LINUX.ORG.RU

Избранные сообщения dober

dwm newbie

Галерея — Скриншоты
dwm newbie

Плавно переезжаю с awesome на dwm, взытый из git репозитория. Пока всё нравится :) Подпилил немного dwmstatus:

  • погода вытягивается с yahoo weather и парсится с помощью libxml2. В планах сделать выдающее окошко с прогнозом на неделю.
  • парсится кол-во новых писем из Maildir/new

Так как dwm пока ванильный, буду благодарен, если посоветуете полезных патчей. Ещё пара скриншотов:

 

zl0y
()
70 комментариев (стр. 2)

port forwarding: iptables vs xinetd

Форум — Admin

Всю жизнь стояло вот такое перенаправление и нормально работало:

-A PREROUTING -p tcp -m tcp -d <REAL-IP> --dport 587 -j DNAT --to-destination <INT-IP>:587
-A PREROUTING -p tcp -m tcp -d <REAL-IP> --dport 993 -j DNAT --to-destination <INT-IP>:993

Но недавно внезапно обнаружилось, что от одного из провайдеров на эти порты достучаться нельзя.

Когда идеи закончились заменил это на xinetd вида:

service pmap-imap
{
    port            = 993
    type            = UNLISTED
    disable         = no
    socket_type     = stream
    protocol        = tcp
    wait            = no
    user            = nobody
    redirect        = <INT-IP> 993
    flags           = IPv4
    bind            = <REAL-IP>
}

и всё заработало.

Вопрос: чем таким iptables принципиально отличается xinetd, что у одного из провайдеров получилось (нечаянно?) его забанить?

 , ,

sergej
()
3 комментария

Не работает bash

Форум — Development

Доброго времени суток :) С bash я никогда не работал и как появилась задача написать не большой скрипт. Создал файл test.bash с содержимым: 

#!/bin/bash
case "$1" in
	install)
		echo "Установка!"
	;;
	reinstall)
		echo "Переустановка!"
	;;
	*)
	echo "Используйте: install|reinstall"
esac
Запускаю командой bash ./test.bash install Получаю ошибку: 
test.bash: line 2: syntax error near unexpected token `$'in\r''
'est.bash: line 2: `case "$1" in
Как это исправить?

 ,

BMW
()
19 комментариев

Cinnamon мучает ССД

Форум — General

Доброго всем дня!

Сильно не пинайте. Замучался бродить по буржуйским форумам. Умер у меня OCZ Vertex 3 взял Samsung 850 EVO. Все настроил как по мануалам. А вот странную ЕЖЕСЕКУНДНУЮ активность извести не могу (iotop -boqqq):

13458 be/4 di 0.00 B/s 0.00 B/s 0.00 % 0.49 % cinnamon --replace

13458 be/4 di 0.00 B/s 0.00 B/s 0.00 % 1.79 % cinnamon --replace

13458 be/4 di 0.00 B/s 0.00 B/s 0.00 % 3.53 % cinnamon --replace

13458 be/4 di 0.00 B/s 0.00 B/s 0.00 % 4.01 % cinnamon --replace

Далее попытался отследить что пишет: sudo strace -e trace=write -p 2478 Process 2478 attached

write(5, «\1\0\0\0\0\0\0\0», 8) = 8

write(5, «\1\0\0\0\0\0\0\0», 8) = 8

write(5, «\1\0\0\0\0\0\0\0», 8) = 8

Моментально заполняет терминал. Что же он зараза пишет?

В полном выводе:

recvmsg(6, 0x7ffdb246ace0, 0) = -1 EAGAIN (Resource temporarily unavailable)

вывод в файле: http://www.webfolder.ru/339875

Отследить бы куда пишет, перенес бы в оперативку и хай себе пишет!

 , ,

didjer
()
11 комментариев

Переформатирование кода в Pycharm

Форум — General

Есть такая возможность в Pycharm - переформатирование кода. Т.е. расстановка пробелов, расстановка блоков. Как это включается? Что-то найти не могу.

