K-NET s.c.

Problemy z SSH

Tym razem króciutko. Chciałem napisać o rzeczy, który bardzo długo spędzała mi sen z powiek. Nigdy nie było dość czasu żeby się tym zająć a sprawa jest niezwykle prosta. Każdy użytkownik terminala linuksowego na pewno korzystał z połaczeń za pomocą ssh. Jednak czasami ze względu na rekonfigurację, prace administracyjne lub inne przyczyny zdarza się zmiana klucza publicznego zdalnego hosta. Ponieważ jest on zapisywany w ’.ssh/known_hosts’ przy następnej próbie połączenia otrzymamy komunikat zaczynający się od tekstu ’WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!’. Przyznam, że zdarzało mi się kasować cały plik ’known_host’ a następnie dopisywać od początku klucze hostów w trakcie pierwszego połączenia. Czy było to lenistwo, niecierpliwość? Zapewne po trochu wszystko. A przecież można usunąć klucz tylko wybranego hosta używając polecenia:

ssh-keygen -R hostname

Prawda, że proste?

MG

XPUnlimited – czy to jest możliwe?

O tym produkcie chciałem napisać już dawno. Jest bardzo nietypowy bo nielegalny poza granicami UE. Żeby być bardziej precyzyjnym, znosi ograniczenia związane z protokołem RDP wbudowanym w produkty firmy Microsoft. Przypomnę, że bez zakupu serwera terminali dysponujemy dostępem do jednej sesji zadalnej w przypadku stacji roboczych oraz dwóch sesji zdalnych tzw. administracyjnych, w przypadku serwerów. XPUnlimted umożlwia dostęp zdalny bez limitu sesji. Jak twierdzi producent firma IPConsult, ograniczeniem jest tylko wydajność sprzętu, na którym zainstalujemy XPUnlimited. W dobie szumu medialnego związanego z przetwarzaniem w chmurze cloud computing, takie rozwiązanie może wspomóc budowę farmy typu SAAS – Software as a Service.

Typowy prosty scenariusz budowy prywatnej chmury SAAS  z wykorzystaniem XPUnlimited może wyglądać następująco:

• Na wybranych serwerach firmowych instalujemy XPUnlimited – może być ich kilka, bowiem aplikacja potrafi sama balansować obciążeniem
• W ramach utworzonej farmy tworzymy konta użytkowników terminala zdalnego z odpowiednimi uprawnieniami – możemy np. przydzielić zdalny terminal z automatycznie uruchamianą wybraną aplikacją bazodoanową i z ograniczeniem dostępu do pozostałych zasobów
• Korzystając z dostępu przez SSH możemy używać naszej aplikacji z dowolnego miejsca i na dowolnym sprzęcie – jest to możliwe gdyż XPUnlimited posiada wbudowany serwer SSH, zaś aby wykreować szyfrowany tunel można skorzystać np. z bardzo wygodnego klienta Bitvise Tunellier.

Jakie są zalety przedstawionego rozwiązania? Ja widzę trzy najważniejsze:

1. Zapewniamy optymalne środowisko pracy udostępnianej przez terminal aplikacji – wszyscy klienci mają takie samo środowisko i konfigurację
2. Zapewniamy szyfrowany i uwierzytelniony dostęp do zasobów firmy – zatem możemy mówić o sieci VPN
3. Jesteśmy niezależni od systemu operacyjnego czy sprzętu jakiego używa klient, nie musimy ponadto stosować kosztownych bramek VPN

Tak naprawdę wszystko to prowadzi do celu nadrzędnego jakim jest odrobina świętego spokoju dla firmowego działu IT w naszych niepewnych czasach;)

