СЮМ

Підступний умовний оператор в Groovy

2025-08-08T00:00:00+03:00

Потрійний умовний оператор (ternary operator) в Groovy може поводитися "дивно", якщо не звертати увагу на його особливості. Він має форму:

condition ? trueValue : falseValue

Наприклад:

def a = 5
def b = 10
def max = a > b ? a : b
println "Максимальне значення: $max"

Дуже зручно використовувати для типових значень, якщо вхідні дані не задано:

def input_a = 3

a = input_a ?: 5 // Якщо a не задано, то буде 5
b = input_b ?: 10 // Якщо b не задано, то буде 10

Але, через те що оператор використовує для порівняння булеві значення його поведінка може бути неочікуваною ящо вхідні дані вже є булевими. Наприклад:

def input_a = false
def a = input_a ?: true

def input_b = true
def b = input_b ?: true

// a = true
// b = true

☝️ input_a існує, але його значення false не задовольняє умову, тому a отримає значення true. Хоча, якщо змінна існувала, то його значення може бути використано і нема сенсу його перевизначати.

Отже, при використанні булевих вхідних даних їх треба явно перевіряти, наприклад на null, чи іншими явними способами:

def input_a = false
// def a = input_a ?: true
def a = input_a != null ? input_a : true

def args = []
// def b = args.b ?: true
def b = args.containsKey("b") ? args.b : true

Не пригадую як в інших мовах, але мабуть є схожа поведінка.

Елвіс живий?

Один з варіантів тернарі оператора — це "елвіс" оператор ?:, який дозволяє скоротити запис, бо ми вказуємо лише значення, яке буде використано, якщо умова не виконується:

def a = input_a ?: true

Його назва походить від схожості з профілем голови Елвіса Преслі, запис ?: нагадує смайлик з його шевелюрою.

Головна ілюстрація від www.scaler.com ↩
Ілюстрація Елвіса від www.supercoloring.com ↩

Міграція коментарів з Disqus на Giscus

2025-08-06T00:00:00+03:00

Отакої! Минуло багато часу з моменту останньої публікації на цьому сайті. Мабудь надто багато. Якось не до блогів і не до змін на сайті.

Але, якось зайшов випадково сюди з мобільного і жахнувся від кількості реклами під постами. І згадав що Disqus, система коментарів яку я використовував, в безкоштовних планах почала показувати рекламу під коментарями.

Не можу сказати що існуючі коментарі мають особливу цінність, бо більшість інформації вже застаріла. Але, все ж, вони мають цінність для мене, як історія мого блогу. Відверто кажучи, з великою ностальгією перелистав деякі з них. Ніби з минулого життя. За 18 років так багато змінилося... Проте, це окрема тема.

Безліч реклами, простирадло реклами. А це не те, що мені хотілося б бачити у своєму блозі.

Так як блог працює на статичних даних то встановлювати спеціальну систему коментарів не було сенсу. Я вирішив спробувати Giscus для зберігання коментарів.

➕ Плюси Giscus:

Безкоштовна система, без реклами.
Легко інтегрується з сайтом.
Знайшов скрипт для міграції коментарів з Disqus до Giscus.
Використовує безкоштовні репозиторії GitHub.

🙁 Мінуси:

Потрібно мати обліковий запис на GitHub щоб коментувати.
Використовує безкоштовні репозиторії GitHub. :) Стороння залежність.

Міграція коментарів

На щастя в самому Disqus є можливість експортувати коментарі, у форматі XML. Цей файл можна завантажити з налаштувань Disqus.

Файл треба трохи відредагувати. Я знайшов багато дублікатів коментарів, бо деякі статті зберігалися в Disqus з різними URL, в тому числі в інших мовах. Мабуть якийсь такий внутрішній алгоритм роботи Disqus. Проте, їх було досить просто відслідкувати і позначити, щоб при імпорті їх не враховувало (я змінив URL сайту таких коментарів щоб виглядало що це не відносяться до мого).

Для міграції коментарів з Disqus на Giscus я скористався системою disqus-to-github-discussions.

Працює досить просто. Треба лише створити новий відкритий репозиторій на GitHub, куди будуть імпортуватися коментарі, та увімкнути там функцію Discussions. До речі, там само можна зберігати і увесь сайт (можливо пізніше).

Згенерувати персональний токен доступу до GitHub з правами на читання та запис в репозиторій. Або, створити Github App, що ніби то, мало б врятувати від обмежень з частити запитами, але я не помінтив різниці – блокувало і так і так. :)

Вудредагувати параметри у файлі .env. Працює система імпорту на Node.js, тому треба встановити Node.js та npm.

Потім, запустити команду npm start і почекати поки скрипт імпортує коментарі.

Система імпорту вміє робити паузи між запитами до GitHub, щоб не перевищувати ліміт запитів, та повторювати їх за потреби. Але, все одно, я отримував помилки з перевищенням ліміту запитів. Можна перезапускати виконання, бо ведеться журнал виконання, і скрипт пропустить вже імпортовані коментарі.

Я був змушений трохи змінити скрипт, бо через хитрі повторювальні URL в Disqus отримував дублі обговорень. Я заборонив імпортувати статті у яких є 0 коментарів і отримав список правильних адрес в яких є коментарі. Запропоную зміни автору системи, можливо він їх прийме.

Кожна стаття на сайті перетвориться в обговорення Github Discussions, а коментарі до статті стануть коментарями до обговорення.

P.S.

Якщо видалити GitHub App, якою додавалися коментарі, то вони зникнуть. Тепер я це знаю :) Додаю знову, через персональний токен.

Як продовжити життя SD-карти чи SSD-диску

2023-04-12T00:00:00+03:00

Маленькі, швидкі, без рухомих механічних частин — електронні носії пам'яті здаються ідеальними пристроями.

Для деяких мікрокомп'ютерів, як Raspberry Pi це основний спосіб збереження даних.

На жаль, через особливості роботи електронних чипів що зберігають дані, з часом дані можуть втрачатися. Тим швидше, чим частіше відбувається запис даних.

Чому SD-карти "помирають"?

Кожна частинка інформації зберігається у своїй частині чипа (комірці) — як електричний заряд певної величини. Щоразу, при зміні інформації в комірці її властивості утримувати цей заряд трохи погіршуються. І може настати такий момент коли комірка не може довго тримати правильний заряд, або на комірку надто сильно діють заряди сусідніх комірок, через що дані спотворюються безповоротно.

SD-карти, як і SSD-диски, використовують кмітливі алгоритми автокорекції правильності записаних даних, мають автодіагностику що, наприклад, використовує надлишкову кількість комірок, щоб зайняти місце таких що здаються ненадійними. Але, ніякі алгоритми не можуть врятувати електронну пам'ять від неминучого виходу з ладу. Це лише питання часу.

Для деяких типів сучасних SSD-дисків це не є такою сильною проблемою, бо їх час до настання відмови може перевищити час протягом якого цей диск буде використовуватися. Але, для більшості SD-карт чи SSD-дисків старих технологій проблема "старіння" дуже актуальна.

Приходимо до очевидного висновку: чим менше буде записів на карту, тим довше вона проживе.

Бережіть карти змолоду

Операційна система постійно читає і пише дані на диск. І повністю позбутися цього — неможливо. Проте, можна збільшити час життя карти використовуючи прості поради що наведено нижче.

Зменшення надлишкових даних

Немає потреби зберігати дані в яких немає потреби. Вимкніть непотрібні логи програм, або зменште їх рівень (щоб зберігалася лише критична інформація).

Зменшення службової інформації

Інформації на диску зберігається як спеціальна файлова система — набір даних та їх властивостей. Крім самих даних що містяться на диску файлова система зберігає інформацію про час створення даних, час їх зміни, права доступу до об'єкта тощо.

noatime

Якщо для файлової системи вжити атрибут noatime — при читанні файлу не буде зберігатися інформація про час останнього звернення. Я згадував про це у статті про встановлення Debian на нетбуці.

Цей параметр можна вказати під час встановлення системи та розбивання дисків, або пізніше, у файлі /etc/fstab:

klp@klipper:/$ cat /etc/fstab
# / was on /dev/sdd1 during installation
UUID=270e17a9-5c82-4677-9bed-a1da9cec33df /               ext4    noatime,errors=remount-ro 0       1
# /boot was on /dev/sda1 during installation
UUID=d4f01822-0954-42c9-8887-fbac3151884b /boot           ext4    noatime         0       2

commit

Файлові системи Ext3, Ext4 вміють синхронізувати зміну даних з даними на диску з затримкою, наприклад раз на 30 хв. Всі зміни даних, скільки б разів вони не відбулися, остаточно запишуться на диск лише 1 раз, через 30 хв.

Збереже записи, але не збереже дані які ще не записалися якщо система аварійно вимкнулася. Тому треба використовувати дуже обережно, на комп'ютерах з автономним живленням.

Приклад fstab:

PARTUUID=bbf24818-02 / ext4 defaults,noatime,commit=1800 0 1

swap (ні)

Розділ "підкачки", або файл підкачки. Використовується як резервне місце для оперативної пам'яті. SD-карти повільні та не помічні для підкачки даних. Вимкніть swap, якщо він був.

sudo swapoff --all

Якщо для swap використовується окремий розділ — закоментуйте його в /etc/fstab.

log2ram

Це вишенька-черешенька на верхівці оптимізації роботи SD-карт.

Розумним людям прийшла ідея — а що, якщо частину даних тримати не на диску (карті) а у швидкій, надійній, довговічній оперативній пам'яті (RAM)?

Єдина проблема — дані витираються при вимкненні комп'ютера, тому час від часу їх таки треба зберігати на диск. Виникли спеціальні файлові системи, оптимізовані для роботи в RAM. А ентузіасти створили готові скрипти для автоматизації цих процесів.

log2ram одна з таких систем. Триматиме вибрані директорії в оперативній пам'яті й зміна цих даних не використовуватиме ресурси запису диска (значно рідше).

Встановлення просте:

echo "deb [signed-by=/usr/share/keyrings/azlux-archive-keyring.gpg] http://packages.azlux.fr/debian/ bullseye main" | sudo tee /etc/apt/sources.list.d/azlux.list
sudo wget -O /usr/share/keyrings/azlux-archive-keyring.gpg  https://azlux.fr/repo.gpg
sudo apt update
sudo apt install log2ram

Конфігурація зберігається у файлі /etc/log2ram.conf:

klp@klipper:/$ cat /etc/log2ram.conf | grep -v "#"
SIZE=128M
MAIL=false
PATH_DISK="/var/log"
ZL2R=false
COMP_ALG=lz4
LOG_DISK_SIZE=100M

Після перевантаження видно що частина директорій живе в оперативній пам'яті:

klp@klipper:/$ df -h
Filesystem      Size  Used Avail Use% Mounted on
log2ram         128M   51M   78M  40% /var/log

Фізична копія даних зберігається в /var/hdd.log і оновлюється з RAM раз на добу.

Якщо потрібно частіше — змініть, виконавши команду systemctl edit log2ram-daily.timer:

[Timer]
OnCalendar=
OnCalendar=Mon *-*-* 23:55:00

У випадку проблем — читайте логи в /var/log/log2ram.log.

journalctl в Debian

Наприклад в мене розмір поточного /var/log був більшим ніж розмір RAM який я дозволив використати. Виявилося що директорія /var/log/journal/ займала купу місця. Я зменшив її командою

sudo journalctl --vacuum-size=10M

Також, можна видалити всі системні логи старіші за N днів:

sudo journalctl --vacuum-time=10d

Щоб зберегти ці зміни на постійно відредагуйте файл /etc/systemd/journald.conf, щоб він містив:

SystemMaxUse=10M

Титульна ілюстрація від Aliaksei Baturytski ↩

Налаштування Debian на нетбуці Asus Eee PC

2023-04-11T00:00:00+03:00

Встановлення Debian на старенький нетбук Asus Eee PC я описав в попередній статті. Зараз, я зроблю базові налаштування системи для роботи з сервером 3D-друку Klipper.

Налаштування Wi-Fi

Зайти як звичайний користувач:

login: klp
Password: *******

Стати адміністратором root:

klp@klipper:~$ su
Password: *******

root@klipper:

Налаштувати мережу. Вкажіть свої NETWORK-NAME та NETWORK-PASS:

ip link set wlp1s0 up
wpa_passphrase NETWORK-NAME NETWORK-PASS > /etc/wpa_supplicant/wpa_supplicant.conf
systemctl restart wpa_supplicant

Мій файл /etc/wpa_supplicant/wpa_supplicant.conf, порівняйте зі своїм:

root@klipper:/home/klp# cat /etc/wpa_supplicant/wpa_supplicant.conf

ctrl_interface=DIR=/var/run/wpa_supplicant GROUP=sudo
network={
    ssid="NETWORK-NAME"
    psk=86927f1e3a2103c78b7dd8854751b766f23a9808852dda76c0f488a2d8ffbcfd
        proto=RSN
        key_mgmt=WPA-PSK
        group=CCMP
        pairwise=CCMP
}

Запуск підключення в ручному режимі:

/sbin/wpa_supplicant -B -D nl80211 -i wlp1s0 -c /etc/wpa_supplicant/wpa_supplicant.conf
dhclient

Перевірка підключення:

root@klipper:/home/klp# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: enp4s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast state DOWN group default qlen 1000
3: wlp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether 00:15:af:ef:f3:f3 brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.17/24 brd 192.168.1.255 scope global dynamic wlp1s0

Бачу що інтерфейс wlp1s0 має IP-адресу 192.168.1.17.

Віддалене підключення до системи

Під'єднайтеся до комп'ютера з іншої системи, де SSH клієнт надає можливість копіювати дані. Для Windows популярними клієнтами є PuTTY, MobaXterm.

Для підключення використайте IP-адресу з кроку тестування підключення до мережі.

Автоматичне підключення Wi-Fi

Проте, для автоматичного під'єднання треба ще трохи конфігурації. Перегляньте ключ який відповідає паролю для Вашої Wi-Fi мережі, скопіюйте ключ psk з файлу /etc/wpa_supplicant/wpa_supplicant.conf:

cat /etc/wpa_supplicant/wpa_supplicant.conf | grep psk

psk=XXX

Відредагуйте файл /etc/network/interfaces:

pico /etc/network/interfaces

В кінці, з нового рядка, вставте текст:

allow-hotplug wlp1s0
iface wlp1s0 inet dhcp
    wpa-ssid NETWORK-NAME
        wpa-psk XXX

Де XXX скопійовано в попередньому кроці (з файлу /etc/wpa_supplicant/wpa_supplicant.conf).

Збережіть дані та вийдіть з редактора натиснувши Ctr + X та Y, а потім Enter.

