Записки системного администратора

2019-03-26T01:42:00.001-07:00

в свитчах 3com Baseline Switch серии 2900 скрыт режим команд когда подключаешься по telnet.
Для этого нужно ввести команду

<3com baseline="" switch="">_cmdline-mode on

ввести заводской пароль 512900

После этого будет весь список команд:

<3com baseline="" switch="">?
User view commands:
  archive        Specify archive settings
  backup         Backup next startup-configuration file to TFTP server
  boot-loader    Set boot loader
  bootrom        Update/read/backup/restore bootrom
  cd             Change current directory 
  clock          Specify the system clock
  cluster        Run cluster command
  copy           Copy from one file to another 
  debugging      Enable system debugging functions
  delete         Delete a file 
  dir            List files on a file system 
  display        Display current system information
  fixdisk        Recover lost chains in storage device
  format         Format the device
  free           Clear user terminal interface
  ftp            Open FTP connection 
  initialize     Delete the startup configuration file and reboot system
  ipsetup        Specify the IP address of the VLAN interface 1 
  lock           Lock current user terminal interface
  logfile        Specify log file configuration
  mkdir          Create a new directory 
  more           Display the contents of a file 
  move           Move the file 
  ntdp           Run NTDP commands
  password       Specify password of local user
  ping           Ping function 
  pwd            Display current working directory 
  quit           Exit from current command view
  reboot         Reboot system
  rename         Rename a file or directory 
  reset          Reset operation
  restore        Restore next startup-configuration file from TFTP server 
  rmdir          Remove an existing directory 
  save           Save current configuration
  schedule       Schedule system task
  screen-length  Specify the lines displayed on one screen
  send           Send information to other user terminal interface
  sftp           Establish one SFTP connection 
  ssh2           Establish a secure shell client connection 
  stack          Switch stack system
  startup        Specify system startup parameters 
  summary        Display summary information of the device.
  super          Set the current user priority level 
  system-view    Enter the System View
  telnet         Establish one TELNET connection 
  terminal       Set the terminal line characteristic
  tftp           Open TFTP connection 
  tracert        Trace route function 
  undelete       Recover a deleted file 
  undo           Cancel current setting
  upgrade        Upgrade the system boot file or the Boot ROM program

чтобы зайти в режим конфигурации нужно ввести команду

<3com baseline="" switch="">system-view 
System View: return to User View with Ctrl+Z.
[3Com Baseline Switch]

Ограничение доступа к маршрутизатору по telnet или ssh с помощью ACL

2017-05-16T23:56:00.000-07:00

Давайте разберёмся, как ограничить доступ к маршрутизатору.

Как не надо делать

Итак, есть маршрутизатор, мы, как администраторы хотим иметь возможность удалённо к нему подключаться по ssh либо telnet, но не хотим, чтобы к нему удалённо подключались злоумышленники и брутфорсили наши пароли. Задача достаточно сложная, если пытаться решить её применением расширенных ACL на интерфейсы маршрутизатора.
Допустим есть роутер с такими интерфейсами:

Fa0/0 (191.168.0.1)
Fa0/1 (192.168.1.1)
Fa0/2 (192.168.2.1)

Чтобы зафильтровать доступ по telnet, на Fa0/0 нам пришлось бы применить такой ACL на вход:

access-list 101 deny tcp any host 192.168.0.1 eq telnet
access-list 101 deny tcp any host 192.168.1.1 eq telnet
access-list 101 deny tcp any host 192.168.2.1 eq telnet
access-list 101 permit ip any any

На Fa0/1 и Fa0/2 надо было бы применить тот же ACL. Так как к маршрутизатору можно подключиться на любой его интерфейс. Например, мы можем находиться в сети, подключенной через Fa0/0 и обратиться к роутеру через интерфейс Fa0/1. Наш трафик заходит через Fa0/0, маршрутизируется на Fa0/1 и там уже происходит подключение по telnet. Поэтому мы и перечислили все интерфейсы. Представьте теперь, что на каждом из интерфейсов уже был свой ACL со своими правилами по фильтрации. В этом случае у нас не получится применить общий ACL 101 на все интерфейсы, надо будет в каждый ACL добавлять три строчки. Представьте, что появился новый интерфейс Fa0/3 (192.168.3.1) – теперь нам надо обойти все созданные ранее ACL и добавить там строчку

deny tcp any host 192.168.3.1 eq telnet

Короче говоря, мы обязательно что-то забудем, да и вообще, так дела не делаются. К счастью, у cisco есть гораздо более простой способ ограничить доступ с каких-то адресов к telnet или ssh.

Как надо делать

Создаём стандартный ACL, в котором перечисляем адреса и сети, из который доступ по telnet надо разрешить. И применяем его непосредственно на line vty 0 4, то есть, на линии виртульного терминала, к которым происходит подключение. Таким образом, не важно, через какой интерфейс маршрутизатора telnet пакеты попадут на роутер, они будут отфильтрованы когда доберутся собственно до vty.
Например, в предыдущем примере, с тремя интерфейсами на маршрутизаторе надо разрешить подключение по telnet с адреса администратора (192.168.1.100), со всех остальных адресов – запретить. Настройка будет выглядеть так:

R1#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
R1(config)#access-list 1 permit host 192.168.1.100
R1(config)#access-list 1 deny any
R1(config)#line vty 0 4
R1(config-line)#access-class 1 in

ACL 1 — простой ACL, состоящий из двух строк. Применён он на line vty и теперь не важно, откуда пришёл трафик, с какого интерфейса, с какой сети. Когда он дойдёт до VTY, он будет проверен на соответствие ACL и принят, либо отброшен.
Обратите внимание, что ACL применяется на интерфейсе командой access-group, а на vty — командой access-class.

Источник http://ciscotips.ru/acl-on-vty

Просмотр в VLC multicast потока

2017-05-02T03:41:00.001-07:00

Столкнулся с проблемой невозможности принять multicast трафик на ОС Windows 7/8/10 плеером VLC.
WireShark и гугление навели на информацию о проблеме версии протокола IGMP в системе. До
Изменение версии протокола IGMP в операционной системе Windows иногда необходимо выполнить, если существуют проблемы с IPTV (например, не идет ТВ-вещание через IPTV-плеер).

Изменить (установить) нужную версию IGMP в операционной системе Windows можно через Редактор реестра (Regedit).
Внимание! Редактор реестра - инструмент, предназначенный только для опытных пользователей. Он предназначен для просмотра и изменения параметров в системном реестре операционной системы, в котором содержатся сведения о работе компьютера.
При неправильном изменении реестра могут возникнуть серьезные проблемы, поэтому точно выполняйте указанные ниже действия. Для дополнительной защиты рекомендуется создать резервную копию реестра перед его редактированием, которая позволит при возникновении неполадок восстановить реестр Windows.

Для запуска редактора реестра нажмите на Пуск > Выполнить, наберите regedit и затем нажмите кнопку OK (в Windows 7/8 нажмите клавишу Win + R, введите regedit и нажмите OK).

Перейдите в раздел реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
Здесь нужно добавить параметр IGMPVersion типа DWORD (32 bit) с нужным значением:
2 — для IGMPv1
3 — для IGMPv2
4 — для IGMPv3

Внимание! После редактирования реестра требуется перезагрузка операционной системы, чтобы изменения вступили в силу.
Например, популярный IPTV-плеер VLC media player по умолчанию использует протокол IGMP версии 3 для управления групповой (multicast) рассылкой, но, если выполнить указанную выше настройку, медиаплеер будет использовать протокол IGMPv2.

2017-02-09T02:34:00.002-08:00

Cisco AnyConnect Secure

Mobility Client

Что делать если при попытке подключения получаем ошибку:

The VPN client agent was unable to create the interprocess communication depot

Необходимо отключить общий доступ к сетевым интерфейсам.

Открыть панель управления (Control Panel)
Ткнуть Просмотр состояния сети и задач (View Network Status and Tasks)
Ткнуть Изменение параметров адаптера (Change adapter settings)
Правый тык по адаптеру с настроенным общим доступом и выбрать свойства (Properties)
Ткнуть вкладку Доступ (Sharing tab)
Убрать галку Разрешить другим пользователям сети использовать подключение к Интернету данного компьютера (Allow other network users to connect through this computer's Internet connection)
Ткнуть OK

Переустановить Cisco AnyConnect.

Пруф https://answers.microsoft.com/ru-ru/windows/forum/windows_8-security/the-vpn-client-agent-was-unable-to-create-the/0fa4cfd3-6174-42ee-8408-84e551c9911a

Раздельная политика паролей (Fine-Grained Password Policy)

2015-06-16T04:39:00.003-07:00

Поступила интересная задача - сделать политику для группы пользователей. Сразу представилась давно известное замыкание групповой политики, которое применялось на пк в контексте пользователей, в данном случае не подходит так как политика паролей в GPO задается только на ПК.
Погуглив на тему политик паролей наткнулся не известную мне =( раздельную политику паролей.
Вариантов настройки масса, в контексте windows server 2012 R2 обрисую самый простой
Открываем оснастку Active Directory Administrative Center и переходим в
Password Settings Container (domain\system), легко найти по поиску в фильтре

По кнопке "NEW" создаем политику

В которой задаем необходимые параметры, и ниже подключаем к пользователю\лям или группам и жмем ОК.
Группа обязательно должна быть глобальной!

Дополнительные материалы для справки
https://technet.microsoft.com/ru-ru/library/cc770842%28v=ws.10%29.aspx
http://blogs.technet.com/b/uktechnet/archive/2012/08/28/guest-post-how-to-use-fine-grained-passwords-in-windows-server-2012.aspx
http://sysadmin.su/blog/169.html
http://habrahabr.ru/company/netwrix/blog/169543/
http://windowsnotes.ru/windows-server-2008/razdelnaya-politika-parolej-v-windows-server-2008/
https://dimanb.wordpress.com/2012/07/19/pso-ad/

Групповая политика. Отключение службы

2015-01-27T19:10:00.001-08:00

Расписывать особо нечего, все на картинке, политика применяется естественно от компьютера на компьютерные учетные записи.

Смена редакции windows 7

2014-06-24T17:18:00.001-07:00

Встал вопрос о смене редакции с проф до корп. Производится обычный апгрейд, но предварительно правим реестр, так как производится проверка.

Procedure:

Open Registry, and navigate to “HKLM\Software\Microsoft\Windows NT\Current Version
- Find entries: EditionID and ProductName
  - Change EditionID to: Enterprise
  - Change ProductName to Windows 7 Enterprise

Семейство HP Baseline Switch - Как восстановить забытый пароль

2014-06-10T17:47:00.003-07:00

Статья скопирована с оф сайта hp ссылка

Product:

3CBLSG16 - 3Com Baseline Switch 2916-SFP Plus

3CBLSG24 - 3Com Baseline Switch 2924-SFP Plus

3CBLSG24PWR - 3Com Baseline Switch 2924-PWR Plus

3CBLSG48 - 3Com Baseline Switch 2948-SFP Plus

Fix:

From a console connection:

Enter the following key sequence (CTRL/SHIFT - (minus)) ONCE at the appropriate time

Baseline 2924

Power cycle the switch:

When "Testing the System SDRAM........PASS" is seen

CTRL/Shift - (minus)

When "Autoboot in 2 seconds- press Return or Esc" is seen

Press Enter Immediately

At The Startup Menu

Select [3] Password Recovery

Select [5] Back

If "Autboot" does not appear, you have missed the opportunity to break-in.

Baseline 2916

Power cycle the switch:

Testing the System SDRAM........PASS

Boot1 Checksum Test

CTRL / Shift - (minus)

When "Autoboot in 2 seconds- press Return or Esc" is seen

Press Enter Immediately

At The Startup Menu

Select [3] Password Recovery

Select [5] Back

Baseline 2948

With a console connected reboot the device

Ctrl/C to enter Failsafe Mode

CFE>passwd

CFE>reset -sysreset

Symptom:

Baseline Switch Family - How to recover a forgotten password

Fact:

Lost or forgotten password

Групповая политика: обработка замыкания групповой политики

2014-02-13T19:46:00.001-08:00

Данный механизм очень удобен когда пользовательские политики необходимо применить на конкретном подразделении (OU), если данную политику можно применить только от пользователя.

Например ограничение прав. установка обоев или блокировки экрана на терминальном сервере.

На помощь приходит "замыкание групповой политики на себя"

В редакоторе групповой политики идем в:

Конфигурация компьютера\Административные шаблоны\Система\Групповая политика

параметр "Режим обработки замыкания пользовательской групповой политики" (User Group Policy loopback processing mode)

В Windows Server 2012R2 данный параметр переименован в "Configure user Group Policy loopback processing mode"

интересные ссылки по данной теме

http://system-administrators.info/?p=4452

http://habrahabr.ru/post/122668/

http://dimanb.wordpress.com/2011/06/07/%D0%B7%D0%B0%D0%BC%D1%8B%D0%BA%D0%B0%D0%BD%D0%B8%D0%B5-%D0%B3%D1%80%D1%83%D0%BF%D0%BF%D0%BE%D0%B2%D0%BE%D0%B9-%D0%BF%D0%BE%D0%BB%D0%B8%D1%82%D0%B8%D0%BA%D0%B8/

Powershell. Разрешить выполнение скриптов в несколько строк

2014-02-11T22:37:00.000-08:00

По умолчанию "большие" скрипты запрещены.
Разрешить можно с помощью команды в консоли Powershell

set-executionpolicy -executionpolicy unrestricted

Set-ExecutionPolicy

set-executionpolicy -executionpolicy unrestricted

3com --> HP

2014-02-11T22:25:00.000-08:00

В работе используется два вида коммутаторов 3com которые в последствии стали HP.
ниже модели и ссылки на прошивки для удобства поиска.