Więcej informacji, w tym opis bogactwa funkcji XPUnlimited znajduje się pod adresem:

http://www.xpunlimited.com/

MG

Autoodpowiedź czyli do czego możemy zaprząc procmaila

Autoodpowiedź jest szeroko stosowaną funkcją serwera poczty. Tak przynajmniej myśli większość typowych użytkowników poczty elektronicznej. Jeśli weźmiemy pod uwagę serwery SMTP typowe dla Linuxa to może się okazać, że autoodpowiedź można zrealizować na kilka sposobów i to zupełnie niezależnie od używanego MTA. Pomijam tutaj aspekt przydatności tej funkcji oraz wszystkich za i przeciw. Wracając do Linuxa najprościej jest zainstalować pakiet vacation. Możemy jednak zrobić wszystko jeszcze inaczej. Poniżej zamieściłem przykładowy plik .procmailrc, który umożliwi zrealizowanie opdowiedzi wakacyjnej bez instalowania dodatkowych pakietów.

LOGFILE=$HOME/.procmail_log
vacationFlagFile = $HOME/.vac
vacationMsgFile = $HOME/.vacation_msg

# Jesli dostales wiadomosc Vacation_mode_On
:0
* ^Subject: Vacation_mode_On
{
  # Zapisz tresc wiadomosci
  :0 bc:
  $vacationMsgFile

  # Wlacz znacznik wakacyjny
  :0
  | touch $vacationFlagFile
}

# Jesli otrzymales wiadomosc Vacation_mode_Off
:0
* ^Subject: Vacation_mode_Off
{
  # Usun komunikat i znacznik wakacyjna
  :0
  | rm $vacationFlagFile $vacationMsgFile
}

# Jesli istnieje plik vacationFlagFile
:0
*$ ? $IS_EXIST $vacationFlagFile

{
  :0hc
  * ! ^FROM_DAEMON          # Usun komunikaty systemowe
  * ! ^Subject:.*SPAM       # Usun spam
  * ! ^X-Loop: IWasHere     # Usun wiadomosci zapetlone

  # Odpowiedz komunikatem z vacationMsgFile
  | (formail -rA "Precedence: junk" -A "X-Loop: IWasHere" ; \
  cat $vacationMsgFile) \
  | $SENDMAIL -oi -t
}

Czym różni się powyższy przykład od setki innych, które można znaleźć w internecie? Przede wszystkim w tym przypadku, żeby włączyć autoodpowiedź wystarczy wysłać na swój adres wiadomość z tematem „Vacation_mode_On”. W jej treści zaś umieszczamy komunikat autoodpowiedzi. Odpowiednio, żeby wyłączyć autoodpowiedź wysyłamy wiadomość „Vacation_mode_On”.

Ponadto skrypt odfiltrowywuje komunikaty systemowe, wiadomości zapętlone stanowiące utrapienie wielu administratorów oraz spam. To ostatnie oczywiście jeśli mamy zainstalowane odpowiednie oprogramowanie (np. SpamAssassin), które doda do tematu podejrzanej wiadomości słowo kluczowe SPAM.

Skrypt ten zapewne można poprawiać i dalej optymalizować do czego zachęcam. W trakcie korzystania odkryłem np. że istotne jest kodowanie polskich znaków w wiadomości włączającej autoodpowiedź. Początkowo nie stosowałem wogóle polskich znaków ale rzecz jasna jest to rozwiązanie na krótką metę. Dlatego postanowiłem dodać do skryptu konwerter standardów kodowania. Ale o tym może następnym razem…

MG

Listy dystrybucyjne i procmail

Powszechne narzekanie na ilość zalewającego nas spamu stało się banałem. Automaty rozsyłające niechciane wiadomości działają nieustannie, dość skutecznie zalewając skrzynki pocztowe. Istnieje wiele metod walki z opisywanym zjawiskiem. Ja jednak chciałem skupić się na wybranym przypadku. W większości firm istnieją adresy zbiorowe, za pomocą których tworzy się proste listy dystrybucyjne,  np.  wysłanie wiadomości na adres „biuro@firma.com” powoduje automatyczne rozesłanie jej do kilku adresatów. Nie trzeba długo się zastanawiać aby dojść do wniosku, że taki adres może również ułatwiać rozsyłanie spamu! Co zrobić aby zabezpieczyć się przed tym zjawiskiem? Poniżej zamieściłem opis dość prostej i skutecznej metody.