 ,

int13h
()
4 комментария

Объясните по traceroute

Форум — Admin

Итак, делаем обычный UDP-traceroute, получаем маршрут: 

u@mydefense:~> traceroute 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 64 hops max, 40 byte packets
 1  Dlink-Router.Dlink (10.10.10.1)  0.825 ms  0.766 ms  0.696 ms
 2  10.0.0.1 (10.0.0.1)  1.589 ms  1.238 ms  1.072 ms
 3  10.0.0.254 (10.0.0.254)  1.587 ms  1.308 ms  1.128 ms
 4  ppp78-36-100-1.pppoe.komi.dslavangard.ru (78.36.100.1)  41.604 ms  14.813 ms  10.300 ms
 5  ae1-30g.MX960-1-210.nwtelecom.ru (212.48.198.250)  42.993 ms  41.375 ms  41.367 ms
 6  bbn.212-48-204-196.nwtelecom.ru (212.48.204.196)  41.007 ms  38.144 ms  41.175 ms
 7  bbn.212-48-204-199.nwtelecom.ru (212.48.204.199)  44.597 ms  41.261 ms  40.737 ms
 8  188.254.78.81 (188.254.78.81)  52.686 ms  53.700 ms  51.043 ms
 9  95.167.91.32 (95.167.91.32)  66.740 ms
    95.167.91.34 (95.167.91.34)  64.415 ms
    95.167.91.32 (95.167.91.32)  68.092 ms
10  79.133.94.86 (79.133.94.86)  101.770 ms
    72.14.215.196 (72.14.215.196)  68.226 ms
    79.133.94.86 (79.133.94.86)  107.776 ms
11  216.239.47.149 (216.239.47.149)  54.163 ms
    216.239.47.141 (216.239.47.141)  66.796 ms
    216.239.47.127 (216.239.47.127)  66.680 ms
12  google-public-dns-a.google.com (8.8.8.8)  53.558 ms  55.428 ms  51.804 ms

Делаем ICMP-traceroute, получаем другой маршрут. 

u@mydefense:~> traceroute -I 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 64 hops max, 48 byte packets
 1  Dlink-Router.Dlink (10.10.10.1)  1.781 ms  0.804 ms  0.698 ms
 2  10.0.0.1 (10.0.0.1)  1.573 ms  1.070 ms  0.896 ms
 3  AS21191.severttk.ru (83.69.6.41)  8.628 ms  8.498 ms  10.256 ms
 4  skr01.transtelecom.net (217.150.59.254)  21.263 ms  21.415 ms  21.006 ms
 5  10.99.135.5 (10.99.135.5)  27.795 ms  27.525 ms  27.966 ms
 6  72.14.220.225 (72.14.220.225)  28.964 ms  28.423 ms  28.054 ms
 7  216.239.47.141 (216.239.47.141)  27.846 ms  27.880 ms  27.806 ms
 8  google-public-dns-a.google.com (8.8.8.8)  27.470 ms  27.487 ms  27.791 ms

В первом случае путь пролегает вроде как через сервера Ростелекома, во втором через ТТК. Почему так происходит?

 , ,

IPR
()
6 комментариев

Сброс пароля на DomU.

Форум — General

Добрый <время суток>. Такая странная проблема имеется не могу никак сбросить пароль на DomU домены xen. Пробовал двумя способами. 1) Прописать single mode в pyGRUB. Single грузится, но просит ввести пароль, или я что-то не понял. Я сначала уже обрадовался думал вот оно нужно просто ввести и повторить пароль, ввел раз, говорит login incorrect. 2) Прописать init=/bin/bash в pyGRUB. Пишет: /bin/bash: : No such file or directory Kernel panic - not syncing: Attempted to kill init!

