Одминский блог

Установка VirtualBox 4.2 на CentOS 6.3

Собственно как я вчера и писал, после того как поднял VNC сервер на CentOS, перешел к установке VirtualBox. Хотел конечно изначально поставить VMware Workstation, но решил что надо быть законопослушным мальчиком, поэтому все таки остановился на Oracle Virtual Box 4.2. Казалось бы там ничего сложного нет- скачиваешь пакет и ставишь, но оказалось много подводных камней, превращающих тривиальный вроде бы процесс установки софта, в интересную аркаду.

Для начала подключаем публичные репозитории
# cd /etc/yum.repos.d
# wget http://public-yum.oracle.com/public-yum-ol6.repo
# wget http://download.virtualbox.org/virtualbox/rpm/el/virtualbox.repo

Если после этого установить VirtualBox через следующую команду
# yum install VirtualBox-4.2

то программа появится в системном меню, но при вызове будет выкидывать ошибку “Kernel driver not installed” с руганью на права драйвера /dev/vboxdrv, которые предлагается подправить через скрипт /etc/init.d/vboxdrv setup но скрипт также что не может отработать.

(more…)

Рубрика: Linux, Дела Одминские | Ваш отзыв »

Проброс виртуальной машины ESXi в DMZ

Возникла необходимость высунуть машинку хостящуюся на виртуальной ферме VMware ESXi в дикий интернет, с ограничением доступа к локалке. Точнее возникла необходимость дать к ней доступ левым людям из вне с полными правами на рута. В связи с чем поднялся вопрос о том как пробросить одну из виртуальных машин в DMZ.

Надо отметить, что, порыв сообщества на тему атаки на хост ESXi, я не смог найти достаточно инфы об уязвимостях позволяющих получить доступ к ноде или соседям по ноде, поэтому собственно и решил, что оптимальным решением будет убрать хост в DMZ, предоставив к нему доступ из интернета и закрыв локалку. Другое дело что существуют различные варианты атаки на L2 OSI теоретически позволяющие ломануть DMZ на уровне VLAN’а, но это уже совсем другая история, не имеющая отношения к этой. Тем более что и современные средства организации VLAN’ов предоставляют богатый функционал защиты и минимизируют риски от подобных атак. Если кому то интересно покопать на тему атак на VLAN, то дам несколько ключевых букаф:
CAM flooding;
MAC flooding;
VLAN Cross-talk Attacks;
VLAN Hopping;
ARP spoofing;
Spanning-Tree attacks;
VRRP / HRSP tampering

(more…)

Рубрика: IT безопасность, Сети | Ваш отзыв »

Автостарт виртуальных машин в VMWare Workstation 8

До появления VMWare Workstation 8, организация автоматического подъема виртуальных машин вместе с хостовой системой, представляла собой пляску с бубнами вокруг пакета Windows 2003 Resource Kit и реестра. Но благодаря тому что в 8 версии VMWare Workstation появился такой функционал как Shared VMs, процедура организации автостарта виртуальных машин превратилась в простейший набор кликов мышкой.

Собственно функционал Shared VMs позволяет расшаривать виртуальные машины между всеми пользователями хоста, и как следствие поднимать их для всех автоматом, так что вошедшему в систему пользователю не придется перехватывать права на машину, а он просто подключается к уже запущенной виртуалке.

Настраивается автостарт виртуалок следующим образом:
Предположим что у нас уже есть созданные виртуальные машины, которые мы завели или подтянули в VMWare Workstation 8 и в этой связи они находятся в папке My Computer (левый фрейм окна VMWare Workstation 8, под названием Library ). Мы простым движением мыша перетягиваем их в папку Shared VMs, после чего система нам предлагает их скопировать или смувить, и вы выбираете то что вам не запрещает конфессия. После этого правым кликом мыши щелкаете по Shared VMs и выбираете Manage AutoStart VMs, где расставляете галки- каким виртуальным машинам стартовать при запуске хостовой операционки, и ниже выставляете паузу между запусками виртуальных машин, чтобы одновременным стартом не прогнуть хостовую машину.

Также в контекстном меню Shared VMs вы можете выбрать все великолепие разграничения прав управления виртуальными машинами, как в плане доступа к ним, так и в плане задач выполнения.

