1. Локальный проброс порта

Рассмотрим следующую ситуацию. Мы находимся внутри корпоративной сети, у нашего компьютера адрес 192.168.0.2, доступ во внешний мир полностью закрыт (то есть никакого NAT-а, proxy и т.п.). Влиять на политику ограничения доступа у нас возможности нет, но зато есть SSH-доступ на один из серверов с маршрутизируемым IP-адресом, который доступен из Интернет. Внутренний адрес этого сервера, пусть будет для примера 192.168.0.3. Структура сети изображена на рисунке:

Предположим, что нам очень нужно подключиться, к примеру, по SSH на некоторый удалённый сервер с IP-адресом 212.212.212.212 где-то далеко в Интернет. Для этого запускаем PuTTY, создаём SSH-подключение к серверу 192.168.0.3 (далее по тексту SSH-сессия 1), идем в пункт Tunnels:

и указываем, что локальный порт 2222 нашего компьютера должен быть поставлен в соответствие порту 22 на сервере с IP-адресом 212.212.212.212. Далее жмем кнопку «Open», авторизуемся на сервере 192.168.0.3. Затем создаём ещё одно подключение (далее по тексту SSH-сессия 2), но уже на localhost, порт 2222 и жмём кнопку «Open»:В результате SSH-сессия 2 будет туннелироваться (т.е. будет установлена внутри ранее установленной SSH-сессии 1). Для удалённого сервера 212.212.212.212 всё будет выглядеть так, как будто к нему подключается 111.111.111.111:

2. Удалённый проброс порта

В этом случае подключение внутри SSH-туннеля устанавливается в другую сторону – от удаленного сервера на наш локальный компьютер. Может быть полезно, если требуется открыть доступ к локальным сервисам нашего компьютера. Рассмотрим ту же сеть, что и в пункте 1, но для простоты предположим, что теперь у нас есть NAT:

Здесь уже у нас есть возможность подключаться через SSH напрямую к 212.212.212.212 благодаря наличию NAT-а. А вот 212.212.212.212 подключиться на 192.168.0.2 без специальных ухищрений, понятное дело, не сможет, т.к. 192.168.0.2 не подключен к Интернет непосредственно. Предположим, что пользователю, сидящему под X-ами на 212.212.212.212 нужно через remote desktop попасть на наш компьютер 192.168.0.2. Для этого в SSH-сеансе подключения с 192.168.0.2 на 212.212.212.212 нужно изменить настройки в разделе Tunnels следующим образом:

В результате после успешной авторизации на 212.212.212.212 можно увидеть следующее:

То есть sshd ожидает подключений на TCP-порт 3333, которые затем по SSH-туннелю будут перенаправлены на 192.168.0.2 порт 3389. И юзер сидящий за 212.212.212.212 сможет с помощью rdesktop увидеть наш рабочий стол:

3. Socks-proxy

В этом случае мы можем использовать сервер с SSH-демоном как промежуточный (proxy). Схема сети как в случае #1 (без NAT и штатных прокси):

Чтобы заставить PuTTY испольнять роль socks-прокси, нужно параметры SSH-сессии с 192.168.0.2 на 192.168.0.3 изменить следующим образом:
В результате после успешной авторизации со стороны клиента можно будет наблюдать следующее:

То есть putty, выполняющийся с PID-ом 2392, начинает слушать порт 1080, ожидая подключений. Далее берем любое приложение, умеющее работать с SOCKS-прокси, например Firefox, и указываем ему использовать наш прокси:
Теперь все запросы от броузера будут проходить через сервер 192.168.0.3. В логах веб-сайтов, по которым мы таким образом будем ходить, будет отображаться внешний IP-адрес нашего сервера – 111.111.111.111.

P.S. Из help-файла Putty 0.58:
Question A.10.3: What does ‘PuTTY’ mean?
It’s the name of a popular SSH and Telnet client. Any other meaning is in the eye of the beholder. It’s been rumoured that ‘PuTTY’ is the antonym of ‘getty’, or that it’s the stuff that makes your Windows useful… :)

Похожие заметки:

1. Полезные команды windows Ниже приведены некоторые полезные для системных администраторов команды, которые можно использовать в .bat-файлах и различных скриптах для автоматизации. Посмотреть ip-адреса...
2. Remote syslog из Windows Для реализации сабжа можно использовать утилиту logger.exe. Пример: echo "This is a test message" | logger.exe -l 10.20.30.40 -m udp...
3. Сброс пароля администратора в Windows – Кто такой фармацевт? – Это тот, кто частенько форматирует диск С:\ Представим себе ситуацию, когда нам в админское хозяйство...

