$gamma = new cluster_node(3, "vpsFree.cz")

29.10.2009 20:43 | Přečteno: 1449× | vpsFree.cz | poslední úprava: 29.10.2009 20:45

Tak se nám rodinka serverů vpsFree.cz zase rozrostla o jeden kousek A vpsAdmin si tím přišel na novou zajímavou featurku... (dneska se mi to moc nechce "okecávat", takže to vezmu stručně - případně to okecám v diskuzi)

V úterý jsme připojili další server - Gammu, jelikož stávající Alfa a Beta dosáhly svých limitů pro počet členů

Narozdíl od Alfy a Bety je Gamma v Bratislavě (akce Tomáše Srnky, housing Platon.sk - pro mě novinka, nevyznám se ve slovenských IT firmách). Na Slovensku se totiž našlo pár zájemců o VPS ve stylu (a kvalitě ) vpsFree, takže jsme si řekli, proč nedát jeden server tam.

Hardwarově je víceméně shodná s Betou - tzn. Core i7 920, 12GB RAM, 4x500GB HDD.

Jedinou nevýhodou je absence IPv6 v housingu Platon.sk - otázkou je, jestli je potřeba to řešit. Dal by se udělat tunel z Prahy do Bratislavy (CloudVPN - mimochodem to je vynikající VPN program by [exa], pokud bude zájem, můžu o něm něco víc napsat).

Tisková zpráva

K vpsAdminu - ta potvora nabírá na schopnostech . Už umí obsloužit servery v různých lokalitách, migraci VPS mezi různými lokalitami (offline) a mnohem víc. S vydáním 1.0 to vypadá zajímavě, trochu jsme ho odložili, musím dodělat instalátor (jinak už se to asi dá používat i mimo vpsFree).

       

Komentáře

[Vskutečnosti Saýc]

O vic o cloudvpn urcite zajem je :)

Jinak, chtel jsem se zeptat jak je to u vas s trafficem? Pro pripad ze by si nekdo chtel pustit treba freenet node, nebo tak.

[Ondrej 'SanTiago' Zajicek]

Proc CloudVPN? Pokud mate verejne IP adresy a poradne (nijak neblokovane) pripojeni, tak snad nema smysl uvazovat nad cimkoliv jinym nez nad GRE tunely, ne?

(Leda tedy v pripade, kdyz byste chteli opravdu 'private' tedy sifrovane spojeni bez nody, ale neni me jasne, k cemu by to bylo.)

[Ondrej 'SanTiago' Zajicek]

Tedy ten muj komentar byl zamyslen na autora puvodniho clanku, ne na predchozi komentar.

[snajpa]

CloudVPN je velice zajímavá technologie. Umí vyrábět VPN síť nejrůznějších tvarů, funguje jak s mesh, tak hvězdou, tak kruhem, klidně kombinovaně. Takže z tohohle důvodu, protože je to zajímavé a vyvíjí to kamarád, tak nějaký "support" by tam byl, výměnou za v podstatě pravidelné testování jeho výtvoru.

[snajpa]

No, zrovna s freenet nody - je to dost podobné přímému provozování Bittorentu a podobných p2p. Nechci ze sebe dělat svatouška, že bych takové věci osobně nepoužíval, ale na serverech vpsFree.cz bych neviděl rád. Kdyby byly jiné politické podmínky, tak klidně. Ale ne v těchto, kdy bychom tím potenciálně mohli riskovat rozpuštění sdružení, zabavení serverů a podobně.

[Ondrej 'SanTiago' Zajicek]

Mimochodem, mate nejake opatreni proti kernel-based local root exploitum? Pokud se nepletu, tak pouzivate OpenVZ, ktere zadnou takovou ochranu nema, a tech kernel-based local root exploitu za poslednich nekolik let uz bylo docela dost.

Kdyz clovek provozuje webhosting, tak muze aspon nastavit system tak, aby omezil moznost vzdalenym utocnikum ziskat lokalni pristup pomoci lamerskych php skriptu jednotlivych uzivatelu, a tim zabranit utocnikum nasledne aplikovat local root exploity. Ale kdyz nekdo takhle provozuje VPS hosting, tak prakticky nema moznost zabranit tomu, aby uzivatele provozovali snadno nabouratelne sluzby.

[faha]

Co jsem se koukal, tak je snaha dat dohromady openvz + grsecurity, ale asi to bude trochu kumst a prej to neni stable.

http://bugzilla.openvz.org/show_bug.cgi?id=601

Mno a tak se rozhodli, ze kdyz nemuzou pouzit cele grsecurity, tak vemou jen "most requested features".

Cituji
--------
Starting from 2.6.18-028stab047.1 stable kernels OpenVZ kernels support 
TPE grsecurity feature out of the box. Which means root user can 
configure TPE inside VE as usual, i.e. via the following /proc files:

    * /proc/sys/kernel/grsecurity/grsec_lock
    * /proc/sys/kernel/grsecurity/tpe
    * /proc/sys/kernel/grsecurity/tpe_gid
    * /proc/sys/kernel/grsecurity/tpe_restrict_all 

To enable TPE feature in a standard way just type:

# echo GID > /proc/sys/kernel/grsecurity/tpe_gid
# echo 1 > /proc/sys/kernel/grsecurity/tpe
' lock grsecurity settings
# echo 1 > /proc/sys/kernel/grsecurity/grsec_lock

[snajpa]

Upřímně, bránit se tomu úplně nejde nijak. Útěchou budiž, kterýkoliv local root exploit jsem zkoušel, ani jeden neprošel. A teoreticky, pokud by prošel, měl by získat roota jenom ve VPS - je tam nějaká vrstva kódu, která se stará o oddělení oprávnění. Co by OpenVZ kernel určitě neustál, by byl exploit přímo mířený na chybu v openvz patchi, jenže to je tak s každým softwarem.

[Ondrej 'SanTiago' Zajicek]

> A teoreticky, pokud by prošel, měl by získat roota jenom ve VPS - je tam nějaká vrstva kódu, která se stará o oddělení oprávnění

Z toho, co vim o OpenVZ, si to vubec nemyslim. kernel-based local root exploit obvykle vede ke spusteni utocnikova kodu se stejnym opravnenim, s jakym bezi jaderny kod. A ten u OpenVZ (AFAIK) bezi stejne jako v normalnim jadre s plnym opravnenim.

[snajpa]

Jasně, jenže to dost záleží na druhu exploitu a na co přesně útočí. Zatím žádný dostupný neprošel.

[Shadow]

Shadow->System->Out->Gratulace(VELKA, "vpsFree.cz", "new cluster node");
Shadow->System->Out->Message("vpsFree.cz", "jen tak dál");