path: root/LINUX/__FLENOV.md

#==========================================
**/ - основной раздел
/bin - основные исполняемые файлы системы
/boot - файлы необходимые для загрузки системы
/dev - представления для подключенных устройств
/etc - конфигурационные системные файлы
/home - пользовательские папки и файлы (лучше выносить на другой физический диск!)
/lib - библиотеки ядра ОС
/opt - дополнительные програмные пакеты
/proc - раздел для монтирования виртуальной файловой системы
/sbin - исполняемые файлы ROOTa
/tmp - временные файлы
/usr - системные файлы
/var - журналы, буферные или заблокированные файлы (лучше выносить на другой физический диск!)
Swap - раздел подкачки

Если /home и /var вынесены на отдельные диски, то для корневого каталога хватит 3Gb, но можно и больше. 

#==================================

`sudo apt update

Собрать зависимости:
`sudo apt build-dep имя_программы 

Если вы не хотите реально устанавливать пакеты, а только посмотреть, что будет
устанавливаться, го можно использовать ключ -s (simulate, симулировать установку):
`sudo apt-get -s install me

Для проверки зависимостей нужно выполнить команду:
`sudo apt-get check

Если нужно исправить зависимости:
`sudo apt-get -f install

Если нужно исправить зависимости:
`sudo apt-get -f install

Для удаления программы или пакета используем:
`sudo apt remove имя_программы

Если какая-то программа была удалена, но остались зависимости, то можно авто­
матически удалить все лишнее:
`sudo apt-get autoremove

Для установки обновлений уже установленных программ выполняем следующую
команду:
`sudo apt-get upgrade

Чтобы обновить саму ОС, выполняем команду:
`sudo apt-get dist-upgrade

Следующую тройку команд желательно выполнять регулярно для установки об­
новлений:
`sudo apt-get update
`sudo apt-get upgrade
`sudo apt-get dist-upgrade

Все эти команды позволят вам содержать вашу копию релиза Ubuntu и установлен­
ных программ в обновленном состоянии, но на новый релиз автоматически вы так
не перейдете. 
Если вышел новый релиз, а не просто обновление существующего, то
на него можно перейти командой:
`sudo do-release-upgrade

Чтобы узнать, какие вообще в системе уже установлены пакеты, можно выполнить
следующую команду
`sudo apt list —installed

*which* - определить где находится программа:
`which ls` 

#==========================================
### GRUB2

В Linux сейчас самым популярным загрузчиком является GRUB2. Конфигурация
этой программы чаще всего содержится в файле 
`/boot/grub/grub.cfg`
но можно встре­тить дистрибутивы, где этот путь выглядит так:
`/boot/grub2/grub.cfg.
В файле загруз­чика записаны настройки, определяющие, нужно ли показывать меню выбора вари­анта загрузки, и каким должно быть это меню, а также указываются сами варианты
загрузки и предписывается, какую версию ядра следует загрузить (мы уже говори­
ли, что в Linux может быть более одного ядра).
После этого может формироваться `initrd` — виртуальный диск в оперативной памя­
ти (ramdisk) для временной файловой системы, используемой ядром Linux при на­
чальной загрузке. Дело в том, что если ядро скомпилировано в минимальном вари­
анте и все его возможности подключаются в дальнейшем с помощью модулей, то
в этот момент у ядра не будет возможности работать со специфичными жесткими
дисками, и оно не сможет загружать дальнейшие данные. Поэтому сначала грузит­
ся диск /boot/initrd.xxxx, который загружает критически важные модули, и, если я не
ошибаюсь, именно он и загружает красивую картинку, которую показывает ОС во
время старта системы.
Теперь у ядра есть все необходимое для загрузки самой системы. Появляется кра­
сивая картинка, которая прячет выводимый в консоль лог дальнейшей загрузки,
и управление передается программе /sbin/init.
Программа init загружает файл /etc/inittab — конфигурационный файл, в котором
прописан процесс инициализации ОС Linux, и выполняет все предусмотренные
в нем операции.

#==========================================
### Работа с модулями ядра

Система должна загружаться только с теми модулями, которые применяются. Все
остальные следует подгружать по мере необходимости и отключать, когда они не
используются.
модули ядра — это немного другое. Они выполняются на более низком уровне, который в основ­ном позволяет работать с устройствами, управлять памятью и т. п. При модульной
компиляции вы можете включать и выключать функции уровня ядра с помощью
следующих команд:
`lsmod`  — эта команда выведет список загруженных модулей. 
`modinfo` — очень трудно разобраться, какие модули нужны в системе, а какие
нет. А ведь необходимо загружать только то, что действительно используется,
иначе увеличивается время старта системы, понапрасну расходуются ресурсы
компьютера и т. д. Так как же в этом разобраться? Необходимо знать каждый
модуль «в лицо» и понимать, для чего он нужен.
Получить информацию о модуле и помогает команда modinfo. В качестве пара­
метра нужно передать ей имя интересующего модуля, и на экран будет выведена
информация о нем. Например, следующая команда запрашивает у системы ин­
формацию о модуле ext3:
`modinfo ext3

В ответ на это мы увидим примерно следующее:
filename:
/lib/modules/2.4.18-5asp/kernel/fs/ext3/ext3.о
description: "Second Extended Filesystem with journaling extensions"
author:
"Remy Card, Stephen Tweedie, Andrew Morton, Andreas Dilger,
Theodore Ts’o and others"
license:
"GPL"
parm:
do_sync_supers int, description "Write superblocks
synchronously"

Таким образом, нам становятся известными имя и расположение файла, его опи­
сание, автор, лицензия и т. д. Количество отображаемой информации сильно
зависит от модуля, и, если честно, в некоторых случаях она настолько скудна,
что предназначение модуля остается непонятным;
`modprobe` — эта команда в основном используется системой для загрузки уста­
новленных модулей, но можно это делать и самостоятельно. В качестве един­
ственного параметра нужно передать команде имя модуля, который надо за­
грузить.
Например, следующая команда загружает модуль `iptabie_nat`
`modprobe iptable_nat
`rmmod` — эта команда выгружает модуль, имя которого указано в качестве пара­
метра. Если вы воспользовались модулем для выполнения определенных дейст­
вий, то не забудьте по окончании работы его выгрузить.

#==========================================
### Переменная $РАТН

`echo $РАТН
В результате вы должны увидеть список папок, разделенных двоеточиями:
`/usr/local/bin:/bin:/usr/bin
Соответственно, когда мы отдаем в командной строке команду is, то система нахо­
дит ее исполняемый файл в каталоге `/bin` и запускает его.
При запуске программ из командной строки Linux нужно обязательно указывать **./**
перед именем программы или скрипта. Например, допустим, что в текущем катало­
ге есть исполняемый файл publish — тогда для его запуска нужно в консоли выпол­
нить следующую команду:
./publish
В Windows и в Linux точка указывает на текущий каталог, а, значит, приведенная
команда просит запустить publish именно из текущего каталога. Впрочем, в Windows при запуске программ из текущего каталога можно ничего не указывать, по­
тому что эта ОС сначала ищет файлы в текущей папке, а потом уже в системных.
Но из-за этого у Windows были проблемы с безопасностью.
ОС Linux ведет себя немного иначе, и из текущего каталога по умолчанию ничего
не запускает, а ищет в папках, указанных в переменной $PATH
Linux можно заставить «смотреть» и в текущую папку — просто для этого точку
нужно добавить в переменную $PATH:
`PATH = $РАТН:.
Не уверен, что в реальности делать что-то подобное — хорошая идея. Но я привел
этот пример, для того чтобы показать, как добавлять папку к переменной $PATH.
Если у вас есть программа `/usr/local/myprogram/publish` и вы не хотите при каждом
запуске писать этот полный путь, то можно добавить путь /usr/local/myprogram/
в переменную $PATH:
`РАТН=$РАТН:/usr/local/myprogram/
Смысл этой команды в том, что мы присваиваем переменной новое значение, кото­
рое состоит из уже существующего, плюс двоеточие и новая папка. Если просто
написать:
PATH=/usr/local/myprogram/
то текущее значение $PATH будет потеряно, и теперь $PATH станет равна лишь
/usr/local/myprogram/.

#==========================================
### Права на файлы и папки

Права можно задавать и последовательностью нулей и единиц. Если в определен­
ном месте стоит 1 (указан один из символов г, w или х), то операция разрешена, а
если 0 (указан дефис) — действие запрещено. Давайте попробуем записать права
rwxr-xr— в виде нулей и единиц. Запишите вместо букв единицы, а вместо дефи­
сов — нули. Должно получиться 111101100. Разобьем эту комбинацию на три час­
ти: 111, 101 и 100. Теперь каждую тройку переведем в восьмеричную систему по
следующей формуле:

Цифра1 ★ 4 + Цифра2 ★ 2 + ЦифраЗ

У нас получатся три цифры: 7, 5 и 4, которые можно рассматривать как десятичное
число 754. Запомните его, оно нам пригодится при назначении прав на файлы и ка­
талоги. Чтобы вам в дальнейшем было проще регламентировать доступ, предлагаю
все возможные варианты значений для отдельного разряда числа:
□ О — запрещено все;
□ 1 — разрешено выполнение;
П 2 — разрешена запись;
□ 3 — разрешены запись и выполнение;
□ 4 — разрешено чтение;
□ 5 — разрешены чтение и выполнение;
□ 6 — разрешены чтение и запись;
□ 7 — разрешено все.

#### chmod
chmod параметры права файл
Компонент параметры может включать комбинацию следующих значений:
□ и — изменить права владельца;
□ g — изменить права группы;
□ о — изменить права остальных пользователей;
□ а — изменить все права (то же самое, что передать значение: ugo).

**Внимание!
Если вы решили использовать символьные ссылки, то всегда помните особенность
формирования прав доступа на файлы. Можете даже выбить на мониторе надпись:
«Ссылки на файлы создаются с полными правами!!!»

