3.Взаимоотношения сервера и клиента:

Когда клиент только подключился к сети и не имеет никакого IP адреса, он шлет по сети широковещательный запрос DHCPDISCOVER с целью обнаружения DHCP сервера.

Любой DHCP сервер, получивший этот запрос отвечает клиенту DHCPOFFER, указывая доступный для клиента IP и иногда параметры конфигурации. Если в сети 2,3,5 серверов, ответят ВСЕ! Как ни прискорбно, в этом случае действует правило "кто первый, того и тапки".

Клиент получает предложение от сервера и если его все устраивает, он шлет запрос DHCPREQUEST с указанием IP адреса, содержащегося в DHCPOFFER с просьбой выдать ему адрес.

Когда DHCP-сервер получает DHCPOFFER от клиента, он шлет в ответ DHCPACK прилагая параметры, указаные в настройках сервера и делает записи в своей базе и базе DNS.

4.Взаимоотношения DHCP и DNS серверов

Есть две схемы взаимодействия клиента и сервера, описанные на сайте Microsoft :

а) Клиент при обращении к серверу DHCP, получив IP-адрес сервера DNS обращается к серверу DNS с просьбой сделать запись типа А, об этом клиенте. DHCP-сервер в свою очередь делает запись типа PTR.

б) До ОС 2003\XP клиенты dns не имели представления о динамических записях в DNS, по этому клиент просит (а иногда и не просит) сервер DHCP сделать за него запись в DNS.

Что эта информация нам дает? Она дает представление о владельцах записей в DNS. Т.е. тот, кто делал запись в DNS, становится ее владельцем и имеет право обновлять ее.
Соответственно можно предположить проблему при смене сервера DHCP: владельцем записей PTR и A является старый сервер DHCP, его расформировывают, стартуют новый сервер DHCP и оказывается, что он не может обновить запись в DNS и ему остается только создать новую. Проблема? Еще какая....

Для этого, как я понял, используют группу DnsUpdateProxy, члены которой могут создавать\изменять записи DNS. Изначально ее создали для поддержания совместимости с ОС до 2003\XP, но как оказалось может быть другое применение, а именно:

а) Создается учетная запись в домене с названием типа DnsUpdater

б) У dhcp сервера задается параметр dnscredentials либо через консоль: Свойства DHCP -> Другие -> Учетные данные регистрации в динамической DNS либо через cmd , как описано на сайте Microsoft netsh dhcp server set dnscredentials [Пользователь] [Домен] [Пароль]

в) Учетная запись DnsUpdater добавляется в группу DnsUpdateProxy.

Теперь сервера DHCP могут безопасно обновлять записи в DNS, при этом получается масштабируемое решение: если добавить 100 DHCP серверов и прописать им схожую конфигурацию, проблем (кроме самих 100 серверов)

Раз зашел разговор о безопасности DHCP, пару слов о самой службе.
Вообще сервис DHCP запускается и работает от локальной системной учетной записи. С точки зрения безопасности это не есть хорошо, по этому я, присоединяясь к Microsoft, реккомендую создать отдельную учетную запись, под которой будет запускаться этот сервис.

З.Ы. Очень полезной была статья на сайте Microsoftsecurity.com

Понижение контроллера домена Часть 1: Введение

2011-12-15T11:44:00.004+04:00

Начну как полагается: с самого начала.

У нас в сети 3 контроллера домена: один на win2000, остальные win2003, схема 2000, уровень домена Windows 2000 native.

Наше любимое руководство щедро выделило нам средства на закупку блейда IBM HS22 под виртуализацию и лицензию на Windows 2008 R2 Datacenter.

Почему Datacenter?

Потому что эта лицензия дает право на бесконечное число лицензий виртуальных машин для установки которых необходимо использовать именно эту версию ОС. Т.е. можно установить Windows 2008 R2 Datacenter, на нем Hyper-V и создать N виртуалок с ОС Windows 2008 R2 Datacenter.=)

Вот и возник вопрос: а зачем нам windows 2000? Правильно: не за чем!

