Системное и сетевое администрирование

dovecot debug

2017-01-28T13:45:00.000+02:00

Возникла с довекодом проблема

Jan 28 11:35:27 ubuntu kernel: init: dovecot main process (3279) terminated with status 89
Jan 28 11:35:27 ubuntu kernel: init: dovecot main process ended, respawning
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process (3282) terminated with status 89
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process ended, respawning
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process (3285) terminated with status 89
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process ended, respawning
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process (3288) terminated with status 89
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process ended, respawning
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process (3291) terminated with status 89
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process ended, respawning
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process (3294) terminated with status 89
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process ended, respawning
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process (3297) terminated with status 89
Jan 28 11:35:28 ubuntu kernel: init: dovecot main process ended, respawning

В гугли начали советовать искать незакрытые скобки и т.д., поскольку это проблема парса конфигов.
Но в посте по линку http://stackoverflow.com/questions/8319151/how-to-start-dovecot
посоветовали просто сделать

dovecot -F

и все и не нужно ничего искать, страдать и т.п

root@ubuntu:~# dovecot -F
doveconf: Fatal: Error in configuration file /etc/dovecot/dovecot.conf line 37: ssl_key: Can't open file /etc/ssl/private/dovecot.pem: No such file or directory

Все сразу ошибка в консоль с указанием конфига и строки. Спасибо парню.

Глюки при удаления профиля пользователя на AD контролере (думаю на локальном пк такое тоже может быть)

2015-04-26T10:13:00.001+03:00

1). Пробуем залогинится и получаем ошибку "вы вошли с временным профилем", советы по типу http://www.programbeginner.ru/?p=198 не помогают.

2). При следующем входе мы может получить еще веселее ошибку "клиент групповой политики препятствует входу" и мы вообще не можем зайти. Вы также в гугли найдете советы по типу http://kinzersky.ru/page/sluzhba-klient-gruppovoj-politiki-prepjatstvuet-vhodu-v-sistemu-otkazano-v-dostupe, но это также может не помочь.

А помогло
1). удаляем как профиль пользователя так и TEMP папку профиля
2). удаляем как .bak так и без .bak ветки реестра в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList для данного пользователя.

в итоге мы нормально логинимся и профиль нормально создается без взяких временных профилей и приколов при следующем логине "клиент групповой политики препятствует входу".

samba, security share и подключение домашник директорий с win 7

2015-04-08T20:02:00.001+03:00

У нас на самбе

security = share

поскольку мы хотим подключать шары без аутентификации некоторые, но есть домашние шары пользователей

[homes]
        comment = Home Directories
browseable = no
        writable = yes
        read only = No

а их тоже хочеться подключать по паролю, для этого в глобальных параметрах добавляем

        lanman auth = Yes
        client NTLMv2 auth = No
        client lanman auth = Yes

и тепеть на самом серваке уже работает доступ по паролю

smbclient -L 10.1.1.1 -U some_user

но Win 7 все равно работать не будет, поэтому на ней нужно еще

Пуск -> выполнить -> gpedit.msc

Конфигурация компьютера -> Конфигурация Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности

и там установить

Сетевой клиент Майкрософт: отправить незашифрованный пароль для подключения к SMB-серверам -> Включить
Сетевая безопасность: уровень проверки подлинности LAN Manager -> Отправлять ответы LM и NTLM - использовать сеансовую безопасность NTLMv2 при согласовании

И все стреляет.

vim и полезные штуки с ним

2015-03-04T19:20:00.000+02:00

1) Закоментировать блок
Ctrl-V
Highlight first element in rows you want commented
Shift-i
#
esc

pptp client mageia 4

2015-01-05T15:53:00.000+02:00

Примерчик конфигурации для pptp для подключения например к виндовым vpn серверам:

cat /etc/ppp/peers/vpn1
pty "pptp server.com --nolaunchpppd --nobuffer"
#debug
remotename vpn1
user vpnuser
password "vpnpass"
linkname vpn1
lock
nodeflate
nobsdcomp
noauth
nopcomp
noaccomp
refuse-pap
refuse-eap
refuse-chap
refuse-mschap
mppe required,stateless
logfile /var/log/ppp/vpnlog

