Priority (diskuse)

[GeorgeWH]

... fail2ban... ... klientská stanice nemá IP adresu z povoleného rozsahu...

... Ten rc.local se spouští přes systemd. IP adresa je statická, ale co když do toho kecá Network-manager?!...

Ty vole, to je bordel...

[Want]

Tvl ty jsi jak ten Žako. Chytneš se povědomých slov a vypotíš hovadinu.

[dada]

Kapusta, co bys chtěl od IT lopaty bez VŠ?

[Want]

Sere tě moc, že jsi vystudoval VŠ přesto jsi nula? No. Můžeš si za to sám. Křižík neměl ani maturitu, když ho Zengr přijal na (budoucí) ČVUT.

[RealJ]

tak alespon mel ridicak, ze ano...

[Aleš Kapica]

Pochybuji. Držitelem vůdčího listu byl můj děda. Řídit se naičil coby dragoun na vojně, roku 1928. Tou dobou měl František Křižík už přes 80 let a na rozdíl od tebe byl při smyslech a soudný. A vůdčí listy jsou záležitost mladší.

[RealJ]

si precti nektere dalsi Alesovi blogposty... muj oblibenej je ten o sendvicich a pak mam jeste jednoho favorita - o zveroklesticce... vyraz bordel ti pak prijde jako nedostatecny...

[Want]

Věděl Žako, že nezklameš. Skoč si pro chlebíček a nezapomeň si ho pro názornost otočit, abys konečně pochopil co je dole a co nahoře a jak zabránit tomu, abys tu šunku nezobal z podlahy.

[Heron]

klientská stanice nemá IP adresu z povoleného rozsahu

Nejen proto fail2ban nepoužívám a nejde pouze o povolený rozsah. Jednou jsem se chtěl připojit na svůj server od jednoho klienta, abych mu vyčistil jeho napadenou síť a nedostal jsem se k sobě na server. Potom jsem přijel domů a zjistil jsem, že z jeho adresy někdo zkouší hesla na ssh (používám samozřejmě klíče) a byla tam jeho adresa. V tu chvíli letěl fail2ban z domu. Tohle je fakt kravina. Každá služba si to umí řídit sama, všechno lze dělat přes velké klíče, takže je to k ničemu. A DDOS to stejně nevyřeší, protože to dřív zahltí linku, než procesor.

[Want]

Ty povolené rozsahy jsou na straně NFS exportu. Pokud nemáš pro svou IP povolený přístup, tak si profil nepřipojíš. Proto ta SSH brána. Kdo chce, ten pak může použít sshfs.

A to že ti nefungoval fail2ban jak měl může mít více příčin. Přesněji řečeno - problém může nastat po aktualizaci, pokud se objeví chyba v konfiguraci, způsobená změnou defaultního nastavení, nebo přejmenováním funkce v některém distribučním filtru, pokud ho používáš. Zmíním se o tom v dalším blogpostu. Teda pokud ho dopíšu.

[Heron]

Tady to bylo skutečně z toho důvodu, že klientova síť byla napadena a zkoušela ssh hesla. Proto jeho ip adresa u mě skončila na blacklistu. Dneska už nic takového nepoužívám.

[Aleš Kapica]

No ale to byl snad problém toho klienta, na který jsi ho měl upozornit, ne?

Fail2ban umožňuje i jiné akce než ban IP adresy či rozsahu. Klidně jsi ho mohl nechat, aby si útočník luštil křížovky, když ho to baví.

A co tedy používáš místo něj na eliminaci otravných agentů?

Já tedy podle tvých měřítek budu asi větší kruťas, protože automaticky banuji vše co smrdí AI. Nevidím totiž sebemenší rozumný důvod pro to, aby si můj obsah přežvykovaly servery (a projekty) týpků jako je Zuckerberg, Bezos, Musk, Gates, Shuttleworth či ten „linuxový fanda” od Apple co už se smaží v pekle, na jehož jméno si teď ani nemohu vzpomenout.

[Aleš Kapica]

JO. Už mi naskočil. Jobs.

[Heron]

No ale to byl snad problém toho klienta, na který jsi ho měl upozornit, ne?

Ty snad zjišťuješ majitele každý IP, která ti skončí na blacklistu a ještě jim píšeš?