3Com Baseline Switch 2916-SFP Plus и 3Com Baseline Switch 2924-SFP Plus теперь
JE002A HP Baseline Smart Gig SFP 24

ссылка на прошивки

3Com Baseline Switch 2920-SFP Plus теперь JE005A HP 1910-16G Switch

ссылка на прошивки

Удаленный перезапуск службы RDP в локальной сети

2014-01-29T17:50:00.000-08:00

Статья - заметка. Существует проблема подвисания службы RDP на Windows server 2012 / R2
Вот простой скрипт для перезапуска указанной службы

Invoke-Command -ComputerName ИмяПК -ScriptBlock {Stop-Service TermService -PassThru -Force |Start-Service -PassThru }

1С: что делать, если появляется сообщение «Порядок сортировки, установленный для базы данных, отличается от системного!»?

2014-01-09T17:41:00.000-08:00

Бывают случаи, когда не удается запустить программу 1С, при этом появляется диалоговое окно 1С с сообщением «Порядок сортировки, установленный для базы данных, отличается от системного!». После закрытия окна программа закрывается (запустить ее можно в режиме Конфигуратор).

Причина ошибки и способы устранения

Причина ошибки – несоответствие системных настроек и настройки 1С.
Кстати, если операционная система локализована и региональные настройки установлены корректно, то при установке 1С ее настройки будут приведены в соответствие с системными.

Проверка корректности настроек

I. Системные настройки (для локализованной русифицированной версии Windows)

1. Откройте Пуск –> Настройка –> Панель управления –> Язык и региональные стандарты.

2. На вкладке Региональные параметры в выпадающем списке должно быть – Русский.

3. На вкладке Языки –> Подробнее… – диалоговое окно Языки и службы текстового ввода –> вкладка Параметры –> Язык ввода по умолчанию должно быть –> Русский-Русская.

4. На вкладке Дополнительно должно быть –> Русский.

II. Настройки 1С

1. Запустите программу 1С. В окне Запуск 1С выделите нужную информационную базу.

2. В выпадающем списке В режиме выберите Конфигуратор –> OK.

3. Запустится Конфигуратор. Выберите меню Администрирование –> Кодовая страница таблиц ИБ…

4. В окне Кодовая страница таблиц информационной базы в выпадающем списке должно быть –> 1251 –> Русский, белорусский, болгарский и сербский языки.

В качестве крайней меры иногда рекомендуют отключать проверку соответствия порядка сортировки. Для этого в каталоге информационной базы нужно создать сигнальный файл с именем OrdNoChk.prm (с произвольным содержимым).

Примечания

1. Если вы используете компоненту УРИБ (управление распределенными информационными базами), – при отключении проверки порядка сортировки, – НЕ СЛЕДУЕТ использовать символы любых алфавитов, кроме латинского, в трехбуквенном идентификаторе информационных баз, входящих в состав распределенной базы.

2. Следует иметь в виду, что отключение проверки идентичности порядка сортировки может привести к неожиданному – для пользователя программы 1С ! – порядку следования строк, например, при формировании отчетов.

Устранение ошибки в Windows Vista

Если вы пользуетесь Windows Vista, то избавиться от сообщения «Порядок сортировки, установленный для базы данных, отличается от системного!» вышеуказанными методами не удастся.

Придется пойти другим путем:

1. Запустите программу 1С. В окне Запуск 1С выделите нужную информационную базу.

2. В выпадающем списке В режиме выберите Конфигуратор –> OK.

3. Запустится Конфигуратор. Выберите меню Администрирование –> Кодовая страница таблиц ИБ…

4. В окне Кодовая страница таблиц информационной базы в выпадающем списке выберите + Текущая системная установка –> OK.

5. В окне Конфигуратор с сообщением «При выполнении изменения кодовой страницы будут перестроены индексы всех таблиц данных информационной базы! Выполнить изменение кодовой страницы?» нажмите Да.

6. По истечении определенного промежутка времени, зависящего от размера ИБ, появится окно Конфигуратор с сообщением «Кодовая страница изменена!», нажмите OK.

7. Закройте Конфигуратор, можно работать с информационной базой.

8. Для работы с другими ИБ измените аналогичным образом кодовую страницу таблиц ИБ.

Крипто Про. извлекаем ключ из реестра

2013-12-08T17:23:00.000-08:00

Данная статья просто заметка.
Если в тонне бумаг бухгалтерии не удается найти заветный листочек с лицензией крипто про, не беда, легко можно извлечь из реестра в разделе

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\СurrentVersion\Installer\UserData\S-1-5-18\Products\05480A45343B0B0429E4860F13549069\InstallProperties

Ключ ProductID содержит искомый серийник.
Имя раздела 05480A45343B0B0429E4860F13549069 может оказаться другим, но найти не трудно.

Сюда же можно и вписать его вручную, как это в некоторых случаях предлагают сделать специалисты тех. поддержки системы контур-экстерн (http://www.kontur-extern.ru/support/faq/34/225)

Управление IE10 через групповые политики

2013-11-19T18:26:00.000-08:00

Как всегда большой брат Microsoft добавил работы доменным администраторам, выпустив обновление internet explorer до версии 10. Оказалось, что после его установки, перестают применяться политики проски-сервера и все что с ними связано. Так же в консоли управления политиками пропадает ветка User Configuration > Windows Settings > Internet Explorer Maintenance , то есть редактировать настройки «ишака» становится не возможно, особенно если у вас контроллеры домен Windows 2003 и ниже. Теперь для управления настройками IE необходимо применять новый метод: Предпочтения групповой политики» или IEAK, как утверждает Microsoft, он более гибче и удобнее.

Создадим новую политику обычным для нас способом
Заходим в редактирование политики
Конфигурация пользователя\Настройка\Параметры панели управления\Параметры обозревателя
Создаем правило для IE8 (Оно работает и для 9 версии)
Если строка подчёркивается красным цветом, то необходимо нажать F5 после чего подчеркивание станет зеленым, если же надо отключить опцию то нажимаем F7 либо F8 (отключить все)
Для настройки прокси-сервера и исключений необходимо перейти на вкладку Подключения\Настройка локальной сети
После всех настроек у вас должно получиться примерно так:
Это правило работает только для Internet Explorer 8 и Internet Explorer 9, для более ранних версий нужно просто создать отдельные правила
Для того чтобы политика подействовала на IE10 необходимо немного подкорректировать xml-файл
Заходим Конфигурация пользователя\политики\конфигурация Windows\сценарии\Вход в систему
Нажимаем на кнопку «Показать файлы» и попадаем примерно \\DOAMIN\SysVol\main\Policies\{6D482F1D-8FEA-4F7D-813E-9B72B1B0F795}\User\Scripts\Logon
Переходим в каталог \\DOAMIN\SysVol\main\Policies\{6D482F1D-8FEA-4F7D-813E-9B72B1B0F795}\User\Preferences\InternetSettings
Открываем любым текстовым редактором файл InternetSettings.xml
И правим строку max= «10.5.0.0″ , сохраняем изменения и проверяем работу политики.
Ах да, для удаления старых значений IE, необходимо поставить Windows 7 с браузером 8-9, после ввести ее в домен и установить RSAT.

оригинал http://lemiro.ru/archives/1419.html
P.S. пункты 9-15 справедливы до 2008R2 включительно

Автоматический вход без ввода пароля (autologon)

2013-11-18T22:34:00.001-08:00

.:Решение:.

Способ 1

1. Пуск --> Выполнить -->; в поле Открыть напишите команду control userpasswords2 и нажмите OK
2. Установите курсор на том имени пользователя для которого вы хотите настроить автоматический вход в Windows (это избавит от написания имени пользователя в следующем окне - оно будет подставлено автоматически) и снимите птичку с параметра Требовать ввод имени пользователя и пароля, затем введите пароль учетной записи (если используется) и нажмите OK.

Способ 2

1. Пуск -> Выполнить -> введите коману regedit и нажмите ОК.
2. Найдите следующую ветвь реестра:

Код:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

3. Дважды щелкните параметр DefaultUserName (если такого параметра нет, то создайте Строковый параметр с этим именем), введите свое имя пользователя и нажмите кнопку OK.
4. Дважды щелкните параметр DefaultPassword, введите в поле «Значение» свой пароль и нажмите кнопку OK.
5. Дважды щелкните параметр AutoAdminLogon, введите в поле Значение число 1 и нажмите кнопку OK.

Примечание. В случае если компьютер является членом домена перечисленные выше способы не будут работать, необходимо немного модифицировать второй способ прописав значения входа в домен:
В реестре в ветви

Код:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

параметру AutoAdminLogon установите значение 1
параметру DefaultUserName установите значение равное имени пользователя для которого настраиваете автоматический вход в систему
параметру DefaultDomainName установите значение равное имени домена для входа
параметру DefaultPassword установите значение равное паролю пользователя для которого настраиваете автоматический вход в систему

Если какого либо параметра нет, то его нужно создать, для всех параметров тип Строковый (REG_SZ)

Способ 3
Если компьютер до какого-то времени автоматически входил в систему, а затем перестал, проверьте следующие варианты:
1) Система останавливается на экране приветствия, ожидая выбора пользователя либо ввода пароля для имеющегося:

Автологин происходит при наличии ОДНОГО БЕЗПАРОЛЬНОГО пользователя. Попробуйте привести систему в соответствие с данным условием.

2) Система выводит диалоговое окно для ввода имени пользователя и пароля, хотя пароля нет (по нажатию Enter загрузка продолжается):

Возможно, вы отключили приветствие системы. Включается здесь:

Код:

панель управления\ учетные записи пользователей\ изменить способ входа в систему\ использовать экран приветствия

Совет. Чтобы обойти процедуру автоматического входа или войти в систему от имени другого пользователя, удерживайте клавишу SHIFT после завершения сеанса или перезапуска Windows XP. Это приводит к изменению только процедуры первого входа в систему. Для применения измененной процедуры в дальнейшем вы должны настроить следующий параметр реестра:

Код:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
Параметр:ForceAutoLogon
Тип: REG_SZ
Значение: 1

http://forum.oszone.net/thread-46324.html

Скрипт очистки логов IIS сервера

2013-11-14T15:36:00.000-08:00

Заметка на память. Удаляем старые логи IIS Server. Пишем в notepad.exe

get-childitem -Path C:\inetpub\logs\LogFiles -recurse |
where-object {$_.lastwritetime -lt (get-date).addDays(-90)} |
Foreach-Object { del $_.FullName }

Данная конструкция рекурсивно проверяет файлы старше 90 дней вниз по дереву и удаляет их.
Сохраняем del_old_logs.ps1

Можно запустить .\del_old_logs.ps1. Можно поместить в назначенные задания
powershell.exe c:\scripts\del_old_logs.ps1 -noprofile -Noninteractive

Делегирование административных задач в Active Directory

2013-11-06T23:22:00.000-08:00

Более чем очевидно, что практически в каждой организации ИТ-подразделение включает в себя нескольких администраторов, и различные административные задачи должны быть распределены среди администраторов, либо, скажем, среди членов службы поддержки. Например, как в данном примере, скажем сотрудники подразделения поддержки должны вносить компьютеры в домен. Однако такая группа пользователей не должна иметь возможности выполнять остальные операции, помимо тех, которые вы хотите им разрешить.
А вот те разрешения, которые можно назначать пользователям, группам или компьютерам, иначе говоря принципалам безопасности, называются записями контроля доступа (Access Control Entry, ACE). Следовательно, с помощью ACL модифицируются разрешения доступа для объекта. Списки ACL вы можете просматривать непосредственно при помощи таких оснасток как «Active Directory – пользователи и компьютеры», «Центр администрирования Active Directory», а также в таких оснастках и средствах как «Active Directory – Сайты и службы», «Редактор ADSI», а также «LDP» (некоторые средства будут подробнее рассмотрены далее в данной статье). Если же говорить о разрешениях контроля доступа к объектам AD, то сразу следует отметить, что они разделены на стандартные разрешения и на особые разрешения. Особые разрешения представляют собой гранулированные опции, которые применяются к конкретному объекту, а стандартные разрешения доступа уже составляются из набора особых разрешений, которые разрешают, либо, наоборот, запрещают определенную функцию. Исключительно в качестве примера можно выделить такое стандартное разрешение как чтение, ведь на самом деле оно включает в себя записи таких особых разрешений как чтение разрешений, список содержимого, а также прочитать все свойства. Но это уже совсем другая тема.
Собственно, все записи ACE располагаются в дискреционном списке контроля доступа, иначе говоря, в оригинале это звучит как Discretionary Access Control List, или же, проще говоря, в списке DACL. Это список записей управления доступом, определяющий разрешения доступа для каждого принципала безопасности к объекту. В свою очередь, каждый принципал безопасности, который добавляется в объект, получает список разрешений, в котором указано, что конкретный пользователь либо группа пользователей может выполнять конкретные операции с самим объектом. Здесь всегда следует помнить то, что записи ACE, которые были назначены явным образом, всегда будут оцениваться перед унаследованными записями ACE. А также всегда следует учитывать то, что запрещающие записи всегда будут превалировать над разрешающими.
Сам по себе список DACL является составляющей списка ACL самого объекта, который еще содержит системный список контроля доступа, другими словами System Access Control List, SACL. Этот список определяет параметры аудита для объекта, включая все принципалы безопасности и операции, для которых должен выполняться аудит.
Таким образом, возвращаясь к самой теме данного раздела, делегированием административных задач называется наследование разрешений родительского объекта для принципала безопасности, созданного в Active Directory.