собственно важен очень параметр mppe required,stateless без которого соединения вроде устанавливается (то есть интерфейс pptp поднимается и айпиху получает), но трафик не ходит.

debug как видите закомичен, нужен пока настраиваем, лог соответственно logfile /var/log/ppp/vpnlog

cat /etc/ppp/ip-up.d/vpn1

#!/bin/bash

if [ ! $LINKNAME = "vpn1" ]

then

exit 0

ip route add 192.168.10.0/24 dev ppp0

собственно создание маршрута на удаленную сеть

поднимать соединение

pon vpn1

ls -la /usr/sbin/pon

-rwxr--r-- 1 root root 970 Сен 27 00:32 /usr/sbin/pon*

cat /usr/sbin/pon

#!/bin/sh

PPP_ON_BOOT=/etc/ppp/ppp_on_boot

case "$1" in

-*) echo "

Usage: pon [provider] [arguments]

If pon is invoked without arguments, $PPP_ON_BOOT file will be

run, presuming it exists and is executable. Otherwise, a PPP connection

will be started using settings from /etc/ppp/peers/provider.

If you specify one argument, a PPP connection will be started using

settings from the appropriate file in the /etc/ppp/peers/ directory, and

any additional arguments supplied will be passed as extra arguments to

pppd.

exit 0

;;

esac

if [ -z "$1" -a -x "$PPP_ON_BOOT" ]; then

exec "$PPP_ON_BOOT"

if [ -z "$1" -a ! -f /etc/ppp/peers/provider ]; then

echo "

Please configure /etc/ppp/peers/provider or use a command line argument to

use another file in /etc/ppp/peers/ directory.

exit 1

if [ "$1" -a ! -f "/etc/ppp/peers/$1" ]; then

echo "

The file /etc/ppp/peers/$1 does not exist.

exit 1

отключать

poff vpn1

ls -la /usr/sbin/poff

-rwxr--r-- 1 root root 2772 Сен 27 00:33 /usr/sbin/poff*

#!/bin/sh

# $Id: poff,v 1.1 2002/11/24 23:30:44 etbe Exp $

# Written by John Hasler and based on work

# by Phil Hands . Distributed under the GNU GPL

if [ -x /usr/bin/kill ]; then

KILL="/usr/bin/kill"

else

KILL="/bin/kill"

SIG=TERM

DONE="stopped"

MODE=""

usage ()

{

cat <

usage: $0 [option] [provider]

options:

-r Cause pppd to drop the line and redial.

-d Toggle the state of pppd's debug option.

-c Cause pppd to renegotiate compression.

-a Stop all pppd's. 'provider' will be ignored.

-h Print this help summary and exit.

-v Print version and exit.

none Stop pppd.

Options may not be combined.

If 'provider' is omitted pppd will be stopped or signalled if and only if

there is exactly one running unless the '-a' option was given. If

'provider' is supplied the pppd controlling the connection to that

provider will be stopped or signalled.

!EOF!

}

# Get option. If there are none replace the "?" that getopts puts in

# FLAG on error with "null".

getopts rdcavh FLAG

if [ "$?" -ne 0 ]; then

FLAG="null"

# Check for additional options. Should be none.

getopts :rdcavh DUMMY

if [ "$?" -eq 0 ]; then

echo "$0: Illegal option -- ${OPTARG}."

exit 1

case $FLAG in

"r") SIG=HUP; DONE=signalled; shift ;;

"d") SIG=USR1; DONE=signalled; shift ;;

"c") SIG=USR2; DONE=signalled; shift ;;

"a") MODE="all"; shift ;;

"v") echo "$0$Revision: 1.1 $_TrickToPrint_RCS_Revision"; exit 0 ;;

"h") usage; exit 0 ;;

"?") exit 1;

esac

# Get the PIDs of all the pppds running. Could also get these from

# /var/run, but pppd doesn't create .pid files until ppp is up.

PIDS=`pidof pppd`

# poff is pointless if pppd isn't running.

if test -z "$PIDS"; then

echo "$0: No pppd is running. None ${DONE}."

exit 1

# Find out how many pppd's are running.

N=`echo "$PIDS" | wc -w`

# If there are no arguments we can't do anything if there is more than one

# pppd running.

if test "$#" -eq 0 -a "$N" -gt 1 -a $FLAG != "a" ; then

echo "$0: More than one pppd running and no "-a" option and

no arguments supplied. Nothing ${DONE}."

