Сетевые средства Linux

Наиболее просто устанавливается конфигурация сервера DHCP, предполагающая динамическое распределение IP-адресов. В этом случае сервер сам решает, какой адрес следует выделить компьютеру, который обратился к нему. IP-адреса для конкретных машин не резервируются, поэтому IP-адрес, который клиент получил в данный момент, в общем случае может отличаться от IP-адреса, выделенного ему при прошлом обращении к серверу. Клиент может запросить конкретный адрес; более того, большинство клиентов запрашивают именно тот адрес, который они использовали ранее, но сервер игнорирует подобную информацию в составе запроса. На практике компьютеры могут достаточно долгое время работать с одним и тем же IP-адресом. Это происходит, если компьютер редко выключается либо если он был отключен в течение короткого промежутка времени. Тем не менее наличие постоянного IP-адреса не гарантируется. Конфигурация, осуществляющая динамическое распределение адресов, удобна в сетях, содержащих большое число клиентов, однако она имеет существенный недостаток: при динамическом распределении IP-адресов затрудняется использование доменных имен, так как серверы DNS связывают имена со статическими IP-адресами. Существуют способы устранения этого недостатка; их мы рассмотрим ниже. Один из способов предполагает организацию совместной работы серверов DHCP и DNS, а другой способ состоит в выделении компьютерам фиксированных IP-адресов.

Установка глобальных параметров

В листинге 5.1 приведен пример содержимого файла

dhcpd.conf

Листинг 5.1. Простой файл

dhcpd.conf

default-lease-time 7200;

max-lease-time 10800;

option subnet-mask 255.255.255.0;

option routers 192.168.1.1;

option domain-name-servers 192.168.1.1, 172.17.102.200;

option domain-name "threeroomco.com";

subnet 192.168.1.0 netmask 255.255.255.0 {

 range 192.168.1.50 192.168.1.150;

}

В первых шести строках файла задаются глобальные параметры, или опции; они определяют основные характеристики сети и сервера и используются при обслуживании всех клиентов. Значения, установленные с помощью глобальных параметров, могут быть переопределены в декларациях. Первые две строки (параметры

default-lease-tim

max-lease-time

default-lease-time

max-lease-time

default-lease-tim

max-lease-time

Следующие четыре строки листинга задают глобальные параметры, которые передаются клиенту DHCP, а именно: маска подсети, адрес маршрутизатора (шлюза), адреса серверов DNS и доменное имя. Как вы, вероятно, помните из главы 2, те же сведения используются при установке статического IP-адреса компьютера. Несмотря на то что в листинге указаны IP-адреса, вы можете также использовать доменные имена узлов, но при этом необходимо быть уверенным, что сервер DNS работает корректно и связь с ним надежна. Если вы зададите доменные имена, то перед передачей их клиенту сервер DHCP будет преобразовывать их в IP-адреса. Для параметров, не указанных в листинге 5.1, используются значения по умолчанию. При необходимости их можно переназначить явно. Как видно на рис. 5.1, определение параметра заканчивается символом

;

dhcpd.conf

•

filename "имя_файла"

dhcpd

filename

•

next-server "имя_узла"

filename

•

server-name "имя_узла"

•

boot-unknown-clients флаг

dhcpd

false

host

•

option broadcast-address IP-адрес

•

get-lease-hostnames флаг

true

dhcpd

false

•

use-host-decl-names флаг

get-lease-hostnames

true

dhcpd

host

true

get-lease-hostnames

use-host-decl-names

get-lease-hostnames dhcpd

В файле

dhcpd.conf

option

dhpcd.conf

В большинстве случаев параметры указываются в начале файла

dhcpd.conf

Определение диапазона адресов

В листинге 5.1 представлена чрезвычайно простая конфигурация DHCP, в которой определяется один диапазон IP-адресов. Для указания диапазона адресов используется декларация subnet, которая имеет следующий вид:

subnet 192.168.1.0 netmask 255.255.255.0 {

 range 192.168.1.50 192.168.1.150;

