Сообщество - Лига Сисадминов

Лига Сисадминов

2 297 постов 18 813 подписчиков

Популярные теги в сообществе:

Вопрос к специалистам

Знакомый обратился с панической просьбой подсказать, можно ли обойти слежение за трафиком интернет-брожений в локальной сети?


Ситуация примерно такая: человеку пригрозили, что будут следить на брожениями в сети, лишив в случае чего премии. Работу менять - не вариант, человек обратился ко мне, чтобы я либо подтвердил, что - да, так можно сделать, что к сетке подключится сисадмин по удаленке и откроет историю посещений в интернете, либо опроверг это утверждение.


Так как моя специализация - ремонтировать компы и ноутбуки, в сети и ее администрировании я разбираюсь лишь на начальном уровне, а ля настроить простенькую сетку и чтоб работал.


Теперь, как я это понял и перефразировал: есть ли софт для слежения интернет-серфинга с возможностью отслеживать все URL, по которым переходили, и возможность подключения к этой сетке по удаленке и, соответственно, просмотру трафика?

64

Ужасы в картинках

В продолжении поста картинки лабораторных по сетям.

Статическая маршрутизация (каждая точка – хост, каждый хост – студент):

Ужасы в картинках Сети, IT, Образование, Маршрутизация, Длиннопост

Экзамен на 5 курсе:

Ужасы в картинках Сети, IT, Образование, Маршрутизация, Длиннопост

Он же, то уже с «розданными» мною подсетями и в процессе настройки:

Ужасы в картинках Сети, IT, Образование, Маршрутизация, Длиннопост

Ёлочка на старшем курсе, снеговик – на младшем:

Ужасы в картинках Сети, IT, Образование, Маршрутизация, Длиннопост

Мануал по тому, как коммитить диплом:

Ужасы в картинках Сети, IT, Образование, Маршрутизация, Длиннопост

И небольшое заключение:

Сегодня день рождения у нашего бывшего преподавателя по сетям. Месяца не проходит, как вспоминаю его добрым словом. Он дал отличную базу в плане образования, он никогда не отказывал в помощи студентам (как по учебе, так и моральной, и материальной, вроде поддержки проектов). Он никогда не кричал на нас, максимум бился головой об стол =) Никто не смог выиграть у него зачёт в Warcraft. Он научил меня играть в преферанс и кучу народа в настолки. Спасибо!

Показать полностью 5
82

Об образовании в ИТ. Приятное исключение.

Сегодня не образовательный пост, но об образовании.


Сейчас почти под каждым постом об ИТ встречается коммент, что, мол, образования в области ИТ считай что нет, а то что есть – говно и все знания получают с помощью самообучения.


Быть может институт, где я училась, является исключением. Тогда я хочу рассказать об этом исключении.


Больше половины народа пришли учиться абсолютно «нулёвые» в области ИТ, в том числе и я. У кого-то не было информатики в школе. У меня учитель говорил: «ты что, думаешь, если бы я умел программировать или админить, я бы пошел в школу учить?!». Так что первый семестр мы гнали школьную программу: Pascal + алгоритмы (схемы Горнера, массивы и деревья, инфиксная-постфиксная записи), таблицы истинности, заголовки файлов в hex-редакторе, представления переменных в памяти, операции с плавающей точкой и т.д. И две супер-лекции: «как поставить Ubuntu в дуал бут с виндой и не снести винду при этом» и «как работать с консолью в линуксе – основные команды». Ну и всякая муть типа истории развития ИТ.


Второй семестр добавил Delphi и чистый Си. Добавилось псевдо-ООП в паскале + графические модули. Из лабораторных помню шашки, игру с графикой на паскале, какие-то калькуляторы/часы на дельфях. На Си писали «свой shell» (обрабатывал ввод математических выражений и какие-то команды). Это не всё, лабораторных было много и всё по-взрослому: обязательная проверка корректности ввода (за это прям дрючили), обязательно читаемый код, обязательная документация к большим проектам типа игр.


Второй курс добавил книгу Таненбаума «Современные операционные системы» с задачами, WinAPI, MFC, C++, C#. Паскаль закончился, зато на WinAPI добавились многопроцессные и многопоточные приложения.