Пробовал также xm shutdown машины, а затем подцепится к тому. Так ничего не получилось. Пытаюсь отмонтировать он пишет том не примонтирован. Пытаюсь примонтировать пишет, что том уже примонтирован. Грузился с LiveCD, так удалось сбросить пароль только на одну DomU - udom, через chroot, так как тома других DomU не удалось примонтировать. Просил ввести файловую систему при монтировании. mount: you must specify the filesystem type. Так ни одна из существующих не подошла. Вообще вот список доменов:

Name ID Mem VCPUs State Time(s)

Domain-0 0 864 8 r----- 4557.3

services_vm 512 1 0.0

smgr 9216 1 0.9

udom 2 512 1 -b---- 1099.2

А вот список LVM томов этих доменов:

ACTIVE '/dev/VolGroup00/lv_tmpl_env' [512,00 MB] inherit

ACTIVE '/dev/VolGroup00/dom0swap' [512,00 MB] inherit

ACTIVE '/dev/VolGroup00/udom' [10,00 GB] inherit

ACTIVE '/dev/VolGroup00/udom1' [10,00 GB] inherit

ACTIVE '/dev/VolGroup00/udomdata' [20,00 GB] inherit

ACTIVE '/dev/VolGroup00/udomswap' [1,00 GB] inherit

ACTIVE '/dev/VolGroup00/vsp-template' [20,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_services_vm' [3,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_services_vm_backup' [3,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_services_vm_var_sm' [1,00 GB] inherit

ACTIVE '/dev/VolGroup00/_drbd0_udom' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/_drbd1_udomswap' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/_drbd2_vsp-template' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/_drbd3_udomdata' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/_drbd4_lv_services_vm' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/_drbd5_lv_services_vm_var_sm' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/lv_sm' [30,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_smgr_sm_perf' [30,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_smgr_cs1k_apps' [10,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_emdata' [2,00 GB] inherit

ACTIVE '/dev/VolGroup00/lv_sm_meta_' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/lv_smgr_sm_perf_meta_' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/lv_smgr_cs1k_apps_meta_' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/lv_emdata_meta_' [32,00 MB] inherit

ACTIVE '/dev/VolGroup00/Asterisk' [48,84 GB] inherit

 

fredwriter
()
53 комментария (стр. 2)

Paper Arch

Галерея — Скриншоты
Paper Arch

Дистрибутив: Arch
DE: Gnome 3
Тема: Paper
Значки: Paper
Тема Shell: Xenlism

Из нестандартного: цвета в консоли, mc и deadbeef, подобранные под цвет темы. Тему в Vim не менял, так как она более-менее подходит под общее окружение.

Панель внизу (plank), так же как и отображение рабочих столов справа автоматически исчезают, как только одно из рабочих окон перекрывают их.

Еще скрин с nautilus и браузером: https://yadi.sk/i/JtBibl7xikm4x

Используемые расширения Gnome:

  • Auto move windows
  • Coverflow alt-tab
  • Disable workspace switcher popup
  • Hide legacy tray
  • Native windows placement
  • Workspaces to dock

Дополнения

Тема deadbeef: https://github.com/demas/dotfiles/tree/master/.config/deadbeef
Xdefaults с цветами для консоли: https://github.com/demas/dotfiles/blob/master/.Xdefaults

 ,

lemas
()
47 комментариев

Парковка головок ST9500325AS

Форум — General

Решил проверить жесткий диск на наличие badblocks, все оказалось в норме. Затем решил посмотреть на парковку головок 

sudo smartctl -a /dev/sda1 | grep Load_Cycle_Count     
193 Load_Cycle_Count        0x0032   015   015   000    Old_age   Always       -       170084
И ЯННП. Вот эта цифра 17084 - это нормально или нет? Где-то встречал 17, где-то 421, а тут такое. Погуглил - нашел hdparm, но оказывается что-то менять оч опасно. Боюсь стать ССЗБ. И в то же время хочется настроить свой жесткий диск, настроить энергосбережние. Как таковых мануалов нет.
Прошу помощи у гуру с настройкой жд и с работой hdparam.
ЗЫ: файла /etc/hdparm.conf у себя не обнаружил.
Pinkbyte, а как ты бережешь свой жесткий диск?

 ,

akhmylin
()
22 комментария

Назначение нескольких адресов от 2-х провайдеров, на один интерфейс.