exit 1

# If either there are no arguments or '-a' was specified kill all the

# pppd's.

if test "$#" -eq 0 -o "$MODE" = "all" ; then

$KILL -$SIG $PIDS || {

echo "$0: $KILL failed. None ${DONE}."

exit 1

}

exit 0

# There is an argument, so kill the pppd started on that provider.

PID=`ps axw | grep "[ /]pppd call $1 *\$" | awk '{print $1}'`

if test -n "$PID" ; then

$KILL -$SIG $PID || {

echo "$0: $KILL failed. None ${DONE}."

exit 1

}

else

echo "$0: I could not find a pppd process for provider '$1'. None ${DONE}."

exit 1

exit 0

iptables виртуализация ipset centos 6 и ddos

2014-12-17T22:33:00.001+02:00

сервер ддосили (CentOS release 6.6, ядро 3.10.23-xxxx-std-ipv6-64) и на помощь пришла статья http://habrahabr.ru/post/204508/, но к большому сожалению сервер OVH как часто бывает на виртуализированных серверах (например VMware vSphere и других) правила вида

iptables -I INPUT -s x.x.x.x -j DROP

ничего не блокируют и типа заблокированная айпиха конектится и дальше, почему я нигде не нашел (имеется ввиду что за фигня с iptables на виртуальных машинах) и никто мне до сих пор не рассказал (в свое время чуть голову не слома думая как такое может быть), если кто-то из читающих будет знать отпишитесь в коментах

зато на этом сервере заработал ipset (которые кстати и благодаря своему бинарному дереву работает побыстрее iptables) и наработка автора статьи на хабре была модифицирована под ipset, которые в отличии от iptables работал. Собственно создаем таблицу ipset

cat /etc/ipset.conf
#!/bin/bash
/usr/sbin/ipset -N access iphash

не забываем

chmod +x /etc/ipset.conf

/etc/ipset.conf

а также прописывает в автозапуск

tail -3 /etc/rc.local
/etc/ipset.conf
/sbin/service iptables start
/sbin/service fail2ban restart

2 последние строки нужно поскольку rc.local выполнится уже после запуска iptables, а сервис iptables не стартанет поскольку таблица ipset не создана, а fail2ban после запуска iptables конечно лучше рестартануть. Также первым правилом в /etc/sysconfig/iptables добавляем

-A INPUT -p tcp -m set --match-set access src -m tcp -m multiport --dports 80,443 -j DROP

сам скрипт который будет блокировать айпихи, у которых больше 50 подключений (можете поставить 20 например), также не забываем chmod +x /usr/local/ddos/ddos.sh

cat /usr/local/ddos/ddos.sh
#!/bin/sh

# find all connection and save them to file ddos.iplist in tmp dir
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | grep -v x.x.x.x | uniq -c | sort -n > /tmp/ddos.iplist

# empty script which ban ips
cat /dev/null > /tmp/iptables_ban.sh

# create DROP rule for 50 more aggresive bots
awk '{if ($1 > 50) {print "/usr/sbin/ipset -A access " $2 "" }}' /tmp/ddos.iplist >> /tmp/iptables_ban.sh

# this rule need for for creating file with analysing all iptables rules
echo "/usr/sbin/ipset -L access > /tmp/iptables.log" >> /tmp/iptables_ban.sh

# start script for ip banning
bash /tmp/iptables_ban.sh

где x.x.x.x - на всякий случай айпиха самого хоста (осталось от iptables теста), так на всякий случай. Задача в крон

*/10 * * * * /bin/sh /usr/local/ddos/ddos.sh >/dev/null 2>&1

вот собственно и все - спасибо автору на хабре за скрипт.

