from:"Jan Dušátko"

Ahoj,
Mam otazky do fora: 

1) Resim pripojeni na system pres SSH, kde mam nasledujici pozadavky:
- z casti rozsahu IP adres interni site pristup i pro uzivatele root
- ze skupiny hostname nebo hostname.domain pristup i pro uzivatele root
- z ostatního pristup pouze pro uzivatele s moznosti eskalovat privilegia
pres sudo.

Duvodem je snaha o komunikaci clusteru (vlastni privátni sit). Resenim by
byl dalsi SSH server na jinem portu, ale hledam zda jsem neco neprehledl.
Slysel jsem o moznosti konfigurace SSH pomoci expression a v manualu jsem
mimo allowgroups/denygroups, kde expression povolena neni nasel i
nasledujici vtipky:

Host hostname.domain
  User ferda
  IdentityFile /home/ferda/.ssh/id_rsa

Host 192.168.1.?
Host *.local

Ktere ale umoznuji pouze prihlaseni z urcite skupiny IP/hostnames
Existuje neco podobného i pro uzivatele, idealne s moznosti konfigurace
podminky kterou jsem popsal?

2) Je mozne zvolit jinou metodu sifrovani spojeni nez předvolené
"3des-cbc", "aes128-cbc", "aes192-cbc", "aes256-cbc", "aes128-ctr",
"aes192-ctr", "aes256-ctr", "arcfour128", "arcfour256", "arcfour",
"blowfish-cbc", and "cast128-cbc"? Například aes v gcm modu, nebo misto RSA
pouziti eliptickych krivek (ECDH/ECDHE) ? Dle dostupnych informaci to není
mozne, rad bych si overil, zda jsem nic neprehledl. Nastesti lze vypnout
kompresi nebo alespoň dat do stavu delayed.

Dekuji za odpovedi

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: SSH

Ahoj

>   a pokud vim, uz OpenSSH uz dlouho podporuje elipticky krivky v
> KEX (i kdyz jsem to nezkousel, tak nevim, na co narazis, kdyz rikas, ze
> to podle dostupnych informaci neni mozne):

Pro osvetleni. Premyslim, nad instalaci OpenSSH z portu, zatim pouzivam 
klasicke SSH v base. Na FreeBSD 9.3 GCM mod neni k dispozici, ale ECDH a ECDHSA 
ano. Ve FreeBSD 10 je to jiz k dispozici oboje (mas pravdu).
V tuhle chvili jdu resit otazku kompatibility s klienty (Win32-X / Putty atd.), 
abych se nahodou nedockal prekvapeni, zkusim vygenerovat klice a otestovat 
funkcionalitu. Diky za upozorneni.

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: SSH

Voila !

Match Host *.domain.local
  PermitRootLogin yes

Match Address 192.168.1.*
  PermitRootLogin yes

Match Address *,!192.168.1.*
  PermitRootLogin no

Match Host *,!.domain.local
  PermitRootLogin no

Co mam otestovano, pouziti hostname jako takového neni uplne v poradku.
Orizne i hostname z internetu o domenu a muze dojit k false positive. Tedy
spravne nastavit v /etc/hosts a resolv.conf 

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: SSH

> 
>   a pokud vim, uz OpenSSH uz dlouho podporuje elipticky krivky v
> KEX (i kdyz jsem to nezkousel, tak nevim, na co narazis, kdyz rikas, ze
> to podle dostupnych informaci neni mozne):


ssh-keygen -q -f /etc/ssh/ssh_hostname -N '' -t ed25519

Snazim se jeste vyresit generovani klicu a jejich podpis pro SSH pres vlastni CA

Nalezene problem:
- problem pri pripojeni ze starsich systemu, nepodporujicich AES-GCM(starsi nez 
2013) a/nebo KEX (starsi nez 2007)
- problem s pripojenim z Windows klientu, nekteri bud nedokazi navazat spojeni, 
nekteri mi hlasi problem pri komunikaci (PuTTY mi obcas hlasi problem, zatim 
nedokazu prijit na pricinu, muze to byt I problem na interface mezi zidli a 
pocitacem), nektere starsi klienty jsem pochopitelne nerozhybal vubec.

Az to dokoncim a cele projdu, dam vedet vice.

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: SSH

2015-02-03 Tema obsahu Jan Dušátko

Jenom pro zajimavost, kdyz uz jsem to nakousl.
Pouziti ECDH+AESGCM+SHA mi narazi na nasledujici problemy:
1) Komunikace pouze od FreeBSD 10
2) Navazovani komunikace je sice mozne od FreeBSD 8 (starsi uz nemam), ale
neni zde Podpora pro AESGCM
3) Minimalni podpora na strane Windows klientu. Podpora eliptickych krivek
chybi napr. v mem oblibenem PuTTY, o podpore AESGCM nemluve

Prochazel jsem klienty uvedene na:

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: SSH

2015-02-03 Tema obsahu Jan Dušátko

Jenom pro zajimavost, kdyz uz jsem to nakousl.
Pouziti ECDH+AESGCM+SHA mi narazi na nasledujici problemy:
1) Komunikace pouze od FreeBSD 10
2) Navazovani komunikace je sice mozne od FreeBSD 8 (starsi uz nemam), ale
neni zde Podpora pro AESGCM
3) Minimalni podpora na strane Windows klientu. Podpora eliptickych krivek
chybi napr. v mem oblibenem PuTTY, o podpore AESGCM nemluve.

Prochazel jsem klienty uvedene na:

http://en.wikipedia.org/wiki/Comparison_of_SSH_clients

a z klientu, ke kterym jsem se dostal jsem nenalezl zatim jediny, ktery by
uvedene plne podporoval.
Zatim tedy zustava nutnost pouziti FreeBSD/FreeBSD nebo Linux/FreeBSD.

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: SSH

2015-02-03 Tema obsahu Jan Dušátko

> > Pouziti ECDH+AESGCM+SHA mi narazi na nasledujici problemy:
> 
> Oproti "klasicke" RSA nabizeji elipticke krivky vice-mene tutez
> bezpecnost, jen s mensi delkou klice. Pokud ale nemas s delkou RSA
> klice problemy, pak se zenes do reseni problemu, ktery nemas.
> 
> Zatimco nevyhody zustavaji jsou objektivni. Jednak ty, ktere jsi
> zminil, druhak ponekud vagni namitka zalozena na tom, ze se to zatim
> tolik nepouziva tudiz implementace nejsou tolik otestovane a
> pravdepodobnost chybne implementace a postrannich kanalu je neco, co
> stoji za uvahu.

Ono je to jednoduche. Po delsi dobe si delam revizi vsech systemu, divam se
co je mozne zlepsit a jak. Jednou z moznosti, kterou jsem chtel otestovat je
prave pouziti jinych metod pro zajisteni komunikace.
Rozhodne s tebou souhlasim, ze pouziti novych implementaci sebou nese znacna
rizika. Proto uvedene testuji. Ale to co je dulezite je nasledujici:

AES v GCM modu: GCM mod patri mezi AEAD mody (CBC nesplnuje ani AE), navic
je podstatne lepe paralelizovatelny. Tedy vyssi bezpecnost, obrana proti
MITM, vyssi propustnost ... sama pozitiva a socialni jistoty.

Pouziti eliptickych krivek proti RSA:
Vypocetni narocnost je obdobna, ale elipticke krivky jsou "kompaktnejsi".
Navic, coz je sice teoreticke, ale paranoie se meze nekladou, RSA by mela
byt principielne louskatelna Shorovym algoritmem na kvantovych pocitacich.
Uvedene pro ECDH neplati. To je to 0....1% dobreho pocitu sucha a
bezpeci.

Uvedene mne zaujalo, protoze hledam co mohu vylepsit. Po testovani zde vidim
stejne problemy jako ty.
1) prilis nove (minimalni podpora, kompatibilita ...)
2) Nevim, zda je pouzita vrstva OpenSSL nebo interni algoritmy
3) Nevim, do jake miry jsou algoritmy overeny na "bezchybnost"

Honza



-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Migrace z 512B na 4K block size

2015-03-16 Tema obsahu Jan Dušátko

Zdravim,
Napada nekoho zpusob, jak pokud mozno bezbolestne (tj, bez ztraty prav a co
nejrychleji) prejit na ZFS z 512B bloku na 4K blok?
Zatim jediny postup, ktery mne napadl je klasicke vysypani souboru, nasledne
znovuvytvoreni svazku a nasypani zpet.

Diky

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Zvlastni chovani portmasteru

2015-03-21 Tema obsahu Jan Dušátko

Ahoj
Dostal jsem se do situace, kdy se mi portmaster zacyklil na zavislostech a
odmital delat upgrade dalsich package, neustale se tocil na textproc/xmlto->
fop -> devel/apache-ant -> openjdk8  az jsem se dostal na nejakych 6000
procesu a vsiml si toho.
Po odstreleni jsem zkusil dle rad z internetu nasledujici postup:

1) # pkg backup /data/pkgdb.backup.20150320 Dumping database:
Backing up: 100%

2) # pkg clean
pkg: Repository FreeBSD has a wrong packagesite, need to re-create database
pkg: Repository FreeBSD cannot be opened. 'pkg update' required The
following package files will be deleted:
/var/cache/pkg/All/pkg-1.0.11.txz The cleanup will free 1 MiB

Proceed with cleaning the cache? [y/N]: y Deleting files: 100% All done

3) Kontrola /etc/pkg/FreeBSD.conf, event. porovnani s
/usr/src/etc/pkg/FreeBSD.conf
FreeBSD: {
 url: "pkg+http://pkg.freebsd.org/${ABI}/latest";,
 enabled: true,
 signature_type: "fingerprints",
 fingerprints: "/usr/share/keys/pkg",
 mirror_type: "srv"
 }

4) # pkg update -f
Updating FreeBSD repository catalogue...
pkg: Repository FreeBSD has a wrong packagesite, need to re-create database
Fetching meta.txz: 100%968 B   1.0kB/s00:01
Fetching packagesite.txz: 100%5 MiB   2.7MB/s00:02
Processing entries: 100%
FreeBSD repository update completed. 24022 packages processed

5) # pkg clean
Nothing to do.

6) # pkg stats
Local package database:
Installed packages: 908
Disk space occupied: 3 GiB

Remote package database(s):
Number of repositories: 1
Packages available: 24022
Unique packages: 24022
Total size of packages: 42 GiB

7) # pkg check -Bd -n -a
Checking all packages:   1%databases/WWWdb has a missing dependency:
lang/perl5.14
print/a2ps has a missing dependency: lang/perl5.14
Checking all packages:   2%security/amavis-stats has a missing dependency:
lang/perl5.14
security/amavisd-new has a missing dependency: lang/perl5.14 

Jednalo se o dry run, tedy beze zmen, vicemene veci, ktere jsou vyreseny
pomoci /etc/make.conf.

Bohuzel, pri opetovnem pokusu jsem se dostal do situace, kdy se mi
portmaster zpomalil o nekolik radu - kontrola zavislosti u kazdeho z
instalovanych portu trva okolo minuty. Mam proto otazky:
1) Je nejaky zpusob, jak rebuildovat databazi portu v portng ?
2) Je nejaky zpusob, jak vyhodit duplicitni zaznamy v databazi portu (pokud
tam jsou)?
3) Na co se zamerit pri hledani problemu?

Kazda rada dobra.

Diky

Honza



Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc



-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: Zvlastni chovani portmasteru

2015-03-22 Tema obsahu Jan Dušátko

> > Tady bych se priklanel spis k variante "nainstalovat vsechny porty z
> > vypsaneho seznamu", protoze kdyz se pouzijou jen ty neautomaticke, je
> > docela velka sance, ze v puvodnim seznamu byly i nejake jiz
> > nepouzivane zavislosti a ty v tom novem stavu nebudou znova
> > zaregistrovany do databaze, takze nepujdou smazat a zustanou na disku
> zapomenuty "navzdy".

Take bych se k tomu priklanel, ale hledam jak s databazi portu pracovat.
Nechce se mi verit, ze by ji nekdo navrhnul bez moznosti oprav.
Pormaster pouziva strukturu pkgng, ale otazkou je, jak tuto databazi
pripadne znovu vygenerovat. Co vlastne pouziva pkgng pri konverzi jako zdroj
dat? pkgdb ? Ten bylo mozne "rebuildnout" smazanim uvedeneho souboru a
spustenim pkgdb -F. Na uvedeny pokus se chystam jakmile skoncim rebuild
kazdeho jednotliveho portu, aby mi server alespon bezel.

Kazdopadne, pokud dam portmaster -abdgy, stale mi zustava cyklus zavislosti,
ktereho se mi zatim nedari zbavit.

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: Zvlastni chovani portmasteru

2015-03-22 Tema obsahu Jan Dušátko

> Tady uz zadna takova moznost neni. Portupgrade mel z ceho rebuildovat
> svoji databazi, protoze tam byly vsechny informace dostupne z textovych
> souboru v podadresarich adresare /var/db/pkg/ Jenze s pkg(ng) v tomhle
> adresari je uz jen jediny soubor - SQLite databaze. Pokud o tuto
> databazi prijdes, uz neni zadny zpusob, z ceho ji obnovit (krome toho,
> ze bys ji obnovoval ze zalohy)
> 
> Mirek

Takze jedina moznost script na exportovani 
Auvajs, co nam to provedli. A jeste ke vsemu sqlite.