Мій файл /etc/network/interfaces:

root@klipper:/home/klp# cat /etc/network/interfaces
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

allow-hotplug wlp1s0
iface wlp1s0 inet dhcp
    wpa-ssid Lufa-2
        wpa-psk 86927f1e3a2103c78b7dd8854751b766f23a9808852dda76c0f488a2d8ffbcfd

Перевантажте систему та переконайтеся що автоматичне підключення до Wi-Fi відбулося:

/sbin/reboot

Видаліть пароль який вказано відкритим текстом у файлі /etc/wpa_supplicant/wpa_supplicant.conf:

pico /etc/wpa_supplicant/wpa_supplicant.conf

Більше варіантів для підключення мережі описано в офіційній документації Debian.

Оновлення системи

Відредагуйте файл /etc/apt/sources.list, закоментуйте рядки з cdrom:

::: bash
pico /etc/apt/sources.list

Мій файл /etc/apt/sources.list:

::: bash
root@klipper:/home/klp# cat /etc/apt/sources.list
# deb cdrom:[Debian GNU/Linux 11.6.0 _Bullseye_ - Official i386 DVD Binary-1 20221217-10:40]/ bullseye contrib main

#deb cdrom:[Debian GNU/Linux 11.6.0 _Bullseye_ - Official i386 DVD Binary-1 20221217-10:40]/ bullseye contrib main

deb http://deb.debian.org/debian/ bullseye main
deb-src http://deb.debian.org/debian/ bullseye main

deb http://security.debian.org/debian-security bullseye-security main contrib
deb-src http://security.debian.org/debian-security bullseye-security main contrib

# bullseye-updates, to get updates before a point release is made;
# see https://www.debian.org/doc/manuals/debian-reference/ch02.en.html#_updates_and_backports
deb http://deb.debian.org/debian/ bullseye-updates main contrib
deb-src http://deb.debian.org/debian/ bullseye-updates main contrib

Оновіть перелік відомих пакетів (програм):

apt update

sudo

Щоб працювати під звичайним користувачем, але мати можливість виконувати команди як адміністратор потрібно встановити програму sudo.

apt install sudo

Додайте звичайного користувача в групу адміністраторів:

/sbin/adduser klp sudo

root@klipper:/home/klp# /sbin/adduser klp sudo
Adding user `klp' to group `sudo' ...
Adding user klp to group sudo
Done.

Вийдіть з системи:

exit
exit

Після повторного логіну, для виконання команд адміністратора можна використовувати sudo перед нею. Пароль для sudo це пароль звичайного користувача (не суперадміністратора root). Наприклад:

klp@klipper:~$ sudo poweroff
[sudo] password for klp:
klp@klipper:~$ Connection to 192.168.1.17 closed by remote host.
Connection to 192.168.1.17 closed.

Не засинати після закривання екрана

За замовчуванням, нетбук засинатиме якщо закрити кришку екрана. Це можна відключити.

У файлі /etc/systemd/logind.conf розкоментувати HandleLidSwitch=ignore:

echo "HandleLidSwitch=ignore" | sudo tee --append /etc/systemd/logind.conf

Перевантажте комп'ютер.

Відображення процесу завантаження

Я люблю бачити як вантажиться система. :) За замовчуванням, цей процес відбувається "за ширмою". Зроблю його видимим. Треба відредагувати /etc/default/grub і переконатися що GRUB_CMDLINE_LINUX_DEFAULT не містить quiet:

klp@klipper:~$ sudo cat /etc/default/grub
...
GRUB_CMDLINE_LINUX_DEFAULT=""

Перечитати конфігурацію GRUB:

klp@klipper:~$ sudo update-grub

Оптимізація роботи диска

Якщо використовуєте SD-карту, або SSD старого зразка — раджу ознайомитися з моїми порадами для продовження життя карти (диска).

Встановлення Debian на нетбук Asus Eee PC

2023-04-09T00:00:00+03:00

Для встановлення альтернативної прошивки що контролює роботу 3D-принтера, як правило, можна використати рідну материнську плату. Наприклад прошивка Marlin може бути записана на місце стокової.

Проте, деякі прошивки надто великі, або вимагають більше обчислюваних потужностей, через що їх не можна записати на місце стокових. Тоді використовують мікрокомп'ютери (так звані одноплатники), наприклад Raspberry Pi.

Asus Eee PC

Коли ж настала моя черга подумати на чому встановити "прошивку" Klipper для 3D принтера я згадав про старенький нетбук Asus Eee PC. Відверто кажучи — одна з найневдаліших моїх покупок. Дорогий, повільний, незручний. Але зараз, через 10 років після купівлі, замість того щоб просто викинути, його робота у якості хоста для керування принтером чудово себе виправдовує.

Використання нетбука чи старого ноутбука не завжди виправдано — вони великі, інколи шумні, споживають більше електрики ніж одноплатники. Зате мають екран, Wi-Fi. Якщо інших альтернатив нема, для економії коштів, старі нетбуки цілком підійдуть.

Asus Eee PC 901 має процесор Intel Atom, 1 ГБ оперативної пам'яті та 2 SSD-диски: на 4 і 8 ГБ. Диск на 8 ГБ успішно вийшов з ладу (тодішні SSD були дуже ненадійними), тому для системи я використаю SD-карту.

Debian Linux

Intel Atom на цьому нетбуці є 32-бітним, тому для нього підійдуть лише системи з архітектурою i386. Ubuntu Server віднедавна випускається лише як x64 і не підійде для цього комп'ютера.

На щастя, операційна система Linux Debian (на якому, до речі, побудована і система Ubuntu) досі випускається також і для архітектур i386.

Завантаження Debian

Усі можливі варіанти системи зібрано на офіційній сторінці завантажень. Нас цікавить варіант 32-bit PC (DVD).

Остання рекомендована версія Debian має назву Stable. Зараз, Debian Stable це Debian 11. На сторінці з образами DVD-дисків для i386 файл для завантаження має назву debian-11.6.0-i386-DVD-1.iso.

Його і треба завантажити. Версія, звісно, може мати інший номер.

Створення завантажувальної USB-флешки

Комп'ютери, звичайно старенькі, але навіть вони не всі мають DVD-ROM. Потрібно створити USB-флешку з якої можна буде завантажитися і розпочати інсталяцію.

Для створення завантажувальних флешок раджу використати безкоштовну програму Rufus для Windows. Флешка має бути хоча б 8 ГБ за об'ємом.

Виберіть iso-файл завантажений раніше, вкажіть Вашу флешку — і через кілька хвилин завантажувальна флешка буде створена. Увага! Це видалить усі попередні дані з Вашого носія.

Мережеві підключення

Переконайтеся що на нетбуці увімкнено Wi-Fi: синій світлодіод повинен світитися.

Якщо це не так — натисніть Fn + F2.

Якщо не допомагає, відразу після увімкнення натисніть F2, щоб зайти в BIOS та переконайтеся що у розділі Advanced -> Onboard Device Configuration параметр Onboard WLAN встановлено в Enabled.

Або, під'єднайте мережевий кабель в порт Ethernet, щоб використовувати провідне підключення до мережі.

Завантаження з флешки

Відразу після увімкнення треба кілька разів натиснути клавішу ESC. З'явиться меню вибору пристроїв. Потрібно вибрати USB-накопичувач і натиснути Enter.

Якщо Ви вибрали флешку та на ній правильно записана система — запуститься програма встановлення Debian.

Я вибрав Graphical install, щоб мати можливість робити скріншоти, але простий Install теж підходить.

Встановлення Debian

Деякі, очевидні кроки я пояснювати не буду. Наприклад вибір мови чи регіону мав би бути зрозумілим. Ukraine знайдете в Other -> Europe.

Я використовував англійський інтерфейс, хоча є можливість перемкнути мову на українську.

Якщо під час інсталяції якийсь крок буде незрозумілим — як правило можна безпечно залишати рекомендовані параметри. Просто тисніть Continue.

Драйвер Wi-Fi

На кроці сканування мережевих пристроїв інсталятор попросить драйвер для безпровідної мережевої карти, а саме файл rt2860.bin. З певних причин його нема в стандартній комплектації. Але він є в пакеті драйверів з так званої non-free версії пакетів.

Я встановив ці пакети на іншій системі Linux і взяв потрібний файл звідти.

Якщо не хочете шукати — я виклав цей файл в себе.

Завантажте, розпакуйте і покладіть файл в корінь іншої флешки. А цю іншу флешку запхайте у вільний USB порт.

Виберіть Yes i Continue.

Налаштування мережі

Після того як інсталятор "побачить" провідну і безпровідну мережі він запитає Вас яку мережу використовувати для підключення.

Для кабелю — достатньо просто запхати кабель і тицяти Continue.

Для безпровідної мережі виберіть зі списку wlp1s0:

На наступному кроці виберіть свою мережу:

Вкажіть тип шифрування, як правило це WPA2/PSK:

Вкажіть пароль мережі:

Параметр Domain можна залишити порожнім. Для Hostname вкажіть назву комп'ютера, я обрав klipper:

Користувачі

В майбутній системі буде щонайменше 2 користувачі:

root — головний адміністратор комп'ютера
klp — користувач для потрібних систем які я встановлюватиму

Інсталятор попросить задати пароль головного адміністратора, root:

А також придумати ім'я та назву для нового користувача. Це може бути "Yuriy S" і "yuriy", а може бути щось коротше та однакове.

Нехай це буде просто klp:

На наступному кроці задайте пароль для нового користувача. Правильно буде використовувати різні паролі для різних користувачів.

Дисковий простір в Linux

Важлива частина. Якщо Ви не знайомі з розподіленням дискового простору в Linux це може трохи спантеличити. Тут не буде знайомих дисків "C", "D" як у Windows.

Кожен пристрій для збереження даних має в Linux коротку назву(/dev/sda, /dev/sdb). Пристрої діляться на частини (розділи) назва яких складається з назви пристрою та порядкового номера розділу на пристрої (наприклад /dev/sda1, /dev/sda2). Розділи диска, зокрема, мають такі властивості:

назву розділу (наприклад /dev/sda1, /dev/sda2, /dev/sdb1)
назву директорії в системі (точка монтування, наприклад /boot, /home)
тип файлової системи
додаткові опції монтування (підключення)

Для закріплення розуміння розглянемо такий приклад:

фізичний диск SSD №1
в Linux називається /dev/sda (або просто sda)
і на ньому є 2 розділи: /dev/sda1, /dev/sda2
розділ /dev/sda2 буде використовуватися в системі як директорія /home
розділ /dev/sda1 буде використовуватися в системі як директорія / (коренева, початкова)

Вкладені директорії /var, /usr є піддиректоріями кореневої /. Директорія /var/log є піддиректорією /var.

Директорія /home теж є піддиректорією кореневої /, хоч фізично дані будуть розташовуватися на іншому розділі (або навіть іншому пристрої).

Якщо в комп'ютері 1 фізичний диск (sda) можна зробити на ньому лише 1 розділ (sda1) і використати (монтувати) його в файловій системі як коренева директорія (/). Всі інші потрібні директорії створяться "в ній", вкладеними.

Якщо в комп'ютері кілька фізичних дисків — на кожному з них може бути 1 або більше розділів кожен з яких буде містити певні директорії системи. Але, незалежно від кількості розділів, шляхи всіх директорій в системі будуть починатися з кореневого (/) і виглядати як одне ціле, а точніше як послідовність вкладених одна в одну директорій, у вигляді "дерева" (геометричного графа):

klp@klipper:/$ tree -L 2
.
|-- bin
|-- boot
|-- usr
|   |-- bin
|   |-- games
    ...
|-- var
|   |-- backups
|   |-- cache
    ...
...

Якщо комусь стало цікаво для чого розділяти різні директорії між різними розділами (одного диску), то це використовується для фізичної ізоляції частин файлової системи, коли наприклад переповнення даними розділу /var/log не зможе забрати місце і переповнити /, відтак не зможе вивести з ладу саму систему. Це важливо для критичних серверних систем і не дуже потрібно в "домашніх" серверах.

Розподілення дисків

В Asus Eee PC 2 SSD диска (4 і 8 ГБ). Перший швидкий, але ненадійний. Другий — повільний, але витримує більше циклів перезапису. Іронічно, але в мене вийшов з ладу саме 2-й. :) Я заміню диск №2 SD-картою, слот для неї в нетбуці є.

Не бачу великого сенсу ділити диски на велику кількість розділів. Диск 1 буде суто для завантаження системи. Диск 2 для самої системи і всіх програм.

Після усіх встановлень та налаштувань (вже з Klipper та іншими системами) ось так виглядає файлова система мого Debian:

klp@klipper:/$ df -h
Filesystem      Size  Used Avail Use% Mounted on
/dev/sda1       3.7G   67M  3.4G   2% /boot
/dev/sdc1       7.3G  5.5G  1.5G  80% /

При появі майстра розподілу дисків вкажемо що бажаємо налаштувати їх вручну, Manuall:

В моєму випадку розділи виглядають так:

sda, sdb це SSD-диски Eee PC. sdc — завантажувальна флешка. sdd — SD-карта на 8 ГБ запхана в нетбук, на заміну sdb (SSD диска №2 в комп'ютері) який в мене вийшов з ладу.

Вибираю 1-й розділ диска sda. Встановлюю такі параметри:

Uses as: Ext4
Format the partition: Yes
Mount point: /boot
Mount options: noatime
Bootable flag: on

Параметр noatime потрібен для того, щоб зменшити кількість службових записів на SSD диск, що продовжить час його служби.

Тисну Done setting the partition

Вибираю 1-й розділ наступного диска, у Вас це має бути sdb. Встановлюю такі параметри:

Uses as: Ext4
Format the partition: Yes
Mount point: /
Mount options: noatime
Bootable flag: off

Після налаштування обидвох розділів вибираю Finish patritioning and write changes to disk:

Справді завершити розподіл дисків і зберегти дані? Yes.

Розумна система побачить що ми не створювали розділу swap — він потрібен у випадках коли не вистачає оперативної пам'яті. Але для SSD-дисків ми не можемо собі цього дозволити. Тому No, не треба розділу swap:

Install GRUB boot loader? Yes:

Врешті-решт система запитає який розділ буде завантажувальним. Вкажіть це вручну вибравши /dev/sda:

Увага!!! Якщо /boot розташовано на іншому диску ніж sda то потрібно вибрати цей інший диск. А в BIOS комп'ютера вказати що 1-м завантажувальним пристроєм є цей інший диск.

Встановлення компонент системи

Коли Вас запитається чи вибрати сервери для Package manager – можна вибрати Україну, це пришвидшить завантаження з інтернету:

Наступним кроком інсталятор попросить вибрати програми які ми бажаємо встановити. Для майбутнього сервера для 3D-друку мені достатньо:

SSH server
standart system utilities

Якщо система буде використовуватися для чогось іншого, можливо, Вам стане в пригоді графічна оболонка, тоді виберіть також:

Debian desktop environment
Xfce, або MATE, або LXDE — швидкі й просто оболонки

Інсталяцію завершено! Всі молодці! :) Витягніть всі флешки. Continue.