A co tedy používáš místo něj na eliminaci otravných agentů?

Nic. Mám firewall, kde jsou povolené IP nebo rozsahy pro firmy. Každé IP je ve smlouvě, takže se ví, kdo to je. A přístup je většinou přes klíče.

Já tedy podle tvých měřítek budu asi větší kruťas, protože automaticky banuji vše co smrdí AI. Nevidím totiž sebemenší rozumný důvod pro to, aby si můj obsah přežvykovaly servery (a projekty) týpků jako je Zuckerberg, Bezos, Musk, Gates, Shuttleworth či ten „linuxový fanda” od Apple co už se smaží v pekle, na jehož jméno si teď ani nemohu vzpomenout.

Dobře, ale tak já píšu články pro celý svět a jestli si to přelouská Google, Bing, nebo nějaká AI je mi celkem jedno. Alespoň se konečně naučí spravovat servery a já budu mít někdy klid

[Aleš Kapica]

No ale to byl snad problém toho klienta, na který jsi ho měl upozornit, ne?

Ty snad zjišťuješ majitele každý IP, která ti skončí na blacklistu a ještě jim píšeš?

Pokud je to můj klient, tak to považuji za samozřejmost. Ty ne?

A co tedy používáš místo něj na eliminaci otravných agentů?

Nic. Mám firewall, kde jsou povolené IP nebo rozsahy pro firmy. Každé IP je ve smlouvě, takže se ví, kdo to je. A přístup je většinou přes klíče.

No tak to jsi v diametrálně jiné situaci než já, nemyslíš? Já netuším z jaké řiti světa se ten student zkouší zrovna připojit.

Já píšu články na základě informací vyhrabaných všude možně. Opravdu nestojím o to, aby je přežvykovala nějaká AI a předávala dál v jiném kontextu než jim náleží. Ať si Musk napíše tu svou alternativu Wikipedie sám. Ne, že ji vydojí a převypráví po svém.

[Heron]

Pokud je to můj klient, tak to považuji za samozřejmost. Ty ne?

Jenže tohle nebyl klient, který se měl připojovat ke mě domů. Byl to firemní klient, kam jsem přijel řešit jeho napadenou síť. A to, že jej mám na blacklistu jsem zjistil opět až doma a to byla jeho síť už v pořádku.

Já netuším z jaké řiti světa se ten student zkouší zrovna připojit.

No to já často také nevím, ale od toho jsou klíče. Pokud má 4096b klíč podepsaný mojí autoritou, tak se dostane i do PostgreSQL, na web apod.

[Aleš Kapica]

Jenže tohle nebyl klient, který se měl připojovat ke mě domů.

Jo táák. Tak to z příspěvku jasné nebylo. Ke mně domů se nikdo nemá co hlásit, takže mi běží SSH na úplně jiném portu. Ovšem momentálně by se skrze moji domácí SSH gateway nikdo nikam neprotuneloval. V srpnu jsem se totiž konečně plácnul přes kapsu, abych realizoval již velmi dlouho odkládanou aktualizaci HW. Jenže tím jak toho bylo letos hodně ve škole jsem se zdržel a když jsem se konečně dostal k tomu abych to seskládal, vyšlo najevo že je vadný motherboard a tak čekám, už skoro měsíc, až se jim uráčí dořešit reklamaci. Momentálně jim zbývají ještě 4 dny. Prča bude, když se ukáže chyba v procesoru. S takovou se mi ten stroj podaří konečně rozjet nejdřív až po novém roce.

[Heron]

Já mám některé své fyzické servery doma a jsou normálně na internetu.

A navíc používám masivně nspawn nebo freebsd jaily, takže mi to může běžet i na desktopu v Hyper-V (na desktopu mám W11Pro).

[Aleš Kapica]

Tak já řeším v zásadě jen čtyři fyzické stroje, včetně mého notebooku. Ty tři co jsou v serverovně jsem viděl naposledy při blackoutu. Stroje v laborkách nepočítám, na těch nic není a turtleboty momentálně buď nikdo nevyužívá, nebo s nima není problém. Disklessová infastruktura se po sjednocení výrazně zjednodušila. Virtualizovaný LDAP už je odeslaný do háje, i když stále běží a je použitelný. Místo dvou DHCP serverů už běží jenom jeden. Jeden virtuální diskless řeší ty uživatelské účty. Na dalším virtuálním disklessu jede v dockeru webová appka pro jeden projekt. Pak je tam ta ssh brána, wiki je nezávislá a to je asi tak všechno.