Задачи: позить сервера windows 2000 до рядового сервера.

Этапы:
1.Исследование активных функций сервера
2.Перенос ролей на другие сервера
3.Понижение сервера
4.Повышение уровня домена
5.Мониторинг состояния сети

По окончанию первого этапа я выяснил, что на сервере запущены службы:
1.Служба DHCP сервера
2.Служба WINS сервера
3.Служба DNS сервера
4.Служба доверенного источника времени в сети
5.Контроллер домена, имеющий роли Хозяина схемы AD, Хозяина именования домена и Эмулятора PDC.

Начну с переноса DHCP-сервера.....

Joli OS на базе Ubuntu

2011-08-02T11:19:00.010+04:00

Сегодня просматривая обновления популярных Linux-based дистрибьютивов на distrowatch.com наткнулся на примечательную и, по моему мнению, очень перспективную разработку http://my.jolicloud.com/ .

Если коротко

Это - ось визуально напоминающая MacOS для IPAD, но при этом бесплатная и поддерживает многие социальные\офисные утилиты и большинство приложений для Ubuntu-based систем.На самом деле это - наглядный пример реализации облачных систем, для организации работы конечного пользователя и повышения юзабилити. Joli OS представляет собой гибрит тонкого клиента и десктопной операционной системы.

Как это?

Что из себя представляет тонкий клиент?
С технической стороны это - минимальная оболочка которая позволяет подключится к удаленному серверу и запускать на нем приложения.
С точки зрения пользователя - это такая же работа в операционной системе.
С точки зрения эргономики - это экономия места.
Ну а что такое десктоп знает каждый, это - хранилище всех видео\фото\музыкальных файлов, игр и всего прочего, чем человек занимается в свободное время.



Как это можно совместить?

Как ни странно, все очевидное - просто. В Joli OS разделили приложения на три типа:

приложения, требующие для работы интернет ,
приложения для локального запуска
ссылки на популярные сервисы в виде ярлыков на рабочем столе.

При каждом подключении к интернету все настройки синхронизируются, по этому риск потерять данные или закладки очень мала.

Ближе к сути

Вот так выглядит интерфейс операционной системы:



Как видите она предполагает что пользователь использует преимущественно коммуникативные и социальные ресурсы, такие как YouTube, FaceBook, Twitter, социальное радио и тд и тп.

Об установке

Слева сверху можно легко разглядеть большой зеленый ПЛЮС. Нажав на него мы попадаем в меню установки веб-приложений и сервисов, о которых я как раз говорил.
Они делятся на категории, по этому не составит труда найти необходимое.Надеюсь скоро там появятся такие веб-сервисы как Яндекс.Пробки и социальное радио Frodio.com.
Кроме этого можно установить множество проигрывателей музыки, приложений для работы с графикой, игр, приложений для работы с офисными документами и тд и тп.

Плюс к этому осталась поддержка Synaptics, apt-get и aptitude.
В общем "Виндузятнику" после установки Joli OS будет легко адаптироваться, не сложнее чем при переходе с телефона Nokia на Samsung=)


При всем при этом вы можете подключится к своему рабочему столу JoliOS просто через браузер, список их правда ограничен: Firefox, Chrome, Safari. Это очень удобно, если вы, например, сидите дома у знакомого и вам срочно нужно показать ему документ, который вы забыли скинуть на флешку.

Скажу честно, после установки у меня частично русифицировалась система, по этому пришлось руками доставлять поддержку рускоязычного интерфейса, тем не менее многие моменты не русифицирваны полностью.Так же не очень удобно, что в меню настройки и меню устанолвенных локально приложений можно попасть только через ярлыки на рабчоем столе Local Apps и Local Settings. Еще минус в перемещении ярлыков,у меня Local Apps и Local Settings стояли рядом, я перекинул ярлык с другого стола и Local Settings у меня улетелна следующий рабочий стол, пришлось возвращать его через одно место.