Пример делегирование административных полномочий

Одна из задач, которую необходимо было выполнить, представляла собой следующее: нужно было предоставить возможность определенной группе пользователей, скажем, некоему техническому персоналу, вносить компьютеры в домен и распределять эти компьютеры по различным подразделениям. В принципе, эту задачу можно назвать тривиальной, но мы незначительно изменим условия, чтобы было интересней. Что будет сделано: поскольку, по умолчанию каждый пользователь может присоединить компьютер к домену, исправим эту ситуацию таким образом, чтобы присоединять компьютеры к домену могли только лишь те пользователи, которые входят в группу безопасности «Поддержка». Следовательно, нужно выполнить следующие действия:

Для начала следует на контроллере домена открыть оснастку «Active Directory – пользователи и компьютеры». Здесь необходимо создать глобальную группу безопасности, члены которой смогут присоединять компьютеры пользователей к домену. Другими словами, эта группа будет выглядеть следующим образом:

Рис. 1. Свойства группы, отвечающей за присоединение компьютеров к домену
Следующим делом необходимо указать, что компьютеры присоединять к домену могут только лишь пользователи, входящие в созданную на предыдущем этапе глобальную группу безопасности. Для этого следует открыть оснастку «Управление групповой политикой» и перейти к редактору GPME для созданного по умолчанию объекта GPO «Default Domain Controllers Policy», который располагается в подразделении «Domain Controllers».
В отобразившейся оснастке следует перейти к узлу «Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователей» и локализовать параметр политики, который называется «Добавление рабочих станций к домену». Открыв диалоговое окно данного параметра политики, вы сразу сможете обнаружить, что по умолчанию там указана группа «Прошедшие проверку», благодаря которой присоединять компьютеры к домену может каждый пользователь. Теперь, для того, чтобы разрешить присоединять к домену компьютеры только пользователям из группы безопасности «Поддержка», следует удалить группу, указанную в этом параметре политики по умолчанию, а затем при помощи кнопки «Добавить пользователя или группу» и диалога поиска объектов Active Directory, следует добавить созданную ранее глобальную группу безопасности. Процесс добавления такой группы изображен на следующей иллюстрации:

Рис. 2. Изменение группы, отвечающей за присоединение компьютеров к домену
Теперь несмотря на то, что немного ранее было описано, в каких сценариях выполняется делегирование, и что в большинстве случаев делегирование выполняется на уровне подразделений, в данном случае для предоставления возможности присоединения компьютеров к домену, нам следует в оснастке «Active Directory – пользователи и компьютеры» вызвать мастер делегирования непосредственно для уровня всего домена. Следовательно, в оснастке «Active Directory – пользователи и компьютеры» необходимо в области дерева самой оснастки вызвать контекстное меню для домена и выбрать опцию «Делегирование управления», как показано ниже:

Рис. 3. Вызов мастера делегирования управления
На первой странице мастера можно просто ознакомиться с основной задачей данного средства и, ввиду того, что на первой странице нельзя выполнять какие-либо действия, следует просто нажать на кнопку «Далее». На второй странице мастера, странице «Пользователи и группы», нужно локализовать группу, для которой необходимо делегировать управление. В данном примере следует нажать на кнопку «Добавить» и при помощи соответствующего диалога выбрать группу «Поддержка», как показано на следующей иллюстрации:

Рис. 4. Добавление группы, для которой выполняется делегирование управления
После того, как группа будет добавлена, для перехода к следующей странице мастера следует нажать на кнопку «Далее».
Страница «Делегируемые задачи» позволяет вам определить конкретные операции, которые должны выполнять в доменных службах Active Directory пользователи или группы пользователей, которые были добавлены на предыдущей странице мастера. Так как в данном примере делегируется задача присоединения компьютеров к домену и такую задачу можно найти в предоставленном списке распространенных задач, следует напротив задачи «Присоединение компьютера к домену» установить флажок и нажать на кнопку «Далее». Стоит обратить внимание на то, что данный мастер позволяет делегировать не только те задачи, которые фигурируют в данном списке, и в том случае, если вы не смогли здесь сразу найти конкретную задачу, нужно будет создавать особую задачу для делегирования. Создание особой задачи будет показано далее в этой статье, а делегирование задачи присоединения компьютера к домену изображено на следующей иллюстрации:

Рис. 5. Делегирование задачи присоединения компьютеров к домену для членов группы «Поддержка»
На последней странице мастер повторно проинформирует о том, что работа мастера была успешно выполнена и определенной группе пользователей было передано управление для присоединения компьютеров к домену, что, собственно, и являлось поставленной перед нами задачей:

Рис. 6. Завершение процесса делегирования управления

Теперь, после того как были выполнены все эти действия, присоединять компьютеры к домену смогут только лишь те пользователи, которые являются членами созданной ранее глобальной группы безопасности «Поддержка».

Определение задач, для которых было предоставлено делегирование

Сразу после того, как была предоставлена возможность присоединения компьютеров к домену определенной группе безопасности, возник вопрос такого характера: «Можно ли как-то просмотреть делегированные ранее задачи»? Здесь ответ простой: просмотреть можно, причем далеко не единственным методом. Все возможные варианты просмотра задач, для которых было передано делегирование, в рамках одной статьи рассматривать просто бессмысленно, поэтому далее в данной статье будут представлены несколько основных вариантов:

Первый метод – это использование оснастки «Active Directory – пользователи и компьютеры». Прежде всего, для того чтобы просмотреть задачи, которые были делегированы, следует в меню «Вид» включить для самой оснастки отображение дополнительных компонентов. После этого необходимо перейти к диалоговому окну свойств подразделения, для которого выполнялось делегирование. Так как в предыдущем разделе выполнялось делегирование для уровня всего домена, в данном примере открывается диалоговое окно свойств домена.
В отобразившемся диалоговом окне следует перейти на вкладку «Безопасность», а затем оттуда вызвать диалоговое окно дополнительных параметров безопасности. Здесь, в отобразившемся диалоговом окне, вы можете обнаружить все записи ACE, которые были заданы как по умолчанию, так и при помощи мастера делегирования. Например, на следующей иллюстрации видно, что для группы «Поддержка» было добавлено разрешение, позволяющее создавать объекты «Компьютер»:

Рис. 7. Просмотр делегированных задач для группы «Поддержка»
При желании вы можете как изменить разрешения для текущей группы, так и, при необходимости, удалить его полностью.
Теперь рассмотрим более изощренный метод, а именно использование LDP.exe. На этот раз следует выполнить следующие действия:
Откройте инструмент LDP и при помощи меню «Подключение» подключитесь к контроллеру домена по порту 389, как показано на следующей иллюстрации:

Рис. 8. Подключение к контроллеру домена
После этого следует выполнить привязку, используя одноименную команду из меню «Подключение». Так как в данный момент я выполнил вход в систему от учетной записи администратора, я могу не вводить учетные данные, а сразу в отобразившемся диалоговом окне «Привязка» нажать на кнопку «ОК», как показано ниже:

Рис. 9. Выполнение привязки
Теперь можно подключиться к необходимому подразделению или же сразу ко всему домену, выбрав команду «Дерево» из меню «Вид». В том случае, если следует просмотреть весь домен, можно оставить поле пустым, однако если вы планируете просматривать конкретное подразделение, следует указывать различающееся имя в следующем формате: «OU=имя OU, DN=domain…».
Затем для того, чтобы увидеть, кому было предоставлено делегирование, следует просмотреть всю структуру в древовидном представлении. Другими словами, из меню «Вид» выбираем команду «Дерево» и в отобразившемся диалоговом окне «Дерево» указываем базовое расширяемое имя (либо, так как в приведенном примере необходимо просмотреть весь домен, можно оставить данное текстовое поле пустым).
Уже находясь в привычной области дерева, необходимо выбрать подразделение, предоставление прав к которому следует проверить, а затем из контекстного меню выбрать команду «Дополнительно» и «Дескриптор безопасности». В отобразившемся диалоговом окне обязательно удостоверьтесь в том, что у вас выбран правильный DN, а также в том, что установлен флажок на опции «Список ACL», как показано на следующей иллюстрации:

Рис. 10. Открытие диалогового окна дескрипторов безопасности
Теперь в отобразившемся диалоговом окне вы можете просмотреть все группы и пользователей, которым были предоставлены определенные разрешения. При необходимости вы также можете отредактировать либо удалить делегируемые разрешения, воспользовавшись соответствующими кнопками. Диалоговое окно дескрипторов безопасности, как и окно редактирования делегируемых разрешений, отображены на следующей иллюстрации:

Рис. 11. Просмотр и изменение делегируемых разрешений для группы поддержки
Третий вариант в какой-то степени можно назвать более модернистическим, так как сейчас мы определим, какие разрешения были назначены этой же группе поддержки, но уже при помощи оснастки «Центр администрирования Active Directory». Для этого следует открыть данное средство, выбрать в дереве оснастки подразделение, для которого следует просмотреть, кому было предоставлено делегирование, а затем перейти к свойствам выбранного объекта, например, как показано на следующей иллюстрации, непосредственно из контекстного меню:

Рис. 12. Переход к свойствам выбранного объекта
После работы с оснасткой «Active Directory – пользователи и компьютеры» вы сможете сразу определиться, что нужно сделать. В отобразившемся диалоговом окне следует перейти к группе «Разрешения», и просто останется лишь выбрать требуемую группу и перейти к диалогу дополнительных параметров безопасности. Группа разрешений отображена ниже:

Рис. 13. Разрешения группы безопасности поддержки
Если вы любитель командной строки, то вас никто не ограничивает. Для просмотра разрешений, позволяющих контролировать действия пользователей в Active Directory, предусмотрена такая утилита командной строки как DSACLS. Зачастую данная команда выполняется с отличительным именем объекта. Например, для того, чтобы узнать, у кого есть разрешения ко всему домену, следует выполнить команду:
DSACLS DC=331zone,DC=com
Результат выполнения команды виден на следующей иллюстрации:

Рис. 14. Проверка разрешений для группы поддержки средствами командной строки

По большому счету, еще можно выделить по меньшей мере 6 способов просмотра делегирования административных полномочий, но их попросту бессмысленно описывать в одной статье, и в том случае, если эта тема вас заинтересует, я могу показать большинство таких методов в отдельном вебкасте.
Однако, помимо разрешения присоединения компьютеров к домену и просмотра настроенных разрешений, у нас осталась еще одна небольшая задача, которая будет рассмотрена в следующем небольшом разделе.

Разрешения перемещения объектов между подразделениями

Последняя задача, которая будет рассмотрена в данной статье, представляет собой реализацию разрешения перемещения объектов компьютеров между подразделениями для группы безопасности «Поддержка». Так как в предыдущий раз разрешения для присоединения компьютеров к домену мы реализовывали средствами делегирования управления, следует и в этот раз попробовать поискать средства решения этой задачи в данном мастере. Для решения этой задачи нужно будет отредактировать некоторые разрешения для контейнера «Computers», так как известно, что объекты групповой политики невозможно связывать с данным контейнером, а сотрудникам подразделения поддержки необходимо распределять компьютеры по различным подразделениям.
После открытия мастера делегирования управления и добавления целевой группы вы обнаружите, что среди обычных задач невозможно выполнить подобные действия. В этом случае следует попробовать воспользоваться списком особых задач для делегирования. В отобразившемся диалоговом окне вам предоставляется возможность делегирования всех объектов в выбранном вами контейнере (в этом случае вам следует установить переключатель на опцию «этой папкой, существующими в ней объектами и созданием новых объектов в этой папке»), а также возможность передачи управления только выбранным объектам, которые можно найти в соответствующем списке (опция «только следующим объектам в этой папке»).
Среди доступных объектов следует установить флажок на опции «Компьютер объектов», а затем под данным списком установить флажок на опции «Удалить из этой папки выбранные объекты».
Диалоговое окно данной страницы мастера делегирования изображено на следующей иллюстрации:

Рис. 15. Страница создания особой задачи для делегирования
После этого, на следующей странице мастера, странице «Разрешения» — следует указать, что делегируется разрешение «Запись», и этого будет достаточно.
Так как задачу по перемещению можно разделить на две части – удаление объекта из контейнера «Computers» и последующее создание объекта в другом подразделении – исключительно в качестве примера, создание объектов в специально созданном подразделении для учетных записей компьютеров будет продемонстрировано средствами изменения дополнительных параметров безопасности для требуемого подразделения (подобные действия были рассмотрены в предыдущем разделе).
Сейчас, в том случае, если вы закрывали оснастку «Active Directory – пользователи и компьютеры», нужно включить для нее отображение дополнительных компонентов, а затем перейти к диалоговому окну свойств подразделения, в которое должны перемещаться учетные записи компьютеров. В моем случае это подразделение «Клиенты».
В диалоговом окне свойств данного подразделения следует перейти ко вкладке «Безопасность», а затем открыть диалоговое окно дополнительных параметров безопасности. В отобразившемся диалоговом окне следует локализовать добавленную ранее группу и удостовериться, что сотрудникам группы поддержки разрешается присоединять компьютеры к домену, но разрешения, связанные с удалением объектов, здесь отсутствуют, а затем перейти к диалогу изменения разрешений посредством нажатия на кнопку «Добавить».
В отобразившемся диалоговом окне «Элемент разрешения для Computers» необходимо добавить группу, которой будут применяться разрешения. Другими словами, нажмите на ссылку «Выберите субъект» и при помощи соответствующего диалогового окна локализуйте группу «Поддержка». Так как внутри созданного ранее подразделения могут находиться дочерние подразделения с различной разбивкой (например, компьютеров по отделам), из раскрывающегося списка «Применяется к» следует выбрать опцию «Этот объект и все дочерние объекты», что и установлено по умолчанию.
Осталось только выбрать требуемое разрешение. Так как нам нужно разрешить перемещать компьютеры, а это означает, что объекты будут создаваться внутри данного и всех вложенных контейнеров, следует установить флажок напротив разрешения «Создание объектов: Компьютер», после чего сохранить все внесенные изменения. Диалоговое окно «Элемент разрешения для «Клиенты»» показано ниже:

Рис. 16. Добавление разрешений для создания объектов компьютеров

Вместо заключения

По большому счету, можно придумать еще множество примеров, связанных с делегированием полномочий и назначением нестандартных разрешений различным группам безопасности, и практически каждый пример можно по-своему назвать уникальным и интересным. Запомните то, что вместо того, чтобы назначать всех администраторами, намного выгоднее будет, если вы будете просто назначать конкретной группе пользователей разрешения на выполнение определенных задач. Напишите, пожалуйста, в комментариях к этой статье, использовали ли вы у себя делегирование и с какими примерами вы сталкивались и испытывали трудности.

http://habrahabr.ru/post/174437/

Квота на присоединение компьютеров к домену

2013-11-06T23:17:00.000-08:00

По умолчанию право на присоединение компьютеров к домену предоставляется группе пользователей Прошедшие проверку (Autentificated Users). Другими словами, любой пользователь, имеющий доменную учетную запись, может добавить свой компьютер в домен. Однако чтобы избежать злоупотреблений, максимальное количество машин, которое может присоединить рядовой пользователь, ограничено 10.

Если превысить эту квоту, то при добавлении компьютера в домен пользователь получит сообщение о ошибке :

Компьютер не может быть присоединен к домену. На этом домене превышено максимально допустимое число учетных записей. Обратитесь к системному администратору с просьбой отменить это ограничение или увеличить значение.

За размер квоты отвечает атрибут пользователя ms-DS-MachineAccountQuota. Считается квота следующим образом: в учетной записи компьютера (а не пользователя) есть атрибут ms-DS-CreatorSID, в котором хранится SID учетной записи пользователя, заводившего учетную запись этого компьютера. Когда рядовой пользователь добавляет компьютер в домен, то система подсчитывает количество учетных записей компьютеров, в которых атрибут ms-DS-CreatorSID равен SID-у пользователя. Если это значение меньше значения квоты ms-DS-MachineAccountQuota, то компьютер подключается к домену, иначе появляется приведенная выше ошибка. Квота носит относительный характер, т.е. считаются не все учетные записи компьютеров, когда либо заведенные пользователем, а только существующие в домене на данный момент.
Есть несколько способов обойти квоту.

Предварительное создание учетной записи компьютера

Открываем оснастку «Active Directory — пользователи и компьютеры».
Щелкаем правой кнопкой мыши на контейнере, в котором планируется создавать учетную запись и выбираем пункт Создать — Компьютер.
В открывшемся окне вводим имя компьютера, который необходимо добавить в домен.
Жмем на кнопку Изменить и выбираем пользователя или группу, от имени которого производится присоединение к домену. При выборе имейте ввиду, что квота не распространяется только на членов группы Администраторы домена (Domain admins) и тех пользователей, которым делегированы права на управление данным контейнером.
Далее жмем OK и учетная запись компьютера создана, а в значении атрибута ms-DS-CreatorSID будет указан SID того пользователя, от имени которого заводилась учетная запись в AD, а не того кто физически подключал компьютер к домену.

Достоинство этого способа в том, что мы сразу создаем учетную запись в нужном нам контейнере, а не в контейнере Computers (контейнер для компьютеров по умолчанию). Однако он более трудоемок, чем остальные, ведь таким образом придется создавать учетку для каждого нового компьютера.

Делегирование прав на создание и удаление учетных записей компьютеров

Открываем оснастку «Active Directory — пользователи и компьютеры».
Щелкаем правой кнопкой мыши на контейнере Computers и выбираем пункт «Делегирование управления».
В мастере делегирования управления выбираем пользователя или группу, которой доверим создавать учетные записи компьютеров. Правильным решением, на мой взгляд, будет создать для этой цели отдельную группу.

В следующем окне отмечаем пункт «Создать особую задачу для делегирования», т.к. в стандартных задачах нет возможности выбрать создание и удаление учетных записей компьютеров.

Отмечаем пункт «Разрешения для создания и удаления дочерних объектов» и выбираем из списка пункты «Создание объекта компьютер» и «Удаление объекта компьютер».

Жмем кнопку Далее, затем Готово. Делегирование создано, и теперь на выбранных пользователей квота не распространяется.

По моему, наиболее оптимальный способ, достаточно один раз создать группу и делегировать ей полномочия, а затем при необходимости просто добавлять в нее пользователей.

Изменение установленной по умолчанию квоты

Заходим в меню Пуск — Администрирование и выбираем пункт «Редактирование ADSI» (ADSIEdit).

Подключаемся к контесту именования домена по умолчанию.

Подключившись, щелкаем правой кнопкой мыши на нашем домене и в контекстном меню выбираем пункт «Свойства».

Находим в свойствах атрибут ms-DS-MachineAccountQuota и изменяем его значение на нужное нам.

Сохраняем значение и закрываем оснастку. Квота на добавление компьютеров изменена, причем изменения будут действовать на всех пользователей, прошедших проверку (группа Autentificated Users).

Способ довольно экстремальный, ведь ADSIEdit - инструмент очень мощный, и его неправильное применение может привести к серьезным последствиям. Хотя, если четко понимать свои действия, то этот пособ ничем не хуже остальных. В любом случае выбирать вам.

http://windowsnotes.ru/activedirectory/kvota-na-prisoedinenie-kompyuterov-k-domenu/

CentOS 6.x 64 и Squid с авторизацией из Win2008AD

2013-10-20T23:11:00.000-07:00

Установка Squid на CentOS 6.x 64 с авторизацией из Win2008AD, групповое распределение, привязка по mac адресам, фильтр расширений файлов и запрещенных сайтов.

Не будем описывать саму установку Win2008AD. Подразумеваем, что контроллер уже установлен и настроен. Наша первая задача создать структуру групп для распределения в них пользователей, которые в дальнейшем будут иметь определенные права.

Создаем пользователя squid, он будет отвечать за получение списка пользователей их паролей и групповую принадлежность. Назначаем ему делегирование на эти возможности.

Жмем правой клавишей мыши на корне нашего домена, выбираем Делегирование управления. Появляется мастер настройки. Жмем Далее. Жмем Добавить. Пишем нашего пользователя squid, который будет иметь права чтения из домена. Жмем ОК. Добавился наш пользователь. Жмем Далее. Включаем Чтение информации о всех пользователях и Чтение всей информации для intOrgPerson. Жмем Далее. Жмем Готово.

Создаем в корне дерева домена Подразделение proxy. Жмем правой клавишей мыши на корне нашего домена, выбираем Создать, выбираем Подразделение. Пишем имя proxy. Жмем ОК. В корне домена появится так называемый Организационный юнит с именем proxy.

В этом подразделении создаем структуру групп для распределения пользователей на получение разных прав доступа через Squid. Создаем группу admins-proxy и users-proxy.

Жмем правой клавишей мыши на proxy, выбираем Создать, выбираем Группа. Пишем имя группы admins-proxy. Жмем ОК. Повторяем для группы users-proxy.

Первая группа будет иметь полный доступ, вторая будет иметь ограничения. В каждую группу добавляем уже имеющихся пользователей. Пусть в группе admins-proxy будет находиться пользователь padmins, а в группе users-proxy будет находиться пользователь pusers, которые были созданы ранее и мы их сейчас добавили. Два раза жмем на имени группы. Выбираем закладку Члены группы. Жмем Добавить. Пишем нужного пользователя. Жмем ОК. Повторяем для остальных пользователей и групп.

Устанавливаем пакет Squid:

yum install squid

После успешной установки прописываем автозапуск squid:

chkconfig squid on

Авторизацию в squid будем использовать на основе LDAP. Для этого сначала необходимо проверить соединение с Win2008AD механизмом LDAP, который заложен в Squid.

Проверяем связку логина padmins и пароля VzRGI5xS пользователя из домена.

Выполняем:

echo «padmins VzRGI5xS» | /usr/lib64/squid/squid_ldap_auth -R -D squid@developer.com -w 3zdjK2H9 -b «dc=developer,dc=com» -f «sAMAccountName=%s» -h 192.168.151.2

padmins # /пользователь домена/
VzRGI5xS # /пароль пользователя padmins в домене/
squid@developer.com # /пользователь домена имеющий права просмотра списка пользователей их паролей и всех данных о них/
3zdjK2H9 # /пароль делегированного пользователя squid/
dc=developer,dc=com # /контроллер домена/
192.168.151.2 # /IP адрес домена/

И так, если это выполнено правильно, мы получим ответ OK. Это означает, что наш пользователь padmins найден в домене и он сверен с паролем VzRGI5xS. Если соответствия нет, то получим ответ ERR Success.

Теперь проверяем связку логина padmins и группы admins-proxy из домена в которую входит пользователь.

Выполняем:

echo «padmins admins-proxy» | /usr/lib64/squid/squid_ldap_group -R -D squid@developer.com -w 3zdjK2H9 -b «dc=developer,dc=com» -f "(&(objectclass=person) (sAMAccountName=%v)(memberof=cn=%a,ou=proxy,dc=developer,dc=com))" -h 192.168.151.2

И так, если это выполнено правильно, мы получим ответ OK. Это означает, что наш пользователь padmins найден в группе admins-proxy нашего домена. Если соответствия нет, то получим ответ ERR Success.

Принимаемся за настройку Squid.

Создаем каталог /etc/squid/rules:

mkdir /etc/squid/rules

В каталоге /etc/squid/rules создаем файлы для правил:

touch block-extension.txt

touch inet-mac.txt

touch url-block.txt

Содержимое файла block-extension.txt (фильтр расширений файлов):

\.exe$
\.mp3$
\.mpg$
\.mp4$
\.mpeg$
\.flv$
\.avi$
\.wmv$
\.swf$
\.mov$
\.mkv$
\.wav$
\.rar$
\.msi$
\.zip$
\.tar$
\.iso$
\.nrg$

Содержимое файла inet-mac.txt (фильтр mac адресов, разрешенные):

04:00:27:3a:45:13
10:6e:87:c4:8c
00:1f:d0:b5:c4:65

Содержимое файла url-block.txt (фильтр url):

odnoklassniki\.ru
vk\.com
facebook\.com

Открываем на редактирование файл конфиг /etc/squid/squid.conf и приводим его к виду:

squid.conf

################################################################################

# Squid normally listens to port 3128
http_port 3128

visible_hostname router-int.developer.com

#
# Recommended minimum configuration:
#
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl localnet src fc00::/7 # RFC 4193 local private network range
acl localnet src fe80::/10 # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

#
# Recommended minimum Access Permission configuration:
#
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager

# Deny requests to certain unsafe ports
http_access deny !Safe_ports

# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports

# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on «localhost» is a local user
#http_access deny to_localhost

#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#

################################################################################
### AD команды для подключения к AD2008R2 ###
################################################################################
auth_param basic program /usr/lib64/squid/squid_ldap_auth -R -D squid@developer.com -w 3zdjK2H9 -b «dc=developer,dc=com» -f «sAMAccountName=%s» -h 192.168.151.2
auth_param basic children 5
auth_param basic realm Please insert your Windows credentials to navigate
auth_param basic credentialsttl 1 hour
################################################################################

################################################################################
### AD команды для подключения к группам AD2008R2 ###
################################################################################
external_acl_type ldap_group %LOGIN /usr/lib64/squid/squid_ldap_group -R -D squid@developer.com -w 3zdjK2H9 -b «dc=developer,dc=com» -f "(&(objectclass=person) (sAMAccountName=%v)(memberof=cn=%a,ou=proxy,dc=developer,dc=com))" -h 192.168.151.2
################################################################################

################################################################################
### Листы доступа и блокировок по группам из AD2008R2 ###
################################################################################

# (лист доступа пользователей из группы admins-proxy находящаяся в AD2008R2)
acl admins-proxy external ldap_group admins-proxy

# (лист доступа пользователей из группы users-proxy находящаяся в AD2008R2)
acl users-proxy external ldap_group users-proxy

# (лист доступа пользователей по MAС-адресу)
acl inet-mac arp "/etc/squid/rules/inet-mac.txt"

# (лист блокировки по списку URL)
acl url-block url_regex "/etc/squid/rules/url-block.txt"

# (лист блокировки по списку расширений файлов)
acl block-extension url_regex -i "/etc/squid/rules/block-extension.txt"

# (блокировка стрим потоков)
acl media rep_mime_type -i ^audio/.*$
acl media rep_mime_type -i ^video/.*$
acl media rep_mime_type -i ^video/x-flv$
acl media rep_mime_type -i ^application/x-shockwave-flash$
acl media rep_mime_type -i ^application/octet-stream$

# (разрешаем все для группы admins-proxy с привязкой по mac адресу)
http_access allow admins-proxy inet-mac
# (запрещаем группе users-proxy список url-block)
http_access deny users-proxy url-block

# (запрещаем группе users-proxy список block-extension)
http_access deny users-proxy block-extension

# (запрещаем группе users-proxy список media)
http_reply_access deny users-proxy media

# (разрешаем группе users-proxy все, что осталось)
http_access allow users-proxy

################################################################################

# And finally deny all other access to this proxy
http_access deny all

# We recommend you to use at least the following line.
hierarchy_stoplist cgi-bin?

# Uncomment and adjust the following to add a disk cache directory.
#cache_dir ufs /var/spool/squid 100 16 256

# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid

# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern. 0 20% 4320

################################################################################

Приведенный конфиг 100% рабочий.