Рубрика: Дела Одминские | Отзывов: 2 »

Шапошное знакомство с VMWare Server 2.0.2

Попробовал тут под один свой проект поставить VMWare Server 2.0.2. Смысл проекта в том, что надо вести порядка 20 торговых терминалов Forex, для чего прогу надо запустить в 20 копиях. Хотели изначально повесить просто 20 штук терминалов, но потом подумали и решили это дело разграничить, так как терминалы могут глючить сами по себе, когда их пашет больше пяти штук на одной тачке. Да и уживаются они довольно спорно- на 2 гига влезают нормально только 3-4 штуки, а дальше начинаются глюки.

Так что арендовал сервак Windows 2008 под это дело с 24 гигами на борту, и поставил VMWare Server 2. Надо отметить что я пользовал все время Workstation, а тут решил стать честным парнем и воспользоваться бесплатной лицензией на Server, ибо его VMWare раздает бесплатно.

И тут то меня ждал облом, так как сама управлялка сервером работает через веб-интерфейс, так что обращаться к ней можно как с локальной машины, так и удаленно. Есессно что все крутится по ходу дела на джаве, так что для FF надо устанавливать дополнительный плагин. После его установки вроде стало очень удобно, так как для управления даже не было нужды лезть по RDP на сервер, но- оказалось что эта веб-морда дико глючит. Бродилка не входит в разделы, эпизодически не загружается сама управлялка инфраструктурой. Почему то лочится консольный экран системы, причем удаленно он матерится что не могу открыть, а локально просто не открывается. В итоге обычная свистопляска с попсовыми плюшками веб-интерфейса. Надо заметить, что я работал в первым сервером и у него интерфейс мало чем отличался от Workstation. А тут такой облом.

Так что в и тоге пришлось качать Workstation 8 с ставить все на неё, ибо сервак видимо стоит обождать до выхода третьей версии. Хотя идея конечно интересная.

В процессе ковыряния выяснился интересный момент, что когда веб-консоль сервера требует логин- ей надо скармливать системные аккаунты, например админа. Если админ залочен, то его можно оживить, путем ввода команды:
net user administrator /active:yes

Рубрика: Windows, Дела Одминские | Отзывов: 2 »

Какой VPS сервер выбрать: OpenVZ или Xen

В процессе рысканья по инету, обнаружил еще одного интересного хостера, который в том числе реселлит дедики от Burst.NET. Хостинг именуется Inferno Solutions и помимо русской поддержки имеет неоспоримое преимущество среди многих русскоязычных хостингов- это реселлер зарубежных площадок, то есть они берут в аренду гарантированно рабочее оборудование, накидывают небольшую маржу и толкают их со своей поддержкой, которая является так называемым тир1 суппортом. То есть все что могут делают сами, если сталкиваются с какими то проблемами, то эскалируют уже хостеру. И судя по отличным отзывам в рунете, справляются со своими обязанностями на твердую пятерку. И на этом можно было бы закончить это пост, снабдив его ссылкой перехода на хостинг VPS и выделенных серверов (которые у них, кстати, предлагаются по очень и очень приемлемым ценам); если бы не одно но.

В своей рекламе, хостинг Inferno Solutions пользует старинную формулу “це не бага, це фича”, порождающую нормальную холивару, которую я и хочу разобрать в том посте.

В своих рекламных слоганах, хостинг упирается в то, что их клиенты защищены от так называемого оверселлинга (overselling), или избыточного использования мощности VPS сервера, когда администратор сервера закладывает в совокупную мощность виртуальных серверов хоста, больше чем имеется ресурсов в системе, то есть при 4 GB оперативы (оверселить можно также и полосу пропускания канала, дисковое пространство), она распределяется по 512Mb не между 6 машинами, по 512Gb на гестов и 1Gb на хостовую часть, а между 20 машинами, которые дергают мощности друг у друга. На этом собственно и базируется технология Burst RAM, когда у VPS сервера имеется гарантированная память и burst, которая может кратковременно увеличиваться раза в полтора, при кратковременных нагрузках. Собственно гарантией того, что Inferno Solutions не использует в своих VSP серверах функционал overselling, является использование продукта вируализации Xen, который по заверению хостера невозможно настроить на оверселлинг, как например конкурентный продукт OpenVZ.