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: Zvlastni chovani portmasteru

2015-03-24 Tema obsahu Jan Dušátko

Ahoj,
Takze jsem narazil na patrne nejjednodussi reseni, které není az tak moc
bolestive.
Staci porty, které mají uvedenou kruhovou zavislost smaznout pomoci pkg
delete (zapsat si co to smazne s nimi) a postupne nainstalovat pomoci make
config && make install clean. Potom to znovu udelat pkg clean a pkg update
-f a nasledne portmaster -ady

100% reseni zatím neznam, ale zacinam si delat pravidelne zalohovani
databáze portu s casovou znackou. Vypada to, ze je to jedina moznost. Tzn.
pkg backup /backup/pkgng.db.`/bin/date "+.%Y%m%d"`

Pokud nekoho napadne lepsi reseni, budu mc a moc rad.

Honza



-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: Squid 3.4.12 + FreeBSD 8.4-STABLE

2015-03-24 Tema obsahu Jan Dušátko

> Zdravim vsetkych,
> 
> dnes som aktualizoval system, na ktorom bezi Squid - OS aj vsetky
> porty.
> 
> Po restarte ma cakalo nemile prekvapenie - squid nedokaze vytvorit
> /var/run/squid/squid.pid subor, na ktory caka inicializacny skript. Tym
> padom rc skript nikdy neskonci a system nenabehne do normalneho rezimu.

Potkal jsem kdysi obdobnou zalezitost. Pricinou byla konfigurace umisteni
PID souboru v rc.conf pripadne squid.conf.
Doporucuji zkontrolovat, pripadne zakomentovat uvedeny radek a zkusit
nastartovat znovu.

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

SVN problem

2015-03-24 Tema obsahu Jan Dušátko

Ahoj,
Mam problem pri synchronizaci proti svn0.eu.freebsd.org, kdy po nahodne dobe
dojde k "odpojeni" komunikace, pripadne se nepripojim:
# svn checkout https://svn0.eu.freebsd.org/base/stable/10 /usr/src

Chybova hlaska:
svn: E65: Unable to connect to a repository at URL
'https://svn0.eu.freebsd.org/base/stable/10'
svn: E65: Error running context: No route to host
nebo
svn: E120108: Error retrieving REPORT: The server unexpectedly closed the
connection.

V tuto chvili se divam, zda je pricina v providerovych DNS serverech,
GoogleDNS nebo OpenDNS, uvedene mam nastaveny ve forwarderu. Zatim to
vypada, ze problem je nekde jinde. To potvrzuje I zkusenost z konferenci.
Navic, uvedene mi bez problemu funguje pro americkou a ruskou verzi.

Reseni je provest:
# /usr/local/bin/svn cleanup /usr/src && /usr/local/bin/svn update /usr/src

A opakovat dokolecka dokud nedojde k ukonceni svn update s errorlevel 0

Otazka:
Je k dispozici I ceska verze svn serveru?

Diky

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Prosba

2015-04-09 Tema obsahu Jan Dušátko

Ahoj,
Mam otazku do fora. Pouziva nekdo z vas nejaky kryptoakcelerator? At Intel
QuickAssist, nebo PCI/PCI-X/PCIe karty vyrobcu jako Cavium, ElipticTech,
Freescale, Safenet ... Potreboval bych overit par udaju. Prosim ozvete se mi
primo na moji adresu.

Diky

Honza

Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc



-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

DHCP / DHCP6

e 192.168.1.65 192.168.1.126;
allow members of "allocation-class-3";
deny unknown-clients;
}

# Unknown clients pool 192.168.1.128/192
pool {
ddns-updates on;
range 192.168.1.129 192.168.1.190;
allow unknown-clients;
}

# Unknown clients pool 192.168.1.192/240
pool {
ddns-updates on;
range 192.168.1.193 192.168.1.206;
allow unknown-clients;
}

# Printer pool 192.168.1.208/240
pool {
ddns-updates on;
range 192.168.1.209 192.168.1.222;
allow members of "allocation-class-4";
deny unknown-clients;
}

# Reserved pool 192.168.1.224/240
pool {
ddns-updates on;
range 192.168.1.225 192.168.1.238;
allow members of "allocation-class-5";
deny unknown-clients;
}

# Infrastructure pool 192.168.1.240/240
pool {
deny unknown-clients;
ddns-updates on;
range 192.168.1.241 192.168.1.254;
}

}

- -- 
Jan Dušátko

Phone:+420 602 427 840
e-mail:j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc
-BEGIN PGP SIGNATURE-
Version: GnuPG v2
 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=iqn8
-END PGP SIGNATURE-

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: DHCP / DHCP6


Dne 5.5.2015 v 14:35 Dan Lukes napsal(a):
>> mam trochu obsahlejsi dotaz, tykajici se DHCP/DHCP6 a isc-dhcpd-server
>> balicku.
>> V soucasnosti pouzivam tento balicek pro pridelovani IPv4 adres a chci
>> zacit zkouset pridelovani IPv6, kde bych si chtel overit nektere
>> chovani. Vetsina provideru na IPv6 stale neni pripravena, takze
>> potrebuji vyresit i dalsi, souvisejici otazky, to je:
>> - - filtrovani IPv6
>> - - preklad IPv6-IPv4 a obracene
>> - - spravou adresaci v lokalni siti (fe80::?)
>
>
> No, IPv6 je presne pripad pro vyrok:
>
> V kazdem problemu se skryva rada podproblemu, z nichz nektere jsou
> vetsi nez puvodni problem.
>
To je pravda. Jak uz jsem psal, hledam i vhodne reseni pro filtry.
Typickym prikladem je system, podporujici pouze IPv4 od providera, kdy
termin zapnuti IPv6 je neznamy. Resenim je bud vypnout IPv6, nebo
nastavit filtry tak, aby nemohla probehnout komunikace dovnitr. Mimo
filtru hledam prave i branu pro IPv6-IPv4 komunikaci, o ktere jsem kdysi
slysel. Nevim, zda se jednalo o obecne reseni nebo neco specialniho.
> O tom jake reseni je nejvhodnejsi pro IPv6 muze vypuknout sverepa
> hadka. Misto toho ti reknu jak to mam ja (tam, kde IPv6 je).

> A mozna jedna vec, ktera ti, nejsem si jisty, mozna trochu unikla.
>
> DHCPv6 nevznika tak, ze to konfiguraku od DHCPv4 neco dopisu. DHCPv6
> je, mluvim ted o isc-dhcp, samostatne bezici daemon se samostatnym
> konfigurakem.
>
Ohledne pouziti IPv6 a samostatneho demona vim, nastesti jsem si s tim
uz trochu hral, jen zatim nejsem spokojen s vysledkem. Jde mi ale prave
o nastaveni rezimu, kdy oba DHCP servery budou kooperovat, kdy prideli
adresu, jeden IPv4, druhy IPv6. Samozrejme, hledam i moznosti
parametrizace jako je include nebo nejakeho nastaveni spolecnych bodu.
Pokud to nepujde normalne, tak to skonci scriptem, ktery o pulnoci
vygeneruje konfiguracni soubory a restartne DHCP server (dobre, DHCPv4 a
DHCPv6)

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: DHCP / DHCP6



Dne 5.5.2015 v 17:07 Dan Lukes napsal(a):
> On 05/05/15 16:43, Jan Dušátko:
>> Jak uz jsem psal, hledam i vhodne reseni pro filtry.
>> Typickym prikladem je system, podporujici pouze IPv4 od providera, kdy
>> termin zapnuti IPv6 je neznamy. Resenim je bud vypnout IPv6, nebo
>> nastavit filtry tak, aby nemohla probehnout komunikace dovnitr.
>
> Oboji je mozne. A ja bych, alespon tam, kde v kernelu je podpora pro
> IPv6 zakompilovana i oboji udelal. Ledaze vubec nechci nahravat
> firewall, pak samozrejme jen to prvni.
>
Firewall (pf) mam nacteny. To co resim je spise co vubec pro IPv6
dovolit a nedovolit, protoze komunikace, a zvlaste nekontrolovana je
rizikem. Na druhou stranu se nechci ridit starym pravidlem, ze jediny
bezpecny pocitac je vypnuty a pod 10m betonu.
>> hledam prave i branu pro IPv6-IPv4 komunikaci
>
> Jako, ze hledas branu, ktera by IPv6-only klientum umoznila TCP a UDP
> spojeni s IPv4-only protistranou ?
>
> A tim "hledam" se mysli, ze hledas nejakou cizi, externi, nebo, ze
> hledas jak si ji sam naimplementovat ?
>
Pro zacatek IPv6 klientum komunikovat s IPv4 protistranou a pokud se to
casem prehoupne do vetsiho rozsireni, IPv4 klientum umoznit komunikovat
s IPv6. Existuje neco takoveho?
>>> DHCPv6 je samostatne bezici daemon se samostatnym konfigurakem.
>
>> Jde mi ale prave o nastaveni rezimu, kdy oba DHCP servery budou
>> kooperovat, kdy prideli adresu, jeden IPv4, druhy IPv6.
>
> Nerozumim ?
>
> Jeden daemon prideluje IPv4 adresu, druhej IPv6. Oboji ma svuj
> protokol, kterej je sice podobnej, ale presto kazdej jinej, takze
> klient se rozhodne musi na kazdou adresu ptat zvlast.
>
> V cem ma ona pozadovana "spoluprace" obou daemonu spocivat ?
>
>
>> Samozrejme, hledam i moznosti parametrizace jako je include nebo
>> nejakeho nastaveni spolecnych bodu.
>> Pokud to nepujde normalne, tak to skonci scriptem, ktery o pulnoci
>> vygeneruje konfiguracni soubory a restartne DHCP server (dobre, DHCPv4 a
>> DHCPv6)
>
> Tohle ma ale s DHCPv6 spolecnyho jen to, ze to cos doted delal na
> DHCPv4 jednou proste musis udelat jeste jednou pro DHCPv6. Proste to
> delej tak, jak's to doted delal s DHCPv4, jen dvakrat.

Prave to 2x je pro moji lenost jako mavani rudym hadrem pred rozzurenym
bykem...

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: DHCP / DHCP6


Dne 5.5.2015 v 18:33 Dan Lukes napsal(a):
> On 05/05/15 17:13, Jan Dušátko:
> Jestli myslis na IPv6 speciality, ktere svuj obraz v IPv4 nemaji, tak
> jasne, tech tam par je. Pro zacatek se podivej, co zakazat nesmis ;-)
>
> Nahledni do /etc/rc.firewall na funkci setup_ipv6_mandatory()
>
> Ale ted bys spis mel resit jak uz dneska Windowsum zakazat vsechny ty
> tunely. Protoze co je ti platnej firewall pokud ma kazda vnitrni
> stanice verejne dosazitelnou IPv6 adresu.
>
> Tedy:
>>  CM="### Deny 6to4, Teredo, ISATAP ###"
>>  $fwcmd add 1050 unreach filter-prohib ip4 from any to any proto ipv6
>> via ${out} // $CM
>>  $fwcmd add 1051 unreach filter-prohib udp from any to any 3544 out
>> xmit ${out}
>
Tak jsem se podival na ty tunely, blokuji co jde. Mimo teredo i moje
"oblibene" IPSec, PPTP 
Ideu transparentnosti komunikace 4to6 a 6to4 opoustim, to by byl
neuveritelny bordel.
> Dan
Diky clankum na lupe a rootu jsem si dal par veci dohromady, ted si ctu
dalsi knizky a dokumentaci. Zacinam mit pocit, ze IPv6 byla na zacatku
krasna idea ... a vznikl z ni neuveritelny bastl. Centralni sprava
obtizna az nemozna, ale firmy vytvarejici zarizeni pro infrastrukturu z
ni musi mit radost (hlavne ekonomicky), protokol zbytecne slozity.
V tuhle chvili resim jak nastavit pravidla + zahazovani extra header,
hop2hop. Protoze jsem se v tom jeste stale nezorientoval, hledam i ktere
"site" mohu odriznout podobne jako na IPv4, ktere dalsi protokoly
nepujdou a pripada mi to strasne rozsahle.
Jsou tu dalsi zalezitosti, ktere musim doresit - destination header,
undetermined transport, packet reassembly (tak to mam na IPv4 +
agersivni politika zahazovani IP+cilene omezeni propustnosti),

To co hledam je funkcionalita napr ra-guard a nd-snooping, coz jsem
zatim nenasel.

Kazdopadne privitam jakekoliv dalsi napady a navrhy. Reseni vypnout IPv6
neni spatne, ale neresi cely problem (Windows a Teredo), stejne tak jako
IPv6 mi prinasi problemy (mobilni platformy a snaha vyhradit jim na male
siti specificke misto).

Kazdopadne z jedineho odpoledne, ktere jsem IPv6 venoval, mam znacne
skepticky pohled na vec. Nejde o to, ze IPv6 je uplne jine nez IPv4. Ale
rozumny zpusob vyvoje je evoluce. Tohle je typicka revoluce.

Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: DHCP / DHCP6

Dne 5.5.2015 v 21:40 Ivo Hazmuk napsal(a):
> Jan Dušátko napsal(a):
>> Diky clankum na lupe a rootu jsem si dal par veci dohromady, ted si ctu
>> dalsi knizky a dokumentaci. Zacinam mit pocit, ze IPv6 byla na zacatku
>
> Podivej se na knizku Pavla Satrapy. Je prubezne aktualizovana a ted je
> k dispozici treti revize. CZ.NIC ji nabizi po IPv6 zadarmo ;-)
Mam jak prvni verzi v papirove podobe (ted mi konecne zacala davat
smysl), tak jsem si stahl novou. Uvidime.