Стартуем Squid:

service squid start

Как это работает.

В настройках браузера прописываем адрес и порт 3128 нашего прокси сервера. Заходим на страницу сайта, получаем приглашение ввести логин и пароль.

Если наш пользователь padmins правильно ввел пароль, squid его пропускает и к нему применяются правила заданной группы. Из конфига видно, что для группы admins-proxy ограничений нет. Есть только привязка к mac адресам из списка.

Теперь если наш пользователь pusers правильно ввел пароль, squid его пропускает и к нему применяются правила заданной группы. Из конфига видно, что для группы users-proxy применяются фильтры url-block (список блокировки url), block-extension (список блокировки расширений) и media (списк блокировки стрим потоков).

И не забываем открыть порт, если он закрыт:

iptables -A INPUT -p tcp -m state -m tcp -s 192.168.0.0/16 --dport 3128 --state NEW -j ACCEPT

Оригинал статьи http://habrahabr.ru/post/197154/

Начальная настройка коммутатора HP 1910 серии

2013-08-18T19:40:00.003-07:00

По многочисленным просьбам напишу о том, как выполнить начальную настройку коммутаторов HP 1910 серии (JE005A, JE006A, JE007A, JE008A, JE009A, JG348A, JG349A, JG350A) и братьев-близнецов от 3Com – Baseline Switch 2952 и подобной серии. Вся настройка будет производиться через CLI (Command Line Interface), так как пользоваться web-интерфейсом подчас просто неудобно!

Как осуществить подключение к данному коммутатору, синтаксис команд для входа в режим конфигурирования, я написал в предыдущей статье.
Итак, подключаемся к устройству и входим в режим System View. Просмотрим, что уже сконфигурировано, задаем имя нашему коммутатору (Main-Switch), устанавливаем часовую зону (Москва), устанавливаем время и текущую дату, любуемся результатами:

Press ENTER to get started.
Login authentication
Username:admin
Password:

#Apr 26 12:00:32:638 2000 HP SHELL/4/LOGIN:
 Trap 1.3.6.1.4.1.25506.2.2.1.1.3.0.1:admin login from Console
%Apr 26 12:00:32:763 2000 HP SHELL/5/SHELL_LOGIN: admin logged in from aux0.
_cmdline-mode on
All commands can be displayed and executed. Continue? [Y/N]y
Please input password:******
Warning: Now you enter an all-command mode for developer's testing, some commands may affect operation
by wrong use, please carefully use it with our engineer's direction.
system-view
System View: return to User View with Ctrl+Z.
[HP]display current-configuration
[HP]sysname Main-Switch
[Main-Switch]clock timezone MSK4 add 04:00:00
[Main-Switch]quit
clock datetime 12:47:00 02/06/2013
system-view
System View: return to User View with Ctrl+Z.
[Main-Switch]display clock
12:47:10 MSK4 Wed 02/06/2013
Time Zone : MSK4 add 04:00:00
[Main-Switch]

Теперь активируем необходимые сервисы (Telnet и SSH), задаем супер-пароль и пароль локальному пользователю admin (пароли задавайте свои). По желанию, вы можете завести своего пользователя (не забудьте только дать ему разрешение на интересующие вас сервисы: ssh, telnet или terminal):

[Main-Switch]telnet server enable
% Start Telnet server
[Main-Switch]ssh server enable
Info: Enable SSH server.
[Main-Switch]super password level 3 simple PASS1
[Main-Switch]local-user admin
[Main-Switch-luser-admin]password simple PASS2
[Main-Switch-luser-admin]quit
[Main-Switch]

Настроим параметры интерфейса Vlan-interface1 (в который объединены по-умолчанию все сетевые интерфейсы коммутатора): его описание, ip-адрес, установим маршрут по-умолчанию (192.168.0.1 – маршрутизатор), настроим сервис сетевого времени ntp (на 192.168.0.1 работает ntpd сети):

[Main-Switch]interface Vlan-interface1
[Main-Switch-Vlan-interface1]description LOCALNET
[Main-Switch-Vlan-interface1]ip address 192.168.0.10 255.255.255.0
[Main-Switch-Vlan-interface1]quit
[Main-Switch]ip route-static 0.0.0.0 0.0.0.0 192.168.0.1
[Main-Switch]ntp-service source-interface Vlan-interface1
[Main-Switch]ntp-service unicast-server 192.168.0.1

Зададим настройки для DNS:

[Main-Switch]dns domain domain.ru
[Main-Switch]dns server 192.168.0.2
[Main-Switch]dns source-interface Vlan-interface1

Пусть, к примеру, с 1 по 6 интерфейс нашего коммутатора будут не использованными. Зададим каждому из них описание и “опустим” его:

[Main-Switch]interface GigabitEthernet 1/0/1
[Main-Switch-GigabitEthernet1/0/1]description NOT-USED
[Main-Switch-GigabitEthernet1/0/1]shutdown
[Main-Switch-GigabitEthernet1/0/1]quit
[Main-Switch]

Если вы желаете собирать статистику с помощью snmp, вам необходимо сделать следующие настройки:

[Main-Switch]snmp-agent
[Main-Switch]snmp-agent community read public
[Main-Switch]snmp-agent community write private
[Main-Switch]snmp-agent sys-info contact support@domain.ru
[Main-Switch]snmp-agent sys-info location SIT, Domian
[Main-Switch]snmp-agent sys-info version all

Про настройку vlan. Допустим в нашей сети существует vlan 100, предназначенный для гостей и сторонних пользователей. Разберем общий случай, когда наш настраиваемый сейчас коммутатор является “проходным”. Т.е. к нему непосредственно подключено два “гостя” из подсети, настроенной для vlan 100 (порты GigabitEthernet 1/0/20 и GigabitEthernet 1/0/21, в которых будет непосредственно тегированный трафик) и два порта являются транслирующими гибридными (GigabitEthernet 1/0/27 и GigabitEthernet 1/0/28, по которым идет и тегированный трафик, и нетегированный).
Обозначим наличие нашего vlan’а и сделаем описание для портов GigabitEthernet 1/0/20 и GigabitEthernet 1/0/21:

[Main-Switch]vlan 100
[Main-Switch-vlan100]description GUESTNET
[Main-Switch-vlan100]port GigabitEthernet 1/0/20
[Main-Switch-vlan100]port GigabitEthernet 1/0/21
[Main-Switch-vlan100]quit
[Main-Switch]interface GigabitEthernet 1/0/20
[Main-Switch-GigabitEthernet1/0/20]description GUEST1
[Main-Switch-GigabitEthernet1/0/20]quit
[Main-Switch]interface GigabitEthernet 1/0/21
[Main-Switch-GigabitEthernet1/0/21]description GUEST2
[Main-Switch-GigabitEthernet1/0/21]quit
[Main-Switch]

Настроим гибридные порты GigabitEthernet 1/0/27 и GigabitEthernet 1/0/28:

[Main-Switch]interface GigabitEthernet 1/0/27
[Main-Switch-GigabitEthernet1/0/27]description TO-SERVERN
[Main-Switch-GigabitEthernet1/0/27]port link-type hybrid
[Main-Switch-GigabitEthernet1/0/27]port hybrid vlan 100 tagged
 Please wait... Done.
[Main-Switch-GigabitEthernet1/0/27]port hybrid vlan 1 untagged
 Please wait... Done.
[Main-Switch-GigabitEthernet1/0/27]quit
[Main-Switch]interface GigabitEthernet 1/0/28
[Main-Switch-GigabitEthernet1/0/28]description TO-OTHERS
[Main-Switch-GigabitEthernet1/0/28]port link-type hybrid
[Main-Switch-GigabitEthernet1/0/28]port hybrid vlan 100 tagged
 Please wait... Done.
[Main-Switch-GigabitEthernet1/0/28]port hybrid vlan 1 untagged
 Please wait... Done.
[Main-Switch-GigabitEthernet1/0/28]quit
[Main-Switch]

Теперь можно просмотреть, что у нас получилось и сохраним сделанные изменения:

[Main-Switch]display current-configuration
#
 version 5.20, Release 1513P06
#
 sysname Main-Switch
#
 clock timezone MSK4 add 04:00:00
#
 super password level 3 cipher $c$3$b+gWAA1NfPIXi2Rnzk/ABXPTg6E+/38A2g==
#
 domain default enable system
#
 dns server 192.168.0.2
 dns domain domain.ru
 dns source-interface Vlan-interface1
#
 telnet server enable
#
 ip ttl-expires enable
#
vlan 1
#
vlan 100
 description GUESTNET
#
domain system
 access-limit disable
 state active
 idle-cut disable
 self-service-url disable
#
user-group system
#
local-user admin
 password cipher $c$3$ef/TRA/SrMaU2S9HxDEhhGMIUoivTrkdnA==
 authorization-attribute level 3
 service-type ssh telnet terminal
#
 stp mode rstp
 stp enable
#
interface NULL0
#
interface Vlan-interface1
 description LOCALNET
 ip address 192.168.0.10 255.255.255.0
#
interface GigabitEthernet1/0/1
 description NOT-USED
 shutdown
 stp edged-port enable
...
#
interface GigabitEthernet1/0/7
 stp edged-port enable
...
#
interface GigabitEthernet1/0/20
 description GUEST1
 port access vlan 100
 stp edged-port enable
#
interface GigabitEthernet1/0/21
 description GUEST2
 port access vlan 100
 stp edged-port enable
#
interface GigabitEthernet1/0/22
 stp edged-port enable
...
#
interface GigabitEthernet1/0/26
 stp edged-port enable
#
interface GigabitEthernet1/0/27
 description TO-SERVERN
 port link-type hybrid
 port hybrid vlan 100 tagged
 port hybrid vlan 1 untagged
 stp edged-port enable
#
interface GigabitEthernet1/0/28
 description TO-OTHERS
 port link-type hybrid
 port hybrid vlan 100 tagged
 port hybrid vlan 1 untagged
 stp edged-port enable
#
 ip route-static 0.0.0.0 0.0.0.0 192.168.0.1
#
 snmp-agent
 snmp-agent local-engineid 800063A203D07E284B2068
 snmp-agent community read public
 snmp-agent community write private
 snmp-agent sys-info contact support@domain.ru
 snmp-agent sys-info location SIT, Domian
 snmp-agent sys-info version all
#
 ntp-service source-interface Vlan-interface1
 ntp-service unicast-server 192.168.0.1
#
 ssh server enable
#
user-interface aux 0
 authentication-mode scheme
user-interface vty 0 15
 authentication-mode scheme
#
return
[Main-Switch]save
The current configuration will be written to the device. Are you sure? [Y/N]:y
Please input the file name(*.cfg)[flash:/startup.cfg]
(To leave the existing filename unchanged, press the enter key):
 Validating file. Please wait....
 Saved the current configuration to mainboard device successfully.
 Configuration is saved to device successfully.
[Main-Switch]

Как настроен тот или иной элемент вашей конфигурации можно просмотреть с помощью команды display + …

[Main-Switch]display dns server
 Type:
  D:Dynamic    S:Static
DNS Server  Type  IP Address
    1       S     192.168.0.2
[Main-Switch]display ntp-service status
 Clock status: synchronized
 Clock stratum: 3
 Reference clock ID: 192.168.0.1
 Nominal frequency: 100.0000 Hz
 Actual frequency: 100.0000 Hz
 Clock precision: 2^17
 Clock offset: -0.0863 ms
 Root delay: 10.89 ms
 Root dispersion: 26.96 ms
 Peer dispersion: 16.68 ms
 Reference time: 10:34:41.318 UTC Feb 6 2013(D4BCB041.5177318F)
[Main-Switch]display vlan 100
 VLAN ID: 100
 VLAN Type: static
 Route Interface: not configured
 Description: GUESTNET
 Name: VLAN 0100
 Tagged   Ports:
    GigabitEthernet1/0/27    GigabitEthernet1/0/28
 Untagged Ports:
    GigabitEthernet1/0/20    GigabitEthernet1/0/21
[Main-Switch]]display ssh server status
 SSH server: Enable
 SSH version : 1.99
 SSH authentication-timeout : 60 second(s)
 SSH server key generating interval : 0 hour(s)
 SSH authentication retries : 3 time(s)
 SFTP server: Disable
 SFTP server Idle-Timeout: 10 minute(s)
[Main-Switch]display snmp-agent sys-info
   The contact person for this managed node:
           support@domain.ru
   The physical location of this node:
           SIT, Domian
   SNMP version running in the system:
           SNMPv1 SNMPv2c SNMPv3

Отменить какую-либо настройку можно с помощью команды undo.
Вот, в принципе, и все. Именно с такими настройками у меня работает несколько коммутаторов в сети с поддержкой нескольких vlan.
Оригинал http://www.maxblogs.ru/articles/nachalnaya-nastroika-kommutatora-hp-1910-serii

CLI в 3Com Baseline Switch 2952-SFP Plus

2013-08-18T19:38:00.003-07:00

Возможности интерфейса командной строки (англ. Command line interface, CLI). Получить доступ к полному набору команд на данном свиче оказалось делом не тривиальным.