Здесь видно, что у массива md1 отвалился один из двух компонентов (знак подчеркивания вместо буквы U в /proc/mdstat). Через fdisk -l вычисляем имя второго компонента массива и видим, что на устройстве /dev/sdd вообще отсутствуют разделы:

Для сравнения смотрим на второй диск массива:

Следовательно, нужно содать на sdd раздел типа «fd» (linux raid autodetect) и добавить этот раздел в массив.

Далее смотрим в /proc/mdstat и видим, что массив начал синхронизацию:

Personalities : [raid1] [raid6] [raid5] [raid4] [raid0]
md1 : active raid1 sdd1[2] sdb1[0]
  1562882 blocks [2/1] [U_]
  [===========>...] recovery = 76% (1194268/1562882) finish=4.3min speed=42M/sec

А если один из компонентов массива переходит в статус «Failed», то обычно помогает его ручное удаление из массива, а затем – добавление заново. Например:

Похожие заметки:

1. Дисковые квоты в Linux Включение дисковых квот в Linux. Взято с http://www.yolinux.com/TUTORIALS/LinuxTutorialQuotas.html Редактируем файл /etc/fstab, добавляя параметры «usrquota» и/или «grpquota» в строки для нужного...
2. Пересборка initrd Пример как пересобрать initrd для поддержки определенного железа. Взято с http://forums.fedoraforum.org/archive/index.php/t-138530.html. This problem on CentOS: http://www.centos.org/modules/newbb/viewtopic.php?topic_id=10855 I made it for...
3. Пишем CD/DVD-диски в linux Из консоли диски можно записывать программой cdrecord (она же wodim). Для доступа к приводу используется интерфейс SCSI GENERIC (sg). Работать...

должно быть достаточно (число 10 взято для примера). В противном же случае, когда exim помимо relay-инга еще и является primary mx для некоторых доменов, использование recipients_max может вызвать проблемы, поскольку количество получателей для входящей почты также будет лимитироваться. Представим ситуацию, когда на сервере пару тысяч пользователей (обычное дело для провайдеров и freemail-сервисов) и 12 из них подписалось на одну и ту же полезную рассылку. При приведённой выше конфигурации почтовый сервер рассылки сможет доставить письмо только 10-ти из этих пользователей, а оставшиеся 2 пойдут пинать админа со словами «почему у меня не работает почта». И вот чтобы всё было по фен-шую, нужно лимитировать количество получателей только для исходящих писем (когда сервер используется как relay). Для этого в блок списков контроля доступа, который соответствует acl_smtp_rcpt, нужно добавить следующее (так, чтобы новые правила были примерно 4-ым и 5-ым сверху если считать для exim.conf, который идет по-умолчанию):

Ну и перед блоком «begin acl» определить две опции:

Первое условие будет срабатывать для хостов, которым разрешёно использовать почтовый сервер как relay, но которые не прошли аутентификацию. А второе – для хостов, которые прошли аутентификацию, но которым запрещен relay-инг без неё. А вот хосты, которые не могут использовать сервер как relay и которые НЕ прошли аутентификацию проверять не надо, поскольку они доставляют входящую почту на домены, для которых наш exim является primary MX. Четвёртый вариант (хосты, прошедшие аутентификацию и которым разрешён relay) также ограничивать смысла нет, так как обычно эти два множества не пересекаются.

Похожие заметки:

1. Раздаем права в samba по IP-адресу Представим ситуацию: есть samba-пользователь vasya, который ходит на samba-сервер с компьютеров с IP-адресами 172.16.0.7 и 172.16.0.13, и нужно сделать так,...
2. История команд в bash с указанием даты и времени Читая в очередной раз man по bash-у, наткнулся на интересную переменную оболочки, цитирую: HISTTIMEFORMAT If this variable is set and...

До:

После:

Проверялось на версии 2.0 build 1279 x86. На форуме поддержки FAR-а говорят также, что данную проблему можно исправить с помощью conemu.

Чтобы лог-файл был более подробным, в smb.conf нужно добавить следующие строки:

В параметрах шары все, что касается логирования, перечислено в строках 12-17. В 13-ой строке указываем префикс (логин и IP-адрес клиента). В 15-ой строке перечисляем операции, которые должны подвергаться аудиту (которые будут записываться в лог-файл). В 16-ой и 17-ой строках указываем параметры для syslog. Затем в /etc/syslog.conf добавляем строку

и посылаем syslog-у сигнал HUP чтобы тот перечитал свой конфиг. Знак минуса перед именем файла означает, что после каждой записи в файл не будет выполняться операция sync, а данные некоторое время будут находится в оперативной памяти в дисковом буфере. При большой интенсивности потока записей это уменьшает нагрузку на дисковую систему.