Дальше со второго по четвертый курс были ASP.Net, системное программирование под Linux по одноименной книжке (с межпроцессным взаимодействием – все эти разделяемая память, семафоры, сигналы, сообщения, сокеты и т.д.), Qt, чуток Perl и Python (буквально несколько регулярок), PHP. Базы данных (sqlite, mysql, DB2, Oracle). Параллельные вычисления (CUDA). UML (описание всех этапов разработки: от составления ТЗ и описания процессов до подбора физической конфигурации серверов). Графика в OpenGL. Сортировки (полный том Кнута). Криптография (как вся математика типа вычислений в полях Галуа или поиска простого числа, так и практика – писали реализацию DES, AES, RSA, RC4; писали свою реализацию PGP с шифрованием и подписью). Еще был COM (с книгой, где засыпаешь через полстраницы). Писали клиент-серверные приложения (сервер под Linux, пользовательская часть под виндой).


На 4 курсе задания чаще всего уже не включали в себя конкретный язык – делай на чём душа пожелает. На четвертом же курсе начались сети. Мы с товарищем прошли весь курс за год, так что его разделить на семестры не смогу. Вот примерная программа на 2,5 года: модель OSI и адресация в сетях, статическая маршрутизация (Linux, cisco, HP), динамическая маршрутизация (OSPF, BGP, так же Linux, cisco, HP), VLAN (без заморочек типа VTP правда), GRE туннели, DNS (Bind9), DHCP, Squid + SquidGuard, Apache, iptables, LARTC, ну и наверняка что-то забыла.


Всё, абсолютно всё по всем ИТ курсам было с практикой. И почти всё с высокими требованиями, приближенными к продакшену: читаемый код с комментариями; проверка пользовательского ввода; программа не должна вылетать с системными ошибками, что бы ни случилось; никакой лишней инфы для пользователя (например, во вьюхах к БД не должны отображаться ID), если вход по паролю, то храним не пароли, а хэши и т.д. На старших курсах обучение разбавлялось докладами на самые разные темы (как работает процессор, как происходит нагрузочное тестирование, как работает Bluetooth, как делать презентации и научные доклады).


Ну и собственно итог: такое образование позволило практически всем выбрать свою специализацию и углубиться в неё. На мой взгляд, приличное образование в ИТ всё-таки встречается. Да, я уже не помню половину, но инфа по программированию очень помогает в траблшутинге и составлении ТЗ, кто бы что ни говорил.


P.S.: пруфы по сетям в следующем посте.

Показать полностью
24

О защите микротиков

К посту http://pikabu.ru/story/mikrotik__odin_iz_luchshikh_domashnik...

fail2ban для микротика, коротко и просто, открываем через winbox - new terminal и копипастим сии строки


/ip firewall filter

add action=drop chain=input comment="drop ssh brute forcers" dst-port=22 protocol=tcp src-address-list=ssh_blacklist

add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3

add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage2

add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage1

add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp

add action=drop chain=input comment="drop telnet brute forcers" dst-port=23 protocol=tcp src-address-list=telnet_blacklist

add action=add-src-to-address-list address-list=telnet_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage3

add action=add-src-to-address-list address-list=telnet_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage2

add action=add-src-to-address-list address-list=telnet_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage1

add action=add-src-to-address-list address-list=telnet_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=23 protocol=tcp

add action=drop chain=input comment="drop winbox brute forcers" dst-port=8291 protocol=tcp src-address-list=winbox_blacklist

add action=add-src-to-address-list address-list=winbox_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=8291 protocol=tcp src-address-list=winbox_stage3

add action=add-src-to-address-list address-list=winbox_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=8291 protocol=tcp src-address-list=winbox_stage2

add action=add-src-to-address-list address-list=winbox_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=8291 protocol=tcp src-address-list=winbox_stage1

add action=add-src-to-address-list address-list=winbox_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=8291 protocol=tcp



По необходимости правим порты  на свои, добавляем копипастом необходимое.

Показать полностью
142

Mikrotik — один из лучших домашних роутеров для гика

Домашних роутеров у меня было не так чтобы много, но определённое мнение о них сложилось.

Так вот, одним из лучших по соотношению цена-качество на сегодняшний день является тот самый прибалтийский микротик.


У него не торчит куча антенн, но при этом сигнал добивает во все точки дома (а у моего предыдущего, широко известного в узких кругах WR-1043ND, несмотря на три антенны сигнала не хватало как раз на туалет. Он, конечно, берёг моё здоровье, но мне это не нравилось).

У него достаточно процессора и памяти, чтобы без проблем прожёвывать кучу трафика (включая торренты) и не давиться (на этом месте передаю горячий привет компании Ростелеком и компании Элтекс, роутеры которой и использует РТК. Они, мягко говоря, не алё).

Наконец у него 100500 вариантов настройки и, нет, знать их все не обязательно.