Почему-то производитель предлагает производить настройку этого оборудования исключительно через web-интерфейс. Это довольно не удобно. Поэтому добавив коммутатору необходимые сервисы (ssh или Telnet), сконфигурировав доступ пользователю к этим сервисам, войдем в наш свич, используя, к примеру, ssh:

 login as: admin
 admin@192.168.100.20’s password:

 ******************************************************************************
 * Copyright © 2004-2012 3Com Corp. and its licensors. All rights reserved.   *
 * This software is protected by copyright law and international treaties.    *
 * Without the prior written permission of 3Com Corporation and its licensors,*
 * any reproduction republication, redistribution, decompiling, reverse       *
 * engineering is strictly prohibited. Any unauthorized use of this software  *
 * or any portion of it may result in severe civil and criminal penalties, and*
 * will be prosecuted to the maximum extent possible under the applicable law.*
 ******************************************************************************

Но, как оказалось, список команд для администрирования очень невелик:

<3com baseline="" switch="">?
User view commands:
  initialize  Delete the startup configuration file and reboot system
  ipsetup     Specify the IP address of the VLAN interface 1
  password    Specify password of local user
  ping        Ping function
  quit        Exit from current command view
  reboot      Reboot system
  summary     Display summary information of the device.
  upgrade     Upgrade the system boot file or the Boot ROM program

Полезным из всего этого может оказаться только команда summary:

 <3com baseline="" switch="">sum
 Select menu option:             Summary
 IP Method:                      Manual
 IP address:                     192.168.100.20
 Subnet mask:                    255.255.255.0
 Default gateway:

 Current boot app is: flash:/V1910-CMW520-R1111.bin
 Next main boot app is: flash:/v1910-cmw520-r1111.bin
 Next backup boot app is: NULL

 3Com Corporation
 3Com Baseline Switch 2952-SFP Plus Software Version 5.20 Release 1111
 Copyright © 2004-2012 3Com Corp. and its licensors. All rights reserved.
 3Com Baseline Switch 2952-SFP Plus uptime is 0 week, 0 day, 0 hour, 6 minutes

 3Com Baseline Switch 2952-SFP Plus
 128M    bytes DRAM
 128M    bytes Nand Flash Memory
 Config Register points to Nand Flash

 Hardware Version is REV.B
 CPLD Version is 002
 Bootrom Version is 151
 [SubSlot 0] 48GE+4SFP Hardware Version is REV.B

Но все-таки существует возможность получения полного списка команд и настройки данного сетевого коммутатора через его командную строку. Для этого дадим “волшебную” команду _cmdline-mode on, подтвердим свое нетерпимое желание получить доступ к полному списку команд и введем заводской пароль 512900:

<3com baseline="" switch="">_cmdline-mode on
All commands can be displayed and executed. Continue? [Y/N]y
Please input password:******
Warning: Now you enter an all-command mode for developer's testing, some commands may affect
operation by wrong use, please carefully use it with our engineer's direction.

В этом режиме становятся доступными гораздо больше команд!

<3com baseline="" switch="">?
User view commands:
  archive        Specify archive settings
  backup         Backup next startup-configuration file to TFTP server
  boot-loader    Set boot loader
  bootrom        Update/read/backup/restore bootrom
  cd             Change current directory
  clock          Specify the system clock
  cluster        Run cluster command
  copy           Copy from one file to another
  debugging      Enable system debugging functions
  delete         Delete a file
  dir            List files on a file system
  display        Display current system information
  fixdisk        Recover lost chains in storage device
  format         Format the device
  free           Clear user terminal interface
  ftp            Open FTP connection
  initialize     Delete the startup configuration file and reboot system
  ipsetup        Specify the IP address of the VLAN interface 1
  lock           Lock current user terminal interface
  logfile        Specify log file configuration
  mkdir          Create a new directory
  more           Display the contents of a file
  move           Move the file
  ntdp           Run NTDP commands
  password       Specify password of local user
  ping           Ping function
  pwd            Display current working directory
  quit           Exit from current command view
  reboot         Reboot system
  rename         Rename a file or directory
  reset          Reset operation
  restore        Restore next startup-configuration file from TFTP server
  rmdir          Remove an existing directory
  save           Save current configuration
  schedule       Schedule system task
  screen-length  Specify the lines displayed on one screen
  send           Send information to other user terminal interface
  sftp           Establish one SFTP connection
  ssh2           Establish a secure shell client connection
  stack          Switch stack system
  startup        Specify system startup parameters
  summary        Display summary information of the device.
  super          Set the current user priority level
  system-view    Enter the System View
  telnet         Establish one TELNET connection
  terminal       Set the terminal line characteristics
  tftp           Open TFTP connection
  tracert        Trace route function
  undelete       Recover a deleted file
  undo           Cancel current setting
  upgrade        Upgrade the system boot file or the Boot ROM program

Но чтобы войти в режим конфигурирования, необходимо дать команду system-view, после чего мы получим полноценный доступ к управляющим командам:

<3com baseline="" switch="">sys
System View: return to User View with Ctrl+Z.
[3Com Baseline Switch]?
System view commands:
  aaa                      Specify AAA configuration
  acl                      Specify acl configuration information
  archive                  Specify archive settings
  arp                      Specify ARP configuration information
  bootrom-update           bootrom update
  clock                    Specify the system clock
  cluster                  Specify cluster configuration information
  command-privilege        Specify the command level
  configuration            Specify configuration settings
  copyright-info           Copyright information configuration
  cut                      Cut connection
  delete                   Delete function
  dhcp                     DHCP configuration subcommands
  dhcp-snooping            DHCP Snooping
  display                  Display current system information
  domain                   Add domain or modify domain attributes
  dot1x                    Specify 802.1X configuration information
  execute                  Batch Command
  file                     Specify file system configuration information
  ftp                      Specify FTP configuration information
  gratuitous-arp-learning  Gratuitous Arp learning function
  gratuitous-arp-sending   Sending gratuitous-arp packet when receiving
                           different sub-network arp packet function
  habp                     Specify HABP configuration information
  header                   Specify the login banner
  hotkey                   Specify hotkey configuration information
  igmp-snooping            IGMP snooping
  info-center              Specify information center configuration information
  interface                Specify the interface configuration view
  ip                       Specify IP configurations for the system
  job                      Schedule a system task
  jumboframe               Jumboframe command
  lacp                     Configure LACP Protocol
  lldp                     Link Layer Discovery Protocol(802.1ab)
  local-user               Specify local user configuration information
  logfile                  Specify log file configuration
  loopback-detection       Detect if loopback exists
  mac-address              Configure MAC address
  mib-style                MIB style
  mirroring-group          Specify mirroring-group
  multicast-vlan           Multicast VLAN
  ndp                      Neighbor discovery protocol
  ntdp                     Specify NTDP configuration information
  ntp-service              Specify NTP(Network Time Protocol) configuration
                           information
  ping                     Ping function
  pki                      Specify PKI module configuration information
  port-group               Port group
  public-key               Specify public-key module configuration information
  qos                      Command of QoS(Quality of Service)
  quit                     Exit from current command view
  radius                   Specify RADIUS configuration information
  return                   Exit to User View
  rmon                     Specify RMON
  save                     Save current configuration
  sftp                     Specify SFTP service attribute
  snmp-agent               Specify SNMP(Simple Network Management Protocol)
                           configuration information
  ssh                      Specify SSH (secure shell) configuration information
  ssl                      Specify SSL (Secure Socket Layer) configuration
                           information
  stack                    Switch stack system
  storm-constrain          Port storm-constrain
  stp                      Spanning tree protocol
  super                    Modify super password parameters
  sysname                  Specify the host name
  system-failure           System failure handling method
  system-guard             System guard function
  tcp                      Specify TCP(Transmission Control Protocol)
                           configuration information
  telnet                   Specify TELNET configuration information
  temperature-limit        Set temperature limit
  tftp                     Specify TFTP configuration information
  tftp-server              TFTP Server
  time-range               Specify time-range configuration information
  tracert                  Trace route function
  traffic                  Specify traffic configuration information
  undo                     Cancel current setting
  user-group               Specify user group configuration information
  user-interface           Configure the user terminal interface
  vlan                     Configure VLAN
  voice                    Specify voice VLAN
  web                      Web configuration

Описание каждой из этих команд можно получить таким же способом, как и при конфигурировании cisco. Пример – опции команды clock:

[3Com Baseline Switch]clock ?
  summer-time  Configure summer time
  timezone     Configure time zone

Быть может, приведенная здесь информация окажется кому-нибудь полезной.

Оригинал http://www.maxblogs.ru/articles/cli-v-3com-baseline-switch-2952-sfp-plus

Сброс пароля на коммутаторе HP 1910 серии

2013-07-18T02:02:00.003-07:00

В данной заметке опишу способ сброса пароля на коммутаторе HP 1910 серии. Он подойдет ко многим его модификациям: JE005A, JE006A, JE007A, JE008A, JE009A, JG348A, JG349A, JG350A. А так как компания Hewlett-Packard поглотила в свое время 3Com и продолжила выпускать их продукцию уже под своим брендом, то написанное ниже будет справедливо также и для коммутаторов 3Com Baseline Switch 2952 и подобной серии.

Для выполнения процедуры сброса забытого или неизвестного пароля вам необходим физический доступ к устройству. Подключите коммутатор с помощью соединительного кабеля (идет в комплекте) из порта Console (38400.8.1.N) на самом свиче к com-порту компьютера. При этом мной используется программа PuTTY: A Free Telnet/SSH Client:

Для установки соединения с помощью этой программы, в главном окне установите переключатель в Serial:

Затем измените настройки подключения в:

Speed (baud) – 38400;
Data bits – 8;
Stop bits – 1;
Flow control – None.

Нажмите кнопку Open и только после этого подайте электропитание на коммутатор. Теперь в начальный момент загрузки, когда на экране вы увидите надпись Press Ctrl-B to enter Extended Boot menu, вы должны успеть нажать требуемую комбинацию (Ctrl-B) на клавиатуре для входа в расширенное меню загрузки. На вопрос Please input BootRom password, просто нажмите ввод. По-умолчанию данный пароль “пустой”:

 Starting……

 *************************************
 * HP V1910-24G Switch BOOTROM, Version 158 *
 *************************************
 Copyright © 2010-2012 Hewlett-Packard Development Company, L.P.

 Creation Date       : Jun 15 2012
 CPU L1 Cache        : 32KB
 CPU Clock Speed     : 333MHz
 Memory Size         : 128MB
 Flash Size          : 128MB
 CPLD Version        : 002
 PCB Version         : Ver.B
 Mac Address         : D07E284B2066

 Press Ctrl-B to enter Extended Boot menu…0
 Please input BootRom password:

    BOOT MENU

 1. Download application file to flash
 2. Select application file to boot
 3. Display all files in flash
 4. Delete file from flash
 5. Modify BootRom password
 6. Enter BootRom upgrade menu
 7. Skip current system configuration
 8. Set BootRom password recovery
 9. Set switch startup mode
 0. Reboot

 Enter your choice(0-9):

В данном меню выберите пункт 7 – “Пропустить существующую системную настройку”, подтвердите свое желание, ответив Y на соответствующий вопрос, и выполните перезагрузку коммутатора, выбрав пункт меню 0:

 Enter your choice(0-9): 7
 The current setting will run with current configuration file when reboot.
 Are you sure you want to skip current configuration file when reboot? Yes or No
 (Y/N):Y
 Setting…Done!

    BOOT MENU

 1. Download application file to flash
 2. Select application file to boot
 3. Display all files in flash
 4. Delete file from flash
 5. Modify BootRom password
 6. Enter BootRom upgrade menu
 7. Skip current system configuration
 8. Set BootRom password recovery
 9. Set switch startup mode
 0. Reboot

 Enter your choice(0-9): 0
 Starting……

 *************************************
 * HP V1910-24G Switch BOOTROM, Version 158 *
 *************************************
 Copyright © 2010-2012 Hewlett-Packard Development Company, L.P.

 Creation Date       : Jun 15 2012
 CPU L1 Cache        : 32KB
 CPU Clock Speed     : 333MHz
 Memory Size         : 128MB
 Flash Size          : 128MB
 CPLD Version        : 002
 PCB Version         : Ver.B
 Mac Address         : D07E284B2066

 Press Ctrl-B to enter Extended Boot menu…0
 Starting to get the main application file—flash:/V1910-CMW520-R1513P06.bin!…
 ……………………………………………………………………
 The main application file is self-decompressing……………………………
 ……………………………………………………………………
 ……Done!
 System is starting…
 Configuration file is skipped.
 User interface aux0 is available.

 Press ENTER to get started.