В результате в файле /var/log/samba/audit.log появляются примерно такие записи:

Похожие заметки:

1. Раздаем права в samba по IP-адресу Представим ситуацию: есть samba-пользователь vasya, который ходит на samba-сервер с компьютеров с IP-адресами 172.16.0.7 и 172.16.0.13, и нужно сделать так,...
2. Ошибка Samba: Unable to connect to CUPS server Часто встречается ситуация, когда на файловом сервере под Samba, где никаких принтеров нет и не будет, в лог-файл smbd.log постоянно...
3. Штучки с sed-ом sed – это stream editor. Часто используется в скриптах для различных преобразований текста. Ниже приведено несколько типичных примеров. Удаление из...

1. Создаем директорию /etc/samba/per-ip-configs
2. В директории /etc/samba/per-ip-configs создаем файл с именем 172.16.0.7.conf:
   1. [NashaShara]
   2.     comment = Read-Write access
   3.     path = /var/spool/samba/nashashara
   4.     valid users = vasya
   5.     write list = vasya
   6.     create mask = 644
   7.     directory mask = 755
   8.     printable = no
3. Потом в той же директории /etc/samba/per-ip-configs создаем файл уже с именем 172.16.0.13.conf:
   1. [NashaShara]
   2.     comment = Read-only access
   3.     path = /var/spool/samba/nashashara
   4.     valid users = vasya
   5.     create mask = 644
   6.     directory mask = 755
   7.     printable = no
4. В конфигурационном файле smb.conf в самом начале раздела, где описываются общие ресурсы, добавляем строку:
   1. include = /etc/samba/per-ip-configs/%I.conf

Таким образом, теперь при подключении нового клиента samba будет подгружать ту часть конфига, которая соответствует IP-адресу клиента (он подставляется вместо %I). Если клиент подключится с другого IP-адреса (для которого нет соответствующего файла в /etc/samba/per-ip-configs) и в основном конфиге smb.conf не будет определения для общего ресурса NashaShara, то клиент просто этот ресурс не увидит и доступа к нему не получит.

Похожие заметки:

1. Детальное логирование в Samba Иногда ну очень нужно узнать кто же создал или удалил определенный файл с файлового сервера. Стандартный лог-файл, который Samba пишет...
2. Ошибка Samba: Unable to connect to CUPS server Часто встречается ситуация, когда на файловом сервере под Samba, где никаких принтеров нет и не будет, в лог-файл smbd.log постоянно...
3. WordPress: борьба со спамом Посвящается тем, кого утомили тонны спама в комментариях, оставляемые с единственной целью – повесить ссылку на продвигаемый спамером сайт. Есть,...

1. Удаление из файла заданных строк.
   Пусть, например, нужно удалить строки из файла, в которых содержиться подстрока «phone: xxx-xx-xx» (вместо символа x – цифры):
   1. sed "/phone: [0-9]\{3\}-[0-9]\{2\}-[0-9]\{2\}/ d" somefile.txt

   Здесь между слешами (/) задается шаблон (регулярное выражение), после него стоит оператор «d» (от слова delete), который удаляет строки, совпадающие с шаблоном. Результат:

   1. $cat test.txt
   2. phone: 111-22-44
   3. phone: 111-22-44
   4. phone: 311-22-d4
   5. phone:  111-22-55
   6.  
   7. $sed "/phone: [0-9]\{3\}-[0-9]\{2\}-[0-9]\{2\}/ d" test.txt
   8. phone: 311-22-d4
   9. phone:  111-22-55

   Если нужно, чтобы изменения происходили сразу в файле, без вывода в stdout, нужно добавить ключ --in-place (-i).

2. Добавление в файл строки в определённом месте.
   Вставляем мета-тег с указанием кодировки документа перед закрывающим тегом </head> во все файлы с расширением .html в текущей директории:
   1. sed -i '/<\/head>/ i <meta http-equiv="Content-Type" content="text\/html; charset=utf-8">' *.html
   2. sed -i -r "s/\r//g" *.html

   Второй sed нужен чтобы поудалять символ возврата каретки с ASCII-кодом 13 в конце строк, который почему-то появляется в результате работы первого sed-а.