K ostatnim informacim, mate nekdo navrhy jak FreeBSD prinutit zajistit
rozumnou miru zabezpeceni pro IPv6?
1) Politika - co dovolim a nedovolim, pripadne proc
2) Filtrovani (v mem pripade pf), to je paradoxne jednodussi nez
predchozi a nasledujici bod, bohuzel to nic moc neresi
3) Centralni sprava - ideu DHCPv6 jsem stale neopustil, ale jsem v
uvedenem po dnesnim prohlednuti skeptik. Hraji si ted s ISC-DHCP-Server
4.3.2 a zacinam si rvat vlasy.
4) Monitoring vyse uvedeneho

K tomu je potreba pripocist, ze soucasny poskytovatel IPv6 neposkytuje
(nastesti), takze mam cas experimentovat a hledat. K tomu muj paranoidni
pristup, poskytovateli neverim. A desim se toho, ze IPv6 jednou zapne.
Nehlede na nastaveni sysctl net.inet6.* (nutno projit a pochopit stejne
jako kdysi net.inet.*)
To vse na opensource platforme - tj. co mozna nejmene zarizeni, ktere
budou mit nejakou specialni a placenou funkcionalitu.

Diky

Ted uz sedivy a napul holohlavy Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Leap second

2015-06-07 Tema obsahu Jan Dušátko

Ahoj
shanim nejake informace o problemu s leap second (30.6.2015 23:59:59)
Veskere dostupne informace tvrdi, ze FreeBSD s uvedenym nema problem,
ale nenasel jsem rozumne vysvetleni proc.

Vite nekdo neco blizsiho ?

Honza
-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Postfix a kolize openssl/base vs openssl/ports

Ahoj
popis problemu a postup, ktery mozna nekomu z vas usetri cas.

Dostal jsem se do situace, kdy nesel zkompilovat postfix (v instalacni
fazi postconf hlasil out of memory, pripadne pokud se podarilo nahodou
nejakym zazrakem postfix nainstalovat, neumoznil mi start a zase
postconf hlasil out of memory event. chybejici systemove promenne).

Pricinou uvedeneho problemu byla kolize openssl base vs ports,
indikatorem problemu tato hlaska:
/usr/bin/ld: warning: libcrypto.so.7, needed by /usr/lib/libhx509.so,
may conflict with libcrypto.so.8
Jedna se o zavlecenou zavislost - krb5 -> libhx509 -> libcrypto (base) a
ten se ocitne v kolizi s libcrypto z portu.

Ve finale se reseni ukazalo jednoduche. Presoze Kerberos nema check ale
radio button, je mozne kerberos vypnout (mezera na radio button) a
nasledne probehne kompilace spravne. Prikladam svoji konfiguraci, ktera
je proti openssl z portu (WITH_OPENSSL_PORT=YES).

[x] BDBBerkeley DB support 
[x] CDBCDB maps lookups
[ ] DOCS   Build and/or install documentation 
[ ] INST_BASE  Install into /usr and /etc/postfix  
[ ] LDAP   LDAP maps (uses WITH_OPENLDAP_VER)
[ ] LDAP_SASL  LDAP client-to-server SASL auth 
[ ] LMDB   LMDB maps   
[x] MYSQL  MySQL database support  
[ ] NISNetwork Information Services/YP support 
[x] PCRE   Use Perl Compatible Regular Expressions 
[ ] PGSQL  PostgreSQL database support 
[x] SASL   SASL authentication support
[x] SPFSPF support (via libspf2 1.2.x) 
[ ] SQLITE SQLite database support 
[ ] TEST   SMTP/LMTP test server and generator 
[x] TLSSecure network connection support via TLS   
[x] VDAVDA (Virtual Delivery Agent)   
== Dovecot SASL authentication methods ==
( ) DOVECOTDovecot 1.x SASL authentication method  
(*) DOVECOT2   Dovecot 2.x SASL authentication method  
==  Kerberos network authentication protocol type ==
( ) SASLKRB5   If your SASL req. Kerberos5, select this
( ) SASLKMIT   If your SASL req. MIT Kerberos5, select this

Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

SSH a vadny konfiguracni soubor v /etc/ssl

Ahoj
Dalsi chutovka z vikendove zabavy:

# /etc/rc.d/sshd start
Performing sanity check on sshd configuration.
Auto configuration failed
3441732:error:0E065068:configuration file routines:STR_COPY:variable
has no
value:/usr/src/secure/lib/libcrypto/../../../crypto/openssl/crypto/conf/conf_def.c:618:line
35
/etc/rc.d/sshd: WARNING: Failed precmd routines for sshd
#

Pricinou je vazba sshd (base) -> openssl (base), kdy pri konfiguraci SSH
se testuje i nastaveni v konfiguracnim souboru /etc/ssh/ssl.conf
V pripade chyby pak SSH nenastartuje.

Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Sprava portu

Do tretice vseho dobreho, tedy spise zleho
pokud budete mit nekdy takove problemy jako ja s portmasterem, stromem
portu a nejakymi jeho pitomostmi, doporucuji nasledujici:
1) Rebuild portu se zastavi po rebuildu, pri vlastni instalaci
vytuhne nejaky port. Stava se to nahodne, reseni na ktere jsem narazil jsou:
- pockat (ruby mi takhle trvalo 4 hodiny, neprisel jsem na duvod)
- sestrelit pkg a zkusit to znovu (visi to vzdy nad pkg ale nevim proc).
Problem - ne vzdy je to uspesne a spravidla to konci nasledujici moznosti.
- restartovat server
2) Rebuild portu se nepovede protoze je databaze excluzivne zamcena
- bezi jiny pkg (instalace) nebo visi odminule (viz predchozi bod,
posledni moznost)
- je zamek v souboru s porty (pokud nepomuze flock/lslock/lsof)
a) pkg unlock [port]
b) fyzicka kopie local.sqlite, zpravidla vhodna pouze pro zalohu.
Zamek v ni zustane:
c) kopie dat, zamek v ni nezustane:
echo .dump | sqlite3 /var/db/pkg/local.sqlite | sqlite3
/var/db/pkg/new.sqlite
d) pkg shell nebo sqlite3 /var/db/pkg/local.sqlite a hrabat se v
databazi
- je lock file, ktery je nutne odstranit
   a) smaznout local.sqlite-journal (ale predtim zazalohovat databazi)
   b) smaznout /var/db/pkg/sqlite.lock

A jinak drzim pesti.

Proste stary zlaty a dobry textovy editor. Nacpat to do databaze zavisle
na sqlite3, synchronizace portu a zdrojaku pres software z portu zavisle
na SSL (navic s kolizi base/ports) ...

Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: Sprava portu

Dane,
to mela byt ironie a poznamka, ze se nejednalo o nejstastjnejsi napad.
Pouziti statickeho buildu pro SVN (systemovy, vyuzivajici OpenSSL BASE)
by bylo fajn.
Pouziti textoveho souboru, trebaze pomalejsiho by bylo fajn, nezavisle
na nejakem 3rd party sw. Alespon by se to dalo rozumne ukocirovat.
Ale soucasna situace je strasna.

K OpenSSL base/port a Kerberosu
Base obsahuje vlastni Heimdal, bindovany na OpenSSL/base
Porty obsahuji Heimdal, ktery by mel byt bindovany na OpenSSL/port, ale
volba je (zda se) mozna pouze pomoci promenne v /etc/make.conf
(WITH_OPENSSL_PORTS=YES)
Porty dale obsahuji Kerberos MIT, licencne omezeny, volba podpory
OpenSSL je zda se shodna jako u Heimdal/port

Aplikace kompilujici krb5 NEMAJI praticky moznost zvolit si (lepe receno
identifikovat), proti cemu to bylo prelozeno a volby v /etc/make.conf se
v tomto pripade ignoruji.
vysledkem je tedy kompilace krizem, na ktere zacnou rvat knihovny (v
lepsim pripade), v horsim to spadne az pri spusteni. Ale zrovna tohle je
vec, odchytitelna automatickym vyhodnocovanim. A ktera je
algoritmizovatelna.
Jen se proste system nesmi snazit byt chytrejsi nez clovek, ktery ho
ovlada a spravci vyvoje musi akceptovat, ze admin ma mozek a vi co chce
delat.

Honza


Dne 8.7.2015 v 19:20 Dan Lukes napsal(a):
> On 07/08/15 13:49, Jan Dušátko:
>> synchronizace portu a zdrojaku pres software z portu zavisle na SSL
>> (navic s kolizi base/ports) ...
>
> Ne, to nepujde.
>
> Uz dost na tom, ze ten samotny software je z portu - vsak taky museli
> to systemu pridat specialni "lite" verzi tehoz, ktera slouzi jako
> zavadec a instalator "hlavniho" software z portu.
>
> Nemuzes ale, pri zdravem rozumu, ten software z portu ucinit navic
> zavisly na dalsich portech. To bysis koledoval o deadlock. Ani ne tak
> pri instalaci, jako pri nasledne udrzbe.
>
> Jakoze vsechno, co potrebuje OpenSSL, prekladam proti portovemu, pkg
> musi zustat prelozene vuci systemovemu. V tomhle pripade plati nejen
> "tertium non datur". Ona zde neexistuje dokonce ani zadna druha moznost.
>
>
> Dan
>
>
>

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: Sprava portu



Dne 9.7.2015 v 8:09 Dan Lukes napsal(a):
> On 07/08/15 23:54, Jan Dušátko:
>> Jen se proste system nesmi snazit byt chytrejsi nez clovek, ktery ho
>> ovlada a spravci vyvoje musi akceptovat, ze admin ma mozek a vi co chce
>> delat.
>
> Tohle byla jedna ze zakladnich veci, kterou se systemy UNIXoveho typu
> odlisovaly od Windows.
>
> Jenze s rozsirujici se zakladnou uzivatelu, kteri si soucasne delaji
> spravce systemu, a to aniz vedi co cini, roste abosulutni i relativni
> pocet spravcu pro ktere tvrzene neplati.
>
> Tak to proste je. Muzeme o tom vest spory, muzeme s tim nesouhlasit,
> ale to je tak vsechno, co se proti tomu da delat.
>
> Navic je velkou otazkou, jestli by byl az tak dobry napad proti tomu
> neco delat - ten system potrebuje byt, z mnoha ruznych duvodu,
> "rozsireny". Na to potrebujes pritahnout lidi, a pri tom se nelze
> vyhnout i tehle kategorii.
>
Ano. Jenze i tak to slo udelat lepe, aby bylo mozne si stale pohrat s
nastavenim. *nix si vzdy zakladal na moznosti upravit co upravit lze.
Dnes je to komplikovanejsi nutnosti zasahu na vice mistech a praci s
jakymsi pofidernim SQL (ktery je SQL pouze dle nazvu). Z hlediska toho
co jsem jiz psal jsem znacne zklamany.
V tuhle chvili je prace s porty horsi a horsi. Pripadam si jako spravce
Gentoo, o kterych se rika:
"Co dela, kdyz prestane kompilovat? Rebootuje".
Moje zkusenost po prechodu z FreeBSD 8.x na 10.x, na novy balickovaci
system a problemy s tim souvisejici je velice mirne receno tristni.

Honza
-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

portmaster security/p5-NetSSLeay

2015-09-29 Tema obsahu Jan Dušátko

Ahoj,
dokazal by mi nekdo poradit co s uvedenym? Pouzivam portmaster -afdy,
vzdy skonci s uvedenou chybou. Uz jsem udelal update vsech portu s
vyjimkou tech zavislych na uvedenem balicku. Na obdobnou chybu jsem
narazil pri spatnem konfiguracnim souboru openssl.conf, bohuzel to
tentokrat neni uvedeny pripad.

Napada nekoho neco ?

Diky

Honza

===>  Cleaning for p5-Net-SSLeay-1.72
===>  License OpenSSL accepted by the user
===>  Found saved configuration for p5-Net-SSLeay-1.66
===>   p5-Net-SSLeay-1.72 depends on file: /usr/local/sbin/pkg - found
===> Fetching all distfiles required by p5-Net-SSLeay-1.72 for building
===>  Extracting for p5-Net-SSLeay-1.72
=> SHA256 Checksum OK for Net-SSLeay-1.72.tar.gz.
===>  Patching for p5-Net-SSLeay-1.72
===>  Applying FreeBSD patches for p5-Net-SSLeay-1.72
===>   p5-Net-SSLeay-1.72 depends on file: /usr/local/lib/libcrypto.so.8
- found
===>   p5-Net-SSLeay-1.72 depends on package: perl5>=5.20<5.21 - found
===>  Configuring for p5-Net-SSLeay-1.72
34381939448:error:0E065068:configuration file routines:STR_COPY:variable
has no value:conf_def.c:585:line 35
*** OpenSSL version test failed
(`' has been returned)
Either you have bogus OpenSSL or a new version has changed the version
number format. Please inform the authors!
*** Error code 1

Stop.
make[1]: stopped in /usr/ports/security/p5-Net-SSLeay
*** Error code 1

Stop.
make: stopped in /usr/ports/security/p5-Net-SSLeay

===>>> make build failed for security/p5-Net-SSLeay
===>>> Aborting update

===>>> Update for p5-Net-SSLeay-1.69 failed
===>>> Aborting update
-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: Total OT - SOHO router

2015-10-21 Tema obsahu Jan Dušátko

A co neco takovehoto
http://www.lanode.com/dsl/vdsl.html

Dne 16.10.2015 v 17:40 Dan Lukes napsal(a):
> On 16.10.2015 14:38, Miroslav Lachman wrote:
>>> Este stoji za zvazenie projekt cz.nic.
>>> https://www.turris.cz/cs/
>>>
>>> https://www.turris.cz/cs/hardware
>>> DSL modem Small Modem for Router Turris
>
>> Kazdopadne se ted chysta nova verze
>> https://omnia.turris.cz/cs/
>
> Za zvazeni urcite jo, ale z pozice nadsence pro FreeBSD co ma
> pripojeni VDSL linkou to proti tomu Alixu (do kteryho si to miniPCI
> slotu lze pridat jinak chybejici WiFi kartu) na velky "hosana a
> haleluja" neni. Obzvlast kdyz si hardware nehodlas sam stavet.
>
> A kdyz se do porovnani zahrne ten ARM (ALix ma i386-kompatibilni
> procesor) ...
>
> Nejzajimavejsi na tom je ten DSL modem. Jenze, jak pravi stranky:
>> Modem je v této chvíli ve stádiu vývoje, protože první prototypovou
>> verzi na obrázku výše jsme z důvodu nižšího než požadovaného výkonu
>> zavrhli.
>
> Takze taky nic ...
>
> Dan
>
>
>

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: Total OT - SOHO router

2015-10-21 Tema obsahu Jan Dušátko

Pripadne:
http://www.beaglesoft.com/pcie2pci.htm
a k tomu
http://linitx.com/category/adsl/47
nebo
http://traverse.kd85.com/


Bohuzel VDSL modem se mi uz nepodarilo najit ... vypada to, ze se nevyrabi.