Теперь можно подвести итог этому творению.

Плюсы:

Joli OS позволяет удобно управлять интернет и социальными сервисами в два щелчка
Joli OS предоставляет инструментарий полноценной операционной системы
Joli OS может синхронизировать ваши данные с внешними серверами, сохраняя вашу мобильность
Joli OS при всем при этом обладает очень дружественным интерфейсом.

Минусы:

Недоработки перевода
Небольшие недоработки в управлении графическим интерфейсом

Лично я установил ее в тестовом режиме на свой ноутбук Samsung Q70 чтобы впитать побольше информации об использовании этой новой и примечательной операционной системы. Почему-то я уверен, что это начало чего-то большего)

2011-02-25T13:12:00.003+03:00

Удаление Centreon

2011-02-21T14:51:00.004+03:00

Да, как ни странно я начал статью с процедуры Удаления Centreon. Почему?
Лично я считаю что эта оснастка Nagios просто жрет лишнюю память,обладает кучей лишних функций и интерфейс запутанней некуда. Хотя это все дело вкуса;)

Не забываем сохранить конфигурационные файлы перед удалением Centreon'a

И так, если у нас все до этого работало, то сейчас мы сделаем так, чтобы не работало:

Заходим в Mysql под рутом и пишем:



 DROP USER 'centreon'@'localhost'

 DROP USER 'ndoutils'@'localhost'

DROP DATABASE centstats
DROP DATABASE centreon
DROP DATABASE ndoutils

Далее удаляем все добавленные Centreon'ом строчки из /etc/sudoers

Удаляем директории centreon'а:

rm -rf /etc/centreon /var/lib/centreon /usr/local/centreon /usr/lib/nagios/plugins/*centreon*

и чистим от конфигов Centreon'a директорию /etc:

find / -name *cent* -delete

И теперь самое главное и проблемное: решить проблему с конфигами. После удаления Centreon весь веб-интерфейс просто едет: иконки и картинки не отображаются, пути к cgi файлам криво указаны. В итоге я пошел по самому простому пути:

По скольку пакеты просто так не скачиваются, если новая версия уже стоит,то делаем, поскольку я ставил версию Nagios, предназначенную для дистрибьютива версии Testing:

apt-get -t testing install --reinstall nagios3-common

потом идем туда, где хранятся все скачанные apt-get'ом .deb пакеты:

cd /var/cache/apt/archives/

создаем папку куда будем все распаковывать:

mkdir nagios

и распаковываем пакеты в поисках сокровенных конфигурационных файлов:

dpkg -x nagios3-common_3.2.3-1_all.deb nagios/
dpkg -x nagios3-cgi_3.2.3-1_i386.deb nagios/

что мы имеем в итоге:

tree -L 3 nagios
nagios
├── etc
│   ├── default
│   │   └── nagios3
│   ├── init.d
│   │   └── nagios3
│   └── nagios3
│       ├── cgi.cfg
│       ├── commands.cfg
│       ├── conf.d
│       ├── nagios.cfg
│       ├── resource.cfg
│       └── stylesheets
├── usr
│   ├── lib
│   │   └── cgi-bin
│   └── share
│       ├── doc
│       ├── lintian
│       └── nagios3
└── var
    ├── cache
    │   └── nagios3
    ├── lib
    │   └── nagios3
    ├── log
    │   └── nagios3
    └── run
        └── nagios3

копируем файлы nagios.conf и cgi.conf лежащие в etc/nagios3/ соответственно в /etc/nagios3/

перезапускаем сервер Nagios:

/etc/init.d/nagios restart

и проверяем, все должно работать.

Вот вроде бы и все..

Книга Nagios:System and Network Monitoring

2011-02-10T10:46:00.018+03:00

В наше время очень актуальны средства сетевого мониторинга.