Můj privátní server kde je wiki je také virtuál. Hostovaný samozřejmě jinde.

[Heron]

Aha, tak to je skutečně jiné nasazení, my měli stovky virtuálek ve vmware a doma mám asi 30 kontejnerů a při vývoji si vesele vytvářím další.

[Want]

A proč?

[Heron]

Tak jednak k oddělení konfigurace, potom jednodušší záloha a tím i lepší obnova a také kontejnery se dají snadno stěhovat (udělám snapshots a ten přenesu jinak, inkrementální snapshoty znamenají max 1s výpadek).

[Want]

Je to úplně jiné nasazení, než u nás. Tam primární požadavek zněl: "Chceme všude to samé." Což má svou logiku. Pokud máš v rámci výuky daný nějaký postup, který si studenti mají zopáknout, nemůžeš si dovolit nekonzistentní chováni. Někde to řeší tak, že to přeplácnou z image. Jenže to žere čas, a opotřebovává disky.

[Heron]

Tohle jsou mé servery, v práci máme stovky serverů a všechny jsou stejné (web, db, naše appka).

[Heron]

No a pro vývoj si vždy připravím čistý stroj, takže to nám od nuly a vím, jaké balíčky se mají nainstalovat. V případě golangu - staticky linkovaného potřebuji jenom jádro a ssh.

[Aleš Kapica]

Plán je, že mi to bude fungovat podobně jako ve škole. Jelikož disky řachtají, bude hlavní datové úložiště vypnuté. Ta SSH gateway je absolutně tichá a nežere nic. Nejdříve se na ni pošle signál, kterým se nahodí (nebo probudí uspané) datové úložiště a pak už to pojede přes nějakou VPN.

[Aleš Kapica]

Moje SSH brána u mě v pokoji..

spike (SCHROT) :~# sensors
k10temp-pci-00c3
Adapter: PCI adapter
temp1:        +41.0°C  (high = +70.0°C)
                       (crit = +90.0°C, hyst = +88.0°C)
 
spike (SCHROT) :~# uptime
 16:12:51 up 28 days, 18:59,  0 users,  load average: 0,04, 0,03, 0,00

[lol]

Někdo ti sežral (diskless) sendvič

[Want]

Kdybys zvládnul přeslabikovat víc než dva první odstavce, tak bys možná i tušil o čem je řeč.

[Doesn't Want]

Na tom neco je. Ja se bez muceni priznam ze vic nez prvni dva odstavce toho nesouvislyho automatickyho psani neprelouskam...

[Aleš Kapica]

Tak co se tomu vyjadřuješ ty jelito? Zopákni si první třídu, kup si Čtyřlístek a trénuj.

[jbv]

Radši dávej do souvislostí španělskou občanskou válku a válku na Ukrajině. To ti jde líp než technický témata. Sice o obojím víš úplný hovno, ale v historii to není vidět na první pohled a můžeš se schovávat za jiný názor, jako další proruský trotlové.

[Want]

Víš jak se pozná idiot? Že se neudrží a začne šermovat nálepkou "proruský".

[Radovan]

Souvislosti: západní vlády podporovaly evropské hodnoty fašistického diktátora Franca, Rusko legálně zvolenou vládu. Jo, to odpovídá, stejně je to i na Ukrajině.

[Petr]

Doporučuji si o motivaci a podstatě podpory, kterou země sovětů republikánům poskytovala, něco více přečíst. Zejména informace pocházející z téže země a z doby, kdy se již mohly objevit i necenzurované vzpomínky přímých účastníků. Tedy těch štastných, kteří nebyli po konci celé internacionální akce zmizeni v rámci celkového úklidu sovětské společnosti na přelomu třicátých a čyřicátých let. Předpokládám, že v současném Rusku by tyto publikace vyjít už zase nemohly. Tolik k černobílému pohledu na minulost.

[Radovan]

Zkus to vysvětli mrtvým dětem, kterým padaly na hlavy evropské hodnoty v Guernice. Ty byly hodně barevné.