Dne 16.10.2015 v 17:40 Dan Lukes napsal(a):
> On 16.10.2015 14:38, Miroslav Lachman wrote:
>>> Este stoji za zvazenie projekt cz.nic.
>>> https://www.turris.cz/cs/
>>>
>>> https://www.turris.cz/cs/hardware
>>> DSL modem Small Modem for Router Turris
>
>> Kazdopadne se ted chysta nova verze
>> https://omnia.turris.cz/cs/
>
> Za zvazeni urcite jo, ale z pozice nadsence pro FreeBSD co ma
> pripojeni VDSL linkou to proti tomu Alixu (do kteryho si to miniPCI
> slotu lze pridat jinak chybejici WiFi kartu) na velky "hosana a
> haleluja" neni. Obzvlast kdyz si hardware nehodlas sam stavet.
>
> A kdyz se do porovnani zahrne ten ARM (ALix ma i386-kompatibilni
> procesor) ...
>
> Nejzajimavejsi na tom je ten DSL modem. Jenze, jak pravi stranky:
>> Modem je v této chvíli ve stádiu vývoje, protože první prototypovou
>> verzi na obrázku výše jsme z důvodu nižšího než požadovaného výkonu
>> zavrhli.
>
> Takze taky nic ...
>
> Dan
>
>
>

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

ZFS snapshot - replikace prirustkovych snapshotu

2015-11-26 Tema obsahu Jan Dušátko

Ahoj
mam otazku. Uz nejakou dobu se snazim resit inkrementalni kopie ZFS
snapshotu na zalozni server, bohuzel vzdy se mi zacne kopirovat
kompletni volume nebo dataset. Hledam zpusob, jak zajisti kopirovani jen
a pouze daneho snapshotu a minimalizovat prenosy.

Mate s tim nekdo zkusenosti?

Diky

Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: ZFS snapshot - replikace prirustkovych snapshotu

2015-11-28 Tema obsahu Jan Dušátko

Ahoj,
jde mi o nasledujici.
mam zfspool POOL a v nem treba 10 volumu VOL1, VOL2... VOL10
1) Na zacatku udelam snapshot celeho souboroveho systemu
2) Denne delam snapshoty pres cely pool (udela i volume)
3) Chci prenest jenom rozdilova data na zalozni server, ktery nedela
nic, jen ceka

Zkousel jsem (pro zkopirovani posledniho existujiciho snapshotu)
/sbin/zfs send -Rv `/sbin/zfs list -t snapshot | /usr/bin/grep
"/POOL@VOL" | /usr/bin/cut -f1 | /usr/bin/cut -d " " -f1 | /usr/bin/tail
-n 1` > /backup/zfs/zfsdata.pool

Bohuzel se mi prenasel vzdy cely volume. Pokud jsem dal zfs send a zfs
receive, zarvalo mi to na nejake chyby. Zkusim to cele jeste jednou overit.
Moje idea byla v hodinovych intervalech prenaset rozdily pro pripad
necekane situace. Cilem je mit naprosto identicke prostory.

Honza

Dne 27.11.2015 v 1:27 Marián Černý napsal(a):
> Jan Dušátko wrote:
>
>> Uz nejakou dobu se snazim resit inkrementalni kopie ZFS
>> snapshotu na zalozni server, bohuzel vzdy se mi zacne kopirovat
>> kompletni volume nebo dataset. Hledam zpusob, jak zajisti kopirovani jen
>> a pouze daneho snapshotu a minimalizovat prenosy.
> Snapshotom myslis snapshot jedneho filesystemu, alebo rekurzivny snapshot?
>
> V pripade, ze NEriesis rekurzivny snapshot, tak najjednoduchsie je urobit 
> pociatocnu plnu zalohu takto:
>
> zfs send pool/path@daily_2015-11-26 | ssh backup zfs receive 
> pool2/path2@2015-11-26
>
> (intermediary filesystemy u path2 musia existovat, cielovy filesystem nesmie)
>
> a dalej inkrementalne zalohy takto:
>
> zfs send @daily_2015-11-26 pool/path@daily_2015-11-27 | ssh backup zfs 
> receive pool2/path2@2015-11-27
>
> V pripade, ze chces mat snapshot pomenovany rovnako na zaloznom serveri, tak 
> nemusis uvadzat nazov snapshotu u zfs receive. V ukazke som ich rozlisil 
> (daily_2015-11-27 vs 2015-11-27).
>
> Marian

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Security flaws - OpenSource Libraries

2016-06-29 Tema obsahu Jan Dušátko

Ahoj,

narazil jsem na clanek
http://blog.talosintel.com/2016/06/the-poisoned-archives.html

Uvedene se tyka libarchive, 7-zip, mtree, zminovane jsou sice v
souvislosti s FreeBSD, ale chyba se tyka i ostatnich platforem.

Honza
-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: OpenLDAP - začátečnická rada

2016-10-31 Tema obsahu Jan Dušátko

Ahoj,

male rozsireni, kdyz uz se tu o tom tak bavime:

Port 389 je plaintext kanál (otevreny text), ktery v pripade podpory
sifrovaní umoznuje pouzit klauzuli STARTTLS a na tom samem portu pouzit
TLS sifrovani (upgrade kanalu na sifrovany text)
Port 636 je sifrovany kanal, kterym probiha SSL/TLS komunikace.  Dnes se
plaintext bere jako zastaraly, protoze zpravidla neobsahuje zadne
kryptograficke overeni prenaseneho textu. Proto pozadavek na SSL/TLS
nebo STARTTLS.

Pro jednotlive aplikace pak zalezi na tom, zda podporuji plaintext,
plaintext s moznosti upgrade (STARTTLS), pripadne SSL/TLS sifrovani.
Stale uvadim pojem SSL/TLS, prestoze SSL ma mnoho dobrych duvodu byt
odejito do vecnych lovist.

Napr. jiz zminovane Active Directory pouziva LDAP strukturu k ukladani
dat, ale ta je doplnena o urcite konktretni zaznamy v DNS. Tedy Active
Directory je kombinaci obeho. Nejsem z toho nijak nadseny, ale tak to je
(je na samostatnou diskusi, zda zvolit BIND nebo neco jineho a nasledne
problemy implementace, ktere s tim souvisi).
Navic, AD vyuziva pro autentizaci Kerberos, nastesti soucasne systemy
bez vyjimky Kerberos v5. Ten z principu vyzaduje funkcni synchronizaci
casu (pozor na NTP), k tomu je nutne overit i podporu konkretniho
sifrovani na obou stranach. Zde je nutne upozornit na V4 (pozor na
starsi systemy, stale se vyskytuje, tusim ze byl podporovan na
Win2000/2003) ktere pouzivalo RC4, DES-CBC a DES-PCBC. FreeBSD uz od
verze 5 obsahuje v base podporu pro Kerberos v5, ktery obsahuje
algoritmy DES-CBC, DES3-CBC, RC4, AES128-CTS, AES256-CTS,
Camellia128-CTS, Camellia256-CTS pricemz puvodni mody obsazene ve v4
jsou brane jako zastarale. A to se nebavim o kontrolnich souctech(CRC32,
MD4, MD5, SHA1, HMAC, CMAC).
Jestli si to dobre pamatuji (uz jsem to nejaky cas nedelal), stare
systemy pouzivaly bez vyjimky RC4+MD5, novejsi (Windows 2008/2012)
podporuji moznosti konfigurace, kde je to DES-CBC+CRC32 nebo MD5,
RC4+MD5 ale a to je hlavni, AES+SHA1 (usetri se strojovy cas a zvysi
bezpecnost).

V tuto chvili jsou tedy nasledujici mozne implementace
base (kerberos v5, MIT klon)
security/heimdal (kerberos v5 - http://www.h5l.org/)
secuirty/krb5 (MIT - http://www.kerberos.org/)

Mezi Heimdal a MIT implementaci je rozdil prakticky jenom v detailech
(function replay cache atd., k tomu nejake extra funkcionality navic v
HEIMDAL, rozdilnost v parametrech pro kadmin ...), ktere nemaji na
funkcnost zivocichare prakticky zadny vliv. Pouzival jsem klasicky MIT
Kerberos spise z duvodu jeho multiplatformniho sireni, pouziva ho skoro
kazdy a tedy riziko problemu je nizsi nez Heimdal vs MIT.

Cyrus-SASL pridava podporu pro dalsi autentizacni mechanismy, tedy
anonymous, cram/digest MD5, login, NTLM, OTP ... ale nezahrnuje
Kerberos. Ten je resen jednim z jiz vyse zminovanych modulu.

Rozsireni OpenLDAP o podporu OpenSSL  umoznuje podporu SSL/TLS kanálu a
podporu klauzule STARTTLS, tedy jedná se o něco jiného, než vlastní
autentizace pomoci Kerberos pripadne Cyrrus/SASL. Ta je na sifrovanem
kanale nezavisla, autentizacnim metodam je jedno, jaky je kanal. Aby
toho nebylo malo, sifrovani na urovni SSL/TLS ma samo o sobe ma spoustu
zadrhelu, ale to neni duvodem tohoto popisu. Kazdopadne stejne jako u
ostatnich kanalu doporucuji zablokovat vse s vyjimkou TLSv1.2 a
nekterych konkretnich modu, bohuzel vzajemna kompatibilita je strasna
vec. Pro nektere systemy a aplikace je alespon SSLv2 jako objev ohne.

Honza

P.S.: Omlouvam se za dlouhe cteni, ale vyznat se v tom zmatku mne stalo
mnoho casu a usili. Mozna se to nekomu bude hodit ;o)

Dne 31.10.2016 v 15:22 Vilem Kebrt napsal(a):
> Vzhledem k tomu , ze sasl byva posledni dobou temer "vynucovan" na vsech
> implementacich ktere kde vidim, nejsem si jistej zda tve reseni je
> "jednodussi".
>
> Jinak z RFC :
>
>  The Simple Authentication and Security Layer (SASL) is a method for
>adding authentication support to connection-based protocols.  To use
>this specification, a protocol includes a command for identifying and
>authenticating a user to a server and for optionally negotiating a
>security layer for subsequent protocol interactions.
>
> Imho tvoris kolo tam kde je hotovy vozidlo, ale v ramci zjednoduseni budiz.
> Jinak radsi doplnim bleskem informaci nez me stihnete sepsout za
> nepresnosti :
> OpenLdap = otevrena implementace protokolu LDAP (Lightweight Directory
> Access Protocol), takze je to protokol pro komunikaci s tim DIRECTORY
> (Jeho odlehcena verze).
> Jinak pro dotazujiciho, jeden z nejcasteji vyuzivanych mechanismu je
> LDAP komunikace s AD (nebot Active Directory [ tfuj tfuj tfuj, nemam rad
> mrkvosoft, ale musel jsem] neni nic jineho nez mrkvosofti implementace
> toho directory).
> Hadam ze konkretne tam casem miri tve usili :-)
> Vilem
>
> On 10/31/2016 03:09 PM, Martin Bily wrote:
>> Zdravím vespolek,
>>
>> já bych to zjednodušil do polopatistické podoby: Zapomeňte zpočátku na
>> všechny SASL metody, Kerbera atd. Používejte autentizaci heslem v jeho
>> p

Prosba o error log

2016-12-13 Tema obsahu Jan Dušátko

Ahoj vespolek,
mel tu nekdo v posledni dobe problem s disky? Shanim logy, ktere
obsahuji neco na zpusob techto linuxovych chyb:

Nov  2 23:46:26 server kernel: sdb: Current: sense key: Recovered Error
Nov  2 23:46:26 server kernel: <> ASC=0xd0 ASCQ=0x6ASC=0xd0
ASCQ=0x6

Feb 10 00:07:09 server Server Administrator: Storage Service EventID:
2266  Controller log file entry:  Physical Disk 0:0:3 Controller 0,
Connector 0
Feb 13 23:50:07 server Server Administrator: Storage Service EventID:
2095  Unexpected sense. SCSI sense data: Sense key:  3 Sense code: 11
Sense qualifier:  0:  Physical Disk 0:0:3 Controller 0, Connector 0

a hledam samozrejme, jak je to pod FreeBSD.