Після перевантаження комп'ютера повинна автоматично завантажитися Debian і згодом з'явиться чорний екранчик командного рядка Linux:

login:

Налаштування системи після встановлення

На жаль, не всі параметри системи підходять для користування. Наприклад, налаштування Wi-Fi що ми вказували під час встановлення не збереглися.

Базові налаштування Debian я продовжив в наступній статті.

А для того щоб SD-карта не вмирала так часто можете налаштувати файлову систему щоб продовжити життя диска.

3D-принтери та їх прошивки

2023-04-08T00:00:00+03:00

Розпочинаю нову, для себе, тематику — 3D-друк! Можливість створювати власноруч, в домашніх умовах, вироби з пластику: прототипи, запчастини і просто цікаві речі для хобі і побуту давно вабила мене. Чимось схоже на програмування — коли з "нічого" створюється щось. Де процес часто цікавіший за результат. :)

Збирання і тюнинг 3D-принтера під свої потреби і надалі залишається полем для ентузіастів і надає широких можливостей. Але, з розвитком 3D-друку у світі стали з'являтися відносно доступні по ціні, готові до користування, пристрої, які потребують мінімум зусиль для початку роботи.

Наявність вітчизняних виробників філаменту сприяє утриманню ціни на пластик на нижчому рівні, в порівнянні з європейськими чи навіть китайськими аналогами.

Через напад росії на Україну для 3D-друку з'явилися нові завдання, пов'язані з допомогою для армії, що дозволяють приносити і суспільну користь.

Так як є абсолютним новачком у цій сфері більшість термінів і понять, принципів роботи були, а деякі і досі є, мені незрозумілими. Тому, я вважаю за потрібне викласти свій досвід простою мовою, як це розумію я і це орієнтовано саме на початківців.

Не підіймаю питання самого вибору і придбання — тема складна і краще порадитися з людьми які справді в цьому розуміються.

Прошивка 3D-принтера

3D-принтер це передусім система механізмів що вміють "вичавити" напіврідкий пластик у потрібній кількості у потрібному місці. Щоб керувати розташуванням голівки що друкує (екструдера) та параметрами пластика яким відбувається друк (філамента) електричним механізмам 3D принтера передаються команди, на кшталт:

Перемістися у координати x:y
та на висоті z почни рух
у координати x1:y1
подавши N філаменту
з температурою K.

Таке обладнання називають пристроями з числовим програмним керуванням (ЧПК), або ЧПУ (російською), або CNC (англійською).

А поширеним форматом команд є G-код. Наприклад:

G01 X5 Y7 F200
X10 Y15
X12 Y20
G02 X5 Y5 I0 J-5
X3 Y6 I-2 J0

Електроніка 3D-принтера сприймає цей код і перетворює його на відповідні дії своїх механізмів.

Зазвичай, ніхто не створює G-команди для принтера вручну. Це завдання спеціальних програм (слайсер) що на основі 3D-моделі об'єкта поділять його на шари для друку, продумають оптимальні рухи екструдера, параметри його роботи і створять готовий набір команд (G-код) для принтера.

Навіть маючи однаковий G-код різні принтери можуть дати різний результат. Швидкість виконання команд, точність роботи, правильність подачі матеріалу і підлаштування під особливості друку конкретних елементів може відрізніятися в залежності від апаратного обладнання та програмного забезпечення яким керується принтер.

Кожен виробник принтера може мати свою власну прошивку. Крім стандартного внутрішнього програмного забезпечення (прошивок) з якими постачаються материнські плати принтерів, у більшості випадків, можна використовувати сторонні, які надають обладнанню більше можливостей, а користувачеві більше контролю та тонкого налаштування.

Наприклад Marlin — альтернативна прошивка що замінює "заводську". Деякі принтери вже постачаються з нею, а більшість можна "перешити".

Існують прошивки що надають ще більше можливостей — віддалене керування друком, веб-інтерфейс, потужна панель керування на екрані принтера, спостереження за друком через камеру, інтеграція з іншими системами тощо.

Беззаперечним лідером прошивок "все в одному" є Klipper. В наступному огляді я опишу процес встановлення Klipper для 3D-принтера.

Встановлення системи Klipper на старенькому нетбуці Asus я описую в наступних статтях.

Прошивка контактора TOMZN TOB8-63WiFi під ESPHome

2023-02-22T00:00:00+02:00

Для довгоочікуваного оновлення електромережі гаража потрібно пристрій що вимикав би електрику (зокрема і віддалено), коли в ній нема потреби (наприклад коли в гаражі нікого немає).

Для цього існують так звані контактори — зовні схожі на звичайні автомати захисту, але вони міняють свій стан (увімкнуто/вимкнено) в залежності від керуючого сигналу. Вони вміють комутувати великі струми, тому підходять для підключення навіть потужних пристроїв.

На жаль, для віддаленого керування ними все одно потрібно якийсь "розумний" пристрій. Тому, я вирішив спробувати пристрої що вже мають віддалене керування.

TOMZN TOB8-63А WiFi вже має вбудований Wi-Fi і може комутувати до 63А (короткочасно, 50А надовго). А також, вимірює споживання електрики (струм, напруга, потужність), тобто такий собі контактор з функцією лічильника електроенергії. Монтується на DIN-рейку в електрощитову. Існують клони (невідомо хто чий) під назвою SMTONOFF 63A.

Роздрібна вартість в Україні — трохи більше 20 доларів США.

"З коробки" TOMZN вміє працювати через хмарний сервіс eWelink. Але, я хотів інтеграцію з сервером розумного будинку Home Assistant завдяки прошивці ESPHome.

Прошивку ESPHome можна встановити лише на сумісні процесори (ESP). Інколи, виробники замінюють процесори в нових серіях пристроїв. Треба дізнаватися і продавця. Без розбирання, можна взнати процесор якщо під'єднати пристрій до Wi-Fi, дізнатися його MAC-адресу, та по онлайн-базах MAC-адресу взнати виробника. Espressif Systems – сумісний виробник.

УВАГА! Некваліфіковане втручання в роботу таких пристроїв може призвести до їх виходу з ладу і становить небезпеку для людини!

Корпус зібраний з двох половинок що скріплені заклепками з м'якого металу. Їх початок, з однієї сторони, треба висвердлити свердлом 4 мм. Згодом, заклепка провалюється і її легко вийняти з протилежного боку.

Всередині — плата керування з модулем обліку споживання електрики на платформі CSE7766, та реле комутації навантаження. Реле — бістабільне. При зміні положення (вимкн.-увімкн.) воно не потребує електрики, щоб утримуватися в поточному стані.

Процесор — на звороті плати. Щоб витягти плату потрібно вийняти кнопку (стиснути 2 вусики з середини) та витягти світлопровідні пластикові елементи, просто витиснувши їх з середини назовні.

Після від'єднання 2-х роз'ємів плату можна легко витягти назовні і перевернути.

Процесор має дуже дрібні контактні майданчики, до яких потрібно під'єднатися. Нас цікавлять +3.3V, GND i RX/TX.

Навіть тоненьким жалом зробити це акуратно досить складно. Мінус (GND) можна взяти з контактів поруч з процесором.

Прошивати процесор можна подаючи живлення (3,3В) безпосередньо з конвертора FTDI, не треба під'єднувати пристрій до мережі 220В!

Можна зашити власну прошивку ESPHome, готову Tasmota, чи якусь базову для ESP8266. Я генерував власну і прошивав з macOS через скрипт esptool.

Для переведення пристрою в режим програмування, перед подачею живлення, потрібно тримати затисненою кнопку керування на платі.

Кілька секунд — і процесор прошито.

esptool.py --chip esp8266 -p /dev/cu.usbserial-A52IGJRM write_flash 0x0 home_b3f0bc.bin

Моя базова прошивка використовувала такі входи-виходи:

GPIO13 — світлодіод (статус)
GPIO0 — кнопка керування
GPIO03 — опитування модуля обліку споживання електрики

Код прошивки ESPHome:

substitutions:
id: "AABBCC"
device_name: tomzn_63A
name: home_${device_name}_${id}

esphome:
name: home_$id
# platform: ESP8266

esp8266:
board: esp01_1m
restore_from_flash: True

wifi:
ssid: !secret home_ssid
password: !secret home_pass

# Enable logging
logger:

# Enable Home Assistant API
api:
password: !secret api_pass

ota:
password: !secret api_pass

status_led:
pin:
number: GPIO13
inverted: False

output:
- platform: gpio
pin: GPIO12
id: relay_$id

switch:
- platform: output
id: "switch_$id"
name: "switch_$id"
output: relay_$id
icon: mdi:power
restore_mode: RESTORE_DEFAULT_OFF

binary_sensor:
- platform: gpio
pin:
number: GPIO0
mode: INPUT_PULLUP
inverted: True
id: button_$id
on_press:
then:
- switch.toggle: "switch_$id"

uart:
rx_pin: GPIO03
baud_rate: 4800

sensor:
- platform: cse7766
current:
name: "current_$id"
voltage:
name: "voltage_$id"
power:
name: "power_$id"
energy:
name: "energy_$id"

Для того, щоб пристрій запам'ятовував свій останній стан і відновлював його після аварійного зникнення живлення потрібно встановлювати ключ 'restore_from_flash: True'.

Після підключення пристрою до Home Assistant всі його параметри з'явилися на сторінці системи.

Для збирання корпусу я трошки збільшив вхідний отвір свердлом 6 мм, так щоб в ньому ховалася гайка М3. А з іншого боку стягнув болтом М3 довжиною 8 мм. Чудово підійшло.

Updating git repository with remote data

2023-02-09T00:00:00+02:00

Sometimes, during the testing it is needed to update local code with the recent changes of some GIT branches, ignoring local changes (overwriting them).

In my case, I am creating the code on one machine, but testing (multiple tiles) on another.

Long story short:

git fetch --all && git reset --hard origin/LOCAL-BRANCH && git clean -f -d && git pull

Or, to auto-detect the current branch:

git fetch --all && git reset --hard origin/`git branch 2> /dev/null | sed -e '/^[^*]/d' -e 's/* \(.*\)/\1/'` && git clean -f -d && git pull

Photo by Brett Jordan on Unsplash

Azure SAML authentification for FortiGate SSL VPN (with Azure MFA)

2021-03-05T00:00:00+02:00

SAML authentification allows Fortigate to use Azure AD service directly as a source of users for SSL VPN and administrative logins.

In this article, I focus on SSL VPN logins, but very similarly the admin login can be done though. In FortiOS 6.4 administrative SSO login via SAML is now part of Security Fabric and can be configured from GUI.

The following setup was tested on FortiOS 6.2.7 and FortiOS 6.4.5 (with bugs described in debugging the section) on both physical FortiGate and virtual AWS applience.

Azure setup

New Azure app

Click Enterprise applications in the main menu and then +New application:

Search for FortiGate and choose the corresponding result:

Give it distinguish name and press Create at the bottom of the page:

App settings

Adding the new application will take a few seconds. You should be redirected to the app setting page. If not - go back to the Enterprise applications section and find the new app manually (by first letters of the name), open it by clicking:

In 2. Set up single sign on click Get Started:

and choose SAML:

Basic SAML Configuration

Create SSL VPN portal base address. Check IP-address or FQDN of Fortigate interface used for incoming SSL VPN connection and available from the world (usually WAN). And SSL VPN TCP port (usually 10443). Also, note a Server Certificate name. You can see this data on SSL-VPN Settings page of the FortiGate:

In my test case, the SSL VPN portal address base is https://54.72.124.53:10443. Use FQDN (https://example-company.com:10443 if this domain points to the correct SSL VPN portal IP address).

Go back to Azure. In the App settings click Edit under section 1:

Put the following

Parameter	Value
Identifier (Entity ID)	https://example-company.com:10443/remote/saml/metadata/
Reply URL	https://example-company.com:10443/remote/saml/login/
Sign on URL	https://example-company.com:10443/remote/login
Relay State
Logout Url	https://example-company.com:10443/remote/saml/logout/

Make sure that value is set as Default were available:

Finally, Save. When asked for a test — skip it by now.

User Attributes & Claims

Under section 2 click Edit:

Click + Add new claim:

During one of the tests "Add new claim" was inactive. I found no reason for this — just re-created the Azure App.

Set the following (use autocompletion when possible):

Parameter	Value
Name	username
Source attrribute	user.userprincipalname

Then Save:

We need to add another claim, this time a Group claim. But this option was always unavailable for me. We can edit existed group claim. I am still not sure about this part.

Click on user.groups [SecurityGroup] (do not use context menu •••). Enable Customize the name of the group claim. Set:

Parameter	Value
Name	group

Save and close setting:

The final setting should look like this (check username and group parameters):

Connection URLs

From section 4 Set up Test FortiGate SSL VPN copy and save (we will use it later) content of

Login URL
Azure AD Identifier
Logout URL

Azure certificate

Azure part

From section 3 SAML Signing Certificate download file under Certificate (Base64):

Save the file to the local computer.

If the certificate is wrong, most likely you will get this error later on:

samld_sp_login_resp [747]: Failed to process response message. ret=440(The profile cannot verify a signature on the message)

FortiGate part

In the FortiGate UI go to the System → Certificates section. Then do Import → Remote Certificate.

Click +Upload. Choose the Azure certificate (.cer file) which has just been downloaded and press OK:

The certificate will appear in Remote Certificate section with the name REMOTE_CERT_n:

Give it a reasonable name in CLI, if you want:

config vpn certificate remote
rename REMOTE_Cert_1 to Azure_SAML
end

show vpn certificate remote

FTG-example # show vpn certificate remote
config vpn certificate remote
    edit "Azure_SAML"
        set range global
    next
end

Azure users and groups

Not sure about this, but for test purposes add the user who can use our SAML SSL VPN login. In a real-life environment you would probably allow all users to use the app or use group-based assignment.

In the App settings open Users and groups, then + Add user/group:

Click None selected first:

Search for the user, click it, click Select:

And, finally, Assign:

We have the first user now:

There are other user-related settings in Properties page of the App, but we do not use them at the moment.

Conditional access

From the main page of the App, in section 4. Conditional Access, click Create a policy:

Then + New policy:

Give it a name and under Users and groups select All users:

Under Grant section, enable Require multi-factor authentication, press Select, switch Enable policy to On, click Create.

The result:

FortiGate setup

Considering that the basic SSL VPN setup is already done.

We need to create FortiGate SAML connection server and local groups connected to the remote Azure groups via FortiGate SAML server.