}

Данная декларация указывает на то, что сервер действует в сети 192.168.1.0/24. Очевидно, что компьютер должен иметь сетевой интерфейс, с которым связан адрес из этой сети. В пределах данной сети распространяются широковещательные запросы, передаваемые клиентами и обслуживаемые сервером DHCP. Декларация range определяет диапазон IP-адресов, из которого сервер выбирает адреса, предоставляемые клиенту. В данном примере это адреса 192.168.1.50-192.168.1.150. При необходимости можно использовать любой диапазон, из указанной сети (192.168.1.0/24), важно, чтобы в него не попадали статические IP-адреса компьютеров, в том числе адрес самого сервера DHCP.

В файле

dhcpd.conf

subnet

dhcpd

subnet

dhcpd.conf

subnet

subnet 172.20.30.0 netmask 255.255.255.0 {

}

Эта декларация указывает на то, что сервер не должен обрабатывать запросы DHCP, поступающие с соответствующего интерфейса. При использовании версии 3.0 программы

dhcpd

В большинстве случаев динамическое распределение IP-адресов обеспечивает нормальную работу компьютеров. Internet-соединение устанавливается по инициативе клиента, адрес сервера известен клиенту, а сервер получает адрес клиента в составе запроса. Периодическое изменение IP-адреса (учитывая, что адрес изменяется при перезагрузке компьютера) не мешает работе клиента (смена адреса в течение сеанса сделала бы обмен данными невозможным).

Тем не менее бывают ситуации, при которых необходимо настраивать систему DHCP так, чтобы клиентам выделялись фиксированные адреса. Подобным образом приходится поступать в том случае, если на компьютере, выполняющем функции клиента DHCP, работает какой-либо сервер. Использование фиксированных адресов упрощает диагностику сети; в этом случае, вызывая команду

ping

dhcpd

dhcpd

dhcpd

Определение MAC-адреса клиента

MAC-адрес используется для организации сетевого взаимодействия на самом низком уровне. При использовании сетевых карт Ethernet MAC-адрес состоит из шести байтов, значения которых обычно представляются шестнадцатеричными числами и разделяются двоеточиями, например 00:80:C8:FA:3B:0A. Каждый пакет, передаваемый устройством Ethernet по сети, содержит MAC-адрес этого устройства, поэтому программа

dhcpd

http://www.coffer.com/mac_find/

http://www.cavebear.com/CaveBear/Ethernet/vendor.html

Для того чтобы программа

dhcpd

При работе с Linux и другими подобными UNIX системами MAC-адрес можно определить с помощью команды

ifconfig

ifconfig eth0

ifconfig

ifconfig

eth0 Link encap:Ethernet HWaddr 00:80:C6:F9:3B:BA

MAC-адрес следует за ключевым словом

HWaddr

Используя Windows 2000, вы можете выяснить MAC-адрес посредством программы

IPCONFIG

ifconfig

IPCONFIG /ALL

Physical Address : 00-50-BF-19-7E-99

В Windows Me используется программа

WINIPCFG

IPCONFIG

Рис. 5.1.

WINIPCFG

Если клиент DHCP расположен на компьютере Macintosh и выполняется в системе MacOS Classic, вы найдете MAC-адрес в окне TCP/IP Control Panel. После щелчка на кнопке Info отобразится диалоговое окно TCP/IP Info, в котором выводится MAC-адрес. В MacOS X данная информация доступна в диалоговом окне Network, показанном на рис. 5.2.

Рис. 5.2. В системе MacOS X MAC-адрес отображается в диалоговом окне Network

Аналогичные средства, позволяющие определить MAC-адрес, имеются и в других операционных системах; для того чтобы использовать соответствующие команды, надо ознакомиться с описанием конкретной системы.