Также не забываем вырубить в апаче ipv6, поскольку скрипт будет некоректно получать айпихи
vim /etc/httpd/conf.d/httpd.conf
Listet 0.0.0.0:80
service httpd restart

вырубать нужно если в выводе
netstat -ant | grep :80

вы видите ffff
tcp 0 0 ::ffff:3.18.16.2:80 ::ffff:5.135.39.9:3571 TIME_WAIT
tcp 0 0 ::ffff:3.18.16.2:80 ::ffff:200.93.191.251:1534 TIME_WAIT

win7 win2008 l2tp forwarding

2014-04-13T23:01:00.000+03:00

Порты, которые нужно пробросить на роутере (источник http://aerovisionit.co.uk/pptp-and-l2tp-port-forwarding/)

L2TP traffic – UDP 1701
Internet Key Exchange (IKE) – UDP 500
IPSec Network Address Translation (NAT-T) – UDP 4500

И самая главная фигня, которую уже 2 раз забываю и из-за этого тратю кучу времени
Windows Vista, Windows 7 and the Windows Server 2008 operating system do not support NAT-T security associations to servers that are located behind a NAT Device by default (it’s not recommended) - то есть нужно еще править реестр на всех участниках соединения, которые стоят за нат (используем согласно выше приведенного источника ссылку http://support.microsoft.com/kb/926179)

для winxp sp2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSec
для win7 win2008r2 (в моем случае)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent

On the Edit menu, point to New, and then click DWORD (32-bit) Value.
Type AssumeUDPEncapsulationContextOnSendRule, and then press ENTER.
Right-click AssumeUDPEncapsulationContextOnSendRule, and then click Modify.
In the Value Data box, type one of the following values:
0 - A value of 0 (zero) configures Windows so that it cannot establish security associations with servers that are located behind NAT devices. This is the default value.
1 - A value of 1 configures Windows so that it can establish security associations with servers that are located behind NAT devices.
2 - A value of 2 configures Windows so that it can establish security associations when both the server and the Windows Vista-based or Windows Server 2008-based VPN client computer are behind NAT devices.

Я использовал 2 поскольку у меня и сервер и мой пк за nat (и там и там отличный роутер мikrotik)

На всякий случай приведу конфигурацию mikrotik для форвардинга l2tp трафика

add chain=customer dst-port=500,1701,4500 in-interface=internet protocol=udp
(у меня chain=customer поскольку add action=jump chain=forward in-interface=internet jump-target=customer, то есть у меня идет джам с форварда на эту таблицу, у вас скорее этого не будет и нада делать chain=forward; также in-interface=internet укажите свой интерфейс у меня PPPoE и назван internet)
add action=netmap chain=dstnat dst-port=500 protocol=udp to-addresses=192.168.10.2 to-ports=500
add action=netmap chain=dstnat dst-port=1701 protocol=udp to-addresses=192.168.10.2 to-ports=1701
add action=netmap chain=dstnat dst-port=4500 protocol=udp to-addresses=192.168.10.2 to-ports=4500
(где 192.168.10.2 - адрес win2008r2 сервера)

Самое главное как я написал не забывайте за ключи реестра.