#==========================================
### Редактирование пользователя

Для редактирования параметров учетной записи можно напрямую корректировать
файл /etc/passwd, но я советую использовать команду `usermod`. У нее такие же клю­
чи, что и у `useradd`, но она не создает пользователя, а изменяет параметры уже су­
ществующего.
С помощью `usermod` вы можете добавлять уже имеющегося пользователя в ранее
созданную группу. Давайте проделаем такую процедуру с учетной записью robert и
определим ее в группу root. Это позволит пользователю robert выполнять некото­
рые административные функции:

`usermod -G root robert

Здесь мы выполняем команду с ключом -G. Этот ключ позволяет указать, членом
каких групп должен быть пользователь. Можно указать несколько групп, разделен­
ных запятыми. В нашем случае мы добавляем пользователя только в одну группу
root. Для получения более подробной информации о команде `usermod` выполните
команду:

`man usermod

### Удаление пользователя

Для удаления пользователя служит команда `userdel`. В качестве параметра ей пере­
дается только имя учетной записи, которую надо удалить, и можно распрощаться
с ней навсегда. Например:

`userdel Denver

Если пользователь в этот момент находится в системе, будет выдано сообщение об
ошибке.
Необходимо учитывать, что удаление пользователя не уничтожает его домашний
каталог — вы должны сделать это вручную. Если же указать в команде ключ -г, то
вместе с пользователем будут удалены и его файлы в домашнем каталоге:

`userdei -г Denver

**Совет
Никогда не указывайте этот ключ. Выполняйте операцию только вручную, просмотрев
содержимое каталога и убедившись, что там нет нужных файлов.

#==========================================
### Порты / протоколы

HTTP   80
HTTPS   443
SMTP   25
SMTPS   465
LDAP   329
LDAPS   636
TELNET   23
TELNETS   992
SHELL   514
SSH   22
FTP   21
FTPS   990
FTP-DATA   20
FTPS-DATA   989
IMAP   143
IMAPS   993
POP3   110
POP3S   995
IRC   194
IRCS   994

#==========================================
### Шифрование файлов

В качестве примера зашифруем список паролей `/etc/passwd` в файл `/home/passwd` по
алгоритму DES. Для этого выполним команду:

`/usr/bin/openssl des -in /etc/passwd -out /home/passwd

В ответ на эту директиву программа попросит вас указать пароль и затем повторить
его ввод, чтобы исключить возможные ошибки.
Выполните команду: `cat /home/passwd` и убедитесь в том, что содержимое этого
файла нечитаемо.

Для расшифровки файла выполните команду:

`/usr/bin/openssl des -d -in /home/passwd -out /etc/passwd

Таким нехитрым способом мы можем безопасно хранить копию файла с паролями.

#==========================================
### Основные параметры конфигурации сервера SSH

```sh
#Port 22
#Protocol 2,1
#ListenAddress 0.0.0.0
#ListenAddress : :
# HostKey for protocol version 1
# Ключ для первой версии протокола
#HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
# Ключи для второй версии протокола
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key
# Lifetime and size of ephemeral version 1 server key
# Время жизни и размер регенерируемого серверного ключа версии 1
#KeyRegenerationInterval 3600
#ServerKeyBits 768
# Logging
# Ведение логов
#obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO
```
Рассмотрим основные параметры, которые вам могут пригодиться:
□ Port — порт, на котором ожидаются подключения. По умолчанию — 22. Неко­
торые администраторы любят изменять значение по умолчанию, перенося сер­
вер на другой порт. В какой-то степени это оправданно. Например, если у вас
нет веб-сервера, то можно поместить SSH на порт 80. Хакеры будут думать, что
это веб-сервер, и не станут его ломать;
□ Protocol — поддерживаемые протоколы. Обратите внимание, что первым идет
число 2, а затем 1. Это значит, что сервер будет сначала пытаться подключиться
по второй версии протокола, и только затем по первой. Я рекомендую убрать
знак комментария с этой строки и удалить число 1, чтобы использовалась только
последняя версия. Уже давно пора обновить клиентское программное обеспече­
ние и перейти на более безопасные технологии. Зацикливание на старых про­
граммах приносит только убытки;
□ ListenAddress — адрес для прослушивания подключения. У вашего сервера мо­
жет быть несколько сетевых карт. По умолчанию идет прослушивание всех ин­
терфейсов. Вы должны указать только те, с которых будете подключаться по
SSH. Например, очень часто одна сетевая карта смотрит во внутреннюю сеть, а
другая — в Интернет. Если вы будете подключаться по SSH-протоколу лишь из
внутренней сети, то следует прослушивать только этот адрес (задается в формате
адрес:порт). Разрешается включать несколько таких записей, чтобы указать тре­
буемые интерфейсы;
□ HostKey — путь к файлам, содержащим ключи шифрования. Нужно прописывать
только закрытые ключи, которые использует сервер для расшифровки пакетов;
□ KeyRegenerationintervai — интервал времени, через который сервер обновляет
ключи. В версии 1 во время сессии ключи могут регенерироваться. Это позволяет сделать невозможным раскрытие пакетов за счет смены ключей, которые по
умолчанию меняются каждые 3600 секунд. Если установить 0, то регенерации
не будет. Так как мы отказались от первой версии протокола (см. параметр
Protocol), то этот атрибут не влияет на работу;
□ serverKeyBits — длина серверного ключа. По умолчанию установлено 7 68, мини­
мальное значение — 512;
□ SysiogFaciiity — тип сообщений, которые будут сохраняться в журнале;
□ LogLevei — уровень событий, которые будут попадать в журнал. Возможные
уровни соответствуют системным, которые мы будем рассматривать в разд. 12.5;
□ LoginGraceTime— интервал времени, в течение которого пользователь должен
ввести правильный пароль, иначе соединение будет разорвано;
□ РеrmitRootLogin— флаг, определяющий, разрешено (yes) или запрещено (по)
входить в систему по протоколу SSH под пользователем root. Мы уже говорили,
что root — это бог в системе, и его возможности нужно использовать аккуратно.
Если в систему нельзя входить с такими правами, то и по SSH тем более. Срочно
меняйте этот параметр на по;
□ strictModes — флаг, регламентирующий необходимость проверки состояния
файлов и их владельцев, пользовательских файлов и домашнего каталога до ввода
пароля. Желательно установить yes, потому что многие начинающие пользовате­
ли делают все свои файлы доступными для записи;
□ RSAAuthentication— разрешена ли аутентификация по алгоритму RSA. Пара­
метр действует для первой версии протокола;
□ PubkeyAuthentication— дозволена ли аутентификация по публичному ключу.
Параметр действует для второй версии протокола;
□ AuthorizedKeysFile — файл с публичным ключом, который может использовать-
ся для аутентификации;
□ RhostsAuthentication — флаг, разрешающий аутентификацию по файлам $НОМЕ/
.rhosts и /etc/hosts.equiv. По умолчанию стоит по, и без особой надобности менять
этот параметр не стоит, потому что это небезопасно;
□ ignoreRhosts — флаг, запрещающий читать файлы -/.rhosts и -/.shosts. Без необ­
ходимости значение лучше не изменять, потому что это может повлиять на
безопасность;
□ AuthorizedKeysFile— файл для хранения списка авторизованных ключей. Если
пользователь входит в систему с имеющимся в этом файле ключом, то его пус­
тят автоматически без ввода дополнительных паролей;
□ RhostsRSAAuthentication— флаг, регламентирующий использование при аутен­
тификации ключа хоста из каталога /etc/ssh/ssh_known_hosts. Параметр применя­
ется в первой версии SSH;
□ ignoreUserKnownHosts — параметр, указывающий на необходимость игнориро­
вания пользовательских списков доверенных компьютеров. Если он равен по, то необходимо доверять компьютерам из списка ~/.ssh/known_hosts при аутентифика­
ции RhostsRSAAuthentication. Не верьте никому, поэтому параметр лучше всего
изменить на yes;
□ PasswordAuthentication — требование пароля. Если значение равно yes, то будет
требоваться пароль. При использовании авторизации через ключи параметр
можно отключить;
□ РеrmitEmptyPasswords — разрешение пустых паролей. По умолчанию установле­
но по, что запрещает использование пустых паролей, и изменять это значение не
стоит;
□ KerberosAuthentication— использование проверки подлинности по протоколу
Kerberos. В последнее время именно эта аутентификация набирает большую по­
пулярность благодаря своей безопасности;
□ KerberosOrLocaiPasswd— если пароль Kerberos не был принят, то включается
проверка локального файла паролей из файла /etc/shadow;
□ KerberosTicketcieanup— удаление билета Kerberos из кэша при выходе из сис­
темы;
□ Banner— позволяет указать файл, в котором находится текст приветствия, ото­
бражаемого пользователям.

#### Параметры доступа к серверу sshd
Кроме директив, можно использовать следующие:
□ AllowGroups — позволить вход в систему только пользователям указанных групп
(указываются через пробел в одной строке);
□ Allowusers — разрешить вход в систему пользователям, имена которых указаны
через пробел;
□ DenyGroups— запретить вход в систему пользователям указанных через пробел
групп;
□ DenyUsers — запретить вход в систему пользователям, имена которых указаны
через пробел. Этот параметр бывает удобен, когда дано разрешение на вход
группе, но нужно отказать в подключении к SSH-серверу одному из ее пользо­
вателей.
Я рекомендую вам явно прописать группы или имена пользователей, которые мо­
гут входить в систему по SSH.

#### Конфигурирование клиента SSН

Настройки SSH-клиента содержат еще меньше параметров. В файле `/etc/ssh/ssh_config` находятся глобальные настройки для всех пользователей в системе. Но вы
можете для любого из них переопределить произвольный параметр в файле
`ssh_config` из каталога пользователя.

#### Вход по ключу

```sh
ssh-keygen
# -t - тип ключа (rsa, dsa, rsa1)
# -f - файл в котором будет сохранен закрытый ключ
# -b - длина ключа (не менее 512. по умолч = 1024)

ssh-keygen -t rsa -f ~/.ssh/mykey

cd /home/vlapa
mkdir .ssh
```
Получив ключи, вы должны отправить файл `~/.ssh/mykey.pub` на удаленный ком­
пьютер, чтобы SSH-сервер мог использовать его для аутентификации.

Администратор сервера должен добавить содержимое публичного ключа в файл
`ssh/authorized_keys`. Для этого можно выполнить на сервере следующую команду:
`cat myrsakey.pub » .ssh/authorized_keys`
Теперь можно подключаться к серверу, используя публичный ключ для подтвер­
ждения личности. Но перед этим убедитесь, что в конфигурационном файле серве­
ра включены следующие директивы:

RSAAuthentication yes
PubkeyAuthentication yes

Для подключения к серверу выполните команду:

`ssh -i ~/.ssh/myrsakey`

С помощью параметра -i мы указываем файл публичного ключа. Если этого не
сделать, то будет использоваться id_rsa— файл по умолчанию, его имя задает
директива identityFile в конфигурационном файле SSH-клиента.
Теперь сервер будет запрашивать у вас не пароль, а слово (фразу), которое вы ука­
зали при генерации публичного ключа:
`Enter passphrase for key`
Если в конфигурационном файле SSH-сервера изменить параметр PasswordAuthen-
tication на по, то пароль проверяться не будет, а связь станет устанавливаться
только на основании ключей. Для обеспечения безопасной связи этого достаточно.