MAC-адрес клиента также можно определить с помощью сервера DHCP. Для этого необходимо, чтобы средства поддержки стека протоколов на клиентском компьютере работали исправно. Сконфигурируйте клиент для работы с сервером DHCP так, чтобы после загрузки клиент получил от сервера динамический IP-адрес. Затем ознакомьтесь с содержимым файла аренды (обычно это файл

/var/lib/dhcp/dhcpd.leases

lease 192.168.1.50 {

 starts 4 2002/07/19 21:37:20;

 ends 4 2002/07/19 23:17:20;

 binding state active;

 next binding state free;

 hardware ethernet 00:50:56:82:01:03;

}

В приведенной записи указаны IP-адрес, выделенный клиенту, время начала и завершения аренды, а также прочая информация, в том числе MAC-адрес (

hardware ethernet 00:50:56:82:01:03

MAC-адреса могут также содержаться в файле протокола Linux (обычно это файл

/var/log/messages

dhcpd

# grep dhcpd /var/log/messages | tail -n 1

Jul 19 18:27:38 speaker dhcpd: DHCPACK on 192.168.1.50 to

00:50:56:82:01:03 via eth0

Эту команду можно выполнить сразу после того, как сервер DHCP выделит IP-адрес клиенту. Если вы не знаете IP-адреса, присвоенного клиенту, вы рискуете ошибочно определить MAC-адрес. Так может случиться, если после запроса интересующего вас компьютера какой-то клиентов обратится к серверу DHCP для того, чтобы продлить аренду. Зная IP-адрес, проверьте запись в файле протокола. Если адрес не совпадает, просмотрите другие записи, задавая значения опции

-n

tail

И, наконец, независимо от того, использует ли клиент статический IP-адрес или получил адрес от сервера DHCP, вы можете определить MAC-адрес с помощью команды

arp

arp

# arp 192.168.1.50

Address HWtype HWaddress Flags Mask Iface

192.168.1.50 ether 00:50:56:82:01:03 C eth0

Не исключено, что перед вызовом

arp

ping

ping -с 192.168.1.50

Описание узлов с помощью MAC-адресов

Для того чтобы программа

dhcpd

host

subnet

host

host teela {

 hardware ethernet 00:05:02:a7:76:da;

 fixed-address 192.168.1.2;

}

Декларация начинается с ключевого слова

host

use-host-decl-names

hardware

token-ring

fixed-address

range

В файле

dhcpd.conf

dhcpd.conf

range

host

host

subnet

Параметры для отдельных клиентов

Как было сказано ранее, в декларации, состоящей из нескольких строк, могут указываться параметры; они применимы только к текущей декларации. Параметрами являются выражения

hardware

fixed-address

host

option host-name "имя"

get-lease-hostnames

use-host-decl-names

Параметры могут воздействовать на группы клиентов. Один из способов состоит в том, чтобы объединить компьютеры, принадлежащие некоторой группе, в отдельной подсети. Очевидно, что использовать такой способ крайне неудобно. Гораздо лучше создать группу узлов, объединив декларации

host

group

group {

 get-lease-hostnames true;

 host teela {

  hardware ethernet

  fixed-address 192.168.1.2;

 }

 host nessus {

  hardware ethernet 00:50:BF:19:7E:99;

  fixed-address

 }

}

group {

 use-host-decl-names true;

 host hindmost {

  hardware ethernet 00:50:56:81:01:03;

  fixed-address 192.168.1.4;

 }

 host louiswu {

  hardware ethernet

  fixed-address 192.168.1.5;

 }

}

Имена, предоставляемые первым двум клиентам (

teela

nessus

hindmost

louiswu

host

filename

next-server

Некоторые варианты настройки сервера DHCP предполагают, что он будет обмениваться данными с другими пакетами. Подобная ситуация возникает в тех случаях, когда клиенты DHCP должны получать дополнительные данные от сервера. Иногда другие серверы могут обращаться к серверу DHCP, чтобы получить данные, определяющие их конфигурацию. В данной главе уже обсуждалось использование параметра