postfix - повышаем безопасность

2014-03-07T13:10:00.000+02:00

# Клиент, подключившийся к серверу, может командой vrfy определить, существует ли заданный адрес в системе. Т.е. vrfy user@example.com. Поэтому отключаем такую возможность
disable_vrfy_command=yes
# При попытке клиента отправить письмо несуществующему юзеру Постфикс выдаст 550 (reject) с сообщением "user unknown in local recipient table" (или другой таблице). Отключаем, пусть Постфикс просто сообщает "user unknown"
show_user_unknown_table_name=no
# Требуем от клиента приветствия (HELO/EHLO). Все, кто подключается, должны представляться
smtpd_helo_required=yes
# Создаём класс, в котором будет разрешена отправка от имени своего домена (т.е. адрес отправителя user@mydomain.ru). Нужно для того, чтобы никто другой (спамеры, например) не отправляли почту с наших адресов
smtpd_restriction_classes=from_mydomain
# Описание этого класса. Разрешаем отправлять с доверенных сетей (прописанных в mynetworks) или прошедшим аутентификацию. Остальных отбрасываем
from_mydomain=permit_mynetworks, permit_sasl_authenticated, reject
# Теперь идут smtpd_..._restrictions в порядке, в котором они обрабатываются
# Ограничения для этапа HELO/EHLO. Применяются к имени хоста, его айпи-адресу и приветствию HELO/EHLO.
smtpd_helo_restrictions=
# Разрешаем доверенные сети
[пробел]permit_mynetworks,
# Разрешаем тем, кто прошёл аутентификацию
[пробел]permit_sasl_authenticated,
# Отбрасываем неправильное (несуществующее) имя хоста (например hjfhg.r)
[пробел]reject_invalid_hostname,
# Отбрасываем не полностью определённое доменное имя хоста
[пробел]reject_non_fqdn_hostname,
# Отбрасываем, если хост по HELO/EHLO не имеет А или МХ записи в ДНС
[пробел]reject_invalid_helo_hostname
# Ограничения для этапа MAIL FROM. Применяется ко всему предыдущему + имя отправителя
smtpd_sender_restrictions=
# Отбрасываем не полностью определённое имя отправителя
[пробел]reject_non_fqdn_sender,
# Отбрасываем отправителя с несуществующего домена
[пробел]reject_unknown_sender_domain,
# Отбрасываем несуществующих отправителей
[пробел]reject_unlisted_sender,
# Проверяем отправителя. Если с нашего домена, то проверим, находится ли он в доверенной сети или прошёл аутентификацию
[пробел]check_sender_access hash:/etc/postfix/mysenders
# Разрешаем отправлять с доверенных сетей
[пробел]permit_mynetworks,
# Разрешаем отправлять прошедшим аутентификацию
[пробел]permit_sasl_authenticated,
# Ограничения для этапа RCPT TO. Применяется к предыдущему + имя получателя
smtpd_recipient_restrictions=
[пробел]reject_non_fqdn_recipient,
[пробел]reject_unknown_recipient_domain,
[пробел]reject_unlisted_recipient,
[пробел]permit_mynetworks,
[пробел]permit_sasl_authenticated,
# Режект, если получатель отсутствует в списке нашего домена или списке пересылки. Чтобы сервер на стал открытым релеем
[пробел]reject_unauth_destination
# Ограничения для этапа DATA
smtpd_data_restrictions=
# Отвергаем запрос, когда клиент посылает команды SMTP раньше времени, ещё не зная, поддерживает ли Постфикс
[пробел]reject_unauth_pipelining,
# Режект клиента с пустым именем отправителя, который отправляет сразу нескольким получателям
[пробел]reject_multi_recipient_bounce
# Ограничиваем клиенты, которые могут запрашивать у Постфикс очистку очереди сообщений
smtpd_etrn_restrictions=
[пробел]permit_mynetworks,
[пробел]permit_sasl_authenticated,
[пробел]reject

Файл /etc/postfix/mysenders:
# Те, кто отправляет письма от нашего домена, проверяются классом from_mydomain
mydomain from_mydomain

(источник http://www.postfix.ru/viewtopic.php?t=23823)

centos 6 - вырубаем ipv6, включая отключение его на сервисах

2014-03-06T09:02:00.004+02:00

vim /etc/sysctl.conf
# disable ipv6 - error from services in maillog (postfix) secure (dovecot)
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
sysctl -p

теперь его нет на интерфейсах (ifconfig не покахет теперь строк например inet6 addr: ::1/128 Scope:Host - как для l0 интерфейса), но есть сервисы которые его используют

sudo lsof -i -n -P | grep IPv6

начнем

1). sshd
vim /etc/ssh/sshd_config
ListenAddress 0.0.0.0
service sshd restart
2). dovecot
vim /etc/dovecot.conf
listen = *
service dovecot restart
3). apache
service httpd restart
4). openfire
service openfire restart
5). PBEAgent
/etc/init.d/PBEAgent stop
/etc/init.d/PBEAgent start
6). postfix
vim /etc/postfix/main.cf
inet_protocols = ipv4
service postfix restart
7). bind
vim /etc/named.conf
#       listen-on-v6 port 53 {
#               any;
#               };
service named restart

mageia 4 убираем pulsaudio (проблема со skype)