Форум — Admin

Доброго времени суток!
Помогите понять в какую сторону копать, чтобы решить следующую проблему.
Есть адреса от 2-х провайдеров х.х.х.х/27 и у.у.у.у/30. Назначаю на интерфейс:

auto eth1
iface eth1 inet static
    address x.x.x.x2
    netmask 255.255.255.224
    network x.x.x.x0
    gateway x.x.x.x1

auto eth1:2
iface eth1:2 inet static
    address x.x.x.3
    netmask 255.255.255.224
    network x.x.x.0

#пропускаю остальные назначения 

auto eth1:29
iface eth1:29 inet static
    address y.y.y.y2
    netmask 255.255.255.252
    network y.y.y.y0
#   gateway y.y.y.y1

И получаю следующую картину. Все адреса х.х.х.х/27 пингуются и отвечают по пробросам, а адрес у.у.у.у/30 не пингуется и не отвечает на портах пробросов(исходящий трафик с него идет). Но если адрес у.у.у.у2 назначить первым на интерфейсе «auto eth1» , то он начинает пинговаться и отвечать по портам, и в тоже время адрес x.x.x.x2 назначен на место y.y.y.y2 т.е. «eth1:29» спокойно пингуется. OS Debian 8.1.

 

UserV
()
14 комментариев

Перенос системы, что лучше, cp, tar, cpio, rsync?

Форум — General

Предположим, есть GNU/Linux, уже установленный и работающий, хочется перенести на другой жесткий диск, файловую систему и тд.

Для этого нужно в общем случае скопировать все файлы с системного раздела, поправить fstab, конфиг загрузчика, перегенерировать initrd.

Вопрос по первому пункту — чем оптимально переносить много файлов на другой раздел? Есть способы:
cp -av, tar (можно два тара в пайп, один тарит, другой разтаривает), cpio в паре с find, rsync, возможно dump, ещё можно делать дамп самой файловой системы, копировать через dd и делать resize2fs до или после. Возможно есть ещё способы или утилиты.

А чем лучше всего?

 , , ,

Xenius
()
85 комментариев (стр. 2)

Privacy Badger — дополнение от EFF, блокирующее слежку

Новости — Безопасность
Группа Безопасность

EFF представила дополнение Privacy Badger для Firefox и Chrome, включающее отправку заголовков DNT (do not track) и блокирующее следящие домены целиком либо куки с них. Доступно 3 статуса для доменов:

  • домен полностью заблокирован;
  • на домене заблокированы куки;
  • домен не блокруется.

Дополнение свободно и распространяется под GNU GPLv3.

>>> Страница дополнения

>>> Подробности

 , ,

Klymedy
()
73 комментария (стр. 2)

[fdisk] неясности с таблицей разделов

Форум — General

Приобрел жесткий диск. Запуск fdisk показал: 

Command (m for help): p

Disk /dev/sdc: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders, total 1953525168 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

   Device Boot      Start         End      Blocks   Id  System
/dev/sdc1   *          64  1953520064   976760000+   7  HPFS/NTFS

Удаляю раздел и создаю заново: 

Command (m for help): d
Selected partition 1

Command (m for help): n
Command action
   e   extended
   p   primary partition (1-4)
p
Partition number (1-4, default 1): 
Using default value 1
First sector (2048-1953525167, default 2048): 64
Value out of range.
First sector (2048-1953525167, default 2048): 
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-1953525167, default 1953525167): 
Using default value 1953525167

Command (m for help): p

Disk /dev/sdc: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders, total 1953525168 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

   Device Boot      Start         End      Blocks   Id  System
/dev/sdc1            2048  1953525167   976761560   83  Linux
При запуске fdisk в режиме совместимости с DOS (fdisk -c=dos): 
Disk /dev/sdc: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders, total 1953525168 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

Command (m for help): d
Selected partition 1

Command (m for help): n
Command action
   e   extended
   p   primary partition (1-4)
p
Partition number (1-4, default 1): 
Using default value 1
First sector (63-1953525167, default 63): 64
Last sector, +sectors or +size{K,M,G} (64-1953525167, default 1953525167): 
Using default value 1953525167

Command (m for help): p

Disk /dev/sdc: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders, total 1953525168 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

   Device Boot      Start         End      Blocks   Id  System
/dev/sdc1              64  1953525167   976762552   83  Linux
В связи с этим возникают вопросы:
1. почему нельзя создавать разделы со Start=64 (как было в начале)?
2. почему новый раздел имеет больший размер в блоках (976761560 новый, 976760000+ - старый)?
3. что значит «+» в числе 976760000+, почему нет точного числа блоков?