По большому счету соперничество OpenVZ и Xen собственно и порождает всю холивару, поскольку и у той и у другой системы имеются сторонники и противники, утверждающие что OpenVZ  более изолирована, более безопасна, в то время как Xen быстрее и надежнее, имеет возможность использования swap раздела, ну и всякое и прочее. Помимо этого обе системы, наравне в платным аналогом от VMware (также имеются бесплатные версии с урезанным функционалом), представляют собой разные технологии виртуализации: OpenVZ это модифицированное ядро Linux системы, позволяющее запускать виртуальные среды (то есть ничего кроме линуха); тогда как Xen базируется на перестройке ядра системы, для адаптации работы системы (запускаем что угодно). Скажу откровенно- Xen меня не возбудил, ибо я его ставил пару раз, но мне более импонирует VMware, как в плане настройки, так и в плане идеологии. Кстати, со слов “рекламного слогана”, многие хостеры как раз и выбирают OpenVZ в связи с простотой настройки системы.

Но основным  камнем преткновения всегда оставался функционал overselling или burst ram, который отсутствовал в Xen и присутствовал в OpenVZ, и который считался, многими сторонниками Xen, как недостаток продукта OpenVZ. Но видимо команда Xen, ко многим не относится, так как они полагая от обратного, начиная с версии Xen 3.3 внедрили функционал, позволяющий забирать оперативную память гестами и хостовой станции. Называется этот функционал Memory Overcommit, и именно он позволяет забирать память у работающих гестов (или доменов пользуясь терминологией Xen), в случае если эта память ими в данный момент не используется. Механизм использующийся при этом, зовется ballooning, который представляет собой специфический драйвер инсталяющийся в систему и предоставляющий доступную память домена, при запросе от гипервизора Xen.

При этом память, выделенная другому домену, будет числиться в системе, но в виде занятой, что можно проверить соответствием команд # free # ps aux и  # top.
Ну и само наличие механизма ballooning в системе, можно увидеть по листингу следующей команды:
# cat /proc/xen/balloon
При этом также имеется дополнительный демон xenballoond, написанный на баше, который поддерживается два механизма: selfballooning  и direct ballooning, в которых назначение доступной памяти осуществляется из самого домена (но полагаю, что хостеры данные механизм навряд ли буду использовать).

Так что использование или не использование overselling в случае использования любой среды виртуализации, остается на совести хостера, и этот момент желательно выяснять еще на уровне приобретения того или иного тарифного плана. Надо полагать, что Inferno Solutions следуют своей рекламе и не занимаются накруткой статсов VPS серверов, тогда как хостер и регистратор GoDaddy особенно даже и не скрывает данного функционала.

Напоследок надо отметить, что overselling у нормального хостера должен отражаться на цене, в сторону её уменьшения.

Рубрика: Хостинг | Отзывов: 11 »

Для тех кто любит погорячее

В очередной раз занимался лечением компутера одного порнофила, как водится на условиях дружбы и взаимопомощи, то есть за чай и коньяк. И в этой связи решил написать краткую памятку для всех порно-маньяков о том как можно и нужно серфить по порнонету, с тем чтобы не ныть потом по друзьям-знакомым: вылечите мне компьютер, ну пожалуууйста. Тем более что в этот раз я столкнулся с цепучей пакостью винлокер порнобаннера, который крепко сидел в автозагрузке во всех видах операционки, так что взвесив время которое я бы затратил на чистку компа, решил все переставить с нуля и заточить так, чтобы с этой стороны увеличить период времени, через которое данный порнолюбитель обратится ко мне вновь.

Итак для начала мы ставим винды, предположим это будет win7 pro. Естественно гораздо проще бы было поставить какой нить user-friendly Linux, врубить родной фаервол, добить это дело кем нить вроде eset или clamavd и работать под юзерскими правами- это бы значительно упростило жизнь мне, но не конечному пользователю (всем любителям пофлудить на тему: я пользователь линукс и хочу поинтересоваться, что такое вирусы- рекомендую погуглить на сабж: пару сотен, причем червей, найдете довольно быстро), тем более что хорошо заточенный винюк не сильно опаснее прикрытого линуха, и уж стопудово лучше MacOS без анттвиря.