SAML connection

To accomplish this step you will need:

SSL VPN portal address and port (example-company.com:10443)
SAML IdP URLs from Azure app (Connection URLs, Step 4)
Local certificate name (e.q Fortinet_Factory)
Remote certificate name (we renamed it to Azure_SAML)

In the FortiGate console:

config user saml
    edit "azure-saml"
        set cert "Fortinet_Factory"
        set entity-id "https://example-company.com:10443/remote/saml/metadata/"
        set single-sign-on-url "https://example-company.com:10443/remote/saml/login/"
        set single-logout-url "https://example-company.com:10443/remote/saml/logout/"
        set idp-entity-id "https://sts.windows.net/YYY-e027-4bb6-a213-XXX/"
        set idp-single-sign-on-url "https://login.microsoftonline.com/YYY-e027-4bb6-a213-XXX/saml2"
        set idp-single-logout-url "https://login.microsoftonline.com/YYY-e027-4bb6-a213-XXX/saml2"
        set idp-cert "Azure_SAML"
        set user-name "username"
        set group-name "group"
    next
end

Where:

set cert

Use local certificate name. Ideally, it should be your purchased SSL certificate for the domain you use for SSL VPN (i.e. example-company.com). It also available on SSL-VPN settings page:

set entity-id set single-sign-on-ur set single-logout-url

Just use it exactly as it is, but change example-company.com:10443 for your own address and port. It corresponds to the addresses we set in Azure app settings in Basic SAML Configuration.

set idp-entity-id

Azure AD Identifier from Azure app settings 4 Set up Test FortiGate SSL VPN

set idp-single-sign-on-url

set idp-single-logout-url

Logout URL from Azure app settings 4 Set up Test FortiGate SSL VPN

set idp-cert

The one we downloaded from Azure app settings, imported into the Fortigate, and renamed for convenience.

FortiGates groups connected to Azure

Azure part

FortiGate will use the Azure group as an assignment to local groups. They will be used as user groups in firewall policies. We need to create one or use existed Security group. Find the Azure group ID first.

On the main page of the Azure Active Directory admin center click Groups:

Search group by name. Click on the desired group name:

Copy the Object ID of the group:

FortiGate part

Now, knowing Azure group ID link iot with the FortiGate group:

config user group
    edit "SAML_AZ_ALL"
        set member "azure-saml"
        config match
            edit 1
                set server-name "azure-saml"
                set group-name "YYY-a79a-40f0-a2df-XXX"
            next
        end
    next
end

Where set server-name and set server-name are the SAML connection name we have just created in the FortiGate, and set group-name corresponds to group ID we have copied from Azure portal.

Check FortiGate groups info, the group should also be there:

FortiGate firewall policy

The system needs the policy to allow users to connect via SSL VPN.

Remember — the first policy that matches some user’s group will set this group as user default (main) and an appropriate VPN portal will be chosen based on this group.

The incoming interface should be ssl.root. Make sure to add SAML group as Source. Keep attention to NAT and other settings depending on your setup.

Very important — timeouts

In all my cases, it did not work until I tweaked some connection timeouts or you will get errors similar to:

Timeout for connection 0x7f1123ba2000.
Destroy sconn 0x7f1123ba2000, connSize=0. (root)

Set:

config system global
    set remoteauthtimeout 180
end

And, just to be sure:

config vpn ssl settings
    set login-timeout 180
end

FortiClient EMS setup

VPN connection can be added via EMS for all FortiClient that are connected to it. Edit endpoint profile in the EMS Endpoint Profiles → Manage profiles.

Add Tunnel in the VPN Tunnels section of VPN tab of the profile.

Check the Fortigate address and SSL VPN port number:

Activate Enable SAML Login in Advanced Settings:

Wait till the FortiClients populated the settings.

FortiClient manual setup and run

SAML-based VPN connection available in FortiClient 6.4.0+.

During the setup of SSL VPN connection manually enable Single Sign On (SSO) for VPN Tunnel and make sure that the Fortigate address and SSL VPN port number are correct:

You should see SAML login button when SSO-enabled connection is chosen:

Try to login and provide Azure user email and password:

If everything is fine — MFA request will be displayed:

If not — don’t panic and please read the troubleshooting section below.

Troubleshooting and debugging

Current FortiOS 6.4.5 has a bug that causes the system to select an incorrect default user group and thus an incorrect VPN portal. FortiOS 6.2.7 has no such problem.

If login was successfull, you can check logged in users wia SSL-VPN users widget of FortiOS:

and via Firewall Users widget to see user groups:

As well as from CLI with get vpn ssl monitor:

# get vpn ssl monitor
SSL VPN Login Users:
 Index   User    Group   Auth Type      Timeout         Auth-Timeout    From     HTTP in/out    HTTPS in/out    Two-factor Auth
 0       Yuriy.Smetana@example-company.com    SAML_AZ_ALL     256(1)           840    28369    153.53.53.53  0/0     0/0     0

SSL VPN sessions:
 Index   User    Group   Source IP      Duration        I/O Bytes       Tunnel/Dest IP
 0       Yuriy.Smetana@example-company.com    SAML_AZ_ALL     193.53.53.53    424     42112/55944    172.20.0.1

If you can't login, or group is wrong — debugging can be really helpful. I personally discovered issues with timeouts, certificate problems as well as group assignment bug in FortiOS 6.4.5.

To troubleshoot SSL VPN SAML login issues use:

diag debug reset
diag debug console timestamp enable
diag debug app sslvpn -1
diag debug app samld -1
diag debug enable

Example of debug output:

FTG-example # 2021-03-03 17:26:44 [163:root:0]total sslvpn policy count: 2
2021-03-03 17:26:47 [163:root:37]allocSSLConn:298 sconn 0x7f11245ef900 (0:root)
2021-03-03 17:26:47 [163:root:37]client cert requirement: no
2021-03-03 17:26:47 [163:root:37]SSL state:SSLv3/TLS read client hello (153.53.53.53)
...
**** Auth Req URL ****
https://login.microsoftonline.com/YYY-e027-4bb6-a213-XXX/saml2?SAMLRequest=ZZZ
***********************
__samld_sp_create_auth_req [394]:
**** SP Login Dump ****
2021-03-03 17:27:10 [163:root:39]Timeout for connection 0x7f11245ef900.
2021-03-03 17:27:10 [163:root:39]Destroy sconn 0x7f11245ef900, connSize=1. (root)
...
2021-03-03 17:27:21 [163:root:3b]req: /remote/saml/login/
__samld_sp_login_resp [733]:
Message Body
...xwOlJlc3BvbnNlPg==
..
samld_send_common_reply [120]:     Attr: 10, 50, 'username' 'Yuriy.Smetana@example-company.com'
samld_send_common_reply [120]:     Attr: 10, 47, 'group' 'ZZZ-765c-4d61-9b26-ZZZ'
samld_send_common_reply [120]:     Attr: 10, 47, 'group' 'MMM-a79a-40f0-a2df-MMM'
samld_send_common_reply [120]:     Attr: 10, 47, 'group' 'KKK-b782-4390-9d22-KKK'
samld_send_common_reply [120]:     Attr: 10, 47, 'group' 'LLL-d9ed-4e9a-8322-LLL'
samld_send_common_reply [120]:     Attr: 10, 47, 'group' 'OOO-c702-427c-a550-OOO'
samld_send_common_reply [120]:     Attr: 10, 47, 'group' 'UUU-a05e-47b8-a884-UUU'
...
2021-03-03 17:27:23 [163:root:3b]stmt: username
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:437 Got saml username: Yuriy.Smetana@example-company.com.
2021-03-03 17:27:23 [163:root:3b]stmt: group
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:444 Got group username: ZZZ-765c-4d61-9b26-ZZZ.
2021-03-03 17:27:23 [163:root:3b]stmt: group
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:444 Got group username: MMM-a79a-40f0-a2df-MMM.
2021-03-03 17:27:23 [163:root:3b]stmt: group
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:444 Got group username: KKK-b782-4390-9d22-KKK.
2021-03-03 17:27:23 [163:root:3b]stmt: group
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:444 Got group username: LLL-d9ed-4e9a-8322-LLL.
2021-03-03 17:27:23 [163:root:3b]stmt: group
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:444 Got group username: OOO-c702-427c-a550-OOO.
2021-03-03 17:27:23 [163:root:3b]stmt: group
2021-03-03 17:27:23 [163:root:3b]fsv_saml_login_response:444 Got group username: UUU-a05e-47b8-a884-UUU.
2021-03-03 17:27:23 [163:root:3b]sslvpn_auth_check_usrgroup:2603 forming user/group list from policy.
2021-03-03 17:27:23 [163:root:3b]sslvpn_auth_check_usrgroup:2641 got user (1) group (1:0).
2021-03-03 17:27:23 [163:root:3b]sslvpn_validate_user_group_list:1786 validating with SSL VPN authentication rules (0), realm ((null)).
2021-03-03 17:27:23 [163:root:3b]sslvpn_validate_user_group_list:2506 got user (1:0), group (1:0) peer group (0).
2021-03-03 17:27:23 [163:root:3b]sslvpn_update_user_group_list:1734 got user (1:0), group (1:0), peer group (0) after update.
2021-03-03 17:27:23 [163:root:3b]fsv_saml_auth_group:269 find a remote match group: MMM-a79a-40f0-a2df-MMM, portal: full-access, group: SAML_AZ_ALL.
2021-03-03 17:27:23 [163:root:3b]fsv_saml_auth_group:290 saml client cert: 0.
...
2021-03-03 17:27:23 [163:root:3b]User Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) FortiClient/6.0.0 Chrome/69.0.3497.128 Electron/4.2.9 Safari/537.36
2021-03-03 17:27:23 [163:root:3b]deconstruct_session_id:426 decode session id ok, user=[Yuriy.Smetana@example-company.com],group=[SAML_AZ_ALL],authserver=[azure-saml],portal=[full-access],host=[153.53.53.53],realm=[],idx=0,auth=256,sid=1b5fedc6,login=1614785243,access=1614785243,saml_logout_url=no

We can see:

beginning of user connection (SSL state:SSLv3/TLS read client hellol),
if we have any connection with Azure, it responses
certificate issue (described in the previous sections)
any timeouts if happened (Timeout for connection 0x7f11245ef900)
user name (samld_send_common_reply [120]: Attr: 10, 50, 'username' 'Yuriy.Smetana@example-company.com')
list of user’s Azure groups ID (samld_send_common_reply [120]: Attr: 10, 47, 'group')
very important — local group match and portal assigment (fsv_saml_auth_group:269 find a remote match group: MMM-a79a-40f0-a2df-MMM, portal: full-access, group: SAML_AZ_ALL.)
client general info etc

References

The following resources were very helpful:

Less helpful official FortiNet docs (actually pretty bad):

Performance debugging on FortiGate firewalls

2021-03-01T00:00:00+02:00

While FortiGate routers from FortiNet company are quite reliable, some bugs or strange behaviour can drive you crazy sometimes.

From time to time we are facing an issue when unit is under high CPU usage and/or lack of memory (RAM).

Usually it's being caused by Intrusion Prevention Systems (IPS) or sFlow process. Of cource, every issue must be investigated, but for really quick-and-dirty solution IPS might be restarted by the following command:

diagnose test application ipsmonitor 99

or even disabled by:

diagnose test application ipsmonitor 98

Recently our FortiGate unit send us "SOS" notification with the message

Kernel enters memory conserve mode

Ughhh, sounds serious. The reason was lack of RAM. 4 GB is not enough for modern firewall board?

# diagnose sys top
Run Time:  14 days, 18 hours and 4 minutes
7U, 0N, 7S, 74I, 0WA, 0HI, 12SI, 0ST; 3954T, 1990F
          sflowd     8461      S       80.1     10.8

sflowd process, the resources eater with 80.1% of CPU, can be calm down as easy as that:

diagnose sys kill 11 8461

where 11 is SIGSEGV signal (restart) to process 8461 from the top command above.

Another perfomance diagnostic commands for FortiOS are:

get system performance status
diagnose sys top 2 50
diagnose hardware sysinfo memory
diagnose hardware sysinfo shm
diagnose firewall statistic show
diagnose sys session stat

NTP time sync on Cisco switch

2018-09-26T00:00:00+03:00

Current status:

c3750# sh clock detail
12:02:37.640 UTC Wed Sep 26 2018
Time source is user configuration

Set time zone and DST:

c3750(config)# clock timezone EST 2 # Kyiv, Ukraine
c3750(config)# clock summer-time EET recurring last Sat Mar 3:00 last Sat Oct 4:00

Set NTP server address:

c3750(config)# ntp server 172.22.80.11 prefer

Check results:

c3750# sh clock detail    
.12:22:19.560 EET Wed Sep 26 2018
Time source is NTP
Summer time starts 03:00:00 EST Sat Mar 31 2018
Summer time ends 04:00:00 EET Sat Oct 27 201


c3750# show ntp status 
Clock is unsynchronized, stratum 16, no reference clock
nominal freq is 119.2092 Hz, actual freq is 119.2093 Hz, precision is 2**18
reference time is DF55CC99.24F3E418 (12:15:05.144 EET Wed Sep 26 2018)
clock offset is -6.2347 msec, root delay is 46.11 msec
root dispersion is 59.42 msec, peer dispersion is 7.84 msec


c3750# show ntp associations

      address         ref clock     st  when  poll reach  delay  offset    disp
 ~172.22.80.11     0.0.0.0          16     -    64    0     0.0    0.00  16000.
 * master (synced), # master (unsynced), + selected, - candidate, ~ configured

Using NVM with Jenkins

2018-04-26T00:00:00+03:00

Imagine that we need to update Node.js version on the Jenkins server. But it could affect other projects. For such cases, when we need multiple versions of Node.js on the same server the NVM (Node Version Manager) project exist.

NVM

Documentations - https://github.com/creationix/nvm. Nice tutorial: https://www.sitepoint.com/quick-tip-multiple-versions-node-nvm/.

NVM is the Bash command which will be installed locally, into user's home directory. Actually is not the script (file) - it is the Bash (Shell) function nvm:

jenkins@jenkins:~$ whereis nvm
nvm:
jenkins@jenkins:~$ which nvm
jenkins@jenkins:~$ command -v nvm
nvm

You can install multiple versions of Node.js (and appropriate npm) into the local directory and switch between them.