P. S. Новую таблицу разделов на диск еще не записывал (w).

 

ipc
()
5 комментариев

Как работает цифровая подпись (на примере GPG)?

Форум — Security

Вот, допустим, есть у меня ключи и я подписываю ими файл. Что происходит при этом и что добавляется к файлу? Как эти непонятные буквоцифры гарантируют, что файл создан мною, а не кем-то еще?

 ,

Valdor
()
9 комментариев

OpenVPN. NATятся не все пакеты.

Форум — Admin

Приветствую,

Что имеем: Centos 6.6 Linux 2.6.32-504.30.3.el6.x86_64 #1 SMP Wed Jul 15 10:13:09 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

OpenVPN 2.3.7 x86_64-redhat-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Jun 9 2015

Все пингуется, интернеты есть. Но заметил, что часть пакетов не натится.

Код:
IPT=«/sbin/iptables»
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -X

$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -p icmp -j ACCEPT
$IPT -A INPUT -p tcp -m multiport --dports 20,21,222,2224,80,443,3306 -j ACCEPT
$IPT -A INPUT -p tcp -m multiport --dports 25,110,143,465,993,995 -j ACCEPT

$IPT -A INPUT -p tcp -m multiport --dports 53 -j ACCEPT
$IPT -A INPUT -p udp -m multiport --dports 53,80 -j ACCEPT

# OpenVPN UDP 80
$IPT -I FORWARD -i eth0 -o tap1 -j ACCEPT
$IPT -I FORWARD -i tap1 -o eth0 -j ACCEPT
$IPT -t nat -A POSTROUTING -s 10.20.0.0/24 -o eth0 -j SNAT --to-source xxx.yyy.zzz.www

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/service iptables save

В какую сторону смотреть?

Спасибо.

 , ,

TeHb
()
7 комментариев

Тюнинг производительности ZFS

Форум — Admin

Хотелось бы уточнить собранную инфу и опробованную опытом

Если я правильно понял в ZFS может быть:

Pool с файловыми системами
ZIL (Intent Log) - транзакционный лог, обычно расположен в пуле
SLOG - транзакционный лог, вынесенный из пула на отдельное устройство
ARC - кэш чтения в RAM
L2ARC - дополнительный кэш чтения на отдельном устройстве типа быстрого SSD или RAMdrive?

ZFS всегда пишет последовательно и в Pool и в ZIL, верно?
но если одновременно туда и туда, то может получиться random write, поэтому чтобы убрать лишнее ерзанье головок ZIL перемещают из Pool в отдельный SLOG верно?

Какой размер блока, записываемый ZFS на устройства? равный record size?
какая у винтов пропускная способность на последовательные МЕЛКИЕ блоки, например 4К, 128К ?

В ZFS вообще не бывает random write данных? может быть только метаданных? Метаданные нельзя хранить на отдельном от данных устройстве (mirror dev1 dev2 ...)? Поэтому размещение ZIL на SSD SLOG почти не дает видимого прироста?

Т.е. применить SSD в ZFS для повышения производительности записи random write (I)OPs почти невозможно?

При использовании части SSD под пул, имеет ли смысл часть этих SSD отдавать под SLOG или L2ARC? Или они насыщены операциями в пуле и будут только тормозить работу других пулов, находясь в SLOG и L2ARC этих других пулов?

Может ли SSD повысить скорость чтения, если его добавить в кэш чтения L2ARC?

Вообще для ZFS наверно лучше добавлять только устройство целиком под определенную функцию (SLOG, L2ARC, и т.п.)?

 

sanyock
()
16 комментариев

Как в mpv отключить всплывающее окошко с контролами?