[Petr]

Pokud vím tak, jim na hlavy padaly bomby Legie Condor a Aviazione Legionaria. Jakou barvu měly netuším, ale odhaduji, že šedou nebo tmavě zelenou. Jakou barvu mají podle tebe hodnoty padající z nebe na Kyjev, Charkov a Kramatorsk? A na děti v Mariupolu padalo co?

[Want]

Je podlé a odporné, jak ve snaze obrátit emoce vůči protivníkovi, se vytahují děti. Jako by protistrana žádné děti, které zabíjejí pro změnu jejich bomby, neexistovaly a neumíraly.

Teď je v módě se pohoršovat, že rusové útočí drony. Zřejmě už se pozapomnělo, že to byli ukrajinci, kdo je začal využívat nejenom k průzkumu, ale i k útoku. A mnozí tu hýkali veselím, když komentovali videozáznamy z těch útoků.

Stejně tak je to i s útoky na energetická zařízení. Pro rusy platí jenom jedna logika. Pokud ti někdo něco udělá, vrať mu to stonásobně, a podruhé už to neudělá.

[Heron]

Jenže Ukrajinci tu válku nevyvolali a bránit se musejí. Takže zatahovat do argumentu nějaké Ruské děti je zcela mimo. Kdyby Putin válku nezačal, tak žádné děti neumírají.

[Radovan]

Co povíš na Pravý sektor?

Třeba když napochodovali do kanceláře ředitele kyjevské televize a fackovali ho, dokud si nepodepsal výpověď.

Nebo když něco podobného zkusili v Doněcku, kde se do nich ale pustili místní fanoušci Šachtaru, sebrali jim zbraně a s rozbitými držkami je poslali zpátky do Lvova...

Ty také posílal Putin?

[PetebLazar]

A ti co sestřelili civilní letadlo Malaysia Airline byli také pouze fotbaloví fanoušci Šachtaru?

[Glee]

A ti co sestřelili civilní letadlo Malaysia Airline byli také pouze fotbaloví fanoušci Šachtaru?

Pravdepodobne nejvetsi whataboutisticka demagogie, co jsem tady cetl za dlouhou dobu. Ale pravda, na ruskou propagandu nechodim, stejne tak jako nechodim k Cemperovi nebo Forum24. Ale citim jiste poteseni z toho krouceni se "lepsolidi" od vysledku voleb.

[Radovan]

Ne, to byli Ukrajinci, sestřelující údajné ruské stíhačky.

Nepamatuješ to video ze sestřeleného dronu?

[xxxs]

skoda, ze strelkov tweetol, ako sa mu to lietadlo podarilo zostrelit. bezny rusky chuj.

[Radovan]

Strelkov toho nakecal...

A tys určitě věřil i té falešné Putinově dceři, která na hentěch sockách úpěla, že jí fotr zničil život

[xxxs]

ano, vsetci su blbi a vy ruski propagandisti ste chytri.

[Radovan]

Když to říkáš ty

[Radovan]

A na děti v Doněcku padalo co? A na děti v v Cchinvali? A na děti v Gaze? A na děti ve varšavském ghettu?

Také je dobré nezapomínat, jak oligarcha Dědek hýkal nadšením nad smrtí ruských dětí v Egyptě. A nejen on, že

[Vantomas]

Ten statický lease do DHCP si nech nastavit. Teď je ta statická IP možná mimo pool co se přiděluje klientům, ale jednoho dne může přijít nějaký kolega, co bude řešit problém s vyčerpaným poolem a nenapadne ho nic jiného, než ten pool z půlky prefixu roztáhnout na celý a pak budeš řešit: ssh brána jednou jde, pak zase nejde, ale ping na to ip odpovídá pořád...

[Aleš Kapica]

Můžeš být v klidu. O to bylo postaráno dříve, než jsem ten blog vůbec začal psát.

[kolcon]

tvl, proste prijmi, ze jsi komodita, neco jako lopata, ktera ma zajistit, aby pan profesor mohl makat... neco jako instalater... mas zajistit, aby mu to fungovalo, a kdyz ne, tak se objevit a spravit mu to. A kdyz to neudelas, tak te proste vymeni, jako instalatera. Narozdil od toho prof. neprinasis zadnou hodnotu a prachy.