Любому ИТ-специалисту понятно, что тратить кучу времени на нахождение места неполадки в сети и потом потратить столько же времени для ее исправления , это - лишняя трата времени, гораздо эффективнее использовать сервер сетевого мониторинга.

Существует много вариаций разных разработчиков программного обеспечения,такие как: Cacti, Zabbix, Nagios, даже в ISA сервере есть эта возможность с минимальным функционалом.

ISA 2004, например, обладает более примитивными функциями, без иерархического дерева.
Nagios есть понятие "parent" которая указывает на "родителя" например нескольких хостов, и, если он не доступен, он не будет ломиться на дочерние машины.

Zabbix имеет преимущество за счет его агентов, которые можно запускать как на linux так и на win машинах.

Cacti используют многие за счет его умения рисовать адекватные графики. Потом при желании можно интегрировать эту возможность в Nagios.

Из всех этих вариантов я выбрал Nagios.

Преимущество Nagios как и любой linux-based программы в его модульности.

Скажу сразу,это не руководство how-to настроить сервер с такими-то функциями. Я, если честно, сам когда начал только изучать Linux-системы хотел все одним наскоком охватить, считал что если есть мануал, то я по нему сейчас настрою а теорию еще успею прочитать. Сейчас же я считаю иначе, без основополагающей теории нет смысла вообще чтото делать. Это все равно что без знания китайского языка начать рисовать иероглифы :)

По факту это описание всех возможных (практически) функций, которые вы можете использовать. Эта книга описывает работу с программой Nagios версии 2.0, несмотря на то что сейчас актуальная версия 3.2.3, все модули и синтаксис практически идентичны.В ней 464 страниц и материал удобно разбит по главам, то можно легко использовать как Справочное руководство.

Содержание книги можно разделить на несколько этапов:

1.Установка Nagios
2.Настройка Nagios для работы
3.Описание синтаксиса конфигурационных файлов
4.Описание плагинов и их практическое применение.
5.Описание способов оповещения

Прочитав первые 50 страниц становится предельно понятна сама реализованная система, вам обьясняют как установить Nagios для разных дистрибутивов, где находятся файлы настроек и как правильно в них описывать сервисы, хосты и группы.

Дальше почти всю книгу описываются плагины для разных типов задач:

- проверка SNMP, POP3, SMTP, FTP, HTTP, DNS, DHCP и тд
- проверка доступа к БД MySQL и PostgreSQL
- мониторинг ИБП
- написание запросов используя протоколы TCP и UDP с помощью плагинов.
- плагины для мониторинга Дискового пространства, Нагрузки на процессор и тд
- мониторинг Win-систем
и так далее...
И все это заправлено разумной частью теории, как например для SNMP плагина рассказывается о MIB таблицах, обращениях к ним, о community и отличиях между версиями протоколов SNMPv1, SNMPv2c и SNMPv3.

После прочтения книги остаются положительные впечатления а не мысли о том что зря потратил время. Для новичка будут заложены основополагающие принципы и тезисы, для опытного пользователя будут подробно описан функционал.

Для меня цель была достигнута :)

P.S. Позже вышло 2е издание этой книги, в котором рассказывается про Nagios 3.0, меня смущает что в ней 720 страниц, почти в 2 раза больше, по этому ее прочтение откладывается на N-е кол-во времени.

Актуальное обновление пакетов в Debian

2011-02-10T03:38:00.002+03:00

Stable-выпуски Debian славятся своими устаревшими версиями пакетов и поскольку Debian Squeeze вышла совсем недавно в режиме Stable, прийдет время и мы вновь столкнемся с этой проблемой.

Лично я всегда стараюсь поддерживать актуальное состояние некоторых сервисов, запущенных на моем Debian-сервере и по этому обновляюсь с зеркал для testing или unstable в зависимости от ситуации.