get-lease-hostnames

Включение информации NetBIOS

Система NetBIOS, являющаяся основой для протоколов SMB/CIFS, использует для решения стоящих перед ней задач набор структур и инструментов, действующих на базе протоколов TCP/IP. (Подробно протоколы SMB/CIFS, будут рассматриваться в главе 7.) Сервер DHCP можно настроить так, что он будет предоставлять информацию некоторым из этих структур, выполняющихся на клиентских компьютерах под управлением Windows. В результате повысится эффективность работы системы. Для этого в состав файла

dhcpd.conf

•

option netbios-name-servers адреса_серверов

option netbios-name-servers

dhcpd.conf

•

option netbios-node-type код_типа

•

option netbios-dd-server адрес_сервера

•

option netbios-scope строка

group

Если сервер DHCP предоставляет IP-адреса Windows-клиентам, целесообразно использовать первые два из рассмотренных выше параметров как глобальные. (Пакет Samba в системе Linux не использует значения, предоставляемые DHCP; они предназначены в основном для клиентов Windows). Например, вы можете включить в начало файла

dhcpd.conf 

option netbios-name-servers 192.168.1.1;

option netbios-node-type 8;

Чтобы убедиться, что компьютеры под управлением Windows используют эту информацию, надо проверить, установлена ли опция Use DHCP for WINS Resolution в диалоговом окне TCP/IP Properties (рис. 5.3). Если вы выберете опцию Disable WINS Resolution, система вовсе не будет использовать WINS. Установив опцию Enable WINS Resolution, вы сможете вручную задать IP-адрес сервера WINS.

Рис. 5.3. Клиенты Windows можно непосредственно настраивать для использования NetBIOS-данных, предоставляемых сервером DHCP

Взаимодействие с DNS-сервером

Если вы хотите, чтобы к клиенту DHCP мог непосредственно обратиться любой узел сети, добиться этого можно двумя способами. Вы можете сконфигурировать сервер DHCP так, чтобы он предоставлял клиенту фиксированный IP-адрес (необходимые действия обсуждались ранее в этой главе), либо настроить серверы DHCP и DNS для взаимодействия друг с другом; в этом случае записи сервера DNS будут обновляться, отражая текущее назначение адресов клиентам DHCP. Если адреса клиентов DHCP изменяются редко, а обращение к ним выполняется только из локальной сети, второй способ предпочтительнее первого. Если к компьютеру предполагается доступ из Internet, этот способ мало пригоден. Если запись в конфигурационном файле DNS изменится, то для распространения изменений по Internet потребуется определенное время. В течение этого времени могут быть предприняты попытки обращения к компьютеру по его старому адресу.

В версиях

dhcpd

dhcpd

Для организации взаимодействия с сервером DNS используется параметр

ddns-update-style

ad-hoc

interim

none

ddns-update-style

dhcpd.conf

ad-hoc

interim

При использовании метода ad-hoc имя узла задается одним из четырех способов. Эти способы с учетом их приоритета перечислены ниже.

1. Если в декларации

host

ddns-hostname

2. Если клиент передает полностью определенное доменное имя (имя, состоящее из имени узла и имени домена), сервер DHCP принимает содержащееся в нем имя узла.

3. Если клиент передает имя узла без указании имени домена, это имя воспринимается сервером DHCP.

4. Используется имя клиента, указанное в декларации

host

В любом случае применяется только локальное имя компьютера. Если его невозможно определить ни одним из этих способов, сервер DHCP не предпринимает попыток обновить данные сервера DNS. Если сервер DHCP имеет в своем распоряжении имя узла, он объединяет его с именем домена, заданным с помощью параметра

ddns-domainname

domain-name

Сформированное полное доменное имя сервер DHCP использует для изменения данных сервера DNS. Сначала обновляется запись

А

А

Метод interim во многом похож на метод ad-hoc, но он предоставляет возможность клиенту обновить запись