#==========================================
### Анализ безопасности дистрибутива

```sh
sudo apt-get install lynis
sudo lynis audit system
# -c - выполнить все проверки (check all)
```

#==========================================
### SAMBA

Основным конфигурационным файлом для Samba является `smb.conf`, который мож­
но найти в каталоге `/etc/samba/` (в некоторых дистрибутивах это может быть каталог
`/etc`). Кроме него, в этом каталоге находится файл `Imhosts`, с помощью которого про­
исходит сопоставление IP-адресов и имен компьютеров, — аналогично файлам
`/etc/hosts` в Linux и `[Диск:]\Windows\System32\dnvers\etc\lmhosts.sam` в Windows.
Дополнительно в этом же каталоге можно создать следующие файлы (некоторые из
них могут существовать):

□ smbusers — список пользователей, которым разрешено подключаться к серверу
Samba;

□ smbpasswd — пароли пользователей из файла smbusers.

Как видите, у Samba — свои конфигурационные файлы для хранения списка
пользователей. Если вы создаете их вручную, то убедитесь, что права на чтение и
запись установлены правильно. Файл должен быть доступен только администра­
тору, т. е. владельцем может быть лишь root и никто иной.
Конфигурационный файл `smb.conf` содержит не так много директив
#### Основные настройки
Конфигурационный файл разбит на секции. Самой первой идет секция 
[global],
в которой описываются глобальные настройки сервера. В ней можно увидеть сле­
дующие директивы:
□ workgroup = имя — имя группы, в которую входит сервер. Когда в Windows вы
входите в сетевое окружение, то можете увидеть все доступные ресурсы, разби­
тые на категории. В каждой группе могут быть свои компьютеры или серверы;
□ netbios name = имя — имя, которое пользователи будут видеть в сетевом окру­
жении для этого сервера, оно не должно совпадать с именем рабочей группы;
□ server string = описание — Свободный ТеКСТ, КОТОрЫЙ МОЖНО будет увидеть В
поле Description (Комментарий) свойств сервера или окне сетевого окружения
в режиме Details (Таблица). В этом поле вы можете поместить комментарий,
описывающий содержимое сервера, — например: Файловый архив Сергея;
□ hosts allow = адреса — указание (через пробел) IP-адресов или сетей, которым
разрешен доступ к Samba-серверу. Например, чтобы открыть доступ всем компьютерам сети 192.168.1.x и одному компьютеру с адресом 192.168.2.2 из другой
сети, надо написать следующую строку:
hosts allow = 192.168.1. 192.168.2.2
□ printcap name = файл — файл описания принтеров, подключенных к системе. По
умолчанию это `/etc/printcap`
□ load printers = yes — установка режима (yes) автоматического включения
принтеров в список открытых ресурсов. Если в этом нет надобности, то укажи­
те по;
□ printing = система— тип системы печати. Здесь можно использовать одно из
Следующих Значений: bsd, sysv, pip, lprng, aix, hpux ИЛИ qnx.
#### Безопасность
□ guest account = имя — определяет учетную запись, с правами которой пользо­
ватель сможет входить в систему. Если ваш сервер не содержит секретной ин­
формации и используется для открытого обмена файлами, то можно завести гос­
тевую учетную запись, иначе такой вход небезопасен;
□ log file = файл — задает название файла-журнала. Например, можно написать:
/var/iog/samba/%m. log. Обратите внимание, что в имени присутствует символ
процента, за которым следует буква т. Эта комбинация во время работы будет
заменена именем пользователя, активность которого сохраняется. Так, напри­
мер, для пользователя robert будет создан журнал /var/log/samba/robert.log;
□ max log size = n— определяет максимальный размер журнала в килобайтах.
Укажите значение о, если ограничения не должно быть;
□ sysiog only — предписывает использовать для журналирования только syslog;
□ security = уровень — определяет степень доступа. Параметр уровень может
принимать одно из следующих значений:
• user — доступ на уровне пользователя;
• share — аутентификация на основе имени и пароля;
• server— проверка пароля производится сторонним smb-сервером. Имя сер­
вера, на котором хранятся пароли, задается с помощью директивы:
password server = ИмяСервера
что позволяет держать пароли на другом smb-сервере, который и будет осу­
ществлять проверку пароля;
• domain — включает сервер в домен Windows NT, а пароль для доступа указы­
вается в файле, определенном с помощью директивы:
smb passwd file = ИмяФайла
□ encrypt passwords = yes — позволяет шифровать пароли, передаваемые по сети.
Если вы работаете в режиме с шифрованными паролями, то при авторизации
будет использоваться файл /etc/samba/smbpasswd (это можно изменить с помощью
директивы: smb passwd file). Такой файл необходим из-за различий в шифрова­
нии Windows и Linux;
***Совет
Не применяйте открытые пароли без особой надобности. Не забывайте о существова­
нии программ-снифферов, которые анализируют сетевой трафик и позволяют найти
пароли, передаваемые по сети. Если они не зашифрованы, то злоумышленник сможет
проникнуть в вашу систему.***
□ smb passwd file = файл— указывает на расположение файла с паролями. По
умолчанию он находится в том же каталоге, где расположены конфигурацион­
ные файлы Samba;
□ ssi с а certFile = файл— задает файл сертификата, необходимый для работы
протокола SSL, гарантирующего безопасность передачи данных;
□ unix password sync = yes — разрешает пользователям Windows менять пароль
Samba, одновременно обновляя системные пароли в Linux. Если в этом нет необходимости, установите значение параметра по. Для работы этой директивы
нужно указать программы, которые будут изменять пароли (параметр: passwd
program) и сообщения, появляющиеся перед пользователем (параметр: passwd
chat). 
Приведу пример использования:
```sh
unix password sync = Yes
passwd program = /usr/bin/passwd %u
passwd chat = *New*password* %n\n *Retype*new*password* %n\n
*passwd:*al^authentication*tokens*updated*successfully*
```
Помимо ЭТОГО, необходимо использовать директивы: encrypt passwords И smb
passwd file;
□ username map = файл — указание на файл, где хранится список пользователей
сервера Samba для клиентов Windows 9х (о нем подробнее мы поговорим в
разд. 6.3)\
□ usershare max shares — максимальное количество пользовательских каталогов,
которые могут быть открыты для общего доступа;
□ usershare allow guests = yes — еСЛИ ЭТОТ параметр ВКЛЮЧен, ТО ГОСТИ системы
смогут получить доступ к открытым ресурсам. По умолчанию этот параметр от­
ключен, чтобы доступ к открытым ресурсам получали только авторизованные
пользователи.
#### Сеть
В этом разделе мы изучим директивы настройки сетевого протокола:
□ include = файл— позволяет подключить дополнительный конфигурационный
файл, например, с другого компьютера или содержащий настройки для конкрет­
ного подключающегося компьютера. В последнем случае имя файла обычно
задается в формате: путь.%т. Здесь путь— это начало полного имени файла, а
%т — NetBIOS-имя компьютера. Например: /etc/samba/smb.conf.robert;
□ socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192— Задает Парамет­
ры протокола и размер входного и выходного буферов. Здесь:
• t c p_n o d e l a y — позволяет быстрее (без задержек) передавать данные;
• s o_r c v bu f — размер принимающего буфера;
• s o_s n d b u f — размер передающего буфера;
□ interfaces = интерфейсы— если у вас установлены две сетевые карты, которые
направлены на разные сети, то с помощью этой директивы можно позволить
работать с Samba пользователям из какой-то конкретной или из обеих сетей;
□ bind interfaces only— позволяет привязаться только к именованным интер­
фейсам или сетям, указанным в параметре interfaces. Если ваша сеть не защи­
щена сетевым экраном, то настоятельно рекомендуется использовать этот параметр, чтобы доступ к серверу Samba имели только компьютеры из вашей сети, а
не любой удаленный пользователь из Интернета.
#### Замена сервера Windows
Если посмотреть на параметры, описанные в этом разделе, можно увидеть, что
Samba способна полностью заменить Windows-сервер, и рабочие станции на базе
Windows не заметят неудобств:
□ local master = yes — позволяет сделать Samba-сервер основным браузером сети;
□ domain master = yes — дает возможность сделать Samba-сервер главным брау­
зером домена. Не устанавливайте значение yes, если в вашей сети уже есть кон­
троллер домена Windows NT;
□ logon script = файл— если директива domain logons включена, то в этом па­
раметре можно указать файл bat-сценария, который будет выполняться на ком­
пьютере клиента при входе в систему. Сценарий может, например, задаваться
в виде %m.bat (заменяется именем компьютера) или %u.bat (подменяется на имя
пользователя);
□ logon path = путь — определяет место хранения пользовательских профилей.
При использовании этой директивы необходимо убрать комментарии с секции
[Profiles], которую можно найти в файле конфигурации по умолчанию.
#### Поддержка WINS и DNS
WINS (Windows Internet Naming Service, служба имен Интернета для Windows) — это
сервис для сопоставления имен компьютеров и IP-адресов. База данных WINS чем-то
напоминает DNS (Domain Name Service), только в ней хранятся NetBIOS-имена ком­
пьютеров, a DNS обслуживает доменные имена.
Для настройки работы через WINS служат следующие директивы:
□ wins support ~ yes — разрешить использование WINS-сервера;
□ wins server = w.x.y.z — IP-адрес WINS-сервера;
□ d n s Proxy = yes— если эта опция разрешена, то нераспознанные NetBIOS-
имена можно попытаться определить через DNS-сервер;
□ name resolve order — последовательность, в которой будет производиться по­
иск адреса хоста по его имени. В конфигурационном файле можно найти сле­
дующий пример:
name resolve order = lmhosts host wins beast
Если использовать это значение, то при поиске адреса система сначала будет ис­
кать имя хоста в файле lmhosts, затем в hosts, потом будет задействован файл wins
и последним — beast (broadcast, или широковещательный запрос).
#### Отображение файлов
В Linux и Windows применяются разные правила именования файлов. Например,
в Linux названия чувствительны к регистру, а в Windows — нет. Это значит, что
файлы DATA.TXT и data.txt в Windows будут восприняты как один и тот же файл,
чего не скажешь о Linux.
Для решения этой проблемы есть несколько команд:
□ case sensitive = no — не принимать во внимание различие в регистре;
□ default case = lower — отображать все файлы в нижнем регистре;
□ preserve case = по И short preserve case = no — запретить сохранение имен
файлов с учетом регистра.
Если у вас в сети работают пользователи Windows-систем, то рекомендуется оста­
вить указанные значения. Для однородной Linux-сети можно разрешить сохранять
регистр.
#### Описание объектов
После определения основных параметров Samba-сервера можно описывать объек­
ты, к которым может получать доступ пользователь. Это делается в отдельных сек­
циях, которые идут после секции [Global], рассмотренной в разд. 6.1.
#### Пора домой
Конечно же, любой пользователь захочет работать со своим каталогом. Для этого
он должен иметь учетную запись в Linux, с которой и будет связан его каталог. Об­
ращение к такому каталогу будет выглядеть так: \\сервер\имя, где сервер — это имя
сервера или его IP-адрес, а имя — это имя пользователя, домашний каталог которо­
го необходимо увидеть.
Чтобы разрешить пользователям работать с собственными каталогами, нужно опи­
сать раздел [homes]. Рассмотрим пример такой секции:
[homes]
comment = Home Directories
browseable = no
writable = yes
valid users = %S ; %S - строка с перечислением пользователей
create mode = 0750
directory mode = 0775
В этой секции могут присутствовать следующие директивы:
□ comment — текстовый комментарий, который не влияет на работу;
□ browseable = по— режим отображения ресурса в списке просмотра. Если ука­
зать yes, то в сетевом окружении будут видны папки пользователей;
□ writable = yes — предикат записи в домашний каталог. При значении по созда­
ние и изменение файлов станет невозможным;
□ create mode = 0750 — права доступа для создаваемых файлов. В этом случае
владелец файла имеет полные права, пользователи группы могут читать и выпол­
нять его, а остальные — бесправные. Иногда следует понизить значение параметра
до 740, чтобы пользователи группы могли только читать;
□ directory mode = 0775 — права доступа для создаваемых каталогов. В этом слу­