[Aleš Kapica]

Tak to si myslíš ty a pan Horáček. Vystřízlivíte brzy. A pokud jde o ty hodnoty. Nepřinášíme, ale šetříme, což znamená, že není potřeba vyhazovat prachy za lopaty jako jsi možná ty. A tak si můžeme dovolit úspěšné vědátory.

[kolcon]

Tvoje diskless prostředí p. profesora nezajímá. Nemá pro něj žádnou hodnotu. A co se týče úspory, klidně tě vedení vymění za 2x dražší službu, když to dodá ten správný dodavatel. Sorry jako.

[Aleš Kapica]

V laborkách jiné nemá, zakulený motýle.

[mama]

uvidíme co pan Horáček řekne na tenhle komentář

[Want]

Pan Horáček? Rád by prozkoumal ve svém ústavu tvé duševní zdraví ale zoufale na to shání grant. Nikomu se nechce vyhazovat prachy za nesmysly.

[Max]

Docela zvláštní chyba. Člověk by řekl, že nastavení sítě je základ. Pokud se z nějakého důvodu rozhodnu nepoužívat NM, tak ho vypnu. Nicméně best practice je používat NM, není moc důvodů jej nepoužívat.
Jinak menší zajímavost, u nás se třeba začíná používat systemd i místo cronu. Je to z důvodu monitoringu a reportovatelnosti, kdy monitorovat systemd a reportovat chyby je easy.
Chápu, že lidem, co primárně jedou "rc.local", cron a nechtějí to posunout někam dopředu, může rupnout žilka. Ale tak to prostě je. Když jsou velká nasazení, tak to pak moc ani jinak nejde.
Zdar Max

[Want]

Systemd časovače (timery), jsou lepší. Z mého hlediska tedy rozhodně, protože je pak mnohem jednodušší kombinovat konfigurační vrstvy.

Ten rc.local je na jednu stranu historický relikt, na stranu druhou, tím kdy se spouští umožňuje realizovat věci, které mají závislosti na předchozích unitách, aniž by vyžadovaly unitu vlastní.

Pokud jde o ten Network-manager. Ptačí mozek, jaký má Žako, to nepobere, ale významně zjednodušuje nastavení zavaděče. Ten předá UEFI jen to, odkud si má stáhnout jádro a ramdisk. Žádné další parametry nejsou nutné. Zbytek (parametry podle kterých se tahá konfigurace) přijede přes DHCP. A ta může být taková, že se už netahá nic (pokud má ta mašina keš). Sendvič se nahodí a konektivita už může být zajištěna úplně jiným kanálem. Pokud vůbec. Pokud to chceš řídit píšťalkou, stačí jenom blbý skript, co navěsíš na audio input.

[plostenka]

Best practice je /etc/network/interfaces (moderne interfaces.d/foo). Zadny NM zijici si vlastnim zivotem do toho nekeca, zadna zavislost na pulce gnome a systemd, zadne problemy.

Podobne s rc.local a CRONem.

[MP]

Dokud to pro dodatecne routovani potrebuje post-up apod., tak to neni moderni ale ohybak za ohybakem.

[Max]

Přesně o takových lidech jsem mluvil, netřeba se hlásit :D
Zdar Max

[Heron]

Upozornil někdo pana profesora na to, že si to pak bude muset bez těch lidí vyřizovat sám?

Upozornil někdo Aleše, že od toho máme IT?

To, že úředníky vůbec k ničemu nepotřebujeme jsem plně pochopil už v roce 2008, kdy jsem nastoupil do QCM. Na stole jsem za 12 let neměl jediný papír, zákon o elektronickém podpisu mám už od velkého třesku, takže stačí poslat podepsaný email (žádnou datovku) a prostě to dle zákona je podepsané a platí to.

[Heron]

na chybu v souboru rc.local

Doporučuju místo toho používat jednotlivé unity typu oneshot - lépe se kontroluje, co proběhlo a dá se to restartovat. Pokud selže řádek v rc.local, tak se zbytek buď neprovede a nebo je potřeba si tam vytvořit detekci chyb, ty ručně logovat apod. Systemd je v tomto opravdu lepší a rc.local jsem nepoužíval ani za system V rc.d. Na vše jsem si psal vlastní služby.