Diky

Honza

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

script pro detekci chyb disku - preklad kodu

2016-12-21 Tema obsahu Jan Dušátko

Ahoj,
prikladam script, u ktereho jsem prosil Dana o radu ... a rada byla tak
podrobna, ze je to script ... ;o)
Kazdopadne spouste z vas se muze hodit, potrebny soubor asc-num.txt je
mozne stahnout ze stranek http://www.t10.org/lists/asc-num.txt
Danovi velke diky

Honza

Vlastní script:
===

#!/bin/sh

ASCQF=./asc-num.txt

# je ASC(Q) vendor-specific ?
# $1 je ASC(Q)
isVS() {
case $1 in
0?|1?|2?|3?|4?|5?|6?|7?)
false ;;
esac
}

# kanonizuje hotnotu promenne tak, aby to bylo hexadecimalni cislo se
stanovenym poctem cifer, hexa znaky jsou velka pismena
# $1 - pozadovany pocet cifer
# $2 - jmeno (! nikoliv hodnota!) promenne, jejiz obsah se ma kanonizovat
canonize() {
local C LINE
  
C=$( eval /bin/echo -n "00\$$2" )
  
LINE=$( /bin/echo "$C" | /usr/bin/sed
'y/abcdef/ABCDEF/;s/^0*\(.\{'"$1",'\}\)$/\1/' )
  
eval $2='$LINE'
}

# interpretuje ASC/ASCQ do textu, ktery ulozi do urcene promenne
#   resi i vendor specific a unknown hodnoty
# #1 - nazev promenne do ktere ma prijit vysledek
# $2 - ASC
# $3 - ASCQ
findasc() {
local ASC ASCQ LINE
  
ASC="${2:-??}"
canonize 2 ASC
ASCQ="${3:-??}"
canonize 2 ASCQ
  
LINE=$( /usr/bin/sed -n "s/^${ASC}h\/${ASCQ}h  .\{13\}  //p" "$ASCQF" )
if [ -z "$LINE" ] ; then
LINE=$( /usr/bin/sed -n "s/^${ASC}h\/NNh  .\{13\}  //p" "$ASCQF"
| sed "s/[[:<:]]NN[[:>:]]/${ASCQ}h/g" )
fi
if [ -z "$LINE" ] && ( isVS "$ASC" || isVS "$ASCQ" ) ; then
LINE="Vendor specific ASC/ASCQ=${ASC}h/${ASCQ}h"
fi
if [ -z "$LINE" ] ; then
LINE="Unknown ASC/ASCQ=${ASC}h/${ASCQ}h"
fi
eval $1='$LINE'
return 0
}

# interpretuje SENSE KEY do textu, ktery ulozi do urcene promenne
#   resi i unknown hodnoty
# #1 - nazev promenne do ktere ma prijit vysledek
# $2 - SENSE KEY
findsk() {
local SK LINE

SK="${2:-??}"
canonize 1 SK
  
case $SK in
0) LINE="NO SENSE";;
1) LINE="RECOVERED ERROR";;
2) LINE="NOT READY";;
3) LINE="MEDIUM ERROR";;
4) LINE="HARDWARE ERROR";;
5) LINE="ILLEGAL REQUEST";;
6) LINE="UNIT ATTENTION";;
7) LINE="DATA PROTECT";;
8) LINE="BLANK CHECK";;
9) LINE="VENDOR SPECIFIC";;
A) LINE="COPY ABORTED";;
B) LINE="ABORTED COMMAND";;
D) LINE="VOLUME OVERFLOW";;
E) LINE="MISCOMPARE";;
F) LINE="COMPLETED";;
esac
if [ -z "$LINE" ] ; then
LINE="Reserved SENSE KEY ${SK}h"
fi
eval $1='$LINE'
return 0

}

findsk  STRK $1
findasc STRA $2 $3

echo "SENSE KEY: ${STRK}"
echo "ASC/ASCQ: ${STRA}"

return 0

-- 
Jan Dušátko

Phone:  +420 602 427 840
e-mail: j...@dusatko.org
SkypeID:darmodej
GPG:http://www.dusatko.org/downloads/jdusatko.asc

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Re: mail server

2023-10-16 Tema obsahu Jan Dušátko

Ahoj,
v tuto chvíli používám Postfix + dovecot, k tomu OpenDKIM, OpenARC,
spamassasin, clamav, davical ... a další balast. Velkým problémem je
dobré provázání jednotlivých modulů. Je to i důvodem, proč přemýšlím nad
přechodem na rspamd, který tyto záležitosti řeší a docela dobře. Co mi
chybí je pravidelný reporting a vyhodnocování doručitelnosti
(Deliverability, NDR), stejně jako reporty z DMARC, DKIM reporting, TLS
reporting atd. Spoustu věcí nad tím mám nascriptovaných, protože prostě
splněny nejsou. Postfix je jen poštovní server a pro splnění všech
náležitostí je potřeba mu věnovat odpovídající péči.

Na druhou stranu, velcí poskytovatelé se momentálně na M3AAWG domluvili,
že od 1.1.2024 bude SPF+DKIM+DMARC vyžadováno a pokud nebude tato
technologie implementována, budou e-maily odmítány. V dohledné době má
vyjít BCP, která bude tento postup formalizovat. Počínaje Comcast.
Google, Microsoft, Yahoo, přes poskytovatele oficiálního spamu jako je
MailChimp, SendGrid ... po třetí strany jako Cisco a ProofPoint.

Honza

Dne 16. 10. 2023 v 12:59 Martin Salac napsal(a):

Ahoj,

za mě to v podstatě popsal v neděli již Míra L.:
Postfix + dovecot + Roundcube (webxicht)

Pro ochranu jsem nasadil moloch jménem MailScanner - volá si X modulů,
kde Spamassassin, je jeden z nich, stejně jako umí OpenDKIM, kontrolu
SPF, dotazy do reputačních bází a podobné drobnosti jako antivir Clamav.

Asi to není úplně ideální, ale já jsem spokojen.

Jako SSL backend tam mám cyrus-sasl.
Na certifikáty se dá použít Let'sEncrypt a na GitHubu se válí kvanta
scriptů na automatický certificate renewal (jinak kovářova kobyla chodí
bosa a já jedu samozřejmě přes self-sign).

Co se týče ukládání - jsem spokojen s maildirem ... chodí to celkem
sviženě a občas čtu ještě maily na terminálu (Mutt, Pine/AlPine - jo,
vím, děravé jako cedník), které se k maildiru znají ... prostě to
funguje a já jsem spokojen.

Zdraví

Martin

Dne 2023-10-15 14:10, Jindrich Fucik napsal:

Ahoj vespolek,

potřebuji vyřešit náš rodinný mail server. Podstata je v tom, že jsem doposud používal mail "u
kamaráda" a už je pomalu na časi si jej nastěhovat domů. Doma běží počítač s veřejným IP,
takže to není úplně velký problém. Ale posledních mnoho let jsem neřešil, co je vlastně v této
oblasti "in". Naposledy jsem používal imap-uw a ten už je dávno po smrti.

Takže - máme v zásadě dva až tři uživatele. Používají většinou imap mail
klienty, občas imap webmail.
Ani jeden z uživatelů není moc pořádkumilovný a má ve schránce tak 2000 zpráv.

Otázky, které si neumím zodpovědět - je nějak zásadně lepší maildir a nebo
mailfile? Defaultní sendmail používá mailfile, mám se s tím nějak trápit?
A jaký k tomu použít imap server? Ideální by bylo nějaký takový, ke kterému
budu schopen přidat alespoň jednoduché SSL tak, aby mi ho dokázal obsloužit
webmail. Ale není to úplně nutné, protože komunikace webmail-imap může být jen
na localhostu. Takže stačí, když ssl dokáže použít thunderbird. Moc by se mi
líbilo nějaké ssl, ke kterému si dokáži vygenerovat certifikáty pomocí nějaké
zadarmo autority. Ale nemám s tím žádné zkušenosti.

Díky za rady a názory.

--
-- --- - -
Jan Dušátko

Tracker number: +420 602 427 840
e-mail: j...@dusatko.org
GPG Signature: https://keys.dusatko.org/E535B585.asc
GPG Encrypt:https://keys.dusatko.org/B76A1587.asc

--
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: Postfix AUTH

2007-05-10 Tema obsahu Jan Dušátko

Ano, vim to. Pouzivani TAP se mi zda zbytecne krkolomne, ale vsechno ma
svoje. Vcetne podminek v teto spolecnosti. Mam konkretni pozadavek, ktery se
snazim vyresit. 

> OpenVPN sa dá štartovať ako service a klient nemusí riešiť nič tým pádom.
Zapne notebook naštartuje sa OpenVPN service aj keď neexistuje spojenie na
internet a keď sa pripojí tak sa spojí aj openvpn. 

Co se tyka VPN spojeni, duvod proc ho nerealizuji jsou prave mobilni
uzivatele. Bezny Franta Uzivatel nebude modifikovat nastaveni protoze se
toho boji a pokud se toho neboji, tak to zvore. Jsou mezi nimi vyjimky, to
nepopiram. Ale jakakoliv slozitost ve chvili kdy potrebuji zajistit pouze
overeni identity je nevyhodou.
Mym cilem bylo a je maximalni jednoduchost, jedno misto pro monitorovani a
spravu, uzivatele overovat pri odesilani posty pres SASL. Protoze POSTFIX
podporuje SASL bud pres DOVECOT, Cyrus nebo SASL knihovnu, hledal jsem
zpusob jak provest integraci s Exchange. Jednoduchy a ucinneho.
Soucasna konfigurace:

Internet  ->  ASSP 1.3->POSTFIX 2.4->ASSP  ->  EXCHANGE

Na firewallu je nakonfigurovano ASSP, POSTFIX, CLAMAV a LDAP klient v jednom
jailu, v dalsim je napriklad HAVP, DANSGUARDIAN, SQUID a CLAMAV.

1. Overeni indentity pomoci SASL vyzaduje zadat metodu a jednim ze zvolenych
zpusobu se "overit". Viz.
http://en.wikipedia.org/wiki/Simple_Authentication_and_Security_Layer Pro
overeni je potreba znat mimo uzivatelskeho jmena i heslo. 
2. Protoze uvnitr site bezi domena AD, v idealnim pripade je mozne pouzivat
overeni identity a hesla primo na strukturu AD. Zavadeni teto struktury na
firewall znamena zbytecne zvysovani rizika. Firewall ma slouzit pro oddeleni
site a kontrolni mechanismy, nikoliv pro integraci. Proto tu nechci databazi
uzivatelu, ale LDAP dotazy bych jeste akceptoval.
Problemy, na ktery jsem narazil je nasledujici: 
1) Windows 2003 ma ve strukture LDAP a tak nasledne i v definici email adres
znaky, ktere nejsou podle RFC pripustne
(http://tools.ietf.org/html/rfc2822). Takze prvni potrebna vec je upravit
perl script (nebo vysledek prohnat grepem na =/\ ...). Postmap pak sice
projde, ale POSTFIX bude hlasit chyby. Tento script jsem zkousel pri
testovani kombinace Postfix+Cyrrus+SASL, byl stazeny z
http://www.postfix.org. Protoze se ale jedna pouze o recipients mapu, chybi
tu moznost identifikace uzivatele heslem (viz moznosti AUTH=NTLM LOGIN PLAIN
GSSAPI DIGEST-MD5 CRAM-MD5). Neco mi tu chybi 
2) Protoze hledam konfiguraci, kde postfix by se ptal primo exchange jako
POP3 serveru a AD jako zdroje uzivatelu a hesel, zkousim si hrat i s
nasledujici konfiguraci. Priznavam, ze s ni mam problemy a hledam pricinu
(nejsem si jisty, jestli je to vubec realne):
/usr/local/etc/openldap/ldap.conf obsahuje
#BASEdc=firma, dc=local
host=   192.168.1.10
base=   o=spolecnost

/usr/local/etc/postfix/master.cf obsahuje:
relay_recipient_maps = ldap:/usr/local/etc/openldap/ldap.conf
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_local_domain = $mydomain0 $mydomain1
#smtpd_sasl_local_domain = firma.cz firma.local
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions =
   permit_sasl_authenticated,
   permit_mynetworks,
   check_relay_domains

Na tomto firewallu opravdu neresim otazku pripojeni po VPN, praci pres SSL a
certifikaty a podobne. Jedna se jednoduchy system, ktery nechrani soukromi
komunikace a resi pouze identifikaci uzivatelu. Kazdopadne, protoze jednou
uz tu databaze uzivatelu je a nemam chut ji nabizet i na firewallu, snazim
se tu o integraci Exchange a Postfix. Pokud mi s tim nekdo dokaze poradit,
budu rad.

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: racoon problem

2010-10-04 Tema obsahu Jan Dušátko

Ahoj
Prave resim podobne zalezitosti. Doporucuji udelat nasledujici:
Pokud mas tunel pres gif nebo gre  interface, pust si tcpdump na techto,
dale druhy tcpdump na externim interface.
Jakmile navazes tunel, zkus ping a zjisti si, kam ti to jde/nejde.

Dale se podivej na setkey, na nastaveni policy.