чае у пользователей группы тоже слишком высокие права, и я бы понизил их
до 755, чтобы запретить им создавать файлы в новом каталоге. Остальные мо­
гут только просматривать каталог, но и это может оказаться лишним, и для боль­
шей безопасности лучшим решением будет значение 750;
□ valid users = пользователи — список пользователей, которым разрешен доступ
к домашним каталогам. Значения разделяются пробелом. По умолчанию доступ
имеют все, но в реальных условиях это необходимо только некоторым. Поэтому я
рекомендую в явном виде прописать имена тех пользователей, которые нуждаются
в работе со своим домашним каталогом.
#### Доменный вход
Если вы настроили сервер Linux так, чтобы пользователи Windows могли входить
в систему через smb, используя его как сервер домена, то необходимо убрать ком­
ментарии С секции [netlogon]:
; [netlogon]
; comment = Network Logon Service
; path = /usr/local/samba/lib/netlogon
; guest ok - yes
; writable = no
В этой секции также присутствуют комментарий и директива writable. Пользова­
тели не должны иметь право записи в этот каталог, потому что здесь хранятся сце­
нарии, которые выполняются при входе в систему. Файлы из этого каталога должен
изменять только администратор.
Помимо этого, есть еще две команды:
□ path = путь — полный путь к каталогу netlogon;
□ guest ok = yes — разрешение гостевого входа.
Также нужно убрать комментарии в секции [Profiles], которая выглядит следую­
щим образом:
; [Profiles]
; path = /usr/local/samba/profiles
; browseable = no
; guest ok = yes
В этом каталоге хранятся профили пользователей, и он не должен быть виден в
сетевом окружении Windows, поэтому директива browseable = по запрещает отображение.
#### Распечатка
Чтобы пользователям стали доступны принтеры, подключенные к Linux-c^
нужно настроить следующую секцию:
[printers]
comment = All Printers
path = /var/spool/samba
browseable = no
guest ok = no
writable = no
printable = yes
Обратите внимание, что по умолчанию секция открыта, и зарегистрированные
пользователи уже имеют доступ к принтерам. Если вы хотите, чтобы
смогли использовать принтер, то добавьте строку public = yes. Однако я не ремендую это делать, потому что такая добавка предоставит пользователям возможность для подшучивания. Например, в моей сети был случай, когда
ник рассылал на все принтеры с общим доступом разные картинки. Вроде '
но, а работу тормозит, и бесполезно расходуются картриджи.
#### Общий доступ
Чаще всего на сервере необходим каталог, через который любой пользователь с
жет обмениваться файлами с другими участниками сети. Для настройки такого
талога служит секция [tmpj:
; [tmp]
; comment = Temporary file space
; path = /tmp
; read only = no
; public = yes
По умолчанию секция закрыта, и для разрешения доступа к ней необходимо убрать
комментарии. Обратите внимание на путь к открытому каталогу. Это /tmp — ката­
лог для хранения временных файлов пользователей. С помощью директив read
only (значение по) и public (значение yes) мы указываем серверу Samba, что ката­
лог открыт, и в него могут записывать и из него читать файлы все пользователи.
Несмотря на удобства, которые предоставляет этот каталог, я рекомендую исполь­
зовать его только в закрытых сетях. Если у вас есть выход в Интернет, то с помо­
щью сетевого экрана необходимо ограничить доступ к Samba. Так как в каталог
разрешено записывать любым пользователям, злоумышленник может записать
в него свои файлы, которые помогут ему получить на сервере права администратора.
#### Личные каталоги
Все рассмотренные ранее разделы (секции) конфигурационного файла имеют усто­
явшиеся имена и предназначены для решения определенных задач. Но в некоторых
случаях вы можете изменить имя раздела, и на работе сервера это не скажется.
Однако я не рекомендую это делать, потому что в одной версии Samba все будет
работать хорошо, а при обновлении программ сервера ситуация может измениться,
и потом трудно будет найти ошибку, из-за которой Samba станет работать неверно.
Тем не менее вы можете создавать собственные разделы, в которых будете описы­
вать некоторые права. Например, вам понадобится организовать общий каталог,
в котором файлы будут доступны всем пользователям, но записывать туда смогут
только пользователи определенной группы. Допустим, что в этом каталоге должны
храниться какие-то картинки. Для решения такой задачи можно создать раздел
[shareimages] следующим образом:
[share images]
comment = Share Images
path = /home/samba/images
public = yes
writable = yes
write list = @staff
printable = no
Для этого раздела задаются следующие директивы:
□ path = /home/samba/images — каталог, который МЫ ХОТИМ Открыть;
□ public = yes — признак доступности;
□ writable = yes — запись в каталог разрешена;
□ write list = Gstaff — определяет группу staff, которая может записывать
файлы. Для всех остальных каталог открыт только для чтения.
В таких объявлениях каталогов можно использовать любые директивы, которые мы
рассматривали в этой главе.
#### Управление пользователями
Для начала разберемся с именами пользователей. По умолчанию для доступа к сер­
веру Samba применяются имена из системного файла /etc/passwd. Но вы можете за­
вести отдельные записи Samba-сервера, которые будут соответствовать реальным,
однако их можно будет использовать только для подключения к Samba, а не к сис­
теме.
Имена Samba описываются в файле /etc/samba/smbusers, расположение и название
которого могут быть изменены директивой username map файла smb.conf. Содержи­мое файла /etc/samba/smbusers может быть, например, таким:
```sh
# Unix_name = SMB_namel SMB_name2
root = administrator admin
nobody = guest pcguest smbguest
```
У списка имен несколько предназначений. Во-первых, с его помощью вы можете
отразить имена, привычные для пользователей DOS и Windows, на учетные записи
Linux. Например, в Windows максимальные права принадлежат пользователю
Administrator, а в Linux это root. И во второй строке приведенного примера уста­
навливается соответствие имен administrator и admin пользователю root.
Во-вторых, использование этого файла позволяет аккумулировать несколько имен
на одной учетной записи. Например, у вас есть группа пользователей, которым
должны быть назначены одинаковые права. Для этого заводим в Linux только одну
учетную запись nobody (под ней будут работать пользователи), а в Samba прописы­
ваем ДЛЯ нее неСКОЛЬКИХ пользователей: guest, pcguest И smbguest— под этими
именами они будут входить в систему.
Несмотря на то что мы отразили имена пользователей administrator и admin, и это
разные учетные записи, для них будет использоваться один пароль — назначенный
пользователю root.
Информация о пользователях, которым разрешен доступ, хранится в файле
/etc/samba/smbpasswd. Его расположение и имя могут быть изменены с помощью ди­рективы smb passwd file файла smb.conf. \
Рассмотрим пример содержимого файла:
fienov:0:813D6593C11F1173ED98178CA975D79:[UX   ]:LCT-41FA818F
robert:500:813D6593C11F1173ED98178CA975D79:[UX ]:LCT-41FA818F
Сразу видно, что файл чем-то похож на /etc/passwd. Он также разделен двоеточиями
на несколько колонок. Наиболее интересны из них первые три: имя пользователя,
его UID в системе Linux и пароль.
Но добавлять пользователей вручную не очень удобно, потому что требуется за­
шифровать и прописать пароль, что не так уж и просто. Чтобы облегчить задачу,
в пакет Samba включена утилита smbpasswd, которая принимает следующие пара­
метры:
□ -а — добавить пользователя в систему. Учетная запись должна уже существо­
вать в файле /etc/passwd. Например, давайте пропишем Роберта, с которым мы
уже не раз работали:
smbpasswd -a robert
В ответ на это программа попросит вас дважды ввести пароль. Указанная вами
комбинация никак не влияет на системный пароль и используется только для
доступа к Samba. Таким образом, пароли могут отличаться друг от друга. Я даже
рекомендую сделать их различными. ОС Windows умеет запоминать пароли и
хранить в своей системе, и версии Windows 9х делают это небезопасным спосо­
бом. Если злоумышленник сможет украсть пароль на Samba, то он проникнет и
в систему;
□ -х — удалить пользователя. Чтобы исключить Роберта из системы, выполните
команду: smbpasswd -х robert;
□ -d — деактивировать пользователя. Если необходимо временно отключить дос­
туп для пользователя, не удаляя его из системы, выполните команду smbpasswd
-d robert. Давайте посмотрим на строку, соответствующую Роберту, после вы­
полнения этой команды:
robert:500:813D6593C11F1173ED98178CA975D79:[DUX ]:LCT-41FA818F
Обратите внимание, что в четвертой колонке в квадратных скобках появилась
буква D. Она как раз и указывает на то, что запись деактивирована. Так вы легко
можете определить, какие записи активны, а какие нет;
□ -е — активирЪвать пользователя. С помощью этой команды можно подключить
деактивированного ранее пользователя: smbpasswd -е robert.
Если запустить smbpasswd без параметров, то вы сможете поменять свой пароль,
и это можно будет сделать с текущими правами. Выполнение всех остальных
команд требует прав администратора, поэтому их придется выполнять с использо­
ванием sudo.
Напоминаю, что файл /etc/samba/smbpasswd используется, если пароли передаются
по сети в зашифрованном виде. В этом случае, чтобы предоставить доступ к Samba
всем пользователям системы, необходимо для каждого выполнить команду:
smdpasswd. 
#### Использование Samba
Сервис Samba в основном создавался для пользователей Windows, но и поклонники
Linux тоже оценили все преимущества этой технологии, тем более что ОС Linux
управляет совместным доступом к файлам по сети не хуже Windows, а в чем-то да­
же лучше. Для работы с Samba из ОС Linux служит команда: smbciient.
Чтобы подключиться к серверу, необходимо указать как минимум два ключа: -L
(адрес сервера) и -и (имя пользователя). В ответ на это программа запросит ввести
пароль. Если вы не используете шифрование, то необходимо ввести системный па­
роль, в противном случае воспользуйтесь тем, который вы указали при переносе
пользователя в файл /etc/samba/smbpasswd (при запуске команды smbpasswd).
Итак, выполните следующую команду для тестирования сервера:
smbciient -L localhost -U root
После ввода пароля пользователя root вы должны увидеть все открытые ресурсы
сервера. 
Вы должны учитывать, что в этом списке находятся не все каталоги. Если, напри­мер, у домашних каталогов из раздела [homes] файла конфигурации директива
browseable установлена в значение по (см. разд. 6.2.7), таких каталогов видно не
будет. Это вполне логично, потому что злоумышленнику нельзя давать возмож­
ность лицезреть имена каталогов, особенно если они соответствуют именам поль­
зователей или содержат конфиденциальные данные. Никогда не изменяйте этот
параметр, чтобы хакер не знал, что он должен сломать.
Для подключения к открытому ресурсу сервера нужно подать команду: smbciient,
передав ей имя ресурса, которое задается в формате UNC (Universal Naming
Convention, универсальное именование объектов) с применением следующего син­таксиса:
\\ИмяСервера\ресурс
Например, вы хотите подключить домашний каталог пользователя flenov. Его адре­
сом будет:
\\192.168.1. l\flenov
Но здесь надо сделать одно замечание: в Linux обратная косая черта (\) является
служебным символом, поэтому каждый такой знак должен заменяться двумя сим­
волами \\ (т. е. каждый знак \ экранируется еще одним знаком \). Поскольку в на­
чале UNC-имени идут два знака \\, то они заменяются на четыре обратных косых
черты, и приведенный здесь адрес должен быть введен так:
WW192.168.1. lWflenov.
Итак, для подключения к ресурсу выполняем команду:
smbclient \\\\192.168.1. lWflenov
Если вы обращаетесь к ресурсу, который требует авторизации, необходимо указать
имя пользователя, обладающего правами:
smbclient \W\192.168.1. lWflenov -U flenov
При удачном подключении к открытому ресурсу вы увидите такое приглашение:
Smb: \>
Теперь можно выполнять различные операции над файлами. Чтобы узнать, какие
команды доступны, введите директиву help или знак вопроса (?). Команды, кото­
рые вы увидите, очень похожи на команды FTP (более подробно с FTP мы позна­
комимся в главе 10, см. также приложение /). Для отключения от ресурса необхо­
димо выполнить команду exit.