IP adresa je statická, ale co když do toho kecá Network-manager?!

Všechny adresy by měly být v jenom manageru sítě, já používám systemd-networkd (viz můj článek z roku 2017 (https://www.heronovo.cz/index.php/2017/04/23/nastaveni-site-pomoci-systemd-networkd/). Je hloupost nastavovat další IP adresy jinde. V systemd to lze rozdělit a mít pro každou službu vlastní konfig s nastavením sítě. Já to používám pro bridge a nspawn.

[Want]

Dík za knížecí radu, ale nepochopil jsi ani to, že ta komunikace je o více stranách. Fail2ban hlídá jenom příchozí komunikaci. Jeho účelem je eliminovat ty, co se pokouší něco obejít. Ty rozsahy se týkají NFS připojení. To má své limity, proto musí být jasně dané kdo si co může a jak připojit. Uživatelské profily se mountují přes NFSv4. Vrstvy přes NFSv3, ale jen read-only. RW přístup na uživatelské účty přes NFSv3 má pouze jeden stroj, který má pouze jednoho lokálního uživatele, který má místo loginu navěšený skript, co na základě parametrů přijatých přes úspěšné SSH připojení založí adresář a nastaví práva - čímž k němu tenhle speciální uživatel ztratí přístup.

Stroj, o kterém je v blogu řeč, funguje jako SSH brána už téměř 10 let. A ten rc.local se používá proto, že k nastavení routování a pravidel pro firewall stačí všeho všudy 4 řádky. Je to full-diskless a ten žádný management sítě nepotřebuje, protože musí mít funkční připojení dříve než najede systém. Ale jak jsem zmínil. Základ je jednotný, proto je tam dnes i network manager, jenže ten v takové situaci dělá bordel, pokud není IP adresa v DHCP zafixovaná na MAC.

[Heron]

To nejsou knížecí rady, administrátora dělám od rok 2003. NFS používám celý život a fail2ban není vůbec potřeba. Stejně jako pro iSCSI apod.

A ten rc.local se používá proto, že k nastavení routování a pravidel pro firewall stačí všeho všudy 4 řádky.

Jenže to i v systemd-networkd. Pokud je to distro se systemd, tak nemá smysl jej obcházet. Reaguje i na události, takže pokud zapnu nspawn kontejner, tak má automaticky adresu na bridge, kam patří.

Je to full-diskless a ten žádný management sítě nepotřebuje, protože musí mít funkční připojení dříve než najede systém.

V tom případě dostane vše z DHCP a konfigurace sítě tam vůbec nemusí být, tohle jsme měli pro některé single use servery.

Základ je jednotný, proto je tam dnes i network manager, jenže ten v takové situaci dělá bordel, pokud není IP adresa v DHCP zafixovaná na MAC.

Pokud se používá DHCP, tak veškerá konfigurace sítě musí být tam. Mít kombinace neznámých MAC se statickými adresami dělá jen nepořádek.

[Want]

administrátora dělám od rok 2003

Já taky tak, ale podmínky a prostředí ve kterém jsem dělal tehdy a ve kterém dělám teď, jsou úplně jiné. Tenkrát jsem měl venku pouze jeden stroj, na který byl zevnitř přístup jen jedním portem přes HTTP proxy. To je dnes na úrovni jedné laborky.

Přijeď se někdy podívat do Phy. Udělám ti exkurzi a pochopíš.

[Heron]

Já taky tak, ale podmínky a prostředí ve kterém jsem dělal tehdy a ve kterém dělám teď, jsou úplně jiné. Tenkrát jsem měl venku pouze jeden stroj, na který byl zevnitř přístup jen jedním portem přes HTTP proxy. To je dnes na úrovni jedné laborky.

Proto všude preferuju veřejný adresy, dneska IPv6, takže brána není potřeba.

Přijeď se někdy podívat do Phy. Udělám ti exkurzi a pochopíš.

Ok, domluvíme se.

[Aleš Kapica]

Prima. Budu se těšit. Zajímá mě, jak to vypadá jinde. Tady je to dost specifické prostředí. Ostatně, i na tom úřadě to má svá specifika.