Honza


Caute,
mam fbsd 8.1-Stable, potrebujem spravit spojenie s cisco zariadenim na
druhej strane.

racoon.conf :
# the file should contain key ID/key pairs, for pre-shared key
authentication.
path pre_shared_key "/usr/local/etc/racoon/psk.txt" ; #log debug; listen {
 isakmp  217.67.31.61 [500];
 }
timer {
 phase1 60 seconds ;
 phase2 60 seconds ;
}

remote 195.80.190.60
{
#   exchange_mode main,aggressive,base;
 exchange_mode aggressive;
 doi ipsec_doi;
 situation identity_only;


#   my_identifier fqdn "192.168.8.95";
 my_identifier fqdn "217.67.31.61";

 lifetime time 24 hour ; # sec,min,hour

 initial_contact off ;
 passive on ;

 # phase 1 proposal (for ISAKMP SA)
 proposal {
 encryption_algorithm aes 256;
#   encryption_algorithm 3des;
 hash_algorithm sha1;
 authentication_method pre_shared_key ;
 dh_group 2 ;
 }

 # the configuration could makes racoon (as a responder)
 # to obey the initiator's lifetime and PFS group proposal,
 # by setting proposal_check to obey.
 # this would makes testing "so much easier", but is really
 # *not* secure !!!
 proposal_check obey;
}

#sainfo anonymous
sainfo (address 192.168.8.95/32 any address 192.168.7.95/32 any) {
 pfs_group 5;
 lifetime time 28800 sec ;
encryption_algorithm des;
 authentication_algorithm hmac_sha1 ;
 compression_algorithm deflate ; } setkey.conf

flush;
spdflush;
spdadd 192.168.7.95/32 192.168.8.95/32 any -P in ipsec
esp/tunnel/195.80.190.60-217.67.31.61/require; # (alebo /require) spdadd
192.168.8.95/32 192.168.7.95/32 any -P out ipsec
esp/tunnel/217.67.31.61-195.80.190.60/require; #(alebo /require)

rc.conf
gif_interfaces="gif0"
gifconfig_gif0="217.67.31.61 195.80.190.60"
ifconfig_gif0="192.168.8.95 192.168.7.95 netmask 255.255.255.0 up"

ipsec_enable="YES"
ipsec_program="/usr/local/sbin/setkey"
ipsec_file="/usr/local/etc/racoon/setkey.conf"
racoon_enable="YES"
racoon_flags="-l /var/log/racoon.log"

ked spustim racoon s konfigurakom :

2010-10-04 12:35:56: INFO: @(#)ipsec-tools 0.7.3
(http://ipsec-tools.sourceforge.net)
2010-10-04 12:35:56: INFO: @(#)This product linked OpenSSL 1.0.0a 1 Jun 2010
(http://www.openssl.org/)
2010-10-04 12:35:56: INFO: Reading configuration from "racoon2.conf"
2010-10-04 12:35:56: INFO: remote 195.80.190.60[500] {
2010-10-04 12:35:56: INFO:  exchange_type aggressive;
2010-10-04 12:35:56: INFO:  doi ipsec_doi;
2010-10-04 12:35:56: INFO:  my_identifier fqdn "217.67.31.61";
2010-10-04 12:35:56: INFO:  send_cert on;
2010-10-04 12:35:56: INFO:  send_cr on;
2010-10-04 12:35:56: INFO:  verify_cert on;
2010-10-04 12:35:56: INFO:  verify_identifier off;
2010-10-04 12:35:56: INFO:  nat_traversal off;
2010-10-04 12:35:56: INFO:  nonce_size 16;
2010-10-04 12:35:56: INFO:  passive on;
2010-10-04 12:35:56: INFO:  ike_frag off;
2010-10-04 12:35:56: INFO:  esp_frag 65535;
2010-10-04 12:35:56: INFO:  initial_contact off;
2010-10-04 12:35:56: INFO:  generate_policy off;
2010-10-04 12:35:56: INFO:  support_proxy off;
2010-10-04 12:35:56: INFO:
2010-10-04 12:35:56: INFO:  /* prop_no=1, trns_no=1, 
rmconf=195.80.190.60[500] */
2010-10-04 12:35:56: INFO:  proposal {
2010-10-04 12:35:56: INFO:  lifetime time 86400 sec;
2010-10-04 12:35:56: INFO:  lifetime bytes 0;
2010-10-04 12:35:56: INFO:  dh_group modp1024;
2010-10-04 12:35:56: INFO:  encryption_algorithm aes;
2010-10-04 12:35:56: INFO:  hash_algorithm sha1;
2010-10-04 12:35:56: INFO:  authentication_method 
pre_shared_key;
2010-10-04 12:35:56: INFO:  }
2010-10-04 12:35:56: INFO: }
2010-10-04 12:35:56: INFO:
2010-10-04 12:35:56: INFO: 217.67.31.61[500] used as isakmp port (fd=6)
2010-10-04 12:35:56: WARNING: setsockopt(UDP_ENCAP_ESPINUDP_NON_IKE): 
UDP_ENCAP Invalid argument

^ ten varning neviem ci je daka zavazna vec..

pripojim VPN
racoonctl vc 195.80.190.60
2010-10-04 12:36:36: INFO: accept a request to establish IKE-SA: 
195.80.190.60
2010-10-04 12:36:36: INFO: initiate new phase 1 negotiation: 
217.67.31.61[500]<=>195.80.190.60[500]
2010-10-04 12:36:36: INFO: begin Aggressive mode.
2010-10-04 12:36:36: INFO: received Vendor ID: CISCO-UNITY
2010-10-04 12:36:36: INFO: received Vendor ID: 
draft-ietf-ipsra-isakmp-xauth-06.txt
2010-10-04 12:36:36: INFO: received Vendor ID: DPD
2010-10-04 12:36:36: INFO: received broken Microsoft ID: FRAGMENTATION
20

PF ALTQ - per user bandwith limit

2010-11-01 Tema obsahu Jan Dušátko

Ahoj
Mam konkretni problem, ktery se snazim vyresit pomoci PF ALTQ.
Server obsluhuje radove tisice spojeni přes http, kde standardne system
neomezuje sirku komunikacniho pasma. Protože nektere stroje maji problemy
s datovymi prenosy, obecne se jedna o retransmity (každý druhy - treti
paket), rad bych omezil odchozi komunikaci. Moje predstava je limit
například 5mbs/IP a zaroven 16 connections /IP. Cilem je zaroven nastavit
pocet spojeni na maximalni hranici (napr 5000).

Otazkou je, jak toto pravidlo nebo tato pravidla nastavit.

V konfiguracnich pravidlech kernelu jsem nasel nasledujici moznosti, kde
prvni cast mam povolenou:
options ALTQ
options ALTQ_CBQ# Class Based Queueing
options ALTQ_RED# Random Early Detection
options ALTQ_RIO# RED In/Out
options ALTQ_HFSC   # Hierarchical Packet Scheduler
options ALTQ_CDNR   # Traffic conditioner
options ALTQ_PRIQ   # Priority Queueing
options ALTQ_DEBUG

A tento parametr ne:
options ALTQ_NOPCC  # Required if the TSC is unusable


Prvni moznost, která mne napadla je pouziti pravidel pro spojeni:

set timeout src.track   1

# allow http/https
pass in quick on $ext_if proto tcp to port { 80, 443 } modulate state
(source-track, max-src-conn 16, max-src-conn-rate 8/5, max-src-nodes 5000,
overload  flush global)

Bohuzel, stale tapu nad druhou casti, ted jak definovat maximalni bandwith
per IP. Je tu moznost pouzit ad hoc vahy, typu fronty a limitu:

queue q1 bandwidth 40%
queue q2 bandwidth 30%
queue q3 bandwidth 20%
queue q4 bandwidth 10%

pass out on $ext_if queue q1 probability 10%
pass out on $ext_if queue q2 probability 20%
pass out on $ext_if queue q3 probability 30%
pass out on $ext_if queue q4 probability 40%

coz mi sice nezaruci 5mbs/ip, ale umozni mi to alespon minimalne rozvazit
odchozi datovy tok. V pripade 1gbs interface to ale znamena vytvorit 200
front (není problem s generovanim), nasledna pravidla ale zpomaluji
prochazeni filtru.

Napada nekoho reseni, kde se mohu vyhnout implementaci dummynet a zaroven
nastavit strop pro IP adresu nebo spojeni?

Diky

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

FreeBSD 8.1/pf performance

2010-11-05 Tema obsahu Jan Dušátko

Ahoj,
Mam FreeBSD 8.1 a pf jako paketovy filtr. Narazil jsem na problem, ktery mne
dvakrat nepotesil, proto se chci zeptat, jake mate zkusenosti se soucasnymi
paketovymi filtry.

Dve intel sitovky v paru tvori lagg, virtualni failover interface:
ifconfig_em0="rxcsum txcsum tso lro up"
ifconfig_em1="rxcsum txcsum tso lro up"
ifconfig_lagg0="laggproto failover laggport em0 laggport em1 
netmask "

na tomto interface je poveseny stavovy packet filter, kde dovnitr je zakaz s
vyjimkou portu 22 a 80. Ven je povoleno vse.

pass in quick on $ext_if proto tcp to ($ext_if) port { 22 } keep state
pass in quick on $ext_if proto tcp to port { 80, 443 } modulate state

V uvedene konfiguraci dokaze system obhodpodarit cca 2000-3000 klientu (cca
1-15000 packet/sec)



Pokud spustim jeste fronty a nahodne rozdelovani  (duvodem je vysoke
vytezovani linky nekterymi klienty), vykonnost system poklesne a dokaze
obhospodarit cca 1000-1500 klientu (cca 3000-5000 packet/sec)

altq on $ext_if cbq bandwidth 1Gb qlimit 65535 queue {q1, q2, q3, q4, ssh}
  queue q1 bandwidth 150Mb
  queue q2 bandwidth 120Mb
  queue q3 bandwidth 100Mb
  queue q4 bandwidth  75Mb
  queue sshbandwidth   50% cbq(borrow)

pass in quick on $ext_if proto tcp to ($ext_if) port { 22 } keep state
pass in quick on $ext_if proto tcp to port { 80, 443 } modulate state
(source-track, max-src-conn 64, max-src-conn-rate 16/1)

pass out on $ext_if proto tcp from port { 80, 443 } modulate state queue q1
probability 10%
pass out on $ext_if proto tcp from port { 80, 443 } modulate state queue q2
probability 20%
pass out on $ext_if proto tcp from port { 80, 443 } modulate state queue q3
probability 30%
pass out on $ext_if proto tcp from port { 80, 443 } modulate state queue q4
probability 40%
pass out on $ext_if proto tcp from port { 22 }   modulate state
queue ssh



Vtip nastane, pokud vypnu pf. V takovem okamziku se bavim o obsluze cca 20
000 klientu nez narazim na strop aplikace a zadne problem s timeouty.

Soucasny system:
FreeBSD s1 8.1-RELEASE FreeBSD 8.1-RELEASE #1: Thu Sep 16 15:09:54 CEST 2010
r...@s1:/usr/obj/usr/src/sys/s1  amd64

e...@pci0:3:0:0: class=0x02 card=0x115e8086 chip=0x105e8086 rev=0x06
hdr=0x00
vendor = 'Intel Corporation'
device = 'HP NC360T PCIe DP Gigabit Server Adapter (n1e5132)'
class  = network
subclass   = ethernet
e...@pci0:3:0:1: class=0x02 card=0x115e8086 chip=0x105e8086 rev=0x06
hdr=0x00
vendor = 'Intel Corporation'
device = 'HP NC360T PCIe DP Gigabit Server Adapter (n1e5132)'
class  = network
subclass   = ethernet

cupid
.
 "Intel(R) Xeon(R) CPU   X5650  @ 2.67GHz"
.

Velikost pameti - 24GB

Dan navrhoval vypnout stavove chovani firewallu, udrzba tabulek zabere velke
mnozstvi casu. Ale dle meho je rozdil jednoho radu prilis mnoho. Na webu
jsem nasel informace o problemech 8.1 vs paketove filtry, nevim, zda se
jedna ciste jenom o pf nebo I o jine, jako je ipfw nebo iptable.
 
Dalsi zalezitosti je parovani sitovek pod vysokou zatezi. Z praxe vim, ze
parovani interface casto znamena vykon dolu, nekdy az na tretinu puvodniho
(skutecne), ale je to "vykoupeno" moznosti vyssi dostupnosti (tedy pokud je
kazda sitovka v jenom switchi). Nemam zmeren dopad na vykonnost u
lagg/bridge/carp interface pod FreeBSD, takze uvedena procenta beru jako
pesimistickou variantu.

Dekuji za odpovedi nebo za napady, jak tento problem vyresit.

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: FreeBSD 8.1/pf performance

2010-11-05 Tema obsahu Jan Dušátko

>Zatim mas problem porad jeste strasne siroky. Do hry nam vstupuje 
> "lagg", "stavovost", "modulate state", "altq" a nakonec cely "pf"
framework.

Planovane kroky aktivit jsou:
1) Otestovat ipfw, zmerit vykon a mnozstvi timeoutu
2) Otestovat iptables, zmerit vykon a mnozstvi timeoutu
3) Vypnout lagg, zmerit vykon a mnozstvi timeoutu
4) Pouzit nestavovou konfiguraci pf, zmerit vykon a mnozstvi timeoutu
5) Vypnout pf, znovu zmerit vykon a množství timeoutu 
6) Otestovat ipfw, zmerit vykon a mnozstvi timeoutu
7) Otestovat iptables, zmerit vykon a mnozstvi timeoutu

> Pokud nenajdes nekoho, kdo na stejny problem uz narazil a tudiz ma 
> analyzu provedenou a budes si ji muset delat sam, obavam se,z ew jedina 
> cesta bude pres izolaci problemu. To znamena zjistit jaky vliv ma na 
> chovani "stavovost", jestli se problem nahodou zazracne nevyresi 
> nahradou pf za ipfw, ...

Zaroven testuji chovani na FreeBSD 7.3 a 8.0, zda se, ze tento efekt je zde
podstatne nizsi. Na tomto systemu neni takovy provoz, presto je rozdil
vykonnosti jen 15%. Bohuzel, provoz je tu priblizne o rad mensi, takze
neni jiste, zda na toto mereni nemá vliv nizka zatez.