#==========================================
### Настройка sendmail

Основной конфигурационный файл, который вам понадобится, — `/etc/sendmail.cf` или
`/etc/mail/sendmail cf`. Если файла не существует, то, скорей всего, sendmail не установ­
лен, что случается в установке дистрибутива по умолчанию. Устанавливаем:
`sudo apt-get install sendmail
После установки сразу же должна начаться автоматическая настройка. Если и по­
сле этого файла конфигурации не оказалось в системе, то выполните эту команду:
sudo sendmaiIconfig
Программа начальной настройки запросит пути к конфигурационным файлам* Со­
гласитесь со значениями по умолчанию, но обратите внимание, какие пути у вас
спрашивают. В последнем релизе дистрибутива Ubuntu версия sendmail предлагает
использовать путь /etc/mail/ для всех файлов.
Сервер sendmail имеет плохую репутацию в связи со сложностью его настройки.
Действительно, стоит лишь взглянуть на размер файла sendmail.cf, и становится жут­
ко — это 32 килобайта (более 1000 строк). А если заглянуть внутрь файла, то станет
еще страшнее от непонятных ключей и директив.
В файле конфигурации sendmail все параметры сгруппированы по разделам. Раз­
биение оформляется в виде следующих строк:
```sh
##################
# Local info #
##################
```
Столь «красивое» оформление означает, что далее следует раздел Local info. По­
добных секций несколько — в частности, обычно присутствуют такие:
□ Local info — локальная информация, основные сведения о сервере и домене;
□ options — настройки работы программы sendmail;
□ Message precedences — приоритеты сообщений;
□ Trusted users — доверенные пользователи;
□ Format of headers — форматы Заголовков.
Рассмотреть все настройки в этой книге невозможно — в моей системе этот конфи­
гурационный файл занимает 50 Кбайт. Если расписывать каждый параметр, понадо­
бится отдельное издание. Наша цель— эффективность и безопасность, поэтому
рассмотрим только те настройки, которые касаются этих вопросов, и испытаем
sendmail в действии.
Для упрощения конфигурирования sendmail в последних версиях этого почтового
сервиса используется новый файл — sendmail.mс (МС означает Minimal Configuration или
минимальная конфигурация), который можно найти в каталоге /etc/mail.
```sh
divert(-1)
dnl This is the sendmail macro config file. If you make changes to this
dnl file, you need the sendmail-cf rpm installed and then have to
dnl generate a new /etc/sendmail.cf by running the following command:
dnl Это файл макроконфигурации sendmail. Если вы делаете изменения в этом
dnl файле, вам нужна инсталляция rpm sendmail-cf, с помощью которой можно
dnl сгенерировать новый /etc/sendmail.cf, запустив команду:
dnl
dnl
m4 /etc/mail/sendmail.me > /etc/sendmail.cf
dnl
include('/usr/share/sendmail-cf/m4/cf .m4’)
VERSIONID('linux setup for ASPLinux’)dnl
OSTYPE('linux')
dnl Uncomment and edit the following line if your mail needs to be
dnl sent out through an external mail server:
dnl Раскомментируйте следующую строку, если вам нужно посылать почту
dnl через внешний почтовый сервер:
dnl define('SMART_HOST','smtp.your.provider')
define('confDEF_USER_ID',''8:12'')dnl
undefine('UUCP_RELAY')dnl
undefine('BITNET_RELAY')dnl
```
Файл sendmail.me имеет более простой формат по сравнению со старым sendmail.cf,
благодаря чему уменьшается вероятность допустить ошибку при его конфигуриро­
вании. После внесения изменений его необходимо скомпилировать (перевести файл
sendmail.mс в формат sendmail.cf) специальной командой, в результате чего получает­
ся файл /etc/sendmail.cf.
Мы в основном будем рассматривать параметры, которые нужно устанавливать
в файле sendmail.cf, а если описывается параметр файла sendmail.mс, я буду явно ука­зывать на это.
Иногда при неправильных настройках загрузка Linux может зависать при старте
сервиса sendmail. Это происходит из-за того, что ваш почтовый сервер не может
определить имя компьютера. Откройте файл /etc/hosts. В нем чаще всего будет в на­личии только одна строка:
127.0.0.1   localhost.localdomain   localhost

Подробно с этим файлом мы познакомимся в главе 77, когда станем рассматривать
DNS. Сейчас нам надо знать, что эта строка описывает IP-адрес 127.0.0.1, который
соответствует имени localhost. В любой системе такие адрес и имя указывают на
вашу локальную машину. Когда в сетевых программах вы указываете localhost, то
это имя преобразуется в IP-адрес 127.0.0.1.
Настройка DNS может быть очень важна для правильной отправки почты. Допус­тим, что у меня есть домен www.flenov.ru. Этот домен может загружать веб-сайт, а
может отправлять почту, если послать что-либо на почтовый ящик info@flenov.ru
(в реальности такой ящик не существует). В обоих 'случаях домен один и тот же, но
веб-сервер и почтовый сервер могут находиться на разных серверах с разными IP.
Настройка DNS позволяет указать, какой IP-адрес у веб-сервера и какой адрес
у почтового.
Для почтового сервера нужно будет в настройки DNS добавить следующие строки:
IN MX 10 mx.flenov.ru.
mx.flenov.ru. IN АААА 1р_адрес_в_формате^6
mx.flenov.ru. IN А 1р_адрес_в_формате^4
Домен Fienov.ru поменяйте здесь на свой, и точка после него не случайна.
Ну и домен этот должен быть прописан в host-файле:
127.0.0.1   flenov.ru
Пока мы с DNS еще не знакомы, поэтому в sendmail можно для тестов использовать
имя компьютера, которое вы указали во время установки ОС Linux. Выполните
команду hostname, чтобы это имя узнать. В моем случае это FienovM. Но на деле все
сетевые обращения происходят не по имени, а по IP-адресу, и если sendmail не мо­жет определить адрес по имени FienovM, происходит зависание. Чтобы исправить
эту ситуацию, добавьте в файл /etc/hosts строку вида:
192.168.77.1   FlenovM
FlenovM
Не забудьте только заменить приведенный здесь параметр FienovM на имя вашего
компьютера и, разумеется, указать свой IP-адрес. После этого программу sendmail
можно помещать в автозапуск, и она будет работать великолепно даже с настрой­
ками по умолчанию.
Для каждого пользователя системы автоматически создается почтовый ящик, и ес­
ли сервис sendmail запущен, то им уже можно пользоваться. Все почтовые ящики
хранятся в каталоге /var/spool/mail/. Их имена соответствуют именам пользователей.
Так, для учетной записи root ящик будет расположен в файле /var/spool/mail/root.
Для работы с почтой нам нужен почтовый клиент, который будет отправлять пись­
ма серверу и принимать от него новые сообщения. Таких программ существует
множество, и в некоторых дистрибутивах Linux предлагается аж семь различных
клиентов. Какой выберете вы, зависит только от личных предпочтений.
В общем-то можно обойтись и без клиента, а соединение с сервером осуществлять
напрямую через сервис Telnet, благо команды SMTP достаточно просты и ими легко пользоваться. В этом случае для отправки почты нужно подключиться к пор­ту 25 (порт SMTP), а для получения — к 110 (порт POP3).
#### Полезные команды
Давайте рассмотрим некоторые команды, которые помогут вам в администрирова­
нии sendmail-сервера:
□ hoststat— показать состояние хостов, которые недавно работали с локальным
почтовым сервером. Команда является эквивалентом sendmail -bh, которая по
умолчанию неактивна;
□ mailq — отобразить краткую информацию о сообщениях в очереди, ожидающих
обработки. Пример результата выполнения команды:

/var/spool/mqueue (1 request)
--- Q-ID----—Size—------Q-Time----- ---- Sender/Recipient-----
jOIAnST11838 6 Tue Jan 18 13:49 <flenov@flenovm.ru>
(host map: lookup (flenovm.ru): deferred)
<root@flenovm.ru>

Из первой строки видно, что в очереди находится одно сообщение. Вторая стро­ка включает дату посылки и адрес отправителя: fienov@fienovm.ru. В последней
строке отображается получатель сообщения: root@f lenovm. ru;
□ mailstats — отобразить статистику сообщений и количества байтов;
□ sendmail — запустить сервер sendmail. Используя эту команду с различными
ключами, можно увидеть достаточно много полезной информации. За более
подробной справкой следует обратиться к документации: man sendmail.
#### Только отправка почты
Очень часто почтовые сервисы используют только для отправки почты. Например,
на веб-серверах sendmail может стоять лишь для того, чтобы можно было отослать
письмо прямо из сценариев на Perl или РНР. Если ваш сервер не должен принимать
писем, то необходимо запретить режим приема. Для этого откройте файл /etc/
sysconfig/sendmail и измените его содержимое:
DEAMON=yes
QUEUE=”qlh”
Вторая строка задает параметры, которые будут передаваться программе sendmail
при запуске. Чтобы возобновить прием почты, измените значение qih на ьа.
Если у вас нет файла /etc/sysconfig/sendmail (он используется не во всех дистрибути­
вах), то придется редактировать сценарий /etc/rc.d/init.d/sendmail. Найдите в этом фай­
ле параметры, которые передаются программе, и измените их на qih прямо в тексте
сценария.

Для защиты сервера от DoS-атак со стороны хакера нам помогут следующие пара­
метры сервиса sendmail:
□ MaxDeamonChiidren— ограничение количества одновременно запущенных про­
цессов. С помощью этого параметра мы можем защитить ресурсы сервера (про­
цессор) от излишней перегрузки. По умолчанию установлено значение 12, но
для мощного компьютера его можно повысить, чтобы эффективнее использо­
вать процессор, а для слабого — уменьшить;
□ connectionRateThrottie— максимальное количество открываемых соединений
в секунду. По умолчанию этот параметр равен 3, и повышать его без особой на­
добности не стоит, разве что вы уверены в производительности сервера.

#==========================================
### Локальный файл hosts

Мы уже знаем, что изначально для сопоставления имен и адресов использовался
файл /etc/hosts. Это текстовый файл с записями типа:
127.0.0.1 localhost.localdomain localhost
192.168.77.1 FlenovM
Каждая строка — это соответствие IP-адреса его имени. По умолчанию в файле
будет всего две строки, как в приведенном примере. Первая строка — это «пет­
ля». Напоминаю, что во всех компьютерах имя localhost и IP-адрес 127.0.0.1 ука­
зывают на текущую машину. Это значит, что, если нужно выполнить ping, адре­
совав запросы на локальный компьютер, можно написать:
ping 127.0.0.1
Во второй записи устанавливается соответствие между IP-адресом, заданным для
вашего сетевого интерфейса, и символьным именем. Здесь моей сетевой карте при­
своен адрес 192.168.77.1, И ему соответствует ИМЯ FlenovM. Это значит, что при вы­
полнении команды ping можно указывать или IP-адрес, или имя компьютера.
Следующие две команды идентичны:
ping 192.168.77.1
ping FlenovM
При выполнении второй команды сначала происходит обращение к файлу /etc/hosts,
который вернёт программе адрес 192.168.77.1 и уже на него направится эхо-запрос.
А что будет использоваться для поиска адреса первым: файл /etc/hosts или DNS-база
данных? Это зависит от настроек ОС. Посмотрим на файл /etc/host.conf. В нем нахо­
дится строка:
order hosts,bind
Директива order как раз и задает порядок просмотра. В нашем случае на первом
месте находится файл /etc/hosts, и только после этого будет запущена команда bind
для выполнения запроса к DNS-серверу. Что это нам дает? А то, что можно увели­
чить скорость доступа к основным серверам. Допустим, что вы каждый день посе­
щаете сайт www.redhat.com. При этом каждый раз происходит запрос к DNS-
серверу, что может приводить к задержке в пару секунд перед началом загрузки
страницы. Чтобы ускорить этот процесс, можно вручную прописать в файле
/etc/hosts следующую запись:
209.132.183.105
www.redhat.com
Вн и м ан и е!
Адрес 209.132.183.105 действительно соответствует сайту www.redhat.com на мо­
мент подготовки этого издания книги, но может измениться.
Еслй сайт по каким-либо причинам перестал загружаться, то необходимо удалить
Соответствующую ЗаПИСЬ ИЗ файла hosts И С ПОМОЩЬЮ КОМаНДЫ ping redhat.com
проверить связь с сервером, а заодно и уточнить его адрес. В ответ на эту директи­
ву на экране обязательно отображается реальный IP-адрес, с которым происходит
обмен эхо-сообщениями. Благо IP-адреса у большинства сайтов изменяются редко,
так что, один раз добавив такую запись в локальный файл /etc/hosts, можно сэконо­
мить достаточно много времени и нервов в случае проблем с DNS-сервером, пото­
му что запросов к нему отправляться не будет.
#### Внешние DNS-серверы
Если в локальном файле /etc/hosts не найдено записи о нужном имени, то компьютер
должен запросить эту информацию у DNS-сервера. Для этого нужно знать IP-адрес
этого самого сервера. Как система его узнает? Из файла /etc/resolv.conf, который
должен выглядеть примерно следующим образом:
search' FlenovM
domain domain.name
nameserver 10.1.1.1
nameserver 10.1.1.2

В первой строке находится команда search с параметром (сервер поиска имени хос­
та). В вашем файле, скорее всего, есть эта запись, и в качестве сервера вписано имя
вашего компьютера. Здесь может быть перечислено несколько серверов, разделен­
ных пробелами или символами табуляции. Например:
search FienovM MyServer
Поиск на локальном сервере происходит довольно быстро, а вот на удаленных —
может отнять достаточно много времени.
Вторая строка содержит команду domain с параметром. Пользователи иногда любят
задавать имя компьютера без указания домена — например, redhat вместо
redhat. com. Вы должны задать полное имя узла. Чаще всего этот параметр настраи­
вается в локальных сетях со специфичным именем домена.
Оставшиеся две строки содержат команду nameserv с параметром. Это внешний
DNS-сервер, которому будут направляться запросы. В системе их может быть не­
сколько (в настоящее время для большинства дистрибутивов не более трех). Они
будут опрашиваться в порядке указания в файле, пока искомый адрес не будет
найден.
В большинстве случаев достаточно и одного сервера, потому что все они работают
рекурсивно. Но я рекомендую указывать два. Бывают случаи, когда один DNS-
сервер выходит из строя, тогда второй спасает положение и вступает в работу.
#### Настройка DNS-сервиса
В настоящее время наиболее распространенным сервисом DNS для Linux является
bind. Для этого сервиса существует программа bindconf, которая имеет графический
интерфейс и проста в использовании. Зайдите в графическую оболочку и в консоли
выполните команду:
bindconf &
Знак & говорит о том, что, запустив программу, консоль не должна дожидаться ее
завершения. Это очень удобно при запуске графических утилит, чтобы они не оста­
навливали работу консоли. Учтите, что если закрыть окно консоли, то все про­
граммы, запущенные с ключом &, тоже закроются.
На рис. 11.2 изображено запущенное приложение для настройки DNS-сервиса.
В центре показано окно, которое открывается по нажатию кнопки Добавить. Как
видите, достаточно только выбрать тип зоны и ввести имя домена — и все готово.
Несмотря на наличие простой графической программы, мы рассмотрим конфигура­
ционные файлы, которые могут использоваться сервисом DNS. Их прямое редакти­
рование позволит сделать более тонкую настройку, и вы лучше будете понимать
процесс работы DNS.
Настройка DNS-сервера начинается с файла /etc/named.conf. Пример его содержимо­
го приведен в листинге 11.1.
```sh
options {
directory "/var/named/";
};
zone ”." {
type hint;
file "named.ca" ;
};
zone "sitename.com" {
type mastery­
file "sitename.zone";
};
zone "10.12.190.in-addr.arpa" {
type mastery­
file "10.12.190.in-addr.arpa.zone";
};
```
В этом примере файл разбит на четыре раздела, каждый из которых имеет следую­
щий формат:
тип имя {
Параметр1;
Параметр2;
};
Давайте рассмотрим назначение разделов. Первым идет options:
options {
directory "/vaг/named/";
};
В фигурных скобках только один параметр— directory, который указывает на
домашний каталог DNS-сервера. Все его файлы будут располагаться там.
Остальные разделы имеют тип zone и через пробел в кавычках содержат имя зоны.
В каждом из них по два параметра: type (определяет тип зоны) и file (файл, в ко­
тором содержится описание).
Самая первая зона в нашем примере— zone ".". Что это за зона в виде точки?
Вспомните структуру DNS, которую мы рассматривали в начале главы. В базе дан­
ных DNS так обозначается корень иерархии. Получается, что раздел описывает
корневую зону. Тип зоны hint, т. е. здесь хранятся лишь ссылки на DNS-cepfeepw.
Поскольку это корневая зона, то и ссылки будут на корневые серверы.
В параметре file указывается имя файла, содержащего все ссылки на корневые
серверы. В системе этого файла может и не быть, потому что информация в нем
подвержена изменениям, и лучше всего получить его последнюю версию с сервера
internic.net. Для этого выполните команду:
dig 0rs.internic.net . ns > named.са
А можно скачать этот файл непосредственно с FTP-сервера internic.net по адресу
ftp://ftp.rs.internic.net/domain/named.root и поместить в каталог /var/named.
Перейдем к следующему разделу zone "sitename.com". Здесь описывается зона
sitename.com. Тип записи master, значит, ваш DNS-сервер будет главным, а все
остальные станут только сверяться с ним и кэшировать информацию. Сведения об
этой зоне будут храниться в файле sitename.zone рабочего каталога. В нашем случае
это: /var/named.
Следующая зона описывает обратное преобразование IP-адресов 190.12.10.* в име­
на. Тип записи — снова master, и в последней строке указан файл, где будет нахо­диться описание зоны.