Нажав ENTER, вы попадете сразу в командную строку. Нам надо войти в режим конфигурирования с помощью команды _cmdline-mode on, введя заводской пароль 512900. После чего скопируем существующие настройки (если у вас есть такая необходимость) на встроенной флеш-карте в файл с другим названием:

_cmdline-mode on
All commands can be displayed and executed. Continue? [Y/N]y
Please input password:******
Warning: Now you enter an all-command mode for developer's testing, some commands may affect operation
by wrong use, please carefully use it with our engineer's direction.
copy flash:/startup.cfg flash:/startup.bak
Copy flash:/startup.cfg to flash:/startup.bak?[Y/N]:y
.
%Copy file flash:/startup.cfg to flash:/startup.bak...Done.

Теперь командой initialize произведем общий сброс устройства к заводским настройкам, после чего switch автоматически перезагрузится:

 initialize
  The startup configuration file will be deleted and the system will be rebooted. Continue? [Y/N]:y
  Please wait…
 #Apr 26 12:03:27:703 2000 HP DEVM/1/REBOOT:
  Reboot device by command.

 %Apr 26 12:03:27:793 2000 HP DEVM/5/SYSTEM_REBOOT: System is rebooting now.

При загрузке вы увидите информацию Startup configuration file does not exist. Все настройки были удалены. Логин и пароль по-умолчанию, используемые в коммутаторах данных серий:

логин – Admin;
пароль – пустой, его нет.

 Starting……

 *************************************
 * HP V1910-24G Switch BOOTROM, Version 158 *
 *************************************
 Copyright © 2010-2012 Hewlett-Packard Development Company, L.P.

 Creation Date       : Jun 15 2012
 CPU L1 Cache        : 32KB
 CPU Clock Speed     : 333MHz
 Memory Size         : 128MB
 Flash Size          : 128MB
 CPLD Version        : 002
 PCB Version         : Ver.B
 Mac Address         : D07E284B2066

 Press Ctrl-B to enter Extended Boot menu…0
 Starting to get the main application file—flash:/V1910-CMW520-R1513P06.bin!…
 ……………………………………………………………………
 The main application file is self-decompressing……………………………
 ……………………………………………………………………
 ……Done!
 System is starting…
 Startup configuration file does not exist.
 User interface aux0 is available.

 Press ENTER to get started.

 Login authentication

 Username:admin
 Password:

Войдем снова в режим конфигурирования, а затем в System View, где доступны все существующие команды CLI с помощью system-view и просмотрим существующую конфигурацию по-умолчанию с помощью display current-configuration:

 _cmdline-mode on
 All commands can be displayed and executed. Continue? [Y/N]y
 Please input password:******
 Warning: Now you enter an all-command mode for developer's testing, some commands may affect operation
 by wrong use, please carefully use it with our engineer's direction.
 system-view
 System View: return to User View with Ctrl+Z.
 [HP]display current-configuration
 #
  version 5.20, Release 1513P06
 #
  sysname HP
 #
  domain default enable system
 #
  ip ttl-expires enable
 #
 vlan 1
 #
 domain system
  access-limit disable
  state active
  idle-cut disable
  self-service-url disable
 #
 user-group system
 #
 local-user admin
  authorization-attribute level 3
  service-type ssh telnet terminal
 #
  stp mode rstp
  stp enable
 #
 interface NULL0
 #
 interface Vlan-interface1
  ip address dhcp-alloc
 #
 interface GigabitEthernet1/0/1
  stp edged-port enable
 #
 ...
 interface GigabitEthernet1/0/28
  stp edged-port enable
 #
 user-interface aux 0
  authentication-mode scheme
 user-interface vty 0 15
  authentication-mode scheme
 #
 return
 [HP]

Выйти из этого режима можно с помощью Ctrl+Z или команды quit.
Во всех режимах, кроме System View, вам доступна команда ipsetup, с помощью которой вы можете быстро настроить сеть на данном коммутаторе, после чего мы можем изъять файл со старыми настройками, положив его на tftp сервер в вашей сети (или же скачать его через web-интерфейс управления свича на настроенном вами ip):

[HP]quit
tftp 192.168.100.70 put flash:/startup.bak
  File will be transferred in binary mode
  Sending file to remote TFTP server. Please wait... \
  TFTP:     2839 bytes sent in 0 second(s).
  File uploaded successfully.

оригинал http://www.maxblogs.ru/articles/sbros-parolya-na-kommutatore-hp-1910-serii

Превращение USB флешки в жесткий диск

2012-11-06T17:31:00.000-08:00

Любую флешку можно без проблем превратить с точки зрения Windows в натуральный жесткий диск. То есть для операционной системы USB флешка будет восприниматься как обычный, фиксированный диск, а не как внешнее переносное устройство. Зачем это может понадобится?

Данный прием описывается в первую очередь для тех, кто захочет подготовить флешку для установки Windows 7 из Windows XP с помощью утилиты DISKPART. Вся проблема в том, что в Windows XP утилита DISKPART вообще в упор не видит флешку. Хоть сто раз вводите для DISKPART команду list disk, бесполезно: в результате нам покажут только доступные жесткие диски и не более того.
Следовательно, из Windows XP с помощью DISKPART вообще нельзя сделать загрузочную флешку с Windows 7.
Однако, какое счастье – эту проблему можно решить хитрым способом. А именно: мы превратим флешку в обычный фиксированный диск. Другими словами, для Windows XP флешка станет еще одним жестким диском. И тогда DISKPART покажет нужный нам диск как миленький. Клево? Еще бы!
Такое превращение флешки пригодится вам и для других целей, везде где вместо съемного жесткого диска вы задумаете использовать флешку.
Кстати, вам интересно какого рожна DISKPART вообще не отображает флешку? Все дело в дескрипторе RMB (removable media bit), записанном на каждой флешке. Именно из-за него Windows XP (да и другие версии Windows) воспринимают флешку как подключаемое устройство (т.е. removable device). Достаточно удалить этот дескриптор и флешка мутирует в жесткий диск, будет отображаться как диск в окне Мой компьютер, всех файловых менеджерах и вообще везде.
Сделать такой финт ушами нам позволит замечательный драйвер от компании Hitachi. Поэтому в первую очередь нам нужно его скачать, а потом и модифицировать.
Скачать драйвер Hitachi для USB флешки
Распакуйте архив драйвера и найдите файл cfadisk.inf. Давайте откроем его. В файле много всякой всячины, но нам нужен один раздел, он называется [cfadisk_device].
И в нем есть основная строка, с которой мы и делаем уличную магию. В файле она выглядит вот так:

%Microdrive_devdesc% = cfadisk_install,USBSTOR\DISK&VEN_JETFLASH&PROD_TS1GJF168&REV_0.00\A7B03577C3F1B5&0

Теперь все, что нам нужно сделать – это заменить выделенную часть записи на идентификационные данные флешки, которую мы будем превращать в жесткий диск. А потом изменим и ее название.
Как это сделать? В первую очередь подключите флешку в порт USB. Теперь откройте Диспетчер устройств (например, выберите Пуск > Выполнить, введите devmgmt.msc и нажмите клавишу ).
Раскройте раздел Дисковые устройства, щелкните правой кнопкой мыши на названии флешки и выберите команду Свойства.

Перейдите на вкладку Сведения. Там сразу будет открыто меню Код экземпляра устройства, именно этот код нам и нужен. Выделите код одним щелчком левой кнопкой мыши и нажмите комбинацию клавиш , чтобы его сохранить в буфер обмена.

Ну а дальше все просто. Открываем файл cfadisk.inf, находим раздел [cfadisk_device], в нем строку что начинается с %Microdrive_devdesc% и меняем указанное значение после %Microdrive_devdesc% = cfadisk_install на скопированное ранее.
Другими словами, нужно изменить строку, выделенную ниже жирным шрифтом на ту, что вы скопировали. Затем сохраните файл cfadisk.inf.

%Microdrive_devdesc% = cfadisk_install,USBSTOR\DISK&VEN_JETFLASH&PROD_TS1GJF168&REV_0.00\A7B03577C3F1B5&0

Теперь меняем название флешки. В самом конце файла cfadisk.inf находим строку Microdrive_devdesc = в разделе [Strings] и меняем значение в скобках на любое другое. Изначально там указано значение “UsbToFix”, можно его и оставить.

Осталось самое главное: установить обновленный драйвер cfadisk.inf для нашей USB флешки. Для этого снова щелкните на названии флешки в окне Диспетчер устройств и выберите команду Обновить драйвер.

Откроется окно Мастер обновления оборудования. Теперь пошагово.

В первом окне выберите переключатель Нет, не в этот раз и щелкните на кнопке Далее.
Выберите переключатель Установка из указанного места, щелкните на кнопке Далее.
Выберите переключатель Не выполнять поиск. Я сам выберу нужный драйвер и щелкните на кнопке Далее.

Щелкните на кнопке Установить с диска.
В окне Установка с диска щелкните на кнопке Обзор и выберите папку драйвера, где находится файл cfadisk.inf.
Windows переспросит, действительно ли вы хотите установить драйвер, щелкните на кнопке Продолжить установку и потом на кнопке Готово.

Теперь дело сделано и флешка превратилась в жесткий диск, ура. Отключите ее, подключите снова и отформатируйте. И теперь смотрите: вместо значка переносного устройства флешка будет отображаться как жесткий диск.

Ну вот и все, флешка успешно превратилась в жесткий диск, и теперь она станет доступной для утилиты DISKPART, а может, вы найдете ей и другое применение.

оригинал статьи http://windata.ru/windows-world/secrety-i-sovety/prevrashhenie-usb-fleshki-v-zhestkij-disk/

Скрытые возможности IPTables

2012-07-25T20:07:00.000-07:00

Оригинал статьи: Linux Journal, April 2004

С помощью этого мощного набора расширений для iptables вы сможете строить свои правила основываясь на анализе содержимого пакетов, диапазона портов и даже создавать ловушки для злоумышленников.
Iptables в Linux позволяет строить весьма мощные брандмауэры, ничуть не уступающие по своим характеристикам многим коммерческим системам защиты. По сути своей, iptables основывается на фильтрации пакетов, проходящих через соединение, и в соответствии с набором правил определяет ту или иную реакцию брадмауэра на эти пакеты. В самых простых случаях iptables может использоваться для того, чтобы сбросить одни пакеты и пропустить другие. При этом обычно анализируются IP-адрес пакета, номер порта и направление движения пакета. Кроме того iptables может анализировать статус пакета (NEW, ESTABLISHED, RELATED и пр. прим. перев.)
Простая и очень эффективная возможность блокировки входящего трафика, инициированного извне, совместно с функциями трансляции сетевых адресов (NAT) дает возможность пользователям свободного выхода во "внешний мир" и надежно защищает их от вторжений извне. Обычно такие наборы правил несколько упрощены, и возможно их следует расширить дополнительными фильтрами, но сама концепция остается неизменной.
Iptables может предложить много больше, чем эти простые критерии. Некоторые из дополнений известны довольно широко и даже включаются в состав некоторых дистрибутивов Linux. Другие не так известны, но тем не менее так же заслуживают пристального внимания. Об этих дополнительных возможностях я и собираюсь рассказать вам в этой статье. Для того, чтобы описать все дополнения потребовалась бы целая книга, я лишь хочу побудить вас к дальнейшему самостоятельному их изучению.

Введение в POM

Netfilter состоит из двух больших групп компонентов, первая -- компоненты включенные в состав ядра (и выполняющиеся в пространстве ядра), вторая -- это команды и утилиты выполняющиеся в пространстве пользователя, сюда можно отнести собственно команду iptables, ряд вспомогательных утилит, библиотеки, страницы справочного руководства и скрипты. К компонентам ядра можно отнести "заплаты" на исходные тексты ядра и дополнительные модули.
Наложение "заплат" на ядро -- задача весьма нетривиальная и для непосвященного может оказаться весьма сложной и запутанной. Ошибки при наложении "заплат" или наложение "заплат" несовместимых с данной версией ядра, могут привести к тому, что ядро невозможно будет собрать или хуже того -- ядро откажется загружаться. Команда разработчиков Netfilter постаралась упростить процесс наложения "заплат", поставляя в составе POM, или Patch-o-matic, сценарии, выполняющие эту работу за нас. POM -- это набор "заплат" на исходные тексты ядра и комплект сценариев, выполняющих наложение этих "заплат", что делает возможным работу с POM даже для новичков.
"Заплаты", входящие в состав POM подразделяются на ряд категорий, в зависимости от хронологии и уровня готовности. Некоторые из них обязательны при каждой установке iptables/Netfilter. Другие -- необязательные или находящиеся на стадии тестирования, но предоставляющие весьма интересные дополнительные возможности, это и есть те самые скрытые возможности, которым посвящена данная статья. В документации к POM они описаны как: "Maybe broken, Maybe cool extensions." ("Возможно неустойчивы в работе. Возможно чертовски хороши." да простит меня читатель за эмоциональный перевод прим. перев.)
Установка POM очень проста: скачайте тарболл с последней версией Patch-o-matic из каталога /pub/patch-o-matic на ftp.netfilter.org, распакуйте и запустите соответствующую команду, само собой разумеется из под пользователя root. Не забудьте указать корректный путь к исходным текстам ядра в параметре KERNEL_DIR:

KERNEL_DIR=/usr/src/linux-2.4 ./runme extra

Сам процесс установки -- интерактивный и достаточно понятный.