Przede wszystkim zakładam, że na serwerze zainstalowany jest pakiet procmail, który umożliwi przetwarzanie przychodzących wiadomości. Na temat pisania reguł dla procmaila można znaleźć dużo materiałów w sieci  np. tutaj. Nadaje się do wielu zadań i pozwola naprawdę dodać nowe funkcje do serwera poczty sam nie będąc jego integralną częścią. Ale do rzeczy. Żeby zabezpieczyć adres zbiorowy tworzymy w katalogu domowym dla konta „biuro” (kontynuując przykład z pierwszego akapitu) plik „.procmailrc”

touch .procmailrc

Następnie umieszczamy w nim mniej więcej taką zawartość:

LOGFILE=$HOME/.procmail_log
:0
# Przepuszczaj wiadomosci jesli pole nadawca zawiera ciąg @firma.com.
* ^From:.*@firma\.com
# Odfiltruj wiadomosci od daemona.
* ! ^FROM_DAEMON
# Odfiltruj wiadomosci zapetlone.
* ! ^X-Loop: EFa1bie2reifiuXeiveizae2
{
  :0fwh
  # Stempluj naglowek kazdej przetwarzanej wiadomosci.
  | formail -A"X-Loop: EFa1bie2reifiuXeiveizae2"
  :0
  # Wyslij wiadomosc na adresy pobrane z pliku ".lista".
  !`cat .lista`
}
:0
# Cala reszte przekieruj w kosmos!
/dev/null

A teraz po kolei. Przede wszystkim ograniczamy zbiór nadawców do tych, którzy mają w polu „Nadawca” ustawione „@firma.com„. Oczywiście spamerzy również mogą podszyć się pod ten adres  (zmiana wartości pola „Nadawca” jest łatwa). Jednak z mojego doświadczenia wynika, że to proste ograniczenie pozwala znacznie ograniczyć ruch. Pozostałe wiadomości odrzucamy przekierowując  je na „/dev/null”.

Wiadomość, która spełnia podstawowy warunek zostanie przetworzona. Zanim jednak tak się stanie dobrze jest sprawdzić 2 warunki:

• Czy nie jest to przypadkiem wiadomość od daemona systemowego. Bardzo pożyteczny warunek w sytuacji gdy dystrybuujemy wiadomość na konto, które nie istnieje (np. administrator usunał je bez poinformowania nas o tym). Zabezpiecza przed zapętleniem wiadomości.

• Czy nie jest to wiadomość zapętlona. Np. użytkownik docelowy ustawił sobie autoodpowiedź, wówczas będzie automatycznie odpowiadał na wiadomość z listy dystrybucyjnej (rozsyłając tym samym autoodpowiedź do wszystkich jej odbiorców). Lista z kolei będzie odsyłać ją z powrotem i tak w kółko. Warto zwrócić uwagę, że aby sprawdzić czy wiadomość nie była już raz przetwarzana (czyt. jest zapętlona) trzeba ją oznaczyć stemplem w nagłówku.

Jeżeli wymienione warunki zostały spełnione, możemy z czystym sumieniem rozesłać wiadomość do użytkowników wymienionych w pliku „.lista”, która przykładowo ma postać:

user1@firma.com
user2@firma2.com
user3@firma3.com

MAG

Kopie zapasowe za pomocą rsync dla Windows

Powszechnie wiadomo, że wykonywanie kopii zapasowych może uratować przed małą zagładą. Sam wielokrotnie się o tym przekonałem więc niezależnie od tego czy opiekuję się komputerem z Windows czy Linuxem zawsze szukam optymalnego rozwiązania dla zabezpieczenia danych.