#==========================================
### Журналирование

В Linux работают одновременно сразу несколько журналов, и по содержащейся
в них информации вы сможете вычислить хакера и увидеть, когда он проник в сис­
тему, а также узнать еще много интересного. Так как журналирование — один из
инструментов обеспечения безопасности, мы рассмотрим журналы достаточно
подробно. Это позволит вам лучше контролировать свои владения.
#### Основные команды
Информация о текущих пользователях системы сохраняется в файле /var/run/utmp.
Если попытаться посмотреть его содержимое, например, командой cat, то ничего
хорошего нашему взору не откроется. Этот журнал хранит данные не в текстовом,
а бинарном виде, и получение информации из него возможно только с помощью
специализированных программ (команд).
who
Команда who позволяет узнать, кто сейчас зарегистрирован в системе и сколько вре­
мени он в ней находится. Информация, как уже было отмечено, извлекается из
файла /var/run/utmp. Введите эту команду, и на экране появится список примерно сле­
дующего вида:
robert , ttyl
Dec 8 10:15
root
tty2
Dec 8 11:07
Из этого списка становится ясно, что пользователь robert работает за первым тер­
миналом (ttyl) и вошел в систему 8 декабря в 10 часов 15 минут, а через 52 минуты
со второго терминала вошел пользователь root.
Большинство хакеров при входе в систему выполняют эту команду, чтобы выяс­
нить, есть ли сейчас в системе администратор. Если пользователь root присутству­
ет, то начинающие хакеры часто уходят, т. к. опасаются, что их знаний не хватит,
чтобы остаться незамеченными. При этом, вероятно, потом они вернутся.
А это еще одна причина, по которой администратор не должен входить в систему
под учетной записью root. Лучше всего работать как простой пользователь, а когда
не хватает прав, то переключаться на привилегированного. На такой случай я создал
учетную запись, для которой установил UID равным нулю. Она позволяет получить
доступ ко всей системе, и при этом имеет имя, отличное от root, и не вызывает по­
дозрений, когда я под ним работаю. Так что в моей системе никогда нельзя увидеть
пользователя root.
users
Команда users также позволяет вытащить из журнала /var/run/utmp список всех поль­
зователей, которые сейчас зарегистрированы в системе.
В этом журнале информация хранится временно — только в период присутствия
пользователя. Когда он выходит из системы, соответствующая запись удаляется.
После этого выяснить, кто и когда работал, удастся только из журнала /var/log/wtmp.
Это также бинарный файл, и его содержимое можно увидеть с помощью специали­
зированных программ.
last
Команда last позволяет выяснить, когда и сколько времени определенный пользо­
ватель находился в системе. В качестве параметра ей передается интересующее
имя. Например, следующая директива отображает время входа и продолжитель­
ность нахождения в системе пользователя robert:
last Robert
Выполнив команду, вы увидите на экране примерно следующий текст:
robert
ttyl
Thu Dec 2 12:17 - 12:50 (00:33)
По этой записи можно понять, что robert находился за терминалом (ttyl), зашел
в систему 2 декабря на 33 минуты (с 12:17 до 12:50). Если пользователь работал не
локально, а через сеть, то будет отображена информация о хосте, с которого он
входил в систему.
Если выполнить эту команду для себя, то может вывалиться такой список, что чи­
тать его будет невозможно, потому что вы довольно часто работаете в системе.
Чтобы ограничить выводимые данные, можно указать ключ -п и количество ото­
бражаемых строк. Например, следующая команда выдаст информацию о последних
пяти входах:
last -п 5 robert
history
Команда history выводит историю выполненных в консоли команд. Список может
быть достаточно большим. Вы можете ограничить список, указав после имени
команды число. Следующий пример покажет только последние 10 выполненных
в консоли команд:
history 10
lastlog
Если выполнить команду lastlog, то она выведет на экран перечень всех пользова­
телей с датами их последнего подключения к системе. Пример результата ее вы­
полнения можно увидеть в листинге 12.1.
Список состоит из четырех колонок:
“1 имя пользователя из файла/etc/passwd;
□ порт или терминал, на который происходило подключение;
□ адрес компьютера, если вход был по сети;
□ время входа.
С помощью lastlog удобно контролировать системные записи. У них дата послед­
него входа должна быть **Never logged in**, потому что под ними нельзя войти
в систему (в качестве командных оболочек установлены /bin/false, /dev/null, /sbin/nologin
и др.). Если вы заметили, что кто-либо вошел в систему через одну из этих учетных
записей, то это значит, что хакер использует ее, изменив настройки.
Простая замена командной оболочки в файле /etc/passwd может открыть хакеру
«потайную дверь», и администратор не заметит этой трансформации. Но после
выполнения команды lastlog все неявное становится явным.
Обращайте внимание на тип подключения и адрес. Если что-то вызывает подозре­
ние, то можно выявить атаку на этапе ее созревания.
Isof
С помощью команды lsof можно определить, какие файлы и какими пользователя­
ми открыты в текущий момент. Результат ее выполнения приведен в листинге 12.2.
Это далеко не полный результат. Даже если вы сейчас один работаете с системой,
количество открытых файлов может исчисляться парой десятков, и число их замет­
но растет, если в системе несколько пользователей, — ведь один файл может от­
крываться несколько раз каждым из них. Это касается в основном системных кон­
фигурационных файлов.
#### Пользовательские журналы
Все команды, выполненные пользователем, сохраняются в файле .bash_history (если
используется интерпретатор команд /bin/bash), который находится в пользователь­
ском домашнем каталоге. Когда вы определили, под какой учетной записью в сис­
теме находился взломщик, его действия можно проследить по этому журналу.
Вы сможете узнать, какие команды или программы выполнялись, и эта информация
подскажет, как злоумышленник проник в систему и что изменил. Если хакер добавил
пользователя или модифицировал какой-либо важный системный файл, то вы это
увидите, сможете вернуть все в исходное состояние и тем самым быстро закрыть
«двери» в системе, которые открыл хакер.