Итак, поставив Windows 7, следом ставим Firefox 4 и навсегда прощаемся с Яшей ака IE. После этого прикручиваем к FF дополнение noscript, которое будет висеть в трее бродилки и ругаться на все опасные и не очень интерактивы. Затем ставим фаервол Comodo Firewall Pro и следом за ним Eset Smart Security. Если вам жалко заплатить за хороший, не тормозной антивирь 600 рублей, то можете конечно поставить антивирус от того же Comodo, или какой либо другой на ваш вкус- я предпочитаю именно эту связку, перейдя на нее года четыре назад с Outpost Firewall+Eset,  в те прекрасные времена когда аутпост отправлял core2 в BSOD при использовании Firefox. И надо признаться, что за все это время ни разу не имел каких либо проблем что под XP, что под семеркой. Хотя тут опять же надо заметить, что мои наиболее неспокойные клиенты все же умудрялись ловить различных ботов, но об этом ниже. После установки этой связки, не перегружая машину, дружим оба программных продукта, добавляя их в исключение друг к другу, иначе при загрузке машины вы станете свидетелем двухактовой трагедии ‘чужой против хищника’, в которой всегда выигрывает Eset. Да, перед установкой всего этого богатства, отключите встроенный виндовый фаервол, ибо этому фейку не место на нормальной машине.

После этого ставим Comodo в режим обучения, отвечая ‘да’, только если вы инициировали подключение или понимаете о чем разговор. После недели терзаний фаервол можно спокойно переключать в safe mode. Затем устанавливаете хорошую тулзу Search-and-Destroy которая будет следить за всякими адварями и мальварами, а также отлавливать попытки изменения конфигурации машины.

Ну и теперь переходит к основной части марлезонского балета: качаем себе бесплатную виртуальную машину Sun VirtualBox или VMWare Player, которую благополучно и ставим на свою рабочую станцию. После чего устанавливаем в нее винду-мак или линух, создаем на диске копию виртуальной машины, и уже из под виртуалки спокойно лазим по тем самым сайтам, с которых и начиналась наша эпопея.

Если тема с виртуалками вам по той или иной причине не подходит, то создайте себе для работы пользователя с ограниченными правами, из под которого вы будите работать или хотя бы лазить в инет.  После чего настройте себе хранение всех документов, почты и всего прочего на дополнительном разделе или жестком диске, доставьте все нужные программы и сделайте резервную копию системного раздела, что бы в случае серьезной заразы откатиться к работоспособной версии операционки за 15-20 минут. Копию системного диска можно сделать с помощью Acronis True Image, и держать резервную копию естественно также на дополнительном разделе, чтобы после просто загрузиться с диска True Image и перезалить систему.

Ну и на десерт основные правила инет-серфинга: все вышеуказанные действия, кроме настройки виртуальной машины, совсем не панацея, ибо они лишь призваны помочь пользователю сохранить свою машину в безопасности, но безопасность сама по себе- это комплекс мер, включающий помимо настройки всех необходимых сервисов, также и включение головы пользователя, который не должен скачивать и устанавливать какие то программы и утилиты из неизвестных источников, использовать ломанные программы желательно также в виртуальном окружении, поскольку зачастую ломалки содержат всевозможные трояны, не устанавливать дополнительные кодеки, которые вам предлагают установить для просмотра того или иного ролика, ибо это с вероятностью 100% будет попытка подсунуть вам злонамеренный код, не кликать по всевозможным popup окнам и прежде чем нажимать на “ДА”- читать что вам предлагают или спрашивают. И естественно ходить по проверенным ресурсам, ибо большая часть порева является так называемыми саттелитами, на которых хитроумные вебмастера не размещают ничего кроме рекламы партнерского сайта, а в последнее время, в связи с расширением бизнеса редая, вешают те самые программные модули, которые при заходе на сайт потенциальной жертвы, сами устанавливаются на компьютер пользователя и начинают просить денег на лечение. Так что подытоживая все выше сказанное хочу заметить, что лучшая защита от вирусов и ботов- это не антивирус, а голова и здравый смысл пользователя.