3. Удаление из файла первых нескольких строк до тех пор, пока не встретиться пустая строка. Такое часто бывает нужно при обработке писем – если нужно отделить заголовок письма от его тела:
   1. $cat test.txt
   2. Some text in mail header.
   3. Another text line in mail header.
   4. And so on…
   5.  
   6. Here starts mail body.
   7. Some text in mail body.
   8. Use sed to make things nice :)
   9.  
   10. $sed '1,/^$/ d' test.txt
   11. Here starts mail body.
   12. Some text in mail body.
   13. Use sed to make things nice :)

   Здесь видно, что первые три строки были удалены. Шаблон /^$/ означает пустую строку (символ ^ совпадает с началом строки, а символ $ – с концом строки. Так как между ними ничего нет, то строка пустая). Выражение 1,/^$/ означает диапазон строк с 1-ой до пустой включительно. Оператор «d» – удаление.

4. Замена текста. Для этого испольузется оператор s///:
   1. $cat test.txt
   2. I want to have nice house with 4 rooms.
   3.  
   4. $sed "s/\(nice\)/very \1/" test.txt | sed "s/[0-9]/12/"
   5. I want to have very nice house with 12 rooms.

   В операторе замены s/// между 1-ым и 2-ым слешем указывается шаблон, который нужно найти для замены, а между 2-ым и 3-им слешем – текст, НА который нужно заменить шаблон. Если в шаблоне используются круглые скобки (их нужно экранировать обратнымы слешами), то текст между скобками будет доступен для использвания во второй части оператора (это называется backreference). Для вставки текста, заключенного в 1-ую пару скобок, применяется конструкция \1, для текста между второй парой скобок – \2 и т.д.

Похожие заметки:

1. Детальное логирование в Samba Иногда ну очень нужно узнать кто же создал или удалил определенный файл с файлового сервера. Стандартный лог-файл, который Samba пишет...
2. Строим NAT средствами FreeBSD Для наглядности считаем, что внутренняя сеть адресуется блоком 192.168.0.0/24, шлюзом для внутренней сети выступает 192.168.0.1, IP-адрес внешнего интерфейса роутера –...
3. Ошибка Samba: Unable to connect to CUPS server Часто встречается ситуация, когда на файловом сервере под Samba, где никаких принтеров нет и не будет, в лог-файл smbd.log постоянно...

1. Для начала 41-ую строку
   /wp-content/themes/<ваша тема>/forms/comment.php

   41. <textarea name="comment" id="comment" rows="8" cols="40" tabindex="1"></textarea>

   меняем на:

   /wp-content/themes/<ваша тема>/forms/comment.php

   41. <textarea name="komment" id="komment" rows="8" cols="40" tabindex="1"></textarea>
2. Далее 55-ую строку
   /wp-content/themes/<ваша тема>/forms/comment.php

   55. <input type="text" name="author" id="author" value="<?php echo $comment_author; ?>" size="22" tabindex="2" />

   меняем на:

   /wp-content/themes/<ваша тема>/forms/comment.php

   55. <input type="text" name="aftar" id="aftar" value="<?php echo $comment_author; ?>" size="22" tabindex="2" />
3. 60-ую строку
   /wp-content/themes/<ваша тема>/forms/comment.php

   60. <input type="text" name="email" id="email" value="<?php echo $comment_author_email; ?>" size="22" tabindex="3" />

   меняем на:

   /wp-content/themes/<ваша тема>/forms/comment.php

   60. <input type="text" name="pochta" id="pochta" value="<?php echo $comment_author_email; ?>" size="22" tabindex="3" />
4. 72-ую строку
   /wp-content/themes/<ваша тема>/forms/comment.php

   72. <input type="text" name="url" id="url" value="<?php echo $comment_author_url; ?>" size="22" tabindex="4" />

   меняем на:

   /wp-content/themes/<ваша тема>/forms/comment.php

   72. <input type="text" name="sait" id="sait" value="<?php echo $comment_author_url; ?>" size="22" tabindex="4" />
5. Затем в файле /wp-comments-post.php меняем код, где упоминаются эти поля формы:
   /wp-comments-post.php

   40. $comment_author = ( isset($_POST['author']) ) ? trim(strip_tags($_POST['author'])) : null;
   41. $comment_author_email = ( isset($_POST['email']) ) ? trim($_POST['email']) : null;
   42. $comment_author_url = ( isset($_POST['url']) ) ? trim($_POST['url']) : null;
   43. $comment_content = ( isset($_POST['comment']) ) ? trim($_POST['comment']) : null;

   Заменяя оригинальные имена на полей на те, что придумали ранее:

   /wp-comments-post.php

   40. $comment_author = ( isset($_POST['aftar']) ) ? trim(strip_tags($_POST['aftar'])) : null;
   41. $comment_author_email = ( isset($_POST['pochta']) ) ? trim($_POST['pochta']) : null;
   42. $comment_author_url = ( isset($_POST['sait']) ) ? trim($_POST['sait']) : null;
   43. $comment_content = ( isset($_POST['komment']) ) ? trim($_POST['komment']) : null;

Лично у меня после этих модификаций спам полностью прекратился. А до этого было по 15-20 штук спамерских сообщений в сутки. Хоть на сайте они и не появлялись, так как Akismet их прилежно отлавливал, но все равно нужно было вручную удалять из админки весь этот хлам, чтобы не замусоривать базу данных. Новые имена полей могут быть любыми, лишь бы они отличались от исходных.