В общем, сначала я распробовал его на RB951G-2HnD, по итогу сделал три вещи:


1. на работе был древний системник, который жрал электричество работал крокодилом достался мне в наследство от предшественника с древней версией убунту на борту, раздавал VPN и пытался автомагически переключать каналы с основного на резервный, если что-то случилось с основным. Делал он всё это откровенно плохо (не самое лучшее железо, не самая новая ОС, в меру криво настроен), поэтому списан был без малейших сожалений. Был заменён на RB750GL, показавшим себя с самой лучшей стороны.


2. отдал RB951G-2HnD тёще, потому что ТоррентТВ (через её ТВ-бокс, подключенный через роутер Элтекс) не просто тормозил, а попросту не работал. Честно говоря, я бы попросту подключил ей обычное кабельное телевидение, но вот ровно в этом доме в центре Улан-Удэ нет ни одного кабельного провайдера (да и интернет, отличный от диалапа был проброшен провайдером лично в мою тогда ещё квартиру благодаря личным знакомствам, горизонтальным связям и вот этому всему).


3. купил относительно дорогую модель hAP AC, руководствуясь соображениями ("зато круто и надолго!", "5Ггц тоже полезно", "йоптыть, вифи стандарт 802.11ac, это ж гигабит!!1расрас", "может получится оптику напрямую через SFP-модуль завести", "опять же можно 4G-модем купить, воткнуть и будет резерв").

По итогам, после экспериментов 4G-модем подарил другу, оптику завести пришлось через тот самый Элтекс (спасибо саппорту РТК, переключившему его в бридж, а то я начал понимать, почему некоторые мои знакомые пожалели о переезде с ADSL на оптику), вифи оказался шустрым, но провод всё же надёжнее (хотя до детской я провод так и не дотянул, сидят по воздуху), 5Ггц уже полезен (эфир засран не как в Москве, где-нибудь, но уже ощутимо), а вот насчёт крутизны — проще перечислю, что он у меня дома сейчас делает:


- заведено по 100 мбс от двух провайдеров (нет, я не зажрался, я удалёнщик. Когда мне РТК как-то рубанул сеть минут на 15 в ОЧЕНЬ неподходящий момент, седых волос у меня добавилось. Так что здоровье дороже).


- настроена балансировка каналов (т.е. работают поочерёдно, т.е. одно соединение через одного провайдера, второе — через другого. Если зайти на myip.ru и тыкать F5, IP постоянно меняется, довольно забавно. А вот торренты всасывают одновременно).


- выведен в интернеты уютный домашний сервер (он скорее NAS, но сервер звучит красивее).


- настроен QoS, т.е. удалённому доступу и телефонии выделен наивысший приоритет, страничкам пониже, а всяким закачкам — по остаточному принципу.


- заведён VPN, чтобы из чужих сетей ходить без опаски. L2TP с IPSec шифрованием и SSTP на случай, если попаду в места, где режут вообще всё (а SSTP работает по 443 порту). Тут, правда, есть засада — работают либо мои https-сайты, либо SSTP VPN (у меня один фиксированный IP), но поскольку он мне пока не особо нужен не парюсь. Сертификаты для сайтов и SSTP VPN получаю с Let's Encrypt автомагически.


- торренты качаются быстро, что на NAS-е (он же домашний сервер с сайтиками, почтой и всяким таким), что на ТВ-боксе (разного рода Торрент ТВ).


- ну и, чтобы было удобнее, поднят шифрованный ipip-туннель до рабочего микротика, настроена маршрутизация и, таким образом, у меня есть доступ к рабочей сети без VPN, регистрации и СМС. Удобно!


В целом, очень удачные железки, очень.


P.S. Пока в сомнениях, стоит ли писать на тему настройки или тема и так достаточно хорошо освещена в интернетах никому не интересна?

Показать полностью
145

Псевдо защита от "плаксы"

На волне шумихи вокруг WannaCry появились "доброхоты" якобы помогающие защититься от новомодного вируса.
Сейчас как раз восстанавливаю последствия "паранои" и "псевдо-защиты" от "плаксы".....
Девочке рекламный баннер написал, что нужно защититься от вируса и она согласилась - ей поставили некую "чистилку" и "аваст" - после этого доступ к сетевым папкам пропал как класс...
Откатился на предыдущую точку восстановления и все снова заработало! ;)

Псевдо защита от "плаксы" Wannacry, Linux и Windows, Linux, Windows, Информационная безопасность, Сисадмин, Взлом, Компьютерные сети

Заодно решил проверить всю Сервисную сеть на уязвимости и к сожалению нашёл несколько Windows Server 2000 и 2003 с рядом уязвимостей, среди которых был сервер отвечающий за телефонию, на котором "админ" VoIP додумался в качестве Админской учётки использовать связку логин/пароль 1111, а на других серверах его зоны ответственности был чуть более секьюрный логин "Администратор" и пароль "12345678". Разговоры с этим недо-админом и нашим начальством ни к чему хорошему не привели, кроме того, что мне сделали выговор, что я полез в чужие сервера и оклеветал классного специалиста, гордость конторы и семьянина воспитывающего маленького ребёнка...