2014-02-19T11:11:00.001+02:00

На mageia 4 столкнулся с проблемой в skype (пакет get-skype-4.2.0.11-5.mga4.nonfree) - при обмене сообщениями рандомно при отправке или приеме сообщения появляется и исчезает шум на подобие сетевого фона). Решил с данной проблемой боротся удаление звукового сервера pulseaudio, который меня еще достал в mandriva, где я его тоже прибил и заменил на alsa.
Проблема решается очень просто:
1). удаляем пакеты pulseaudio
urpme pulseaudio
urpme --auto-orphans
2). грохаем демон pulseaudio
ps aux | grep pulseaudio
kill -9 х (где х - айди процесса и берем его с предыдущей команды)
3). смотрим наш профиль (источник информации в конце статье в скобках)
update-alternatives --display soundprofile
soundprofile - status is auto.
link currently points to /etc/sound/profiles/pulse
/etc/sound/profiles/alsa - priority 10
/etc/sound/profiles/pulse - priority 20
Current `best' version is /etc/sound/profiles/pulse.
4). линкуем его с alsa
update-alternatives --set soundprofile /etc/sound/profiles/alsa
5). перезапускаем скайп и программы, которые использовали звук, вуаля

P.S. Теперь проблем со звуком в скайпе нет, как и pulseaudio на моем рабочем пк.

(источник https://forums.mageia.org/en/viewtopic.php?f=26&t=2067 - и благодарности автору)

установка lilo на другой диск

2014-02-06T07:55:00.001+02:00

монтируем правильно раздел второго винчестера
mount /dev/sda1 /mnt
mount -t proc proc /mnt/proc
mount -t sysfs sys /mnt/sys
mount -o bind /dev /mnt/dev
чрутимся в примонтированный раздел
chroot /mnt /bin/bash
инсталим lilo
/sbin/lilo
размонтируемся
umount /mnt/proc
umount /mnt/sys
umount /mnt/dev
umount /mnt/
reboot

mageia 3 iptables загрузка модулей

2014-01-28T09:35:00.001+02:00

Поскольку в mageia 3 на катит конфиг /etc/sysconfig/iptables-config то загружать модули аля ip_conntrack_ftp нужно по другому, а именно
cat /etc/modules-load.d/modules.conf
# /etc/modules: kernel modules to load at boot time.
#
# This file should contain the names of kernel modules that are
# to be loaded at boot time, one per line. Comments begin with
# a `#', and everything on the line after them are ignored.
ip_conntrack_ftp

то есть как видно из примера и коментов конфига по одному модулю в строке.

iptables autostart in debian

2013-11-22T10:57:00.004+02:00

Можно сделать вот так

vim /etc/network/interfaces
iface lo inet loopback
post-up /sbin/iptables-restore < /etc/firewall.conf

можно так

iptables-save > /etc/firewall.conf
vim /etc/network/if-up.d/iptables
#!/bin/sh
iptables-restore < /etc/firewall.conf
chmod +x /etc/network/if-up.d/iptables

или так

vim /etc/rc.local
iptables-restore < /etc/firewall.conf

.htaccess когда php не как модуль апача а как cgi скрипты

2013-08-09T19:35:00.001+03:00

просто добавляете в .htaccess в начало 2 строки (согласно линка http://www.mikeyboldt.com/2012/12/10/configure-htaccess-to-use-fastcgi-for-php/)

AddHandler fcgid-script .php
Options +ExecCGI

3 строку из источника не нужно.

сброс пароля на Extreme Networks свиче

2013-07-16T15:34:00.000+03:00

При сбросе пароля помочь можем только сбросом всего конфига:
Подключаемся консолью, любой терминал 9600 бит/с, доходим при загрузке до этого этапа:

Extreme Networks * Summit X * Version 1.0.3.1 Branch trunk by release-manager on Fri 04/20/07 Copyright 2003-2007, Extreme Networks, Inc. Press and hold the to enter the bootstrap. Starting Primary Bootloader …

Extreme Networks .Running POST… PASSED

Version 1.0.3.1 Branch trunk by release-manager on Fri 04/20/07 Copyright 2003-2007, Extreme Networks, Inc.

Press and hold the to enter the bootrom.

BootRom >config none Configuration selected: alt

BootRom >boot

Далее - загрузка (создание) необходимого конфига, задание пароля, перезагрузка и т.д.