Недостаток такого метода в том, что после обновления WordPress изменения, скорей всего, потеряются и нужно будет либо проделать правки заново, либо пред обновлением сохранить файлы comment.php и wp-comments-post.php, а после обновления – заменить новые на старые. Кроме того, спам через trackback-и все равно пролезет. Поэтому нужно либо их запретить (например, правилами модуля Apache ModRewrite), либо поставить какой-то плагин вроде Simple Trackback Validation.

Все это проверялось на версиях WordPress 2.9.0 и 2.9.1. Для других версий могут быть отличия в коде и в номерах строк.

Похожие заметки:

1. Тонкая настройка wordpress В этой статье освещены следующие темы: Тайм-аут при загрузке файлов с удаленных хостов Отложенная публикация Удаление черновиков Статический блок в...
2. Внедряем Captcha в CuteNews Защита от спама сейчас – просто необходимый элемент любого сайта, где присутствует возможность заполнения каки-либо форм (будь то форма для...
3. Ошибка Samba: Unable to connect to CUPS server Часто встречается ситуация, когда на файловом сервере под Samba, где никаких принтеров нет и не будет, в лог-файл smbd.log постоянно...
]]> http://avz.org.ua/wp/2010/01/23/wp-autospam-blocking/feed/ 3 http://avz.org.ua/wp/2009/12/24/new-firmware-wrt160nl-v0-1-2/ http://avz.org.ua/wp/2009/12/24/new-firmware-wrt160nl-v0-1-2/#comments Thu, 24 Dec 2009 10:02:23 +0000 Admin http://avz.org.ua/wp/?p=617 Информационный ресурс по поддержке продукции Linksys  Мир Wi-Fi сообщает о выпуске новой прошивки для  Linksys WRT160NL — нового маршрутизатора, ориентированного на Linux-сообщество. Теперь WRT160NL может поддерживать высокую скорость PPTP, 3G и Wimax модемы, Torrent и многое другое. Прошивка ориентирована на высокоскоростную работу с VPN PPTP сетями типа Corbina. К примеру, скорость PPTP соединения доходит до 80 Mbps. В отличие от базовой прошивки, имя PPTP сервера можно задавать не только IP адресом, но и доменным именем, как то vpn.someserver.ru. В новой прошивке USB порт можно использовать для подключения 3G и WiMax модемов. Было провдено успешное  тестирование устройства с сетью PeopleNet (Украина), а также Yota (Россия).  Результаты  тестирования показали, что новая прошивка  отлично подходит для  работы  устройства  в режиме 3G и WiMax. Также преимуществами являются возможность поддержки Torrent клиента и базового принт-сервера. Переход с Linksys прошивки на прошивку Mirwifi.org довольно прост — достаточно обновить прошивку через Web-интерфейс с помощью стандартной процедуры. Перейти назад на Linksys прошивку можно также через Web-интерфейс.
]]> http://avz.org.ua/wp/2009/12/24/new-firmware-wrt160nl-v0-1-2/feed/ 1 http://avz.org.ua/wp/2009/11/23/skype-linux-64bi/ http://avz.org.ua/wp/2009/11/23/skype-linux-64bi/#comments Mon, 23 Nov 2009 13:19:04 +0000 Admin http://avz.org.ua/wp/?p=506
6. Установка принтера Canon Pixma iP1000 в Linux 1. Ставим rpm-файлы: bjfilter-common-2.50-2.i386.rpm, bjfilter-pixmaip1000-2.50-2.i386.rpm, bjfilter-pixmaip1000-lprng-2.50-2.i386.rpm 2. Перезапускаем cups: /etc/rc.d/init.d/cups restart 3. Выполняем команду для окончательной регистрации принтера: lpadmin -p...
7. Порядок настройки свежеустановленной Linux Здесь описан порядок начальной настройки свежеустановленной операционной системы (на примере RedHat-подобных дистрибутивов, таких как Fedora, CentOS и т.п). Проверить, что...
8. NAT в linux Исходные данные: есть роутер с двумя физическими интерфейсами – eth0 (внешний) и eth1 (внутренний). На внутреннем интерфейсе прибит ip-адрес 192.168.0.1/24....