After the installation of NVM be sure that the following code has being added to the .profile:

export NVM_DIR="$HOME/.nvm"
[ -s "$NVM_DIR/nvm.sh" ] && \. "$NVM_DIR/nvm.sh"  # This loads nvm
[ -s "$NVM_DIR/bash_completion" ] && \. "$NVM_DIR/bash_completion"  # This loads nvm bash_completion

Examples:

jenkins@jenkins:~/.nvm$ nvm ls-remote 
        v0.10.33
        ...
        v6.11.3   (Latest LTS: Boron)

jenkins@jenkins:~/.nvm$ nvm install 0.10.33
jenkins@jenkins:~/.nvm$ nvm install 6.11.3

jenkins@jenkins:~/.nvm$ nvm ls
->     v0.10.33
        v6.11.3
         system
default -> system
node -> stable (-> v6.11.3) (default)
stable -> 6.11 (-> v6.11.3) (default)
iojs -> N/A (default)
lts/* -> lts/boron (-> v6.11.3)
lts/argon -> v4.8.4 (-> N/A)
lts/boron -> v6.11.3

jenkins@jenkins:~/.nvm$ nvm alias default system

jenkins@jenkins:~$ nvm use 6.11.3
Now using node v6.11.3 (npm v3.10.10)

NVM in Jenkins

Using NVM in Jenkins is a little bit tricky.

First of all - when running a Shell script from the job Jenkins use non-interactive session, so neither .profile no .bashrc files aren't executed. So nvm command is not set up automatically.

Also when set-up script (nvm.sh) consist of other command which returns non-zero exit status (even thought the main script itself will return 0) - the Jenkins' job will fail. That's because Jenkins use -e shell option. We have to disabled it temporary.

Also I have found that NVM directory path should be set. Beware of using ~ as home-directory alias - Jenkins override it to build working directory, so it is crucial to use $HOME variable.

Working example of Jenkins' Project config:

# Node Version Manager with Jenkins
# https://github.com/creationix/nvm , https://www.sitepoint.com/quick-tip-multiple-versions-node-nvm/
set +ex                     # immediate script fail off, echo off
export NVM_DIR="$HOME/.nvm" # set local path to NVM
. ~/.nvm/nvm.sh             # add NVM into the Shell session
#nvm install v6.11.3        # first time only
nvm use v6.11.3             # choose current version
set -ex                     # immediate script fail on (default), echo on (default)

Видалення старих ядер Linux, які більше не використовуються

2017-06-09T00:00:00+03:00

З часом, після оновлень ядра Ubuntu в системі залишаються старі версії, які більше не використовуються, а лише займаютьс місце.

Їх можна відшукати і видалити однією командою (це не зачіпить поточне, останнє, ядро):

# sudo dpkg -l linux-{image,headers}-* | awk '/^ii/{print $2}' | egrep '[0-9]+\.[0-9]+\.[0-9]+' | grep -v $(uname -r | cut -d- -f-2) | xargs sudo apt-get -y purge

Оновлення PHP до версії 5.6 на Ubuntu 14.04

2017-04-19T00:00:00+03:00

Якщо якийсь з серверів ще досі працює на LTS версії Ubuntu 14.04, то в офіційних пакетах до цієї системи, для PHP, доступна лише версія 5.5.9. Проте, існують модулі чи системи які хочуть новішу версію, наприклад 5.6.

В Ubuntu можна тримати декілька версій PHP одночасно. Можна запускати окремі скрипти з різними версіями і навіть мати різні версії інтерпретатора для різних віртуальних доменів веб-сервера.

Альтернативні версії доступні в репозиторії Ondřej Surý, який є співавтором і офіційних версій.

Підготовка

Перевірка наявної версії PHP:

# php -v
PHP 5.5.9-1ubuntu4.7 (cli) (built: Mar 16 2015 20:47:39)
Copyright (c) 1997-2014 The PHP Group
Zend Engine v2.5.0, Copyright (c) 1998-2014 Zend Technologies
with Zend OPcache v7.0.3, Copyright (c) 1999-2014, by Zend Technologies

Та встановлених модулів PHP:

# php -m
[PHP Modules]
bcmath
bz2
...
zip
zlib

[Zend Modules]
Zend OPcache

Встановлення нової версії

# sudo add-apt-repository ppa:ondrej/php
# sudo apt update
# sudo apt install php5.6

//sudo apt install php7.0
//sudo apt install php7.1

Встановлення модулів до нової версії

Маючи список модулів які були потрібні нам раніше можна перевірити які модулі потрібно доставити.

# php5.6 -m
[PHP Modules]
bcmath
bz2
...
Zend OPcache
zlib

[Zend Modules]
Zend OPcache

І встановити їх:

# sudo apt install php5.6-zip

Вибір версії за замовчуванням

Тепер у системі є дві версії PHP, які співіснують одночасно:

# whereis php
php: /usr/bin/php /usr/bin/php5.6 ...

І в скриптах можна вказувати конкретну назву бажаного інтерпретатора (наприклад php5.6), або вказувати повний шлях до команди.

Також, можна вказати яка версія вважається "стандартною" для системи й буде запускатися при команді php.

Якщо переглянути що приховується за командою php то стане більш зрозуміло:

# which php
/usr/bin/php

# ls -l /usr/bin/php
lrwxrwxrwx 1 root root 21 Mar 6 2015 /usr/bin/php -> /etc/alternatives/php

# ls -l /etc/alternatives/php
lrwxrwxrwx 1 root root 13 Apr 19 09:22 /etc/alternatives/php -> /usr/bin/php5

За встановлення стандартних команд, в Ubuntu, відповідає update-alternatives:

> sudo update-alternatives --list php
/usr/bin/php5
/usr/bin/php5.6

Зміна стандартного значення:

# sudo update-alternatives --set php /usr/bin/php5.6

Зміна версії PHP для Apache

Використання нової верії для веб-сервера:

# sudo a2dismod php5
# sudo a2enmod php5.6
# sudo service apache2 restart

Використання різних версій у скриптах

Якщо потрібно запустити скрипт використтовуючи певну версію можна явно запустити інтерпретатор:

# /usr/bin/php5.6 test.php

Або вказати відповідний шебанг.

test.php:

#!/usr/bin/php5.6
# Але краще так не робити — див. нижче!
<?php
    //...
?>

Проте, краще використовувати env:

# mkdir -p /usr/bin/overrides/php5.6/bin
# ln -s /usr/bin/overrides/php5.6/bin/php /usr/bin/php5.6

# export PATH="/usr/bin/overrides/php5.6/bin:$PATH"

Тоді, у скрипті поточної сесії першою знайдеться та команда php, що посилається на php5.6.

test.php:

#!/usr/bin/env php
# Пошук по $PATH поверне php з /usr/bin/overrides/php5.6/bin/php
<?php
    //...
?>

Ремонт люмінесцентної (флуоресцентної "економної) лампи

2017-03-27T00:00:00+03:00

Хоч зараз люмінесцентні "економні" лампочки втрачають свою популярність передаючи естафету світлодіодним — їх все ще залишається багато. Термін служби таких лампочок, з практики — 2-3 роки.

Проте, навіть коли лампочка раптово перестала працювати це не підстава негайно її викидати. Більшість з них піддаються ремонту в домашніх умовах.

Потрібно знати, що навіть компактні "економні" лампочки це нащадки довгих циліндричних люмінесцентних ламп і працюють вони за таким самим принципом. Сам процес добре описано тут.

Для роботи лампи потрібні:

електрика :)
лампа ;)
стартер
дросель

В сучасному виконанні стартер та дросель замінені т. зв. електронним баластом.

Розбирання корпусу

Як правило, корпуси розділяються досить легко, якщо по периметру акуратно підважити тонкою викруткою.

Увага! Пари газів у колбі можуть бути небезпечними для Вашого здоров'я та навколишнього середовища. Їх не можна розбивати, та потрібно утилізувати у спеціальних місцях!

Перевірка запобіжника

Може бути така банальна проблема. В компактних лампах він, як правило, розташований в проводі від плати до цоколя (може бути в ізоляції). Запобіжник має дзвонитися (мати дуже малий опір).

Перевірка колби та спіралей

В лампі може вийти з ладу як сама лампа (колба), так і електронний баласт.

Що циліндрична, що спіральна колба мають по 2 контакти з кожного торця. Ці контакти є закінченням спіралі, що розташована всередині колби. Кожна спіраль повинна мати опір 10-30 Ом. Причому бажано приблизно однаковий з обох сторін.

Якщо опір безмежний — спіраль перегоріла і не підлягає ремонту. Це могло статися з часом "від старості", через брак під час виготовлення, або через стрибки напруги в електромережі (на які спіраль не розрахована).

Перевірка електронного баласту

Більшість "стандартних" недорогих ламп мають типові електричні схеми, які не містять складних компонентів і можуть бути перевірені за допомогою мультиметра.

Приклад схеми:

Більше варіантів схем можна переглянути тут.

Контакти та з'єднання

У великих ламп, або в агресивних середовищах (сире приміщення) бувають і псуються контакти чи рвуться дроти, підгоряють контакти в вимикачах, виламуються доріжки на платі.

Дроселі

Продзвонюються. Я так розумію з ладу виходять рідко.

Напівпровідникові елементи

Перевірити усі діоди. Вони мають "дзвонитися" в одному напрямку і бути "закритими" у зворотному.

Увага! Є один елемент (на схемі вище це DIAC), що не повинен продзвонюватися в жодному напрямку — диністор. Якщо він дзвониться в усіх напрямках, то точно вийшов з ладу.

Перевірити транзистори. По маркуванню елемента знайти його характеристики і розпізнати яка ніжка за що відповідає, та продзвонити напівпровідникові переходи. Інколи краще випаяти транзистор, щоб інші компоненти не впливати на результати вимірів.

Конденсатори

Використовується щонайменше один електролітичний конденсатор (циліндрик) і кілька високовольтних (зелені чи "коричневі подушечки"). Як правило, конденсатори "пробиваються" і дають коротке замикання.

В моєму випадку з ладу вийшов саме конденсатор (стартовий), що встановлено між спіралями. Він був на 3,3 мкФ, 630 В. Я не мав такого, тому з іншої лампи, де вийшла з ладу колба, я випаяв схожий (з такого ж місця схеми), на 2,2 мкФ, 1000 В.

Увага! Обов'язково звертайте увагу на макс. напругу конденсатора і не ставте конденсатори, що розраховані на меншу! Там справді відбуваються стрибки такої високої напруги.

Замість епілогу

Отже, навіть в домашніх умовах цілком реально повернути до життя зіпсовану лампу. Наскільки це рентабельно і цікаво — кожен вирішує собі сам. ;)

Нагадую, що робота з електрикою завжди небезпечна, тому виконувати її можна лише людям з певною підготовкою!

Інші цікаві сайти на цю тематику:

Як перевірити кутник (косинець)

2017-01-15T00:00:00+02:00

Кутник (косинець) — один з найпростіших, проте дуже важливий інструмент столяра чи слюсара.

Основне призначення прямокутного косинця — розмічати прямий кут між двома лініями. Відтак, від точності заданого в інструменті кута напряму буде залежати результат. Навіть незначні відхилення від 90°, на тривалих відрізках, можуть спричинити відхилення від перпендикуляру на кілька міліметрвів.

Як перевірити косинець під час купівлі? Як виявилося, порівнювання кутників між собою з метою знайти відхилення — абсолютно безперспективна процедура. Зрозуміти який з кутників дає неправильний результат дуже важко.

Перевірити кутник можна дуже просто за допомогою поверхні з рівним краєм (підійде стіл), аркуша паперу та олівця. Я перевіряв в меблевому відділі магазину інструментів. ;)

Потрібно приставити основу (колодку) кутника до краю поверхні і намалювати на аркуші лінію-перпендикуляр до неї:

Потім, акуратно притримуючи аркуш (щоб не змінити його розташування), потрібно перевернути кутник на іншу сторону і співставити край кутника (перо) з лінією. Вони повинні співпасти. Це означатиме що кутник точний.

Якщо лінія не є паралельною стороні кутника — інструмент неточний!

З 3-х екземплярів (недешевого) кутника відомого виробника 2 нагло брехали.

Увага! Деякі кутники ще й мають люфт. Порухайте сторони кутника, пробуючи змінити кут між ними, щоб виявити слабину з'яєдання (але не надто сильно).

Загальні рекомендації, підглянуті на форумах фахівців:

суцільні кутники, вирізані лазером зі шматка металу є точнішими, але не мають колодки (треба впирати в додаткову площину)
блискучі кутники погано "читаються", краще матові, або чорні
краще, коли розмітка відстаней нанесена фарбою у ямках — не так швидко стирається
краще, коли розмітка є і на внутрішній і на зовнішній стороні кутника

Не знаю чи важливо: дешевший алюмінієвий кутник був легший на 25% від дорожчого, таких самих розмірів.

Джерело вступної ілюстрації.

RAID-контролер Adaptec 3405 в Linux

2016-12-21T00:00:00+02:00

Контролер старенький, але свою справу знає.

Для Linux розробник пропонує готовий бінарник: Adaptec Storage Manager v6.50.18579 for Linux x64.

Пряме посилання на сторінку завантажень: http://storage.microsemi.com/en-us/speed/raid/storage_manager/asm_linux_x64_v6_50_18579_tgz.php.

Пряме посилання на файл: http://download.adaptec.com/raid/storage_manager/asm_linux_x64_v6_50_18579.tgz.