выбор свободного айпи адреса в сети

2013-06-03T14:20:00.000+03:00

сначала снифером узнаем какая адресация в сети, потом ставим тузлу

urpmi arp-scan (у меня мандрива)

испльзование утилиты:

arp-scan -l -I eth2.8 (у меня вланы на интерфейсе)
arp-scan -I eth2.8 --arpspa=0.0.0.0 10.10.1.1/24

если нужно полностью все проверить лучше так (где 10.1.1.0/24 - сетка найденная сканером):

arp-scan -I eth2.8 --arpspa=127.0.0.1 10.10.1.1/24
arp-scan -I eth2.8 --arpspa=0.0.0.0 10.10.1.1/24
arp-scan -I eth2.8 --arpspa=255.255.255.255 10.10.1.1/24
arp-scan -I eth2.8 --arpspa=1.0.0.1 10.10.1.1/24

также лучше в конце сделать кросс-ARP из двух свободный айпишников:

arp-scan -I eth2.8 --arpspa=10.10.1.3 10.10.1.100
arp-scan -I eth2.8 --arpspa=10.10.1.100 10.10.1.3

также можно использовать один из модулей утилиты позволяющий узнать ОС (ARP OS fingerprinting)

можно также сделать себе алиас

alias macscan='sudo arp-scan -l -I'

который потом можно использовать

macscan eth2.8

(источники http://chelaxe.ru/arp-scan/, а также Хакер 10/165/2012 - стр. 54)

postfix очистка очереди всей и конкретного отпавителя

2013-04-29T12:33:00.002+03:00

всей

postsuper -d ALL

конкретного отправителя

postqueue -p | grep ninphl@chu.com | awk '{print $1}' | xargs postsuper -d

или

postsuper -d $( sudo postqueue -p | awk '$7~/ninphl@chu.com/ { print $1 }' )

если есть желание увидеть айди писем

#!/bin/sh
for Q in $( sudo postqueue -p | awk '$7~/ninphl@chu.com/ { print $1 }' ); do
echo "Remove $Q"
postsuper -d $Q
done

Вот так и визуальнее при большой очереди:

postqueue -p | awk '$7~/ninphl@chu.com/ { print $1; id=sub("*","",$1); system(sprintf("postsuper -d
%s", $1)) }'

также можно так

postsuper -d $( mailq | tail +2 | awk 'BEGIN { RS = "" } /\@church\.com/ { print $1 }' | tr -d '*!' )

можно так

Удаляем "чу":

postqueue -p | tail +2 | awk 'BEGIN { RS = "" } /\@chu\.com/ { print $1 }' | tr -d '*!' | xargs postsuper -d

и ответы нашего сервера:

postqueue -p | tail +2 | awk 'BEGIN { RS = "" } /MAILER-DAEMON/ { print $1 }' | tr -d '*!' | xargs postsuper -d

или так

1. postqueue -p | tail +2 | awk 'BEGIN { RS = "" }
/\@(chu\.com|88db\.co\.id)/ { print $1 }' | tr -d '*!' | postsuper -d -
2. postqueue -p | tail +2 | awk 'BEGIN { RS = "" } /MAILER-DAEMON/ { print $1
}' | tr -d '*!' | postsuper -d -

http редирект в https с помощью .htaccess

2013-04-27T00:15:00.001+03:00

Кидаеш такой файлик в корень директории с сайтом и все
cat /var/www/html/post/.htaccess
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

bash скрипты и опция -х для дебуга

2013-04-19T16:02:00.003+03:00

сам скрипт

#!/bin/bash -x
VAR="Hi there!"
echo $VAR
exit 0

теперь его вывод

+ VAR='Hi there!'

+ echo Hi 'there!'

Hi there!

+ exit 0

как видим "+" помечается код строк

ioncube, centos x64

2013-04-12T17:40:00.001+03:00

go http://www.ioncube.com/loaders.php
download for your platform and php version
tar zxf ioncube_loaders_all_platforms.tar.gz
cd ioncube/
mv ioncube_loader_lin_5.3.so /usr/lib64/php/modules
vim /etc/php.d/ioncube-loader.ini
and enter there
zend_extension=/usr/lib64/php/modules/ioncube_loader_lin_5.3.so

cisco mac-access list

2013-04-11T08:47:00.002+03:00

mac access-list extended block-mac
deny host 0024.4668.341a any

interface FastEthernet1/0/2
mac access-group block-mac in

cisco dlink spanning-tree

2013-04-09T13:11:00.001+03:00

Пытались объеденить кольцо MSTP DES-3526 (Firmware: Build 5.01.B43) и CISCO 3600. Настройки стандартные. 2 часа поработало. Затем один DES самопроизвольно сменил значение магистрального порта с RSTP на STP. После этого произошол сбой и кольцо не могло толком собраться. Вернуло сеть к жизни перезагрузка DES-3526. После разъеденения все работает без нареканий. Вывод: MSTP D-link и cisco совместимы в теории. На практике будут проявляться недокументированые проблемы.