Расширение string
	Расширение string -- на мой взгляд одно из самых востребованных, среди прочих дополнений из POM. Оно позволяет выполнять фильтрацию пакетов, основываясь на анализе содержимого области данных пакета. Этот модуль имеет очень широкую область применений, но тут главное не перестараться. Как один из вариантов применения, можно привести возможность блокировки скачивания исполняемых файлов в формате ELF через WEB. Известно, что исполняемые файлы в формате ELF начинаются символом с кодом 7Fh, за которым следуют буквы ELF. Таким образом можно проанализировать все пакеты, поступающие из Интернет с исходящего порта 80, на предмет наличия в области данных пакета требуемой комбинации символов. Шестнадцатиричные коды символов должны заключаться между символами "\|", например так: `\|7F\|ELF`. Если предположить, что в Интернет "смотрит" интерфейс eth0, то фильтрующее правило может выглядеть примерно так: iptables -A FORWARD -i eth0 -p tcp --sport 80 \ -m string --string '\|7F\|ELF' -j DROP Синтаксис записи шестнадцатиричных кодов символов, в данном виде, поддерживается iptables, начиная с версии 1.2.8. Если вы используете более раннюю версию, то вам придется прибегнуть к "обману", например: --string "`dd if=/bin/ls bs=4 count=1 2>/dev/null`" здесь в критерий попадут первые четыре символа из файла /bin/ls, который является исполняемым файлом формата ELF и который содержит требуемую нам комбинацию символов. А теперь несколько расширим этот пример. Допустим, что мы абсолютно доверяем содержимому, поступающему с адреса 192.168.0.5 и потому не хотим фильтровать трафик, поступающий с этого адреса. Делается это простым добавлением инвертированного критерия проверки исходящего IP-адреса, например так: iptables -A FORWARD -i eth0 -p tcp \ ! -s 192.168.0.5 --sport 80 -m string \ --string '\|7F\|ELF' -j DROP Однако данные правила не свободны от ошибок. Первое -- приведенный здесь критерий будет срабатывать для любого пакета, в области данных которого содержится указанная комбинация символов, а не только в начале передаваемого исполняемого файла. Это может вызвать ложные срабатывания критерия и привести к блокировке вполне легитимных пакетов. Второе -- если искомая последовательность символов окажется разнесенной по двум, или более, смежным пакетам (начало искомой строки в конце одного пакета, а конец строки в начале другого), то критерий не сработает. Искомая строка должна полностью входить в состав одного пакета. Таким образом, критерий string может сослужить неплохую службу, но вам не следует забывать об упомянутых выше особенностях. Кроме того, он чувствителен к регистру символов и не сможет среагировать на строку, разнесенную по смежным пакетам.
Расширение mport
	Расширение mport позволяет указывать в одном правиле список портов и диапазон портов. Без этого расширения iptables позволяет указывать что-то одно -- либо один порт, либо диапазон портов (хочется упомянуть о существовании расширения multiport, которое уже включено в ядро, однако это расширение позволяет подставить только список портов т.е. не позволяет объединять список портов и диапазон в один критерий прим. перев.). С помощью расширения mport допускается более сложный синтакис. Например: мы хотим разрешить соединения с X-терминалов, Web и почту. Для этого мы теперь можем построить единственное правило, например так: iptables -A INPUT -p tcp -m mport \ --dports 80,110,21,6000:6003 -j ACCEPT Без расширения mport нам пришлось бы создать несколько правил: iptables -A INPUT -p tcp --dports 80 -j ACCEPT iptables -A INPUT -p tcp --dports 110 -j ACCEPT iptables -A INPUT -p tcp --dports 21 -j ACCEPT iptables -A INPUT -p tcp --dports 6000:6003 -j ACCEPT От переводчика: При использовании расширения multiport нам потребовалось бы написать два правила: iptables -A INPUT -p tcp -m multiport --dports 21,80,110 -j ACCEPT iptables -A INPUT -p tcp --dports 6000:6003 -j ACCEPT Создание единственного правила вместо четырех безусловно влечет за собой повышение пропускной способности брандмауэра и снижение нагрузки на систему, поскольку теперь пакеты обрабатываются одним правилом вместо четырех. Кроме того, набор правил можно упростить, благодаря тому, что теперь сервисы, требующие идентичной обработки легко группируются в одно правило.
Расширение time
	Расширение time позволяет строить логику критерия, основанную на текущем времени суток и дне недели. Например, можно ограничить доступ к WEB-серверу в определенное время суток или перенаправить трафик на зеркалирующий WEB-сервер в часы проведения плановых профилактических работ на основном сервере. Следующий пример иллюстрирует ограничение доступа к WEB-серверу по пятницам, с 4 до 6:30 часов утра, на время проведения профилактических работ: iptables -A INPUT -p tcp -d 80 -m time \ --timestart 04:00 --timestop 06:30 --days Fri \ --syn -j REJECT Следует отметить, что все три ключа -timestart, -timestop и -days обязательно должны быть включены в правило. Таким образом, если необходимо построить аналогичное правило, которое не зависит от дня недели, то вам придется явно указать все семь дней недели.
Создание ловушек
	Едва ли кто нибудь из нас желал бы угодить в ловушку, если конечно вы цените свою жизнь. Расширение TARPIT представляет собой эквивалент ловушки -- попавшему в нее не удастся быстро выбраться на свободу. Если вы были настолько неблагоразумны, что попытались установить соединение с портом-ловушкой, то обнаружите, что закрыть такое соединение (и освободить тем самым системные ресурсы) не так-то просто. Чтобы добиться такого эффекта, iptables подтверждает запрос на TCP/IP соединение и устанавливает размер окна равным нулю, что вынуждает атакующую систему прекратить передачу данных -- очень напоминает нажатие комбинации Ctrl+S в терминале. Любые попытки атакующего закрыть соединение игнорируются, таким образом соединение остается открытым, пока не истечет срок тайм аута (обычно 12-24 минуты), что в свою очередь приводит к расходу системных ресурсов атакующей системы (но не системы-ловушки). Правило, создающее ловушку может выглядеть примерно так: iptables -A INPUT -p tcp -m tcp -dport 80 -j TARPIT Едва ли стоит использовать conntrack и TARPIT на одной и той же системе, особенно если ожидается большое число соединений, попавших в ловушку. Каждое такое соединение будет расходовать ресурсы conntrack. Еще один пример -- как можно оконфузить злоумышленника, имитируя поведение Microsoft Windows. В ответ на попытку сканирования портов netbios система может отвечать системе атакующего, а затем переводить эти соединения на TARPIT. Атакующий будет тратить время впустую, полагая, что порты открыты и пытаясь установить соединение. Он будет крепко раздосадован долгим ожиданием ответа и явно безумным поведением атакуемой системы. Правило, которое дает такой эффект может выглядеть следующим образом: iptables -A INPUT -p tcp -m tcp -m mport \ --dports 135,139,1025 -j TARPIT Еще один пример использования TARPIT -- установить ловушки на ВСЕ порты, кроме определенных вами. Это опять-таки будет вводить в заблуждение посторонних, демонстрируя им, что все порты открыты и заставляя их тратить свое время на попытки установить соеднение. Более того, это предотвращает возможность определения типа операционной системы на системе-ловушке с помощью tcpdump. В данном примере легитимными считаются только сервисы WEB и E-MAIL, любые другие соединения будут "срываться" в ловушку. iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT iptables -A INPUT -p tcp -m tcp -j TARPIT На www.spinics.net/lists/netfilter/msg17583.html вы найдете интересный пример из реальной жизни, когда расширение string и TARPIT сослужили неплохую службу системному администратору (не мне) .
Срабатывание критерия с заданной вероятностью
	Расширение random позволяет строить критерии, срабатывание которых зависит от заданной вероятности. Вы можете построить такой критерий, который будет срабатывать с вероятностью в диапазоне от 0% до 100% случаев. Это расширение можно использовать, например, для эмуляции неустойчивости соединения с сервером или для равномерного распределения нагрузки по нескольким зеркалам. Пример, приведенный ниже, демонстрирует распределение WEB-трафика по трем серверам. Первое правило отправляет 33% соединений на адрес 192.168.0.100. Следующее правило отправляет 33% от общего числа соединений (50% от оставшихся 66% после первого правила прим. перев.) на адрес 192.168.0.101 и последнее правило отправляет все остальные соединения на адрес 192.168.0.102: iptables -t nat -A PREROUTING -i eth0 -p tcp \ --dport 80 --syn -m random --average 33 \ -j DNAT --to-destination 192.168.0.100:80 iptables -t nat -A PREROUTING -i eth0 -p tcp \ --dport 80 --syn -m random --average 50 \ -j DNAT --to-destination 192.168.0.101:80 iptables -t nat -A PREROUTING -i eth0 -p tcp \ --dport 80 --syn -j DNAT \ --to-destination 192.168.0.102:80 Как и прежде предполагается, что в Интернет "смотрит" eth0.

И многое, многое другое

POM предоставляет огромное количество расширений. Я описал здесь лишь очень незначительную их часть. Просто запустите сценарий runme и просмотрите описания к "заплаткам", по мере их появления на экране. Ниже приводится кое что еще из того, что вы сможете обнаружить:

Трассировка соединений для RSH, MMS (media streaming), PPTP, Quake, RPC и Talk.
Расширенная поддержка доступа к конфигурации и к информации о состоянии через файловую систему /proc.
Расширенная поддержка особенностей IPv6.
Манипуляции с полем TTL и другими полями в IP-пакетах.
Более тонкое управление соединениями через NAT.
Ограничение трафика установкой квот и пропускной способности канала.
Блокировка попыток определения типа операционной системы (Anti-OS fingerprinting) и обнаружение сканирования портов. Маркировка соединений (и проверка маркировки).

Справочные материалы

Наложение "заплат" из POM не означает установку описаний новых возможностей в страницы справочного руководства по iptables, поэтому вам придется обращаться непосредственно к сопровождающей документации. Базовый синтаксис того или иного расширения вы сможете получить с помощью встроенной подсказки iptables. Например, iptables -m random --help выведет обычное, для iptables, справочное сообщение, но с дополнительной справкой по расширению random в конце. Аналогичную справку вы получите и для других расширений.
Вы так же можете обращаться к файлам справки по конкретным модулям, которые вы найдете в дереве каталогов Patch-o-matic. Например, справку по модулю random вы найдете в base/random/help. Аналогичные файлы-справки существуют и для других "заплат".
И, наконец, можете обратиться на сайт Netfilter, www.netfilter.org/patch-o-matic, где вы всегда найдете описание для каждой из "заплат", включенной в состав POM.

Установка новых модулей iptables

По большей части, расширения для iptables состоят из двух частей -- "заплаты" на ядро и вспомогательной библиотеки, которая используется командой iptables в пространстве пользователя. Детальное описание процедуры добавления POM модулей вы найдете на www.lowth.com/howto/add-iptables-modules.php. В двух словах процесс установки выглядит так: вам необходимо обновить систему, загрузить последний Patch-o-matic, наложить "заплаты" на ядро (с помощью сценария runme), пересобрать и установить пропатченное ядро и пересобрать и установить iptables.

Заключение

Вы уже наверняка убедились, что Netfilter представляет собой замечательный инструментальный набор, пригодный для построения эффективных брандмауэров, но в большинство дистрибутивов Linux попадают далеко не все расширения. Patch-o-matic, с возможностью практически автоматического процесса наложения "заплат" на ядро, позволяет администраторам расширять функциональность своих брандмауэров, .
Заканчивая свою статью хочется еще раз обратить ваше внимание: мы с вами увидели, что iptables/Netfilter предлагает множество интересных дополнений, которые не видны на первый взгляд. Что справедливо для любого другого программного обеспечения. Это одна из замечательных особенностей open-source -- никто ни от кого ничего не прячет, просто нужно поискать как следует!

Благодарности

Спасибо Jane Lowth за красивые рисунки пингвина Тукса (Tux).

Записки системного администратора

Ограничение доступа к маршрутизатору по telnet или ssh с помощью ACL

Как не надо делать

Как надо делать

Просмотр в VLC multicast потока

Cisco AnyConnect Secure

Mobility Client

The VPN client agent was unable to create the interprocess communication depot

Раздельная политика паролей (Fine-Grained Password Policy)

Групповая политика. Отключение службы

Смена редакции windows 7

Семейство HP Baseline Switch - Как восстановить забытый пароль

Групповая политика: обработка замыкания групповой политики

Powershell. Разрешить выполнение скриптов в несколько строк

3com --> HP

Удаленный перезапуск службы RDP в локальной сети

1С: что делать, если появляется сообщение «Порядок сортировки, установленный для базы данных, отличается от системного!»?

Крипто Про. извлекаем ключ из реестра

Управление IE10 через групповые политики

Автоматический вход без ввода пароля (autologon)

Скрипт очистки логов IIS сервера

Делегирование административных задач в Active Directory

Пример делегирование административных полномочий

Определение задач, для которых было предоставлено делегирование

Разрешения перемещения объектов между подразделениями

Вместо заключения

Квота на присоединение компьютеров к домену

Предварительное создание учетной записи компьютера

Делегирование прав на создание и удаление учетных записей компьютеров

Изменение установленной по умолчанию квоты

CentOS 6.x 64 и Squid с авторизацией из Win2008AD

Начальная настройка коммутатора HP 1910 серии

CLI в 3Com Baseline Switch 2952-SFP Plus

Сброс пароля на коммутаторе HP 1910 серии

Превращение USB флешки в жесткий диск

Скрытые возможности IPTables

Введение в POM

Расширение string

Расширение mport

Расширение time

Создание ловушек

Срабатывание критерия с заданной вероятностью

И многое, многое другое

Справочные материалы

Установка новых модулей iptables

Заключение

Благодарности