Отриманий файл розархівувати:

tar -xvzf asm_linux_x64_v6_50_18579.tgz

cmdline/arcconf
manager/StorMan-6.50.x86_64

І покласти в затишне місце:

mkdir /opt/arcconf

cp cmdline/arcconf /opt/arcconf/

chmod 700 /opt/arcconf/arcconf

Встановити залежність:

apt install libstdc++5

Приклад виконання:

/opt/arcconf/arcconf GETCONFIG 1

Controllers found: 1
----------------------------------------------------------------------
Controller information
----------------------------------------------------------------------
   Controller Status                        : Optimal
   Channel description                      : SAS/SATA
   Controller Model                         : Adaptec 3405
   Controller Serial Number                 : 8C163DF1D
   Physical Slot                            : 3
   Temperature                              : 34 C/ 93 F (Normal)
   Installed memory                         : 128 MB
   Copyback                                 : Disabled
   Background consistency check             : Disabled
   Automatic Failover                       : Enabled
   Global task priority                     : High
   Stayawake period                         : Disabled
   Spinup limit internal drives             : 0
   Spinup limit external drives             : 0
   Defunct disk drive count                 : 0
   Logical devices/Failed/Degraded          : 1/0/0
   NCQ status                               : Enabled
   --------------------------------------------------------
   Controller Version Information
   --------------------------------------------------------
   BIOS                                     : 5.2-0 (17342)
   Firmware                                 : 5.2-0 (17342)
   Driver                                   : 1.2-1 (41010)
   Boot Flash                               : 5.2-0 (17342)
   --------------------------------------------------------
   Controller Battery Information
   --------------------------------------------------------
   Status                                   : Optimal
   Over temperature                         : No
   Capacity remaining                       : 99 percent
   Time remaining (at current draw)         : 3 days, 1 hours, 11 minutes

----------------------------------------------------------------------
Logical device information
----------------------------------------------------------------------
Logical device number 0
   Logical device name                      : zeta-r1-3t
   RAID level                               : 1
   Status of logical device                 : Optimal
   Size                                     : 2856950 MB
   Read-cache mode                          : Enabled
   Write-cache mode                         : Enabled (write-back)
   Write-cache setting                      : Enabled (write-back) when protected by battery/ZMM
   Partitioned                              : Yes
   Protected by Hot-Spare                   : No
   Bootable                                 : Yes
   Failed stripes                           : No
   Power settings                           : Disabled
   --------------------------------------------------------
   Logical device segment information
   --------------------------------------------------------
   Segment 0                                : Present (0,10)      WD-WCC4NUUPKF
   Segment 1                                : Present (0,13)      WD-WCC4NDKYSR


----------------------------------------------------------------------
Physical Device information
----------------------------------------------------------------------
      Device #0
         Device is a Hard drive
         State                              : Online
         Supported                          : Yes
         Transfer Speed                     : SATA 3.0 Gb/s
         Reported Channel,Device(T:L)       : 0,10(10:0)
         Reported Location                  : Enclosure 0, Slot 2
         Reported ESD(T:L)                  : 2,0(0:0)
         Vendor                             : WDC
         Model                              : WD30RX-68EUZN0
         Firmware                           : 82.00A82
         Serial number                      : WD-WCC4NUUPKF
         Size                               : 2861588 MB
         Write Cache                        : Enabled (write-back)
         FRU                                : None
         S.M.A.R.T.                         : No
         S.M.A.R.T. warnings                : 0
         Power State                        : Unknown
         Supported Power States             : Full rpm,Powered off
         NCQ status                         : Enabled
      Device #1
         Device is a Hard drive
         State                              : Online
         Supported                          : Yes
         Transfer Speed                     : SATA 3.0 Gb/s
         Reported Channel,Device(T:L)       : 0,13(13:0)
         Reported Location                  : Enclosure 0, Slot 5
         Reported ESD(T:L)                  : 2,0(0:0)
         Vendor                             : WDC
         Model                              : WD3FRX-68EUZN0
         Firmware                           : 82.00A82
         Serial number                      : WD-WCC4DDKYSR
         Size                               : 2861588 MB
         Write Cache                        : Enabled (write-back)
         FRU                                : None
         S.M.A.R.T.                         : No
         S.M.A.R.T. warnings                : 0
         Power State                        : Unknown
         Supported Power States             : Full rpm,Powered off
         NCQ status                         : Enabled
      Device #2
         Device is an Enclosure services device
         Reported Channel,Device(T:L)       : 2,0(0:0)
         Enclosure ID                       : 0
         Type                               : SES2
         Vendor                             : ESG-SHV.
         Model                              : SCA HSBP M13....
         Firmware                           : 2.05
         Status of Enclosure services device
            Power supply 1 status           : Optimal
            Power supply 2 status           : Optimal
            Temperature Sensor Staus 1      : Normal

Підключення нового диска (3ТБ) в Linux

2016-12-21T00:00:00+02:00

Дискові пристрої, що "бачить" система:

lsblk

NAME   MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
sda      8:0    0 119,2G  0 disk 
├─sda1   8:1    0 117,3G  0 part /
├─sda2   8:2    0     1K  0 part 
└─sda5   8:5    0     2G  0 part [SWAP]
sdb      8:16   1   2,7T  0 dis

Новий диск це sdb.

parted /dev/sdb

(parted) mklabel gpt
(parted) unit TB
(parted) mkpart primary 0.00TB 3.00TB
(parted) quit

Створення файлової системи:

mkfs.ext4 /dev/sdb1

Тюнинг файлової системи, зменшуємо кількість резервних блоків зі стандартних 5% до 1%:

tune2fs -m 1 /dev/sdX1

UUID логічного диска:

blkid

/dev/sdb1: UUID="00a4f53b-d81a-4973-abef-649e9bbd2b21" TYPE="ext4" PARTLABEL="primary" PARTUUID="30360e31-2d61-4168-8429-fe2acd1ea0cf"

Монтування при старті системи:

nano /etc/fstab

# /backup
UUID=00a4f53b-d81a-4973-abef-649e9bbd2b21 /backup       ext4    defaults        0       2

Створимо точку монтування і підмонтуємо все:

mkdir /backup

mount -a

Підглянуто тут.

Встановлення NFS-сервера

2016-12-21T00:00:00+02:00

Тестувалося на Ubuntu 16.04.1 LTS.

sudo apt install nfs-kernel-server

Робоча директорія:

mkdir /backup/proxmox
chown nobody:nogroup /backup/proxmox

Мережеві диски прописуються в /etc/exports, можна вказати мережу (192.168.252.0/24) з якої дозволено доступ:

/backup/proxmox     192.168.252.0/24(rw,sync,no_subtree_check)

Якщо буде використовуватися фаєрвол важливо присвоїти статичний порт для роботи, в /etc/default/nfs-kernel-server:

...
#RPCMOUNTDOPTS="--manage-gids"
RPCMOUNTDOPTS="-p 2048"
...

Обов'язково reboot. Перезапуск сервісів не допомагав. Видно перезапускав не ті, що потрібно.

Перевірка, після перевантаження має бути видно статичний порт (і стандартні 111 та 2049):

rpcinfo -p:

   program vers proto   port  service
    100000    4   tcp    111  portmapper
    100000    3   tcp    111  portmapper
    100000    2   tcp    111  portmapper
    100000    4   udp    111  portmapper
    100000    3   udp    111  portmapper
    100000    2   udp    111  portmapper
    100005    1   udp   2048  mountd
    100005    1   tcp   2048  mountd
    100005    2   udp   2048  mountd
    100005    2   tcp   2048  mountd
    100005    3   udp   2048  mountd
    100005    3   tcp   2048  mountd
    100003    2   tcp   2049  nfs
    100003    3   tcp   2049  nfs
    100003    4   tcp   2049  nfs
    100227    2   tcp   2049
    100227    3   tcp   2049
    100003    2   udp   2049  nfs
    100003    3   udp   2049  nfs
    100003    4   udp   2049  nfs
    100227    2   udp   2049
    100227    3   udp   2049
    ...

UFW

ufw allow from 192.168.252.0/24 to any port 111
ufw allow from 192.168.252.0/24 to any port 2048
ufw allow from 192.168.252.0/24 to any port 2049

ufw status :

2049                       ALLOW       192.168.252.0/24
111                        ALLOW       192.168.252.0/24
2048                       ALLOW       192.168.252.0/24

Очищення образу QEMU-KVM (звільнення місця)

2016-12-21T00:00:00+02:00

Навіть після видалення файлів їх інформація продовжує зберігатися у файловій системі (тому і існують різні відновлювачі файлів: undelete та ініші).

У віртуальних машинах KVM можна помітити, що інколи розмір диску що рапортує операційна система є набагато менший від того, який займає стиснений образ системи.

При копіюванні образу видалені дані теж переносяться, разом з образом. І при його архівуванні ці дані теж архівуються, збільшуючи розмір архіву.

Щоб очистити дані, та допомогти архіватору оптимально стиснути образ потрібно заповнити місце, яке вже не використовується, якимось шаблоном, що добре архівується, наприклад нуликами (0).

dd if=/dev/zero of=zero.small.file bs=1024 count=102400
dd if=/dev/zero of=zero.file bs=1024
rm zero.small.file
sync ; sleep 60 ; sync
rm zero.file

Після цих операцій архівні файли образів можуть стати на 10-50% меншими, ніж були раніше

Що таке IP-адреса (в інтернеті), якою вона буває

2015-10-27T00:00:00+02:00

З циклу статей «Складно про просте, чи навпаки». ;)

Інтернет це комп’ютерна мережа що складається з комп’ютерів та інших пристроїв, які розкидані по цілому світу. Щоб ці пристрої могли спілкуватися між собою кожен з них отримує унікальну мережеву назву — IP-адресу (Internet Protocol address). У увесь обмін інформацією відбувається між IP-адресами відправника та отримувача.

Користувач не може присвоїти своєму комп’ютеру, що підключено до Інтернету, будь-яку IP-адресу¹. Її може призначити, видати в користування, лише провайдер Інтернет.

Великим провайдерам інтернет IP-адреси видає в користування спеціальні організації, що слідкують за розподілом IP-адрес в певному регіоні світу. Ці організації співпрацюють та слідкують за тим, щоб в цілому світі жодному з провайдерів не було надано в користування такі IP-адреси які вже існують в когось іншого. Великі провайдери можуть надавати IP-адреси меншим провайдерам. А провайдери що підключають квартирних абонентів надають IP-адреси своїм користувачам.

Кількість IP-адрес є скінченою

Для зручнішого читання IP адресу представляють у вигляді чотирьох десяткових чисел², в діапазоні від 0 до 255, що розділені крапкою. Наприклад: 130.50.30.42. Її прийнято називати IP v. 4, або IPv4 (IP версії 4).

Перебравши всі можливі комбінації таких чисел можна підрахувати, що максимальна кількість IP-адрес — приблизно 4,2 мільярда штук.

В 70-х роках минулого століття, коли тільки виникла мережа Інтернет, ця кількість здавалася більш ніж достатньою. Сьогодні ж, коли з інтернетом працюють мільярди людей, коли навіть холодильники і лампочки можуть користуватися інтернетом, стало очевидно, що такої кількості IP-адрес не вистачає.

Світові організації що займаються розподілом адрес більше не видають їх провайдерам. Вільних IPv4-адрес, офіційно, більше немає.

IPv6

В 90-х роках минулого століття розробили вдосконалену версію правил обміну інформацією в мережі — протокол IPv6 (протокол IP версії 6). Для позначення IP-адреси в IPv6 використовуються не 4 байти (числа від до 256) а 16. Тому можлива кількість адрес IPv6 зростає до 340 трильйонів штук.

Проте, для використання IPv6 цей протокол мають використовувати всі учасники мережі: абонент, провайдер, інтернет-ресурс (сайт). Використання нового протоколу збільшується, але доволі повільно. І відмовитися від IPv4, на даний момент, неможливо.

Протоколи IPv4 та IPv6 можуть працювати одночасно, паралельно.

Реальні, та нереальні адреси (білі та сірі)

Як правило, навіть у звичайній квартирі, інтернет-пристроїв є декілька: комп’ютер, телефони, планшети. Але провайдер не видає по одній адресі для кожного пристрою, вона лише одна на одного абонента.

Для того щоб інтернетом могли користуватися усі домашні пристрої використовується спеціальне обладнання — роутери. Вони є посередником між інтернетом і Вашою домашньою мережею.

Уявіть собі що живете в ізольованій країні, з якої не випускають людей. І Ви не можете придбати будь-який товар за кордоном. Але є спеціальні люди, нехай дипломати, які мають таке право. Вони отримують замовлення від людей всередині країни, перетинають кордон, купують все необхідне, а після повернення роздають товар тому, хто його замовляв.

Ваш роутер отримує замовлення від усіх пристроїв домашньої мережі і завантажує інформацію з інтернету від свого імені, використовуючи одну IP-адресу що надана йому провайдером. Для світу виглядає що інтернетом користується лише один пристрій, хоча за ним насправді приховуються декілька різних.

В домашній мережі пристрої впізнають одне одного теж за допомогою IP-адрес. Існують спеціальні діапазони IP-адрес які рекомендовано використовувати в домашніх та локальних мережах підприємств. Наприклад 192.168.0.0-192.168.255.255.

Такі адреси називають приватними, або внутрішніми, або "сірими" чи "нереальними". Бо вони доступні лише в межах Вашої внутрішньої мережі. Від їх імені не можна надіслати інформацію в Інтернет чи отримати відповідь з Інтернету.

Такі, однакові, адреси можуть бути у і Вашого домашнього комп’ютера і в сусідського і на роботі. Вони використовуються для обміну інформацією лише в межах внутрішньої мережі, грубо кажучи — лише в межах Вашого приміщення (квартири, офісу).

IP-адреси що є унікальними в світі, які використовують провайдери, через які можна обмінюватися інформацією в Інтернеті називають зовнішніми, або "білими" чи "реальними".

Абоненту може видаватися "реальна" адреса. Від імені якої можна виходити в інтернет. На "реальну" адресу також можна приймати інформацію (коли хтось першим підключається до Вас, а не навпаки).

Якщо абоненту видається "нереальна" адреса, то з нею теж можна виходити в інтернет. Але це не прямий зв’язок з інтернетом — отримувати інформацію на "нереальну" адресу можна лише через посередника (сервер провайдера).

Для звичайного користування достатньо і "нереальної" IP-адреси. В більшості випадків користувач не відчуває жодних незручностей. Але коли користувач бажає отримати доступ до своєї адреси ззовні, з Інтернету (наприклад на внутрішній ігровий сервер, на систему відеоспостереження тощо) — потрібна "реальна", зовнішня IP-адреса.

Статична та динамічна IP-адреса

Тут все просто.

Якщо адреса, що видається провайдером, незмінна, кожного разу однакова — то вона статична.

Якщо IP-адреса час від часу змінюється (наприклад після кожного підключення до провайдера) — то вона динамічна.

Коли абоненту потрібна зовнішня IP-адреса то, як правило, провайдер закріплює її за абонентом. Тому часто під словом "статична" мають на увазі "реальна" зовнішня IP-адреса.

Але насправді може бути як статична зовнішня адреса, так і динамічна зовнішня. Статичність і "реальність" це дві різні характеристики IP-адреси.

Як перевірити свою IP-адресу

Перш за все потрібно зрозуміти, що IP-адреса це характеристика мережевого підключення. Навіть на одному комп’ютері може бути декілька мережевих підключень і кожна з них може мати свою IP-адресу.

Наприклад роутер має щонайменше 2 IP-адреси. Одна — видана провайдером для роботи з Інтернетом, інша — локальна адреса для роботи з домашніми пристроями. IP-адреси можна переглянути на сторінці "Статус" роутера, або, якщо до провайдера підключається лише один комп’ютер, напряму, то переглянувши стан мережевого підключення.

В роутерах мережеве підключення до провайдера, як правило називають WAN (Wide Area Network), а підключення в локальну мережу LAN (Local Area Network). IP-адреса інтерфейсу WAN і буде адресою, яку видав провайдер.

Якщо ця IP адреса з діапазону:

10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255

то це приватна ("сіра") IP адреса і Ви виходите в інтернет від імені IP-адреси посередника-провайдера. Інакше — у Вас зовнішня ("реальна") IP адреса.

Існують спеціальні сайти, які показують "Вашу IP-адресу" (наприклад ipinfo.io). Але треба пам’ятати, що вони показують не особисто Вашу адресу, а адресу з якої Вас видно в Інтернеті, а це насправді може бути адреса посередника (сервера-роутера в провайдера).