> Horsi je, ze nelze vyloucit, ze vysledny efekt spoluvytvari vic vlivu.

Mas pravdu. Na druhou stranu, tento list mne docela vystrasil tento seznam
http://lists.freebsd.org/pipermail/freebsd-pf/2010-October/005840.html
(timto chci podekovat Mirkovi Lachmanovi)

Navic, pri diskusi na toto tema jsem zaslechl nejakou ne uplne overenou
zpravu o problemech na interface pro pouzivani paketovych filtru. Tento
problem by zda se mel existovat prave od FreeBSD 8.1

Honza



-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: PHP5(2) na 8.1 - problem pri instalacii

2010-11-29 Tema obsahu Jan Dušátko

> > vi ports-supfile
> > vymenit CHANGE_THIS za cvsup.cz.FreeBSD.org (je to radek *default
host=cvsup.cz.FreeBSD.org)
>
>... ja bych misto tehle dvou kroku radsi pridal do /etc/make.conf radky
>
> SUP_UPDATE= yes
> SUP=/usr/bin/csup
> SUPHOST=cvsup.uk.FreeBSD.org
> SUPFLAGS=   -g -z -L 2
> PORTSSUPFILE=   /etc/cvsup/ports-supfile
>
> je to sice trochu vic psani, ale prezije to i pripadny update "example" 
> souboru. Navic se SUPHOST pouzije pro ostatni soubory take, takz epri 
> zmene zdroje staci zeditovat jeden radek a ne vsechny pouzivane *-supfile

Je nejaka moznost, jak timto způsobem nacist src z release XYZ a porty z
current?

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

Uspavani SATA disku (AHCI) a spousteni aktivit

2011-03-08 Tema obsahu Jan Dušátko

Ahoj,
Mam nainstalovane dva disky v "suplikach" (ada0/ada1), u kterych potrebuji
nastavit urcita chovani. Jejich identifikace:

# camcontrol identify ada1
pass3:  ATA-8 SATA 2.x device
pass3: 300.000MB/s transfers (SATA 2.x, UDMA6, PIO 8192bytes)

protocol  ATA/ATAPI-8 SATA 2.x
device model  ST31000528AS
firmware revision CC37
serial number 9VP249YH
WWN   5000c50019a2b6bc
cylinders 16383
heads 16
sectors/track 63
sector size   logical 512, physical 512, offset 0
LBA supported 268435455 sectors
LBA48 supported   1953525168 sectors
PIO supported PIO4
DMA supported WDMA2 UDMA6
media RPM 7200

Feature  Support  Enabled   Value   Vendor
read ahead yes  yes
write cacheyes  yes
flush cacheyes  yes
overlapno
Tagged Command Queuing (TCQ)   no   no
Native Command Queuing (NCQ)   yes  32 tags
SMART  yes  yes
microcode download yes  yes
security   yes  no
power management   yes  yes
advanced power management  no   no
automatic acoustic management  yes  yes 0/0x00  254/0xFE
media status notification  no   no
power-up in Standbyno   no
write-read-verify  yes  no  0/0x0
unload no   no
free-fall  no   no
data set management (TRIM) no
#

Tyto disky chci nechat pouze pro zalohovani. Protoze server je postaven na
Atomu D520 + Areca, ma extremne nizky příkon, tyto dva bumbrlíčci se
projevuji (bez nich 40W, s nimi 70W). 

V tuto chvili mam nastaveno v /etc/devd.conf
attach 100 {
device-name "ada[0-9]+";
action "sleep 10 && /sbin/camcontrol idle $device-name -t 600:IDLE
&& /sbin/camcontrol idle $device-name -t 1800:STANDBY";
}; 

1) Jak je to se sleep mode u disku?
Pokud necham disk namountovany, ale uspim ho, při dotazu na FS se mi vzbudi?
Nebo je nutne nejprve odmontovat FS a pak disk uspat? Aktivuje se v pripade
uspani klauzule detach v /etc/devd.conf a je nutne to osetrit?

2) Potrebuji automaticky namontovat filesystem NTFS. Z uživatelského
hlediska pouzivam fusefs-ntfs. Je mozne tento userland modul pouzit pro
pripojeni disku primo z /etc/fstab? Jedna se mi o moznost pripojeni zalohy
na uzivatelskem pocitaci a moznost "nouzove obnovy".

3) Podporuje vubec tento typ disku sleep/standby mode?

Diky

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: změna velikosti UFS partition

2011-03-10 Tema obsahu Jan Dušátko

Ahoj
Pokud jsem delal obdobne taskarice, radeji jsem si docasne vlozil dalsi disk a 
pouzil kombinaci

cd /newdata
/sbin/dump -0uL -f - /data | restore rf -

Pak zmenit velikost zdrojove partition/volume a udelat to same zpet.

Honza

-Original Message-
From: users-l-boun...@freebsd.cz [mailto:users-l-boun...@freebsd.cz] On Behalf 
Of Viktor Čížek
Sent: Thursday, March 10, 2011 9:35 PM
To: FreeBSD mailing list
Subject: změna velikosti UFS partition

Jakým způsobem bych mohl změnit velikost UFS partition? Bez ztráty dat. 
Existuje na UFS nějaký
nástroj jako je gparted, Partition Magic apod.? Zdá se mi, že Google nic 
takového nenašel. Vím
o growfs, ale ten, pokud jsem správně pochopil, umí partition pouze zvětšit. Já 
bych potřeboval
obojí - zvětšit i zmenšit.

V.
-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: apcupsd FATAL ERROR in generic-usb.c at line 636 Cannot find UPS device

2011-03-26 Tema obsahu Jan Dušátko

Ahoj
S GENERIC jadrem pouzivam nasledujici konfiguraci:
/usr/local/etc/apcupsd.conf

UPSNAME SC1500
UPSCABLE usb
UPSTYPE usb
DEVICE
LOCKFILE /var/spool/lock
SCRIPTDIR /usr/local/etc/apcupsd
PWRFAILDIR /var/run
NOLOGINDIR /var/run
ONBATTERYDELAY 10
BATTERYLEVEL 25
MINUTES 5
TIMEOUT 0
ANNOY 0
ANNOYDELAY 0
NOLOGON disable
KILLDELAY 0
NETSERVER on
NISIP 127.0.0.1
NISPORT 3551
EVENTSFILE /var/log/apcupsd.events
EVENTSFILEMAX 10
UPSCLASS standalone
UPSMODE disable
STATTIME 0
STATFILE /var/log/apcupsd.status
LOGSTATS off
DATATIME 0
BATTDATE 10/15/07
SENSITIVITY H
SLEEP 020
LOTRANSFER  200
HITRANSFER 253
BEEPSTATE N
OUTPUTVOLTS 230
SELFTEST 336


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

NUT: Communications with UPS lost: COMMAND: 31

2011-03-27 Tema obsahu Jan Dušátko

Ahoj
Resil jsem pripojeni UPS pomoci NUT (vyjimecne nemam k dispozici APC)
a dostal jsem se do nasledujici situace:

# setenv USB_DEBUG 3 && /usr/local/libexec/nut/bcmxcp_usb -DDD -a pw5115
Network UPS Tools - BCMXCP UPS driver 0.21 (2.4.1)
USB communication subdriver 0.17
debug level is '3'
Communications with UPS lost: Receive error (Request command): COMMAND: 31

RECONNECT USB DEVICE

Communications with UPS lost: Receive error (Request command): COMMAND: 31

RECONNECT USB DEVICE

Communications with UPS lost: Receive error (Request command): COMMAND: 31

RECONNECT USB DEVICE

Communications with UPS lost: Receive error (Request command): COMMAND: 31

RECONNECT USB DEVICE

Communications with UPS lost: Receive error (Request command): COMMAND: 31

RECONNECT USB DEVICE

Communications with UPS lost: Error executing command
Could not communicate with the ups: Device not configured
CLOSING

# cat /usr/local/etc/nut/ups.conf
 [pw5115]
 driver = bcmxcp_usb
 port = auto
 desc = "PowerWare 5115 UPS"
#user = nut

Pritom dle http://www.networkupstools.org/stable-hcl.html je muj model UPS
podporovan (jedna se o PowerWare PW5115)

Pouzivam FreeBSD 8.2-STABLE a nut-2.4.1_6

Na FreeBSD 8.x je nutne udelat drobny workaround, tykajici se USB portu:
`/usr/sbin/usbconfig | /usr/bin/grep -i powerware \
| /usr/bin/awk '{print $1}' | /usr/bin/tr "ugen:" " " \
| /usr/bin/awk '{ print "/usr/sbin/chown uucp:uucp /dev/usb/"$1 \
".? && /bin/chmod 770 /dev/usb/"$1".?" }'`

Tento workaround spoustim v /etc/rc.local a ma za ukol zjistit port ke
kteremu
je pripojena UPS a nastavit vlastnika uucp:uucp s opravnenimi rwxrwx

Diky za nakopnuti

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: OT: VPN pro Windows klienty

2011-03-28 Tema obsahu Jan Dušátko

Ahoj

1. Klientske GUI je nutne take spoustet s administrátorskymi opravnenimi.
Toto jedine v soucasnosti povazuji za znacnou chybu protoze:
- default nastaveni Windows neumozni spoustet program s vyssim opravnenim
- bez tohoto opravneni OpenVPN nefunguje (routing a dalsi drobnosti)
- tyka se to pouze Vista+Win7, XP pracuji korektne

2. IPSec Windows proti FreeBSD je pro mne nocni mura, to jsem zatim vzdal.
Predstava byla pouzit certifikaty jako u OpenVPN nebo alespon autentizaci
heslem. Bohuzel, narazil jsem na problemy s verzemi a implementaci. Cesta
pred OpenVPN je o nekolik radu jednodussi. Pokud by jsi se na to chtel
vrhnout, rad se pripojim. Mam kde to testovat.

3. PPTP tusim pod Win7 uz nefunguji. Alespon jsem je zatim nenasel.

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: OT: VPN pro Windows klienty

2011-03-30 Tema obsahu Jan Dušátko

3. FreeBSD (porty mpd5 nebo poptop), GRE/PPTP
+ do Windows se nemusi nic instalovat
+ jsou k nalezeni jednoduche navody
- wikipedie pise "serious security vulnerabilities have been
  found in the protocol", neumim to posoudit, jsou presto
  nejake "spravne" zpusoby nasazeni?
- Dan Lukes: "Neprilis detailne si vybavuju, ze byl velky
  problem uchodit vsechny ruzne verze Woken"


Serious security vulnerabilities - podivejte se zde:
http://www.schneier.com/paper-pptp.html
http://www.schneier.com/paper-pptpv2.html

Navic, z hlediska kompatibility je tu automaticky downgrade protokolu
z pptpv2 na pptp, coz lze vyuzit pro utok. Nejsem si jist, zda konfigurace
poptop umoznuje tuto volbu blokovat.

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

PXE boot

2011-04-12 Tema obsahu Jan Dušátko

Ahoj,
Nezkousel nekdo z vas rozchodit PXE boot pro DOS/Windows/FreeBSD? Jake s tim
mate zkusenosti?
V tuto chvili se snazim vyresit moznost startu vzdálených FreeBSD/DOS a k
nim bohuzel i Windows XP (ty jsou samy o sobe narocne) a jakakoliv rada by
se mi hodila. Navíc, potrebuji moznost vyberu dle MAC adresy.

Dekuji

Honza


-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: PXE boot

2011-04-12 Tema obsahu Jan Dušátko

Hoj

Prez PXE doma bootuju jen instalaci FreeBSD

http://blog.smejdil.cz/2010/11/syslinux-pxeboot.html

Ahoj
Zajimave navody. Instalace FreeBSD i386/amd64 a Debian i386/amd64 uz mi pracuje 
(diky za navod)
SysRescue pracuje (také diky za navod)
Floppy image obsahující sw pro zalohovani/restore a buildovana v okamziku 
potreby dle pozadavku pocitace mi pracuje zatim jen castecne (to byl hlavni 
duvod)
Hirens's boot CD mam v merku
Start Win XP a obdobnych pro instalaci se snazim taktez.

Jakmile to budu mit, dam vedet kucharku.

Instalace FreeBSD a dalších *nixu lze dobře scriptovat a provadet automaticke 
update. Napriklad nova verze atd.

Bude mit nekdo zajem o postupy? Jak moc podrobne je mam psat?

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

GRUB2 a FreeBSD

Ahoj

Mam takovy problem s bootovanim FreeBSD v GRUB2

 

Jan Dušátko

+420-602-427840

Skype: darmodej

MSN:  <mailto:jan_dusa...@post.cz> jan_dusa...@post.cz

 <http://www.dusatko.org> http://www.dusatko.org

 

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

GRUB2 a FreeBSD

Ahoj

Omlouvam se za předchozi zpravu

Mam takovy problem s bootovanim FreeBSD v GRUB2, kdy nedojde k interpretaci
dat ulozenych

v /boot/loader.conf 

 

/boot/grub/grub.cfg obsahuje

 

insmod ufs2

set root='(/dev/ar0,1,a)'

search --no-floppy --fs-uuid --set 4dad96ad553bd910

echoLoading kernel of FreeBSD kernel ...

kfreebsd/boot/kernel/kernel

kfreebsd_loadenv/boot/device.hints

kfreebsd_module_elf /boot/kernel/acpi.ko

set kFreeBSD.vfs.root.mountfrom=ufs:/dev/ar0s1a

set kFreeBSD.vfs.root.mountfrom.options=rw

 

a /boot/loader.conf

if_tun_load="YES"

ichsmb_load="YES"

ipmi_load="YES"

ichwd_load="YES"

#ahci_load="YES"

#geom_label_load="YES"

#geom_part_mbr_load="YES"

zfs_load="YES"

#vesa_load="YES"

beastie_disable="NO"

loader_logo="beastie"

autoboot_delay="5"

#ZFS Tunning

vm.kmem_size="512M"

vm.kmem_size_max="1G"

vm.kmem_size_min="256M"

vfs.zfs.prefetch.disable=0

 

Zkousel jsem jiz zmenit i kfreebsd_module_elf, protoze loader standardne
interpretuje nasledujici soubory

loader_conf_files="/boot/device.hints /boot/loader.conf
/boot/loader.conf.local"

 

Resil jste to nekdo ?