#==========================================
### Резервирование в Linux

Самый простой вариант создания резервной копии — использование команды ср
(копирование файлов). Только при копировании необходимо обязательно сохранять
права доступа к файлу. Вот как может выглядеть команда, сохраняющая каталог
/home на примонтированный к системе диск /mnt/resdisk:
ср -a /home /mnt/resdisk
Здесь я использовал ключ -а, который равносилен указанию сразу трех ключей
(-dpR):
□ -d — не следовать по символьным ссылкам. Мы копируем каталог в таком виде,
как он есть;
□ -р — сохранять права доступа к файлу;
□ -R — копировать каталоги рекурсивно, чтобы на архивный диск попали все фай­
лы и подкаталоги.
Получается, что команда, показанная ранее, идентична следующей:
ср -dpR /home /mnt/resdisk
С помощью этой директивы мы создаем полную копию каталога. А как можно со­
хранить изменения? Для этого необходимо произвести копирование на тот же диск,
только с указанием ключа -и:
ср -аи /home /mnt/resdisk
При этом будут скопированы все файлы из каталога /home, дата изменения которых
позже, чем у документов из каталога /mnt/resdisk.
#### Утилита tar
Копировать по одному файлу не очень удобно. Лучше, когда все находится под од­
ной крышей. В Linux есть утилита tar, которая собирает все файлы в один. Этот
процесс называют архивированием, но вы должны учитывать, что tar не сжимает
файлы. Если вы объединяете файлы общим размером в 2 Мбайт, то архив будет
иметь размер чуть больше (размер всех файлов плюс заголовок tar).
Преимущество сборки целого каталога в один файл состоит в том, что им проще
потом управлять и сжимать специализированными программами.
Для архивирования как минимум нужно выполнить команду:
tar cf архив.tar каталог
Здесь у нас два параметра:
П с — указывает на необходимость создания архива;
□ f — назначает архивный файл или устройство. По умолчанию используется уст­
ройство /dev/rmtO.
Итак, для архивирования каталога /home выполняем следующую команду:
tar cf backup.tar /home
При использовании параметров cf в архиве сохраняется и путь к файлам. Если рас­
паковать созданный нами архив, то в результате в текущем каталоге будет создан
каталог home, а в нем уже будут располагаться все пользовательские каталоги. На­
пример, если запустить команду разархивирования в каталоге /home, то каталоги
пользователей окажутся в /home/home, а если находиться в /etc, то пользователи уви­
дят свои каталоги в /etc/home.
Чтобы добиться правильного результата, нужно перейти в корень диска и выпол­
нять команду там:
cd /
tar xf /home/backup.tar
Здесь мы из корневого каталога разархивируем резервную копию, которая находит­
ся в файле /home/backup.tar.
Помимо этого, для архивных операций могут пригодиться следующие ключи ути­
литы tar:
□ v— вывести на экран информацию об архивируемом (или распаковываемом)
в данный момент файле;
□ z — найти и обработать при распаковке GZIP-архивы;
□ р — разархивировать всю информацию о безопасности;
□ d — найти различия между архивом и файлами системы;
О t — просмотреть содержимое архива;
□ и — обновить файлы в архиве, которые были изменены;
□ n date — добавить в архив только те файлы, которые изменены позже указанной
даты. Параметр date должен быть заменен необходимой датой;
□ р — не удалять первый символ /. В этом случае, в каком каталоге вы ни запусти­
те разархивирование, файлы попадут на свое родное место.
С помощью утилиты tar можно архивировать сразу несколько каталогов. Следую­
щая команда помещает в архив каталоги /home и /etc:
tar cf backup.tar /home /etc
Чтобы просмотреть содержимое архива, можно выполнить команду:
tar tvf backup.tar
В ответ на это на экране будут показаны все файлы и каталоги архива, их права
доступа и владельцы.
Посмотрите на последнюю колонку, где показано расположение файла. Обратите
внимание, что путь не начинается с символа /, указывающего на корень диска. По­
этому такой архив нужно распаковывать в корне, иначе он будет создаваться
в текущем каталоге.
С помощью tar очень удобно и легко создавать резервные копии, которые содержат
только изменения. Для этого мы просто задаем ключ -д и указываем какой-то файл,
который будет использоваться для отслеживания того, какие файлы уже резервиро­
вались и какая версия уже находится в архиве.
Давайте рассмотрим все это на примере:
tar -cf backupO.tar -g home-flenov.snar /home/flenov
Здесь:
□ c — указывает на необходимость создания архива;
□ f — указывает на то, что мы хотим задать определенное имя файла и это имя
идет сразу после ключа: backupO.tar;
□ g — указывает на то, что нужно копировать только изменения. После этого клю­
ча надо указать файл, где будут храниться изменения. В качестве его имени я
использую полный путь к нему, просто вместо слэшей указываю символ тире.
Я заметил, что очень часто таким файлам дают расширение snar. Я точно не
знаю, но мне кажется, что это объединение двух слов: sn, которое указывает
на слово snapshot (снимок), и аг, которое указывает на архив tar. Возможно, я тут
не прав, но в любом случае расширение может быть и другим;
□ ну и в конце идет каталог, резервную копию которого вы хотите создать.
Запустите команду: tar создаст полную резервную копию, если файл flenov.snar не
существует.
Теперь попробуйте изменить пару файлов или создать новый и снова выполнить
команду:
tar -cf backupl.tar -g home-flenov.snar /home/flenov
Я увеличил число в имени файла архива с 0 до 1. В этот файл уже попадут только
изменения с момента последней резервной копии.
#### Утилита gzip
В ОС Linux есть достаточно много различных утилит для упаковки данных. Наибо­
лее популярной из них является gzip. Преимущество архивирования перед простой
упаковкой данных заключается в том, что результирующая копия занимает меньше
места, а значит, носитель для резервирования понадобится меньшего объема.
Чаще всего копируются документы, размер которых в заархивированном виде мо­
жет уменьшаться на 90%. Текстовые данные сжимаются намного лучше, чем про­
граммы.
Недостаток архивирования — возрастает нагрузка на процессор, и может потребо­
ваться больше времени на создание полной копии. Однако за счет того, что архив
занимает намного меньше места, его копирование на сетевые ресурсы или запись
на съемные носители (ZIP, JAZ, CD-R/RW, DVD-R/RW и др.) производится быст­
рее. В итоге может выйти, что затраты времени на копирование и процессорного
времени на архивирование окажутся идентичны затратам на копирование без архи­
вирования или даже меньше.
Прежде чем сжимать какой-либо файл, рекомендуется подготовить TAR-архив. По­
том достаточно выполнить команду упаковки:
gzip -уровень файл.tar
В качестве ключа -уровень нужно указать степень компрессии. Максимальный уро­
вень равен 9. После этого указывается имя TAR-архива. Давайте сожмем архивный
файл, который мы создали из каталога /home, применяя наибольшую компрессию.
Выполните следующую команду:
gzip -9 backup.tar
Теперь просмотрите содержимое каталога (команда is). Обратите внимание, что
файла backup.tar больше нет. Вместо него появился файл backup.tar.gz, размер кото­
рого значительно уменьшился.
Чтобы разархивировать такой файл, можно пользоваться все той же командой tar,
только необходимо указать ключи xf z:
cd /
tar xfz /home/backup.tar. gz
Эта команда сначала разархивирует GZ-файл и тут же распакует TAR-архив.
Если необходимо из GZ-файла снова получить TAR-архив (без его распаковки), то
можно выполнить команду:
gzip -d /home/backup.tar.gz
После этого вы снова увидите файл backup.tar, а файл backup.tar.gz исчезнет.
Теперь вы готовы написать свой сценарий, который будет собирать каталоги для
архивирования в TAR-файл, а затем сжимать его, чтобы уменьшить размер. Но
можно не использовать две команды, а обойтись одной. Вот как это делается:
tar cvf - /home | gzip -9с > backup.tar.gz
Здесь мы собираем в TAR-архив каталог /home и тут же сжимаем его утилитой gzip.
Помимо gzip для архивирования иногда используется утилита compress, но ее воз­
можности по сжатию ниже, и к тому же вокруг нее возникали скандалы и разбира­
тельства по поводу лицензии. Большинство администраторов уже перешли на ис­
пользование gzip, и я вам рекомендую с самого начала привыкать к этой программе.
#### Утилита dump
Все предыдущие команды, которые мы рассматривали в этой главе, не являются
специализированными командами резервирования. Это просто команды копирова­
ния и архивирования файлов. А вот утилита dump предназначена именно для соз­
дания резервной копии файловой системы Ext (поддерживаются версии, начиная со
второй).
Для выполнения резервной копии нужно как минимум указать:
□ -п — уровень резервной копии, где п может изменяться от о до 9. При значе­
нии о создается полная резервная копия. Уровни выше о означают формирова­
ние резервной копии изменений, произошедших с момента последней полной
резервной копии или создания копии с меньшим уровнем;
□ -и— требование при удачном завершении резервирования обновить файл
/etc/dumpdates, в котором хранятся даты создания резервных копий;
□ -f файл— имя файла или устройство, на которое нужно производить резервное
копирование.
Итак, простейшая команда создания полной резервной копии выглядит следующим
образом:
dump -Ou -f /home/backup.bak
Для сохранения изменений нужно изменить уровень, указав значение больше нуле­
вого, например:
dump — lu -f /home/backup.bak
Для восстановления файлов из архива служит команда restore. Но прежде чем ее
запускать, вы должны убедиться, что находитесь в каталоге, который принадлежит
восстанавливаемой файловой системе.
В команде restore достаточно только указать ключ -f и файл, который нужно вос­
становить. Если применить ключ -i, то вы попадаете в интерактивный режим,
в котором можно задать файлы для восстановления. Интерактивный режим похож
на режим командной строки, только вместо реальной файловой системы в нем вы
путешествуете по архиву. При этом можно выполнять следующие директивы:
□ help — вывести краткую помощь по доступным командам;
□ is — отобразить содержимое текущего каталога;
□ pwd — показать текущий каталог;
□ add каталог — добавить в список для восстановления указанный в качестве ар­
гумента каталог;
□ cd — сменить текущий каталог;
□ delete каталог — удалить из списка восстановления каталог, указанный в каче­
стве параметра;
□ extract — восстановить все файлы из созданного списка;
□ quit — ВЫХОД.

#==========================================
### CHAGE

Как заставить пользователя менять пароли через определенные промежутки време­
ни? Нет, не нужно ходить и нудить ему над ухом — есть способ проще и намного
эффективнее. В Linux имеется утилита chage, которая запускается следующим об­
разом:
chage параметры пользователь
В качестве параметра можно указывать следующие ключи:
□ -mN— минимальное число дней (n ) д о смены пароля. Указав это значение чуть
меньше, чем максимальный период (см. следующий параметр), вы защитите
систему от нежелательной смены паролей. Это значит, что если хакер захватит
учетную запись, он не сможет изменить пароль. Конечно же, злоумышленник
тоже может выполнить команду chage, но только если у него есть права админи­
стратора. Три-четыре дня разницы между минимальным и максимальным значе­
нием необходимы для того, чтобы пользователь смог сменить пароль, пока он не
устарел. Устанавливать разницу меньше трех дней нежелательно, потому что
существуют выходные, и если срок действия попадет на воскресенье, пользо­
ватель не успеет сменить пароль. По умолчанию используется значение -1, что
соответствует отсутствию проверки;
□ -м N — максимальный диапазон в днях (n ), в течение которого действует пароль.
После этого пароль считается недействительным, и пользователь не сможет вой­
ти в систему. По умолчанию установлено 99999, что соответствует бесконечно­
сти, а значит, пароль никогда не устареет;
□ -d N— дата последнего изменения пароля. Параметр N указывает количество
дней начиная с 1 января 1970 года. Если установить юоо, то получится 27 сен­
тября 1972 года. Чтобы не высчитывать дату в днях, можно указать ее явным
образом в формате ГГГГ-ММ-ДЦ;
□ -Е дата — дата окончания действия пароля;
□ -I N— период в днях, после которого неиспользуемая учетная запись блокиру­
ется. Рекомендую указать не менее 3 и не более 4 дней, чтобы приостановить
действие записи на время отпуска или болезни работника;
□ -w n — количество дней до окончания срока действия пароля, когда пользовате­
лю будет выводиться предупредительное сообщение. Нежелательно указывать
менее 3 дней, чтобы не попасть на выходные;
□ -1 пользователь — с этим параметром команда может вызываться любыми поль­
зователями и позволяет им узнать информацию о времени жизни их пароля.
Чтобы получить сведения о пароле root, выполните директиву: 
chage -1 root.
Результат выполнения команды имеет следующий вид:
Password Expires: Never
Password Inactive:Never
Minimum:
-1
Maximum:
99999
Warning:
Inactive:
-1
-1
Last Change:
Feb 04, 2004
Account Expires:
Never
Здесь отображаются следующие значения:
• Minimum — минимальный срок действия пароля;
• Maximum— максимальный период для пользования паролем;
• warning— количество дней, за которые будет выдаваться предупреждение
о завершении срока действия пароля;
• inactive— максимальное количество дней, в течение которых учетная за­
пись может не активироваться;
• Last change — последняя дата изменения;
• Password Expires — дата окончания действия пароля;
• Password inactive — дата, когда пароль стал неактивным;
• Account Expires — дата окончания действия учетной записи.
Чтобы задать максимальное количество дней жизни пароля в 60 дней, выполните
команду:
chage -М 60 robert
Слишком частая смена паролей приводит к тому, что пользователи просто не успе­
вают запомнить их. Из-за этого сложные комбинации начинают писать на бумаге,
чтобы случайно не забыть, или просто меняют пароль на старый. Ваша задача —
контролировать замену, и в то же время не стоит заставлять пользователя делать
это слишком часто. Период в 2-3 месяца (или 60-90 дней) считается вполне прием­
лемым.
А как проверить, что выбран достаточно сложный пароль и при этом не указан снова
старый? В этом нам поможет РАМ-модуль pam_cracklib.so, который выполняет
основные проверки и позволяет сделать их сложнее. Например, нельзя будет устано­
вить старый пароль или воспользоваться большей его частью.

#==========================================