Тут і надалі йдеться про IP-адреси в масштабах інтернету, не про IP-адреси локальної мережі, якими може керувати сам користувач. ↩
Невід’ємною частиною властивостей IP-налаштувань, крім IP-адреси є також і "маска" мережі (наприклад 255.255.255.0). Маска описує певну множину IP-адрес (IP-мережу), здійснює умовний поділ мережі на частини і вказує до якої з частин належить дана IP-адреса. Питання IP-маски, IP-шлюзу, IP-маршрутизації тут не розглядаються. ↩

epon sla set failed

2015-08-31T00:00:00+03:00

От саме так почав сваритися OLT BDCOM P3310. Причому деякі ONU почали "вилітати" (стан authenticated).

В логах побачили багато повідомлень:

epon sla set failed,epon_sla_if,3226!

Форуми пишуть що це пов’язано з нарізкою швидкості через SLA. Якщо ми нарізаємо швидкість через epon sla upstream pir 30760 cir 30760 то CIR означає гарантовану швидкість, яку OLT повинен зарезервувати для всіх ONU (PIR — максимальну).

Ефективна пропускна здатність одного оптичного порта GEPON приблизно 960 Мб/с. Макс. кількість ONU на порті — 64. Якщо будуть задіяні всі ONU то виходить що на кожну з них не можна резервувати більше ніж 960/64=15Мб/с.

Якщо сума швидкостей усіх зарезервованих каналів перевищує пропускну здатність порта то OLT перестає сприймати команди для обмеження швидкості, а нові ONU взагалі може відмовлятися реєструвати.

Тому на завантажених OLT є сенс встановлювати CIR <= 15000, причому CIR <= PIR.

interface EPON0/1:1
 onu-configuration
 epon sla upstream pir 30760 cir 15000
 epon sla downstream pir 30760 cir 15000
  epon onu port 1 ctc vlan mode tag 430
  epon onu port 1 loopback detect
!!onu-configuration-end

P.S. Це все за умови що швидкість ріжеться на оптичному каналі, використовуючи SLA. Можна ще різати на "вихідному" порті Ethernet:

epon onu port 1 ctc rate-limit 30760 ingress
epon onu port 1 ctc rate-limit 30760 egress

Помилка "corrupted" при встановленні драйвера HPLIP для принтерів HP

2015-08-31T00:00:00+03:00

Встановлюю принтер HP M125nw через sudo hp-setup -i, нікого не чіпаю, а воно після кроку завантаження свариться:

error: /home/username/.hplip/hplip-3.15.2-plugin.run file does not match its checksum. File may have been corrupted or altered

Глюк, виявляється, відомий в багатьох дистрибутивах Linux (в мене Ubuntu Mate 15.04). Треба зайти руцями на сайт HPLIP і завантажити файли потрібної версії. Повинно бути 2 файли, з розширеннями .run і .asc.

Їх можна покласти в домашню директорію і вже звідти запустити hp-setup -i, а на кроці завантаження сказати що потрібні файли вже є на диску.

Саморобний ремінець для Casio G-Shock

2015-04-04T00:00:00+03:00

Після 4-х років доволі акуратного носіння мої G-Shock мають ще пристойний вигляд. Але пластиковий ремінець не витримав і дав рясні тріщини. Сочатку лише поверхневі, а потім і на усю товщину ремінця.

Виявилося що знайти ремінець на заміну не так і просто. В годинникових магазинах немає, а ті що є цінять у 1000-1200 грн (40 $ на сьогодні). Це при тому що на момент купівлі сам годинник обійшовся мені 1100 грн ;) (137 $ на той час) .

Закордоном, на eBay, ціна ремінця 20-30 $. Якісь зовсім негуманні ціни. :(

Зателефонував в сервісний центр Casio у Києві. Повідомили що ремінець до моєї моделі можна замовити. Ціна — 270 грн (10 $). Час очікування — до 3-х місяців. Я звичайно замовив, чекаю...

Але ходити без годинника на руці виявилося страшенно не зручно. Постійно заглядаю на зап’ястя а там лише волосся. ;)

Взяв я шматок шкіри, лінійку, дратву з голкою і вийшло ось таке:

Фурнітуру (металеву дужку з язичком) взяв з "рідного" ремінця. Вона знімається дуже легко.

Шив не дуже акуратно, бо "для проби", та й сподіваюсь таки тимчасово.

Ремінець з 2-х шарів, бо вушка-кріплення для ремінця дуже вузькі (16мм), а торці корпусу ширші (24мм). Вужча смужка має бути з тонкої шкіри, бо місця у "вушках" дуже мало. А ширша (основна) частина ремінця має бути такою, щоб підійти по ширині до замка з язичком.

2 тижні — політ нормальний! ;) Носиться чудово. Вузьку смужку можна зробити довшою, тоді годинник можна зміщувати "вперед-назад" відносно основного ремінця, щоб краще сидів на зап’ясті.

Єдиний значний недолік — якщо шкіряний ремінець намокне, то сохне дуже довго. А так — цілком робочий і зручний варіант. Чесно кажучи ще подумаю чи ставити назад оригінальний ремінець. ;)

Трохи більше фото тут.

P.S. До речі, існують альтернативні ремінці для годинників такого типу, зроблені з нейлону. Власне вони і підказали ідею.

Їх називають ремінці Nato, або Zulu (трохи інші за конструкцією).

Проблема лише у тім, що не для всіх годинників підійде.

Для Casio G-Shock існують спеціальні адаптери для Nato/Zulu, що кріпляться до стандартних вушок годинника, але на кінцях мають ширші вушка для ремінця.

Проте з ціною 10-15 $ за адаптер + 10-15 $ за ремінець економічно не вигідно. Хіба що вам потрібен саме такий тип ремінця.

Оновлення, 07.05.14

Прийшов оригінальний ремінець з сервісного центру Casio, № запчастини 10273059. 240грн (11$). Підійшов як рідний. ;)

(

Тестування IP-камер D-Link: DCS-2132L і DCS-3010

2015-03-23T00:00:00+02:00

Трапилося мені потестувати дві IP-камери. Спеціально брали 2 різні щоб порівняти.

Виявлено такі переваги і недоліки:

D-Link DCS-2132L

Загальна інформація:

Ціна ~130 $.
Досить нормальне зображення.
Може зберігати відео на SD-карту і на мережевий диск Windows.
Кут огляду ~58°.
Має інфрачервону нічну підсвітку, але якщо встановлювати перед вікном (наприклад знімати вулицю) то відбиття від скла засліплює камеру.

Переваги:

HD 720p.
Має режим нічної зйомки. Відключає інфрачервоний фільтр (фізично відсувається). Трохи покращує зображення в умовах низького освітлення.
Дуже чутливий мікрофон.
Інфрачервона підсвітка.
Окремий датчик руху.
Вміє підключатися до онлайн-системи відеонагляду D-Link mydlink.com.
Має Wi-Fi.
Налаштування звичне для D-Link, проблем не виникло.

Недоліки:

Суттєвих недоліків під час тестування не виявив.

Онлайн-потік (HD) якийсь хитрий, треба підібрати відеопрогравач. В браузері Firefox потік MJPEG лише середнього розміру (не HD).

D-link DCS-3010

Загальна інформація:

Ціна ~140 $.
Хоч має ніби кращу оптичну систему, але зображення не вражає, хоч і не погане.
Може зберігати відео на SD-карту і на мережевий диск Windows.
Кут огляду ~57°.
Може живитися по мережевому кабелю (треба додатковий блок живлення PoE).
Може встановлюватися у всепогодний бокс для розташування за межами приміщення.

Переваги:

Спробую щось вигадати...

HD 720p.
PoE (живлення по мережевому кабелю).
Змінна оптика (можна [?] докуповувати окремо).
MJPEG в Firefox в режимі HD.
Надійне металеве кріплення-підставка.

Недоліки:

Треба чітко фокусувати об’єктив на потрібну віддаль зйомки. Це мало б бути перевагою, але фактично нічим не допомагає, бо навіть у фокусі картинка не дуже чітка.
Для налаштувань і перегляду списку записаних файлів на SD потребує Internet Explorer.
Мікрофон не дуже чутливий. Та й віддінок звуку — як з металевого відра.
Прошивка якась "сира", має помилки. Сама веб-морда страшна, незручна, деколи вимагає правильного порядку дій, щоб не глючити.
Час у відео вставляється один (правильний), а у назві відеофайлу інший (часова смуга інша).
Запис по мережі працює лише на прошивці яка має статус "Beta" (хоч випущена рік тому).
Відео в якомусь дивному форматі (нормально програється не усіма програвачами).
Камера має вбудований FTP-сервер, який проте не показує жодних записаних файлів.

Висновки

Звичайно можна "побавитися" з якістю картинки, але приблизно ось так виглядає зображення на DCS-2132L (зверху ↑) і DCS-3010 (знизу ↓). Клацніть для збільшення.

В загальному, DCS-2132L добре підходить для зйомки вулиці, де вночі недостатньо освітлення. Нічна зйомка не ідеальна, але краще ніж нічого. ІЧ підсвідка мабуть допоможе в невеликих приміщенням (кімната, коридор). Добрий мікрофон. Інтеграція з онлайн-службами D-Link. DCS-2132L можу рекомендувати.

DCS-3010 незважаючи на те, що позиціонується D-Link як камера вищого рівня, і є дорожчою, на практиці виглядає гіршою від "домашньої". DCS-3010 має глючну прошивку. Рідна знімна оптика не надає ніяких переваг, лише проблеми. Кут зору трохи менший ніж в сусіда по порівнянню. Мікрофон паршивий.

Мабуть існують умови де DCS-3010 може розкрити свій потенціал: бокс для встановлення на вулиці, живлення по мережевому кабелю, далекобійна оптика, або навпаки — захоплення дуже широкого кута. Але якщо Ви не готові модернізовувати камеру і з такою прошивкою — DCS-3010 не рекомендую.

Тюнинг FreeBSD для високих мережевих навантажень

2015-02-25T00:00:00+02:00

                           ,        ,
                           /(        )`
                           \ \___   / |
                           /- _  `-/  '
                          (/\/ \ \   /\
                          / /   | `    \
                          O O   ) /    |
                          `-^--'`<     '
                         (_.)  _  )   /
                          `.___/`    /
                            `-----' /
                <----.     __ / __   \
                <----|====O)))==) \) /====
                <----'    `--' `.__,' \
                            |        |
                             \       /       /\
                        ______( (_  / \______/
                      ,'  ,-----'   |
                      `--{__________)

Тюнинг сервера FreeBSD для надійної роботи з великим трафіком. Мережеві карти Intel (em, igb).

sysctl

Вставити в /etc/sysctl.conf:

# Безпека + зменшення навантаження при DDoS-атаках
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1

net.graph.recvspace=8388608
net.graph.maxdgram=8388608

dev.em.0.rx_int_delay=200
dev.em.0.tx_int_delay=200
dev.em.0.rx_abs_int_delay=4000
dev.em.0.tx_abs_int_delay=4000
dev.em.0.rx_processing_limit=4096

dev.em.1.rx_int_delay=200
dev.em.1.tx_int_delay=200
dev.em.1.rx_abs_int_delay=4000
dev.em.1.tx_abs_int_delay=4000
dev.em.1.rx_processing_limit=4096

dev.igb.0.rx_processing_limit=4096
dev.igb.1.rx_processing_limit=4096

net.route.netisr_maxqlen=4096

kern.ipc.nmbclusters=400000
kern.ipc.maxsockbuf=83886080

net.inet.ip.intr_queue_maxlen=10240

net.inet6.ip6.auto_linklocal=0
net.inet6.mld.use_allow=0

net.inet.tcp.sendbuf_max=4194304
net.inet.tcp.recvbuf_max=4194304

loader.conf

Вставити в /boot/loader.conf:

# network interfaces
hw.em.rxd=4096
hw.em.txd=4096
hw.em.max_interrupt_rate=32000

hw.igb.rxd=4096
hw.igb.txd=4096
hw.igb.max_interrupt_rate=32000

# for other protocols (IP & PPPoE?)
net.isr.defaultqlimit=4096

# default outgoing interface queue length
# used by lagg etc.
net.link.ifqmaxlen=10240

#netgraph queue sizes tuning, see vmstat -z|egrep 'ITEM|NetGraph'
# net.graph.maxdata=65536
# net.graph.maxalloc=65536
net.graph.maxdata=2048
net.graph.maxalloc=4096

Різне

Дуже цікава практична стаття на цю тематику.

Вищевказана конфігурація використовується на серверах з трафіком близько 1Гб/с, 1500 клієнтів PPPoE.

Помилка: 550 Subject contains invalid characters

2015-02-19T00:00:00+02:00

Жив-був собі один PHP-скриптик для відправлення електронних листів, що використовує PHP-функцію mail. І в один прекрасний день листи приходити перестали. Виявилося що листи повертаються відправнику з помилкою 550 Subject contains invalid characters (тема містить заборонені символи).

Справа в тому що стандарти вимагають щоб усі заголовки листа були у кодуванні ASCII. І будь-які інші символи, в тому числі кирилиця, якої немає в ASCII, вважаються помилковими. І раптово деякі поштові сервери стали "правильними" і перестали приймати пошту.

На щастя, існує документ RFC 1342 який регламентує використання не-ASCII у заголовках листів. Для цього потрібно вказувати заголовок у вигляді:

=?charset?encoding?TEXT?=

Наприклад:

=?utf-8?B?Привіт?=

encoding може бути B або Q, формат "base-64" і "quoted-printable" відповідно (теж описано в RFC 1342).

Таким чином, щоб листи успішно доставлялися, потрібно правильно оформляти заголовки, наприклад:

$to = 'example@example.com';
$from = "sender@example.com"

$subject = '=?utf-8?B?'.base64_encode('Тема з не-ASCII символами ó¿¡á').'?=';
$sender_name   = '=?utf-8?B?'.base64_encode('Назва відправника з не-ASCII символами ó¿¡á').'?=';

$message = 'Текст повідомлення';
$headers = 'From: ' . $sender_name . ' <' . $from . '>\r\n';

$headers = 'Content-Type: text/plain; charset=utf-8'.'\r\n';
mail($to, $subject, $message, $headers);

Маленькі секрети маленьких ножів

2015-02-16T00:00:00+02:00

Є інструменти які приваблюють своєю естетичністю. А деякі просто приємно мати, навіть якщо вони не завжди потрібні.

Зокрема, ці ознаки гармонійно переплелися у інструментах що в цілому світі стали символами якості, практичності і інженерної краси — «швейцарських ножах»¹.

Найпопулярніші з них це швейцарські армійські ножі (в народі «SAK²») які справді випускалися для військових. Спочатку для армії Швейцарії, а потім і для багатьох інших.