W przypadku Linuxa sprawa jest prosta a rozwiązania wielokrotnie opisywane. Praktycznie najlepszym znanym mi jest rsync. Działa szybko i niezawodnie. W sieci można znaleźć masę poradników na jego temat. Gorzej jest jeśli chodzi o Windowsy. Po przetestowaniu wielu aplikacji, uwzględniając m.in. problemy z nazwami plików (np. polskie znaki potrafią skutecznie zwiesić najbardziej rozbudowane oprogramowanie) wymyślanymi przez użytkowników, mogę polecić AllwaySync. Jednak nawet ten bardzo dobry program potrafi odmówić posłuszeństwa.

Czy w związku z powyższym istnieje alternatywa? Wydaje się, że całkiem sprawnie działa rsync dla Windows – cwrsync. Jego najważniejsze zalety to:

• darmowa wersja, zarówno klienta jak i serwera
• brak koniecznośći instalacji pełnej wersji środowiska Cygwin
• możliwość synchronizacji danych między Linuxem a Windows

Ostatnia zaleta umożliwa integrację rozwiązań dla tworzenia kopii zapasowych niezależnie od systemu opercyjnego. Krótko mówiąc aby wdrożyć takie rozwiąznie należy:

1. Pobrać oprogramowanie ze strony domowej projektu (polecam wersje serwer, która zawiera również oprogramowanie klienta)
2. Zainstalować w wybranym katalogu
3. Zanim uruchomimy serwer trzeba wyedytować plik konfiguracyjny rsyncd.conf. Przykładową zawartość zamieszczam poniżej:

   use chroot = false
   strict modes = false
   hosts allow = *
   log file = rsyncd.log
   
   [TEST]
   path = /cygdrive/c/TEST
   read only = false
   transfer logging = yes

   Zwracam uwagą na linię zawierającą zmienną „path”. Ponieważ cwrsync korzysta z bibliotek Cygwin, została zachowana konwencja nakazująca rozpoczęcie defincji ścieżki od prefiksu „/cygdrive”. Zmienna „read only” o wartości „false” umożliwa zapis danych do wybranego katalogu.

4. Teraz można uruchomić serwer cwrsync jako usługę systemową startując ją z poziomu panelu zarządzania usługami systemowymi Windows. Ponieważ domyślnie usługa ta uruchamiana jest ręcznie warto zmienić metodę na automatyczną.
5. To wszystko. Teraz wystarczy na komputerze z Linuxem i zainstalowanym pakietem rsync uruchomić np. polecenie:

   rsync -arvzPO --delete /var/archive/ rsync://serwer_cwrsync/TEST/

   aby wykonać dokładną kopię danych z katalogu /var/archive (Linux) do katalogu C:\TEST (Windows)

MaG

Poprawiamy podpis w Thunderbirdzie

Niezależnie od tego co mówią zwolennicy Outlooka, Thunderbird zdążył zawojować całkiem sporą część naszych komputerów domowych. Stanowiąc otwartą (nie darmową – co zawsze należy podkreślać) alternatywę dla płatnych czytników poczty zaczął być stosowany nawet w środowiskach biznesowych/firmowych. I w takim właśnie zastosowaniu najczęściej musi być wzbogacony o dodatkowe wtyczki, tak aby spełnić wymagania pracy grupowej stając się czymś więcej czyli PIMem.