Для этого нежно добавить в файл /etc/apt/sources.list адреса репозиториев этих версий:

#Testing
deb http://debian.nsu.ru/debian testing main non-free contrib

#Unstable
deb http://debian.nsu.ru/debian unstable main non-free contrib

Мы же не хотим, чтобы ВСЕ наши пакеты обновлялись до версий, включенных в дистрибутив Unstable? Ну и конечно же пакеты для версии Testing в большем приоритете чем Unstable, если только не ультра-новая "фича" которая по-любому нужна=)

По этому нужно задать определенный порядок приоритетов для программы APT.
Для этого создаем файл:

root@isl-debian:/home# touch /etc/apt/preferences

И добавляем в него строки:

root@isl-debian:/home# nano /etc/apt/preferences

Package: *
Pin: release a=stable
Pin-Priority: 100

Package: *
Pin: release a=testing
Pin-Priority: 90

Package: *
Pin: release a=unstable
Pin-Priority: 80

Синтаксис очень простой:
Package - имя пакета. В данном случае мы оговорим обо ВСЕХ пакетах
Pin - версия которая будет использоваться. Мы говорим что хотим использовать версии актуальные для релизов stable, testing и unstable.
Pin-priority - Приоритет, приоритетов существует несколько видов:


P > 1000 - ставится в случае даунгрейда.

990 < P <=1000  версия пакета поставиться даже если не с этого релиза,

если только установленная версия ниже.

500 < P <=990   версия пакета поставится только,

если есть более новая версия для данного релиза

0 < P <=100   версия пакета поставиться,

если есть более новая версия для другого релиза

или установленный пакет имеет более позднюю версию.

P < 0   не поставится вообще

Соответственно мыслим логически:

1.Все пакеты ставятся с резпозиториев STABLE
2.Необходимые нам пакеты мы вручную ставим с репозиториев TESTING\UNSTABLE
3.Если нам необходимо чтобы какой-то пакет оставался определенной версии, указываем это.

B так, получается приоритеты от 0 до 100 ставится с репозиториев,при чем максимальный приоритет у Stable. В дальнейшем мы можем указать более высокий приоритет для определенных пакетов вручную и так же можем указать пакеты с приоритетом ниже нуля для сохранения версий.

Обновляемся: apt-get update

Проверяем приоритеты на примере пакета Nagios3.

root@isl-debian:/home# apt-cache policy nagios3

nagios3:
Установлен: (отсутствует)
Кандидат:   3.2.1-2
Таблица версий:
     3.2.3-1 0
         90 http://debian.nsu.ru/debian/ testing/main i386 Packages
         80 http://debian.nsu.ru/debian/ unstable/main i386 Packages
     3.2.1-2 0
        100 http://mirror2.corbina.ru/debian/ stable/main i386 Packages
        100 ftp://ftp.ru.debian.org/debian/ stable/main i386 Packages
        100 http://debian.nsu.ru/debian/ stable/main i386 Packages

root@isl-debian:/home# apt-cache show nagios3

Package: nagios3
Priority: optional
Section: net
Installed-Size: 32
Maintainer: Debian Nagios Maintainer Group <pkg-nagios-devel@lists.alioth.debian.org>
Architecture: i386
Version: 3.2.1-2
Depends: nagios3-core (= 3.2.1-2), nagios3-cgi (= 3.2.1-2)
Suggests: nagios-nrpe-plugin
Filename: pool/main/n/nagios3/nagios3_3.2.1-2_i386.deb
Size: 1428
....................
....................

Package: nagios3
Priority: optional
Section: net
Installed-Size: 32
Maintainer: Debian Nagios Maintainer Group <pkg-nagios-devel@lists.alioth.debian.org>
Architecture: i386
Version: 3.2.3-1
Depends: nagios3-core (= 3.2.3-1), nagios3-cgi (= 3.2.3-1)
Suggests: nagios-nrpe-plugin
Filename: pool/main/n/nagios3/nagios3_3.2.3-1_i386.deb
Size: 1434
....................
....................