А згодом розпочався і комерційний збут. Завдяки функціоналу та якості матеріалів швейцарські ножі набули фанатів по цілому світу. Ніж який у використанні 15-20 років не рідкість. Зіпсувати такий інструмент можна лише спеціально. ;)

Швейцарський ніж навіть входить у стандартне спорядження астронавтів Nasa.

Захопившись цією тематикою відкрив для себе багато нового і хочу поділитися з допитливими читачами деякими цікавинками, яких раніше не знав.

Не Victorinox-ом єдиним

Першою, і довший час єдиною, фірмою що виготовляла швейцарські ножі (з 1891 р.) для потреб армії була швейцарська фірма Victorinox. 1908-го уряд Швейцарії залучив до постачання ще одного місцевого виробника — Wenger.

Емблеми обидвох виробників схожі на герб Швейцарії.

Дві фірми виготовляли різні моделі ножів. Проте і той і той — швейцарський ніж. Хтось більше любить «Вікси», комусь подобаються «Венгери». Хоча вони дуже схожі.

Проте, питання щодо «в кого краща відкривалка для консерв» (а вони справді різні) розпалюють суперечки не менш палкіші ніж «Nikon проти Canon». ;)

Швейцарські ножі завжди виготовлялися швейцарськими фірмами і як правило у Швейцарії³.

Цікаво, що у 2005 році фірма Victorinox купила свого конкурента Wenger. Проте це було конструктивне поглинання і Wenger й надалі проектують і випускають свої конструкції ножів.

Ба навіть з’явилися гібриди двох різновидів швейцарців:

Я переважно зустрічався з Victorinox, тому більше буду говорити про них.

Приємні дрібнички

Кожна модель ножа має певний набір інструментів. Дехто має декілька маленьких ножів, дехто купує «все в одному». Але є корисні "інструменти" якими можна збагатити свого старого друга.

Міні-викрутка

Часом її називають викрутка для окулярів, бо її розмір підходить для ремонту оправ і дужок. Продається окремо (~ 1,5 $, код виробу A3643). Підходить для більшості ножів.

Куди її запхати вже здогадались? Дуже просто:

Місця не займає, їсти не просить.

Булавка

Підходить не для всіх моделей, точніше не для всіх корпусів (накладок). Відкрийте свердлик і загляньте в торець накладки, чи є дірочка у вашій:

Вартує 0,5 $ (код A3645). Або попросіть у мами чи дружини. :) Чи в магазині де продають сорочки. Правда оригінальна булавка Victorinox трохи більша за "побутову".

Можна знайти красиву, з кулястою голівкою під колір ножа. ;)

Зняття ізоляції

Пише інструкція: «Інструмент для зняття ізоляції». З ходу і не здогадаєшся. А це про виріз на відкривалці.

Щоб легше різалося дехто загострює його ось так:

Берегти як зіницю ока

Найгірше що може статися з вашим Віксом — випадково загубити його під час носіння. Очевидні варіанти запобігти цьому — різного роду чохли.

Не завжди вигідні для маленьких ножів, бо їх зручніше носити в кишенях штанів (ідеально підходять кишені для запальничок у джинсах), костюмі чи сумочці.

Кільце на кінчику ножа причепили не просто так.

На менших моделях ним причіпаються до ключів. Такі ножі так і називають — "ключники".

На більшеньких ножах за кільце можна вчепити ланцюжок, а ланцюжок, за допомогою зручного карабіна, причепити до одягу чи спорядження.

Бувають різної довжини і різних типів карабінів.

Існують спеціальні підвіси, що одягаються на ремінь, або зачіпаються за край кишені:

Різновид кліпс для кишені:

Дехто використовує для такого кріплення товсту канцелярську скріпку.

Ще бачив спеціальну пластину з дірочками, яка накручується на свердлик. А вже до неї кріпиться ланцюжок. Ніяк не знайду фото. ;( Мабуть підійде для моделей без кільця (трапляються і такі варіанти).

Можна причепити улюблений ножичок міцною мотузкою. Ідеально підходить паракорд⁴. Я щодня ношу саме так, навіть без карабіну, просто роблячи петлю навколо ремінних лямок штанів:

Фактично це різновид темляка.

Темляк

Темляк — ремінь, петля, шнур на кінці ножа. Може виготовлятися зі шкіри, паракордку, звичайної мотузки.

Допомагає тримати ніж у руці, запобігає його вислизанню під час користування. З темляком маленький ніж зручніше діставати з кишені чи чохла. Яскравий темляк допомагає знайти ніж серед трави тощо.

Короткий ніж завдяки жорсткому темляку ніби видовжується, збільшуючи площу контакту з долонею.

Темляк з петлею не дасть інструменту впасти:

Гострий як бритва

Навіть заводська заточка з легкістю шинкує аркуш паперу. Але з часом клинок тупішає. Сталь ножів Victorinox вважається м’якою, тому її легко загострити. Але робити це треба правильно.

Лезо дуже легко зіпсувати, тому, якщо воно затупилося сильно, або пошкодилося (має зазубрини) — краще довіритися професійним гострильникам інструменту, якщо таких знайдете.

Це окрема тема і своя наука. Просто повірте на слово що правильно загострити лезо в домашніх умовах, навіть маючи потрібні інструменти (абразивні та полірувальні камені), досить важко. А для новачка чи без інструментів (а ля "до сходів") — неможливо.

Якщо ж з лезом поводитися обережно то час від часу достатньо лише підрівняти ріжучий край. Це можна робити або мусатом⁵ або спеціальними точильнями.

Оригінальна від Victorinox (код моделі 4.3323):

Основна її особливість це не абразивний брусок а керамічні пластини на кінці, які розташовані під "правильним" кутом 20° (загальний кут ріжучого краю 40°, але прийнято орієнтуватись на половинний кут — від краю до середини леза, 20°).

Пластини вирівнюють край леза та шліфують його, повертаючи гостроту.

Існують спеціальні точильні зі змінними каменями (вартістю 100+ $) та їх чисельні клони (40+ $):

Про водяні японські та арканзаські точильні камені вартістю 1000+ $ дуже згадувати не будемо. ;)

Існують штучні керамічні точильні камені. Кераміка є делікатним абразивом і добре підходить до фінішного заточування чи періодичного вирівнювання торця леза. Популярними є точильні з керамічними ствопцями від Lansky (20-30 $):

Стовпчики вже орієнтовані під правильним кутом, ваше завдання — тримати ніж строго вертикально і рухати ним зверху-вниз і одночасно до себе-від себе.

Існують і міні-варіанти:

Не маючи можливості і бажання придбати професійні інструменти для заточування можна скористатися народними. ;) При певному тренуванні можна навчитися загострювати ножі на наждачному папері різної грубості (P200-P2000). Або пошукати на барахолках радянські абразивні бруски чи круги з дрібним зерном (10-40 нм, 3-5 $).

Хочу лише звернути увагу що алмазні абразиви погано підходять для фінішного загострювання (леза Victorinox роблять з надійного, але відносно м’якого металу).

Радянське минуле залишило нам у спадок ще один бюджетний матеріал для відновлення гостроти ножів — напівпровідникові діоди у керамічному корпусі, що використовувалися у лампових телевізорах: КЦ-109 та ВТ-18 ціною 5-10 грн за штуку :) :

Знавці стверджують що кераміка цих діодів не поступається фірмовим стовпцям від Lansky. Дехто використовує для цієї ж мети керамічні корпуси старих мікросхем, та навіть корпуси комп’ютерних процесорів Pentium перших поколінь. ;)

Змінні накладки

Мало хто знає, що більшість моделей швейцарських ножів мають змінні накладки, які можна придбати окремо і замінити самостійно.

Крім нового вигляду нові накладки можуть мати дірочку під булавку, якої не було на оригінальних.

Матеріал накладок

Кишенькові Victorinox мають 3 види матеріалу накладок:

блискучі, ацетат целюлози (целлідор)
матові (матовий нейлон)
алюмінієві (серія Allox)

Целлідорові гарно виглядають, але дуже легко дряпаються. Проте на них втиснено стильну металеву емблему Victorinox.

Матові стійкі до подряпин, майже не змінюються з часом. Але логотип на них нанесено фарбою, яка згодом стирається. Моделі з матовими накладками мають назву серії «EcoLine».

Окрема лінійка «Alox» випускається у красивих, легких алюмінієвих корпусах. Дорогі. ;(

Ніж не іграшка для дітей?..

Для хлопчака́ ніж не іграшка, а предмет мрій і бажань. :) В дитинстві я не мав свого, напевне за це зараз і "розплачуюся". ;)

Victorinox випускає спеціальні моделі без гострого кінчика на лезі — «My First Victorinox» (мій перший Victorinox).

Періодичний догляд за ножем

Ніж бажано тримати в чистоті. Це запорука безпечного і тривалого користування ним.

В польових умовах, грубий бруд можна вичистити "зубочисткою" з ножа (ви ж не думали що вона справді для зубів, правда? :) ). Пилюку, сік фруктів що потрапляють усередину можна вимити у звичайній теплій воді. Занурте ніж під воду і декілька разів відкрийте-закрийте усі інструменти. Обережно! Мокре лезо може вислизнути з рук і поранити!

Після миття витрусіть з ножа воду, витріть зовні та покладіть сушитися (не треба фенів, сонця і духовок).

Також, час від часу, треба змащувати осі інструментів. Продається спеціальне мастило Victorinox (модель 4.3301). Але підійде і звичайне "для швейних машинок", або навіть синтетичне автомобільне. Головне не маргарин. ;)

Якщо інструменти перестали чітко фіксуватися в крайніх положеннях і зникло характерне клацання це підказка що ножа час помити і змастити.

Парасолька, яка зовсім не парасолька

Наостанок хочу розповісти про емблему, яка є на деяких лезах. Дехто називає її парасолькою, хоча насправді це арбалет.

З часів повстання проти Габсбургів, на чолі з Вільгельмом Теллем, вправним стрілком з арбалета, ця зброя стала символом Швейцарії.

Такою емблемою позначаються товари асоціації швейцарських виробників «Swiss Label». Вона засвідчує якість товару, а також означає що більшість робіт були виконані безпосередньо у Швейцарії.

Цікаво, що емблема "хрестик з арбалетом" і напис "OFFICIER SUISSE" штампувалися на лезах Victorinox з 1974 по 2005 роки. З 2005: просто "OFFICIER SUISSE" (без арбалета).

Чи означає це перенесення частини виробництва зі Швейцарії — достеменно не відомо.

На лезах старого зразка ще є напис «Victorinox SWITZERLAND STAINLESS ROSTREI» (1968-2005) яке змінилося на сучасніших на «Victorinox SWISS MADE STAINLESS».

Придбані у надійних продавців ножі без арбалету чи з арбалетом є швейцарськими. Фактично, відсутність арбалета лише вказує що ножа випущено після 2005 року.

Чесно кажучи, потримавши хоч раз і житті "швейцарця", ви навряд чи сплутаєте його з китайською підробкою.

Підбір інструментів

Підшукуючи Victorinox з оптимальним набором інструментів "під себе" можна скористатися сторінкою на сайті Victorinox "Tool finder", де відфільтруються моделі з потрібним функціоналом.

Проте на практиці важливими є також і вага і розмір. Моделі умовно можна поділити на рядність, по кількості рядів інструментів. Багатофункціональний чотирьохрядник у лісі може буде оптимальним, тоді як для щоденного носіння (EDC⁶) ідеальними є дворядні, або навіть "ключники".

Багато людей тішаться тоненькою моделю «SwissCard» з чудовим набором для міського жителя:

Різне

Чи відомо вам що Victorinox виготовляють не лише армійські та кишенькові ножі, але й кухонні.

А також різні відкривалки, ножі для овочів тощо.

Якщо Ви дочитали це до кінця то мабуть маєте багато вільного часу. ;) А можливо це ознаки «синдрому швейцарського ножа», начувайтесь! :)

Фотографії: мої, victorinox.com, wenger.ch, x-gear.com.ua, nazya.com, tacticalstore.se, Flickr (scu09144).

«Швейцарський ніж», тут і далі це «ті самі швейцарські армійські ножі». ↩
SAK — Swiss Army Knife, швейцарський армійський ніж. ↩
Ходять чутки що віднедавна частину виробництво ножів перенесли з Швейцарії, чи то в Німеччину чи то ще кудись. ↩
Паракорд — "парашутний корд", гнучкий нейлоновий трос з гладкою оболонкою і переплетеною серцевиною. ↩
Мусат — інструмент для зняття задирок з ріжучої кромки кухонних ножів; круглий стержень з поздовжньою насічкою, вигототовлений із твердих вуглецевих сплавів, має ручку для зручності в користуванні. Wikipedia. ↩
EDC — «Everyday carry», предмети що носяться з собою щодня. ↩

Збільшення розміру диску для віртуальної машини Proxmox

2014-12-29T00:00:00+02:00

Спочатку треба збільшити розмір віртуального диску, безпосередньо в Proxmox¹. Якщо диски розташовані на LVM² то це робиться без проблем:

У вікні з параметрами розширення задається число гігабайт на які збільшиться віртуальний диск.

Потім, треба збільшити розмір логічного розділу. Це потрібно робити зі сторонньої системи, наприклад GParted Live-CD. ISO можна завантажити на сервер Proxmox і додати його в опції завантаження віртуальної системи. Тод стартанути з Live-CD і програмою GParted розширити логічний диск на усе вільне місце.

Розділ Swap потрібно теж або акуратно перенести, або видалити, а потім створити знову і активувати (mkswap /dev/sdaX).

Proxmox VE — система віртуалізації що використовує технології KVM або OpenVZ. За допомогою систем віртуалізації на одному фізичному комп’ютері можуть працювати декілька різних операційних систем, кожна з яких буде вважати що вона працює на окремому комп’ютері. ↩
LVM — менеджер логічних томів. Технологія, що дозволяє об’єднувати один або декілька фізичних дисків в один логічний том. Таким чином фізична конфігурація (кількість, розмір) дисків може змінюватися без шкоди для логічної конфігурації. Крім того LVM вміє робити миттєві снепшоти (образ, стан) розділу, розширювати його тощо. ↩

OLT BDCOM P3310B — помилка при додаванні ip-адреси

2014-12-24T00:00:00+02:00

В OLT BDCOM P3310B, при спробі задати ip-адресу для нового VLAN (ще на етапі входу в його конфігурацію) отримуємо помилку "Error: Interface exceeds its threshold":

OLT-5_config# interface vlan5
OLT-5_config# Jan  1 00:30:21 %Error: Interface exceeds its threshold.

Справа в тому, що OLT не може мати більше однієї "власної"" IP-адреси. А одна адреса вже занесена заводськими налаштуваннями на VLAN1. Тому спочатку треба:

no interface vlan 1

А вже потім спокійно накручувати собі IP на потрібному VLAN:

vlan 5
name control
interface vlan5
ip address 192.168.0.2 255.255.255.0