W takim przypadku myślimy od razu o kalendarzu czy synchronizacji książek adresowych. Ja jednak napotkałem się na zupełnie inny problem. Jest to problem związany z przyzwyczajeniami nabytymi podczas pracy z Outlookiem. Wiele godzin przedyskutowałem z użytkownikami przekonując ich do niewysyłania poczty w formacie HTML czy komentowania wybranych fragmentów wiadomości zamiast przesyłania za każdym razem tasiemca ze wszystkimi zebranymi mailami. Jednak w prawdziwe zdumienie wprawił mnie sposób w jaki użytkownicy stosują podpis.  Otóż będąc przez całe życie przekonany, że podpis zgodnie ze swoim znaczeniem powinien być umieszczony pod pismem, dowiedziałem się, że podpisy umieszcza się na początku, w środku wiadomości – czytaj: jak komu wygodniej. Nie powiem, że wywróciło to mój światopogląd do góry nogami ale skoro klient zgłasza taki problem należy mu pomóc.

Aby poprawić funkcje Thunderbirda i umożliwić wstawianie podpisu w formacie HTML np. na początku wiadomości (i to zarówno w trybie odpowiedz jak i prześlij dalej) trzeba skorzystać z dodatkowej wtyczki o nazwie ExternalTemplateLoader. Umożliwi nam ona zdefiniowanie zestawu gotowych szablonów HTML dla nowych wiadomości. Oznacza to tak naprawdę, że możemy przygotować praktycznie dowolny podpis (korzystając z MS Word i funkcji zapisz jako html) i zapisać go jako szablon a następnie wczytywać do nowej wiadomości za pomocą opisywanej wtyczki. Szczegółowy opis można znaleźć na stronie domowej autora:

https://nic-nac-project.de/~kaosmos/templateloader-en.html

MaG

Jak skompilować ClamAV dla Debiana

Debian jest bardzo dobrą dystrybucją dla serwerów. Jest przejrzysty i uporządkowany. Po instalacji podstawowych pakietów nie jest przeciążony zbędnymi aplikacjami. Jednak od samego początku mojej przygody z Debianem napotykałem na problemy z paczką ClamaAV. Sprawny system antywirusowy jest bardzo potrzebny jeżeli np. zamierzamy uruchomić serwer pocztowy. Dlatego chciałem podzielić najlepszą moim zdaniem metodą instalacji ClamAV dla Debiana. Poniższy przykład dotyczy wersji Etch. Po niewielkich zmianach może być zastsowany w innej wersji Debiana.

Przede wszystkim trzeba pobrać źródła. W tym celu dodajemy wpis w pliku /etc/apt/sources.list:

deb-src http://volatile.debian.org/debian-volatile etch/volatile →
→ main contrib non-free

Następnie aktualizujemy naszą bazę apt:

apt-get update

Teraz należy sprawdzić wszystkie i zależności i zainstalować brakujące pakiety:

apt-get build-dep clamav-daemon

Wybieramy katalog dla instalacji (możemy np. utworzyć tymczasowy mkdir clamav_install) i pobieramy źródła dla ClamAV:

apt-get source clamav-daemon

W wybranym wcześniej katalogu pojawi się podkatalog zawierający potrzebne źródła, które możemy wykorzystać do kompilacji:

dpkg-buildpackage -uc -us -rfakeroot -nc

W tym miejscu należy zauważyć, że warto wcześniej zainstalować pakiet fakeroot. Jest prawdopodobne, że mogą pojawić się także uwagi lub błędy w trakcie kompilacji. Dlatego raczej warto przyjrzeć się uważnie komunikatom kompilatora. Zazwyczaj większość z nich oznacza konieczność zainstalowania brakujących komponentów, co jest pomocne w uruchomieniu wszystkich funkcji naszej ochrony antywirusowej. Po udanej kompilacji w katalogu nadrzędnym znajdziemy paczki .deb, gotowe do instalacji. Jeśli nie chcemy robić niepotrzebnego bałaganu, możemy zainstalować tylko wybrane (np. clamav, libclamav, clamav-base, clamav-daemon, clamav-freshclam) lub bez zbędnych ceregieli zainstalować wszystko:

dpkg -i *.deb

Od tego momentu możemy cieszyć się w pełni aktualną wersją pakietu ClamaAV na naszym hoście/serwerze.

MaG