Как vs видим, все так как и запланированно. При вводе команды apt-get install nagios3 установится пакет версии 3.2.1. Тем не менее команда apt-get show выдает нам информацию сразу по двум версиям,не стоит этого бояться=) Ну что, пробуем:

root@isl-debian:/home# apt-get install nagios3

Проверяем,какая версия у нас установилась:

root@isl-debian:/home# dpkg -s nagios3

Package: nagios3
Status: install ok installed
Priority: optional
Section: net
Installed-Size: 32
Maintainer: Debian Nagios Maintainer Group <pkg-nagios-devel@lists.alioth.debian.org>
Architecture: i386
Version: 3.2.1-2
Depends: nagios3-core (= 3.2.1-2), nagios3-cgi (= 3.2.1-2)

То, что нужно.Проверяем что у нас с приоритетами:

root@isl-debian:/home# apt-cache policy nagios3

nagios3:
Установлен: 3.2.1-2
Кандидат:   3.2.1-2
Таблица версий:
     3.2.3-1 0
         90 http://debian.nsu.ru/debian/ testing/main i386 Packages
         80 http://debian.nsu.ru/debian/ unstable/main i386 Packages
*** 3.2.1-2 0
        100 http://mirror2.corbina.ru/debian/ stable/main i386 Packages
        100 ftp://ftp.ru.debian.org/debian/ stable/main i386 Packages
        100 http://debian.nsu.ru/debian/ stable/main i386 Packages
        100 /var/lib/dpkg/status

Нам сообщают о том что стоит версия 3.2.1-2 и при обновлении сохранится версия 3.2.1-2. Но ведь мы же хотели самую последнюю версию? Тогда пишем в консоле:

root@isl-debian:/home# apt-get -t testing install nagios3

И все идёт по плану :) По синтаксису можно догадаться что после ключа "-t" нужно указать для какого релиза ставить пакет stable, testing или unstable.

Цель достигнута.

Debian стоит, что теперь?

2011-02-08T14:33:00.005+03:00

Сегодня поставил свеженькую версию Debian 6.0 Squeeze, который наконецто перешел в статус stable.Руководств в интернете куча, да и без руководств первые несколько раз не имея представления что ты делаешь, можно наугад но поставить) К счастью ставлю не первый и не последний раз.

Устанавливал как обычно, раздел под /boot, под /home, под / и под swap:

/dev/sda1 300Mb ext2   /boot
swap         1.5Gb
/dev/sda3 12Gb   ext4   /
/dev/sda4 1Gb     ext4 /home

После логина приятно был удивлен новыми цветами в nano

Первое что нужно сделать это проверить обновления, добавил в /etc/apt/sources.list репозитории, я использую те,к которым меньше всего задержка:

deb http://mirror2.corbina.ru/debian/ squeeze main
deb-src http://mirror2.corbina.ru/debian/ squeeze main

deb http://mirror2.corbina.ru/debian/ squeeze-updates main
deb-src http://mirror2.corbina.ru/debian/ squeeze-updates main

deb ftp://ftp.ru.debian.org/debian/ stable main contrib non-free
deb-src ftp://ftp.ru.debian.org/debian/ stable main contrib non-free

deb http://debian.nsu.ru/debian/ stable main contrib non-free
deb-src http://debian.nsu.ru/debian/ stable main contrib non-free

##### SECURITY
deb http://security.debian.org/ squeeze/updates main
deb-src http://security.debian.org/ squeeze/updates main
deb http://security.debian.org/ squeeze/updates contrib non-free main
deb http://mirror.yandex.ru/debian-security squeeze/updates main non-free contrib
deb-src http://mirror.yandex.ru/debian-security squeeze/updates main non-free contrib

##### MAINTAINERS | Неофициальные версии пакетов
deb http://unofficial.debian-maintainers.org/ squeeze main contrib non-free restricted
deb-src http://unofficial.debian-maintainers.org/ squeeze main contrib non-free restricted