Псевдо защита от "плаксы" Wannacry, Linux и Windows, Linux, Windows, Информационная безопасность, Сисадмин, Взлом, Компьютерные сети
Показать полностью 2
106

Системный администратор - базовые знания

Как всем известно, системных администраторов не выпускают в вузах - многие становятся ими именно на работе. Видеоролики помогли структурировать винегрет в голове. Возможно, продвинутым пользователям это покажется очень легким, но для новичка, по-моему, будет сверх полезно.
Сам просмотрел пока 3 главы за 2 дня и решил поделиться в благодарность автору и в помощь начинающим!

31

Правильная установка Windows XP в KVM или Технонекрофилия на марше

Правильная установка Windows XP в KVM или Технонекрофилия на марше Windows XP, Виртуальная машина, Kvm, Длиннопост

По работе потребовалось, чтобы некая программа для windows была постоянно доступна.

Ставить её на пользовательские компьютеры смысла не имело, т.к. они бывает что и выключаются, а из серверов на windows у меня под рукой был контроллер домена и вешать на него всё подряд как-то не хотелось.


Поэтому в офисе по сусекам поскребли, по отсекам помели и нашли старую, покрытую пылью лицензию к Windows XP HE. А большего, в принципе, и не нужно. И вот, я стал запихивать её в виртуалку.


Естественным образом возник спортивный интерес, как бы сделать так, чтобы жрала она поменьше, а работала пошустрее.


Понятно, что для этого виртуальное оборудование должно не эмулировать реальное железо, а использовать виртуальное. Скажем, HDD должен быть не на шине IDE, а на virtio. То же касается и сетевой карты. Обычно рекомендуют сначала ставить ОС на виртуальный IDE-HDD, затем добавлять второй виртуальный винт virtio-HDD, ставить на него драйвера, а потом выключать машину, удалять ненужный уже второй винт и менять тип системного HDD с IDE на virtio.


Честно говоря, все эти вытребеньки показались мне какими-то избыточными, поэтому я процитировал одного известного политического деятеля на предмет пути, которым мы пойдём и взялся за дело по своему.


Для начала я убедился, что virt-manager постоянно создаёт образ диска в qcow2-формате, что само по себе неплохо, но в данном случае излишне, так что я руками создал образ диска в raw-формате.

truncate -s 4G winxp.raw

Затем, при создании виртуальной машины выбрал его и слегка поменял параметры (шину на VirtIO, кэширование на none):

Правильная установка Windows XP в KVM или Технонекрофилия на марше Windows XP, Виртуальная машина, Kvm, Длиннопост

Затем сменил модель сетевой карты на всё ту же VirtIO, для простоты поменял модель звуковой карты на AC97, а затем сделал самое интересное — добавил FDD и подключил в него образ дискеты, взятый отсюда: https://fedorapeople.org/groups/virt/virtio-win/direct-downloads/latest-virtio/virtio-win_x86.vfd.


После этого, при установке жёсткий диск определяется без проблем, ОС устанавливается также без проблем (единственное, жалуясь на то, что драйвера не подписаны). Однако после установки видно, что не хватает драйверов для видео, сетевой карты и пары неизвестных устройств.


Проблем в этом нет, достаточно извлечь установочный образ CD и заменить его на ISO с драйверами. Дальше просто открываем диспетчер устройств, выбираем те, что без драйверов и ставим их через автопоиск.


В результате получаем маленькую, аккуратную виртуалку, с вполне достойной производительностью.

Вопрос кому и зачем она может понадобиться в 2017 году оставим за кадром. : )

Тем более, рекомендации вполне подходят и для актуальный версий windows.


P.S. На свежеустановленную и активированную Windows XP имеет смысл установить UpdatePack-XPSP3-Rus Live 14.5.1, а потом уже пытаться проверять наличие обновлений.

P.P.S. Поскольку на Home Edition RDP отсутствует как класс, моему коллеге предстоит увлекательный квест по освоению virt-viewer'а. Благо он простой, как пять копеек.

Показать полностью 2
Отличная работа, все прочитано!