Друзья, хочу поделиться опытом как подружили D-link 3526 и Cisco 2960 в одном MSTP кольце.
Первый раз, когда начали стыковать два различных производителя мы столкнулись спроблемой (цитата выше). Было это около 8 месяцев назад.
Проблема была выявлена. Она заключалась в том, что коммутаторы D-link пропускают пакеты "Cisco PVST" (01-00-0C-CC-CC-CD 0x0802 Cisco Shared Spanning Tree Protocol Address). Тем самм к нам в сеть вклинивались абонентское оборудование cisco и наша сеть сходила с ума.

Решение достаточно простое.
mac access-list extended FilterPVST
deny any host 0100.0ccc.cccd
permit any any

Уже пол года вместе работают коммутаторы CISCO 2960 и DES-3526. Ни одной аварии не было.
Проблема как подружить D-link и CISCO мы решили.
Возможно комуто эта информация будет полезной

P.S. У нас проблема была что dlink постоянно выбирал рута между нашей cisco и другими устройствами установленными у клиентов
74 2013-04-08 15:14:57 New Root bridge selected (Instance:0 MAC:00-24-F7-CF-F
6-00 Priority:12289)
72 2013-04-08 15:14:33 New Root bridge selected (Instance:0 MAC:14-D6-4D-D1-D
2-58 Priority:32768)
71 2013-04-08 15:14:33 New Root bridge selected (Instance:0 MAC:24-B6-57-01-8
7-48 Priority:32768)
70 2013-04-08 15:14:33 New Root bridge selected (Instance:0 MAC:C8-BE-19-92-5
F-70 Priority:32768)

(источник http://forum.nag.ru/forum/index.php?showtopic=66179&st=20&p=774838&#entry774838)

samba, особенности использования в AD окружении

2013-04-08T17:33:00.001+03:00

[raznoe]
comment = raznoe
path = /safe/samba/raznoe
writable = yes
# Пользователи с правами редактирования галочек, то есть могут менять разрешения на
# папках
admin users = @"DOMAIN\Администраторы домена"
valid users = @"DOMAIN\Пользователи домена"
# прячем недоступные папки
hide unreadable = yes
# наследуемые права
map acl inherit = yes
# Параметры блокировок для нормально работы файловой 1С
blocking locks = yes
locking = no
oplocks = no
level2 oplocks = no
posix locking = yes
strict locking = no
# Подключение модулей корзины и аудита
vfs objects = recycle full_audit

postfix и как прятать айпи отправителя

2013-03-09T22:17:00.002+02:00

В main.cf:

smtp_header_checks = pcre:/etc/postfix/smtp_header_checks

В dynamicmaps.cf:

pcre /usr/lib/postfix/dict_pcre.so dict_pcre_open

Обычно данная строка есть если установлен пакет postfix-pcre

В /etc/postfix/smtp_header_checks:

/^Received: .*/ IGNORE
/^X-Originating-IP:/ IGNORE

потом

# /etc/init.d/postfix reload

php функция mail (отправляет почту через локальный почтовик)

2013-03-09T22:17:00.001+02:00

сам пхп файлик

        $tables = file_get_contents('/home/chr/public_html/tech/table_dump.php');
        //echo $tables;

        $headers = "From: admin@chr.com \r\n";
        $headers .= "Content-Type: text/html; charset=ISO-8859-1 ";
        $headers .= "MIME-Version: 1.0 ";
        mail("mobile@chr.com", "Tech for Today", $tables, $headers);
        mail("tuser@icl.com", "Tech for Today", $tables, $headers);

?>

задача в кроне

php -q /home/chr/public_html/tech/email.php