Рубрика: IT безопасность | Отзывов: 6 »

Untangle Re-Routing: це не бага, це фича

Как я у же отметил ранее, в процессе знакомства с новой, для меня, платформой Untangle я натолкнулся на довольно странное поведение. Начал я с того, что закачав образ на удаленный сервер ESXi, решил спокойно ночью поднять VPN сервер, чтобы утром уже логиниться не через rdp, а через IPSec. Подтянул образ, залил его в инвентори, начал установку.  Все поставилось прекрасно, но как только я настроил сетку на одном из интерфейсов- у меня все упало, т.е. соединение отвалилось без возможности восстановления таким образом, будто упала сеть. Имея все таки некоторое представление о работе шлюзов и фаервольных решений, я прикинул, что отвалиться ESXi уж не мог точно, ибо в любом случае новый шлюз мог бы залочить только свой виртуальный интерфейс, а не доступ во внутреннюю сетку, так что с утра я начал исходить из того, что сработал закон Мерфи, который мне в процессе многочисленных настроек неоднократно напоминал о своей существовании, когда ты нажимаешь на кнопку сохранить, а во всем офисе рубится свет;  и у меня в момент настройки Untangle порушилась сеть.

В итоге ребутнули сервак ESXi, все поднялось, так что вечером я выехал на удаленную площадку. Прибыв на место, немного пошакалил по свичам, ибо решил было, что проблема крылась в них, но все было вроде нормально, так что я приступил снова к настройке Untangle. Надо отметить, что я, как истинный российский одмин, хотя и веселюсь на эту тему, некоторое время уже как читаю мануал только после того как все сломалось, так что в данном случае я полагал, что официального wiki how-to-install untangle вполне достаточно для того чтобы поставить платформу. Стартанул сервак на ESXi, и как только, судя по процентным соотношениям загрузки, платформа запустила сетевые интерфейсы у меня снова полегла сеть. Это меня подвигло в совершеннейшие не понятки, поскольку сеть лежала наглухо- то есть она отсутствовала как класс- пинги не проходили даже до свича, в который была воткнута машина, не говоря уже про какие то шлюзы и сервера, сидевшие на соседях по каскаду. Рубанув сервер, снова поднял ESXi и удалил с него Untangle, решив поднять его в тестовом варианте у себя на машине. В итоге на след. день, подняв его в оболочке VMware Workstation я так же радостно положил сетку своего офиса, но поскольку доступ к виртуальной среде у меня уже был не по сети, то отрубив интерфейсы на виртуально машине, я полез в инет с извечным вопросом “whatafuck?”.

Оказалось, что в платформе Untangle реализована технология Re-Router (до этого мне с ней как то не доводилось встречаться), благодаря которой данная платформа безопасности  интегрируется в существующую сетевую топологию без каких либо дополнительных перенастроек инфраструктуры, путем заворачивания на себя всего трафика на уровне L2 протоколов. Примерно тоже самое происходит при уязвимости men-in-middle, когда машина внутри сетки производит так называемую атаку ARP spoofing, отвечая на все ARP broadcasts “ЭТО ЙА!” и тем самым беря на себя функционал центрального шлюза и вообще всех машин в сетке, так что в ARP таблице свичей все пакеты замыкаются на интерфейсе Untangle,и даже после падения платформы трафик не будет проходить до динамического изменения ARP таблицы.  Данная технология интегрирована в ядро, и в первом приближении не отключабельна, так что на форуме Untangle тамошние спецы рекомендуют относиться к ней как к данности, и в этой связи, в обязательном порядке, использовать на сервере два интерфейса, даже в случае необходимости использования одного- как в моем варианте VPN-сервера. Но в этом случае рабочий интерфейс надо делать внешним, а внутренний переводить в режим bridge и бриджевать его на внешний интерфейс
Настройка в админской части Untangle: Config -> Networking -> Internal Interface
Config Type: bridge
Bridge to: External (static)

Кстати таким же образом можно организовывать проброс трафика к внешнему шлюзу, но это уже другой разговор. В случае виртуальной машины, как у меня, я просто добавил в работающую конфигурацию еще один интерфейс, подтянул его встроенным detect’ом и привязал к внешнему интерфейсу, после чего лежащая сетка ожила в течении 30 секунд. Еще в течении 15 минут поднял VPN-сервер и настроил подключение. Самое приятное, что openVPN сервер сам генерит клиентскую часть, так что просто логинимся через бродилку к VPN-серверу, заходим внутрь и из настроек openVPN сервера, раздела Clients, говорим для определенного пользователя Distribute Client, после чего либо скачиваем его по приложенным ссылкам, либо отправляем его на email который можно вписать в форму отправки. Клиент после установки получает полностью настроенный OpenVPN клиент, не требующий уже никаких вводов логина и дополнительных настроек.

Рубрика: IT безопасность, Сети | Ваш отзыв »