 

Diky

 

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: GRUB2 a FreeBSD - upresneni + pokusy

Ahoj

Prikladam vysledky pokusu a rozsahlejsi popis problemu a jejich duvodu.
Pri bootovanim FreeBSD v GRUB2 nedojde k interpretaci
dat ulozenychv /boot/loader.conf, tzn. settings a nacteni dalsich modulu.
Potrebuji grub z duvodu snadne volby zalozniho boot prostredi. 

/boot/grub/grub.cfg obsahuje

insmod ufs2
set root='(/dev/ar0,1,a)'
search --no-floppy --fs-uuid --set 4dad96ad553bd910
echoLoading kernel of FreeBSD kernel ...
kfreebsd/boot/kernel/kernel
kfreebsd_loadenv/boot/device.hints
kfreebsd_module_elf /boot/kernel/acpi.ko
set kFreeBSD.vfs.root.mountfrom=ufs:/dev/ar0s1a
set kFreeBSD.vfs.root.mountfrom.options=rw

a /boot/loader.conf
if_tun_load="YES"
ichsmb_load="YES"
ipmi_load="YES"
ichwd_load="YES"
#ahci_load="YES"
#geom_label_load="YES"
#geom_part_mbr_load="YES"
zfs_load="YES"
#vesa_load="YES"
beastie_disable="NO"
loader_logo="beastie"
autoboot_delay="5"
#ZFS Tunning
vm.kmem_size="512M"
vm.kmem_size_max="1G"
vm.kmem_size_min="256M"
vfs.zfs.prefetch.disable=0

/boot/oader standardne interpretuje nasledujici soubory
/boot/device.hints
/boot/loader.conf
/boot/loader.conf.local

Resil jste to nekdo ?
Jeste doplnim par pokusu a jejich vysledky

menuentry "FreeBSD, Primary Boot Environment kernel" --class freebsd --class
bsd --class os {

insmod ufs2
set root='(/dev/ar0,1,a)'
search --no-floppy --fs-uuid --set 4dad96ad553bd910
echoLoading kernel of FreeBSD kernel ...
kfreebsd/boot/kernel/kernel
kfreebsd_loadenv/boot/device.hints
kfreebsd_module_elf /boot/kernel/acpi.ko
set kFreeBSD.vfs.root.mountfrom=ufs:/dev/ar0s1a
set kFreeBSD.vfs.root.mountfrom.options=rw
}

Ignoruje /boot/loader.conf a /boot/loader.local


menuentry "FreeBSD, Primary Boot Environment kernel environment test"
--class freebsd --class bsd --class os {

insmod ufs2
set root='(/dev/ar0,1,a)'
search --no-floppy --fs-uuid --set 4dad96ad553bd910
echoLoading kernel of FreeBSD kernel ...
kfreebsd/boot/kernel/kernel
kfreebsd_loadenv/boot/device.hints /boot/loader.conf
/boot/loader.conf.local
kfreebsd_module_elf /boot/kernel/acpi.ko
kfreebsd_module_elf /boot/kernel/if_tun.ko
kfreebsd_module_elf /boot/kernel/ichsmb.ko
kfreebsd_module_elf /boot/kernel/ipmi.ko
kfreebsd_module_elf /boot/kernel/ichwd.ko
kfreebsd_module_elf /boot/kernel/zfs.ko

set kFreeBSD.vfs.root.mountfrom=ufs:/dev/ar0s1a
set kFreeBSD.vfs.root.mountfrom.options=rw
}

Ignoruje /boot/loader.conf a /boot/loader.local, nenacte se acpi a ichsmb.
Jinak projde.

menuentry "FreeBSD, Primary Boot Environment kernel environment & module
test" --class freebsd --class bsd --class os {

insmod ufs2
set root='(/dev/ar0,1,a)'
search --no-floppy --fs-uuid --set 4dad96ad553bd910
echoLoading kernel of FreeBSD kernel ...
kfreebsd/boot/kernel/kernel
kfreebsd_loadenv/boot/device.hints /boot/loader.conf
/boot/loader.conf.local
kfreebsd_module_elf /boot/kernel/acpi.ko
kfreebsd_module_elf /boot/kernel/if_tun.ko
kfreebsd_module_elf /boot/kernel/ichsmb.ko
kfreebsd_module_elf /boot/kernel/ipmi.ko
kfreebsd_module_elf /boot/kernel/ichwd.ko
kfreebsd_module_elf /boot/kernel/zfs.ko

set kFreeBSD.vfs.root.mountfrom=ufs:/dev/ar0s1a
set kFreeBSD.vfs.root.mountfrom.options=rw
}

Zhavaruje pri inicializaci, nenajde disky

menuentry "FreeBSD, Primary Boot Environment ordinal test" --class freebsd
--class bsd --class os {

insmod ufs2
set root='(/dev/hd0,1,a)'
kfreebsd /boot/loader
}

Spusti se loader a ten nedokaze najit diskovy prostor.

menuentry "FreeBSD, Primary Boot Environment shotgun test" --class freebsd
--class bsd --class os {

set root='(/dev/hd0,1,a)'
chainloader +1
}

Není schopen zavest ani loader

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: GRUB2 a FreeBSD - upresneni + pokusy

> > menuentry "FreeBSD, Primary Boot Environment kernel environment&  module
...
> > Zhavaruje pri inicializaci, nenajde disky
>
> Zrejme nejaka copy&paste error, protoze tebou popsana konfigurace tohoto 
> pokusu je do posledniho pismenka stejna jako u predchoziho (pokud mi 
> neco neuniklo), ale hlasis uplne jiny vysledek.

Ano, uniklo, obdobna zalezitost, ale zkousel jsem zde ahci. Zkopiroval jsem
to
po jeho vymazani ;o)
> > menuentry "FreeBSD, Primary Boot Environment ordinal test" --class
freebsd
> > --class bsd --class os {
> >
> >  insmod ufs2
> >  set root='(/dev/hd0,1,a)'
> >  kfreebsd /boot/loader
> > }
> >
> > Spusti se loader a ten nedokaze najit diskovy prostor.
>
> Kdyz delas "prohledavani prostoru reseni" nemel bys menit vic parametru 
> soucasne. Doted jsi ladoval /boot/kernel/kernel a root byl /dev/ar0,1,a
>
> A tady jsi zmenil soucasne oboji.
>
> Jestli ma nejaky pokus s nahranim /boot/loader smysl, tak ten pri kterem 
> na nastaveni 'root' nesahnes.

Prisel jsem konecne na zpusob, jak přinutit Grub2 nacist FreeBSD tak, jak
to chci ja, nikoliv jak si to predstavuji vyvojari GRUB.

menuentry "FreeBSD, Primary Boot Environment ordinal test" --class freebsd
--class bsd --class os {

insmod ufs2
set root='(/dev/hd0,1,a)'
search --no-floppy --fs-uuid --set 4dad96ad553bd910
kfreebsd /boot/loader
}


Kde fluid lze zjistit jednoduse pres /sbin/glabel status

GRUB ma proste stale sve male musky.

Honza

-- 
FreeBSD mailing list (users-l@freebsd.cz)
http://www.freebsd.cz/listserv/listinfo/users-l

RE: GRUB2 a FreeBSD - upresneni + pokusy

> On 04/22/11 13:07, Jan Dušátko:
> > Prisel jsem konecne na zpusob, jak přinutit Grub2 nacist FreeBSD tak,
jak
> > to chci ja, nikoliv jak si to predstavuji vyvojari GRUB.
>
> > GRUB ma proste stale sve male musky.
>
> Otazka je (skutecne otazka, ja to nezkoumal natolik, abych mel jakykoliv 
> predbezny odhad odpovedi) jestli by scriptovanym nativnim /boot/loader 
> neslo dosahnout nejmene tehoz co pozadujes - a s mensim rizikem "broken 
> after upgrade" (at uz systemu nebo GRUBu). Nativni loader je preci jen 
> nativni loader ...
>
> V podstate je tam jedina klicova podotazka - zda ten scriptovaci jazyk 
> ma mechanismus umoznujici neco nekam zapsat. Vyrozumel jsem, ze "vyber" 
> bootovani je stavova zalezitost neb primarne chces nabootovat "totez co 
> minule" (coz vyzaduje schopnost nekam poznamenat co bylo minule). Pokud 
> tohle jde, pak by uz nic dalsiho nemelo branit "nativnimu" reseni tveho 
> problemu.
>
> Dan
Pro ty kdo se v tom stratili. Jedna se mi o dualni boot prostredi, kde
Jedno funguje jako pracovni, druhe jako zalozni. Pokud se mi pracovni
jakymkoliv způsobem poondi, chci aby se automaticky nastartovalo zalozni.
V tom je vyhoda grubu a jeho autostartu spolecne s watchdogem.

Kdo ma zajem, nize je maximum veci, ktere se mohou hodit. Ostatnim se
omlouvam za dlouhy e-mail. Pokud chcete, ozvete se mi primo

V soucasnosti mam tato prostredi ponekud marnotratne definovana jako:
(při cene dnešních disku to vazne nema smysl resit)

PTT 1 - 32GB
a   UFS /   16GB(used 5,7GB)
b   swapvelikost pameti
d   UFS /tmp8GB (used 0B)
e   UFS /var4GB (used 217MB)
PTT 2 - 32GB
a   UFS /   16GB
b   swapvelikost pameti
d   UFS /tmp8GB
e   UFS /var4GB

Ke swapu - mam dva swapy, tedy dohromady davaji dvojnasobek pameti. Mam 4GB
a shodna je i velikost swapu. Ale jeste jsem ho nepouzil.

a /etc/fstab pak vypada
# DeviceMountpoint  FStype  Options Dump
Pass#
# Primary boot environment
/dev/ar0s1b noneswapsw  0   0
/dev/ar0s1a /   ufs rw  1   1
/dev/ar0s1d /tmpufs rw  2   2
/dev/ar0s1e /varufs rw  2   2
# Alternate boot environment
/dev/ar0s2b noneswapsw  0   0
/dev/ar0s2a /.alt   ufs rw,noauto   0   0
/dev/ar0s2d /.alt/tmp   ufs rw,noauto   0   0
/dev/ar0s2e /.alt/var   ufs rw,noauto   0   0
# Other filesystems
proc/proc   procfs  rw  0   0
/dev/cd0/cdrom  cd9660  ro,noauto   0   0

Cele to pak zastresuje skript, ktery kopiruje boot prostredi.
Zminovany soubor /etc/fstab.alt je temer shodny s /etc/fstab, az na
prohozene
cisla partice. Cisla slice zustavaji shodna.

#!/bin/sh
# Create empty filesystem
echo Create script for cleaning filesystem ...
/bin/cat /etc/fstab | /usr/bin/grep /.alt | /usr/bin/awk '{print
"/sbin/newfs -O2 -U "$1}' >/tmp/vmf_make.sh
/bin/chmod 700 /tmp/vmf_make.sh
/tmp/vmf_make.sh
/bin/rm /tmp/vmf_make.sh
# Mount and backup alternate root
echo Mounting and restore new root
/sbin/mount /.alt
cd /.alt
/sbin/dump -0uL -f - / | /sbin/restore rf -
# Mount and backup alternate tmp, var
echo Mounting and restore new /tmp /var
/sbin/mount /.alt/tmp
/sbin/mount /.alt/var
cd /.alt/tmp
/sbin/dump -0uL -f - /tmp | /sbin/restore rf -
cd /.alt/var
/sbin/dump -0uL -f - /var | /sbin/restore rf -
# Copy mountpoints
echo Copying mountpoints
/bin/cp /etc/fstab.alt /.alt/etc/fstab
/bin/cp /etc/fstab /.alt/etc/fstab.alt
# Unmount filesystem to avoid corruption
echo Dismounting part of alternate boot environment
cd /.alt
/sbin/umount /.alt/tmp
/sbin/umount /.alt/var
cd /
echo Generating GRUB scripts
cp /boot/grub/grub.cfg /boot/grub/grub.old
cp /.alt/boot/grub/grub.cfg /.alt/boot/grub/grub.old
/usr/local/sbin/grub-mkconfig --output=/boot/grub/grub.cfg
cp /boot/grub/grub.cfg /.alt/boot/grub/grub.cfg
echo Dismounting rest of alternate boot environment
/sbin/umount /.alt
echo Creating script to activate boot environment

V /boot/loader.conf pak musi byt:
# podpora ich
ichsmb_load="YES"
# podpora ipmi
ipmi_load="YES"
# podpora watchdog
ichwd_load="YES"

A v /etc/rc.conf
# Watchdog daemon
watchdogd_enable="YES"

Ten je mozne nainstalovat pomoci portinstall watchdog

Grub mam ted upraveny, skript vypada nasledovne:
/usr/local/etc/grub.d/10_kfreebsd a 11_kfreebsd
(kde 11_kfreebsd se lisi pouze v defin

RE: GRUB2 a FreeBSD - upresneni + pokusy