##### MULTIMEDIA

deb http://www.debian-multimedia.org squeeze main non-free

#### DOTDEB (Source) - http://www.dotdeb.org
deb http://packages.dotdeb.org stable all

###Webmin
deb http://download.webmin.com/download/repository sarge contrib
deb http://webmin.mirror.somersettechsolutions.co.uk/repository sarge contrib

получил ключевые подписи:

root@isl-debian:/home/r1sh# gpg --keyserver keys.gnupg.net --recv-key D97A3AE911F63C51 07DC563D1F41B907 E9C74FEEA2098A6E 9EEBC8DB9B9C3CB6

root@isl-debian:/home/r1sh# gpg --armor --export D97A3AE911F63C51 07DC563D1F41B907 E9C74FEEA2098A6E 9EEBC8DB9B9C3CB6 | apt-key add -

обновил список и пакеты

root@isl-debian:/home/r1sh# apt-get update && apt-get upgrade

теперь можно настроить компьютер в сети, нужно сделать так чтобы хост посылал свое имя DHCP серверу:

root@isl-debian:~# nano /etc/dhcp/dhclient.conf

и раскоментируем строчку send host-name <NAME> ; где вместо <NAME> вписываем имя вашей машины.
Так же я указываю имя компьютера в описании интерфейсов:

root@isl-debian:/etc/network# nano /etc/network/interfaces

# The primary network interface
allow-hotplug eth0
iface eth0 inet dhcp
hostname "isl-debian"

теперь можем проверить есть ли запись у DNS сервера:

root@isl-debian:/etc/network# nslookup isl-debian
Server:         192.168.0.250
Address:        192.168.0.250#53

Name:   isl-debian.local.ru
Address: 192.168.0.180

и просто потому что мне это сейчас вспомнилось, обновим индексы файлов для поиска

root@isl-debian:/etc/network# updatedb

В последней версии Debian, которую я установил, менеджер пакетов aptitude установлен по умолчанию, но я предпочитаю пользоваться пакетом apt, а точнее apt-cache для получения информации о пакетах и apt-get для управления ими.
Aptitude может делать все тоже самое и я им пользовался первое время пока осваивал просторы Linux'а =)

Теперь можно установить минимум необходимых программ для более комфортной работы.

- на эту машину я хожу по SSH,по этому нужен OpenSSH сервер
- Midnight Commander использую в виде файл-менеджера, внешне похож на FAR
- Tree наглядно показывает структуру каталогов

root@isl-debian:/etc/network# tree
.
├── if-down.d
├── if-post-down.d
├── if-pre-up.d
├── if-up.d
│   ├── mountnfs
│   └── openssh-server
├── interfaces
└── run
    └── ifstate

- lynx веб браузер для проверки сайтов на апаче( который я подниму в дальнейшем)

root@isl-debian:/home/r1sh# lynx http://yandex.ru

- sudo для возможности исполнения программ с привилегиями рута из-под обычного пользователя, которую очень плотно внедрили в *buntu

r1sh@isl-debian:~$ sudo apt-get upgrade
[sudo] password for r1sh:

Для всего этого счастья пишем в консоли:

root@isl-debian:/etc/network# apt-get install openssh-server mc lynx sudo tree

Добрый и отзывчивый apt установит все что мы хотим и подхватит необходимые библиотеки.

Для того чтобы я мог пользоваться привилегиями суперпользователя из своей учетной записи, мне нужно под рутом подправить файл /etc/sudoers

root@isl-debian:/home/r1sh# nano /etc/sudoers

и добавить строчку для своего пользователя:

# Cmnd alias specification

# User privilege specification
root ALL=(ALL) ALL
r1sh ALL=(ALL) ALL

Теперь можно работать)

И главное - помнить : "это-не баг, это-фича!!!" =)