Форум — General

С недавних пор в mpv появилась такая штука: когда попадаешь мышью в нижнюю часть окна, появляется такое всплывающее окошко на полэкрана. Как избавиться?

 

greatchina
()
6 комментариев

Изменение префикса отладочной строки от set -x

Форум — Development

Добрый день,

У меня возник следующий вопрос: по умолчанию если в bash скрипте включить дебаг по set -x он выводит всё с префиксом +, т.е. например 

+ echo "test"

Как можно изменить это поведение? Например, чтобы было что-то вроде 

DEBUG: echo "test"

Можно, наверное, завернуть всё в sed и менять префикс в нём, но нельзя ли как-то иначе и проще, не заворачивая всю портянку во что-то?

 

Hater
()
5 комментариев

Допиливание zsh до уровня fish

Форум — Desktop

Когда fish в очередной раз сбросила конфиг fishd.hostname до дефолта, моё терпение лопнуло, и я установил zsh. Уже слыхал о нём, но не было желания ставить, ведь мне хватало fish, которую я довёл почти до совершенства.
Немного поискав в сети, я нашёл плагины, делающие zsh более похожей на fish: поиск по истории и подсветка синтаксиса работали отлчино, но у меня возникли несколько вопросов, ведь до функционала fish ещё далеко: во-первых, плагин подсветки истории никак не хотел менять цвет той самой подсветки, пробовал сатавить занчение и кодом в ковычках «#131313», и кодом без ковычек, и названием с ковычками «black», и ,соответственно, без них, но всё равно цвет оставался таким же, как и сама команда, что сбивало с толку и выглядело некрасиво .Как можно поменять цвет? Может есть другой плагин?
Во-вторых, при переходе по каталогам автодополнение не работает с буквами разных регистров, допустим я в fish набираю д, нажимаю tab, и строка превращается из д в Документы, а в zsh я должен набирать заглавную 'Д'Надеюсь, это есть какой-нибудь скрипт.
В-третьих, когда я удалял пакет yaourto'м в fish, то автодополнение работало, например, yaourt -Rsc numix превращалось в yaourt -Rsc numix-circle-icon-theme-git (это для примера, я точно не помню название).В zsh такого нет, он просто начинает перебирать содеожимое текущей папки. Можно ли zsh научить распозновать, что мне нужно искать среди пакетов?
В-четвёртых, можно-ли как-нибудь отучить fish презаписывать конфиг fishd.hostname ,может скрипт написать можно, чтобы автоматически заменял конфиг обратно?

 , , ,

sudopacman
()
49 комментариев

iptbles: На сколько опасно пропускать все пакеты с состояниями RELATED и ESTABLISHED внутрь сети?

Форум — Security

Задача: раздавать доступ к Интернет по MAC-адресам (гаджетам, планшетам, телефонам и etc сотрудников, кои они регулярно и часто меняют и посему резервировать для них IP адреса накладно).

На шлюзе (Debian Linux) задействованы (для примера) вот такие правила:

MAC='08:00:27:25:AC:27'
INETDEV='eth0'
LOCALDEV='eth1'
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

iptables -t nat -A PREROUTING -m mac --mac-source $MAC -j MARK --set-mark 100
iptables -t nat -A POSTROUTING -m mark --mark 100 -j MASQUERADE
iptables -A FORWARD -m mac --mac-source $MAC -i $LOCALDEV -o $INETDEV -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -i $INETDEV -o $LOCALDEV -j ACCEPT

Т.е. политика по умолчанию DROP, через цепочку FORWARD пропускаются наружу только пакеты с указанного MAC адреса, пакеты с указанного MAC-адреса идущие во вне маскарадятся, внутрь пускаются все пакеты со статусами соединения RELATED и ESTABLISHED.

Всё прекрасно работает, именно так как и было надо.

Вопрос, насколько опасно пропускать внутрь все пакеты установленных соединений, может ли это как то сказаться на безопасности при вышеуказанных правилах?

 , ,

ladserg
()
6 комментариев
← назад следующие →