А

dhcpd.conf

allow client-updates

ignore client-updates

Если сервер DHCP сконфигурирован так, что клиентам разрешено обновлять данные сервера DNS, то для создания записи PTR сервер DHCP использует полное доменное имя, переданное клиентом. Если действия клиента по обновлению данных сервера DNS запрещены, сервер DHCP создает полное доменное имя из имени узла, полученного от клиента, и имени домена, заданного в файле

dhcpd.conf

А

PTR

Если клиенту запрещено изменять записи сервера DNS, то метод interim дает те же результаты, что и метод ad-hoc. Если вмешательство клиента в работу сервера DNS разрешено, ситуация несколько изменяется. Клиент может задать имя домена, отличное от того, которое указано при настройке сервера DHCP. Предположим, например, что в конфигурационном файле сервера DHCP указано имя домена

threeroomco.com

threeroomco.com

dino.pangaea.edu

PTR

dino.pangaea.edu

http://www.technopagan.org/dynamic/

http://www.geocities.com/kiore_nz/

http://dns.highsynth.com

Для того чтобы эффективно применять средства Kerberos в сети, надо инсталлировать сервер паролей Kerberos, который также называют центром распространения ключей (key distribution center — KDC). Кроме того, необходимо обеспечить поддержку средств Kerberos клиентскими и серверными программами. Программы, настроенные для взаимодействия с Kerberos, часто называют керберизованными приложениями (Kerberized application). Чтобы использовать Kerberos, необходимо понимать, как работает протокол Kerberos и как организуется взаимодействие основных компонентов системы. В данном разделе описаны основные принципы действия протокола Kerberos, а также представлена информация об основных продуктах Kerberos и изложены требования к KDC.

Взаимодействие компонентов Kerberos

Кратко Kerberos можно определить как протокол, обеспечивающий централизованную идентификацию пользователей и применяющий кодирование данных для противодействия различным видам атак. Однако такое определение нельзя называть полным. Система шифрования Kerberos достаточно сложна и решает ряд задач. Структура сети Kerberos также должна быть рассмотрена более подробно.

Основным компонентом системы Kerberos является KDC. Он отвечает за аутентификацию компьютеров в области (realm) Kerberos. Обычно область Kerberos совпадает с некоторым доменом или поддоменом Internet. Например, домен

threeroomco.com

THREEROOMCO.COM

REALM1.THREEROOMCO.COM

REALM1.THREEROOMCO.СОМ

В процессе работы система Kerberos выдает билеты на использование различных служб. Подобно авиационным или театральным билетам, билеты Kerberos предоставляют право пользования некоторыми услугами. Существуют два основных типа билетов, о которых будет сказано ниже.

Сервером Kerberos будем называть либо компьютер, на котором выполняется серверная программа Kerberos, либо саму программу, т.е. KDC. Клиент Kerberos — это компьютер либо программа, которые получают билет от сервера Kerberos. Обычно считается, что действия системы Kerberos инициирует пользователь, который отправляет запрос на получение услуг от некоторого сервера приложения (например, сервера печати).

Kerberos предоставляет билеты принципалам, в роли которых выступают пользователи либо серверные программы. Для описания принципала применяется идентификатор, состоящий из трех компонентов: основы (primary), экземпляра (instance) и области (realm). Этот идентификатор записывается в формате

основа/экземпляр@область

ftp

fluffy

admin

fluffy@THREEROOMCO.COM

fluffy/admin@THREEROOMCO.СОМ

Для того чтобы понять работу средств Kerberos, надо рассмотреть задачи, решаемые данной системой. Эти задачи кратко описаны ниже.

• Обеспечение аутентификации в сети. Чтобы предотвратить неавторизованный доступ к службам, сервер должен иметь возможность идентифицировать пользователей. Кроме того, в некоторых средах важно, чтобы клиент мог идентифицировать серверы. Это исключит работу пользователей с фальшивыми серверами, созданными специально для сбора важной информации.

• Защита паролей. Многие службы по умолчанию используют незашифрованные пароли. Это создает угрозу безопасности системы, так как незакодированные пароли могут быть перехвачены и использованы для незаконного доступа к ресурсам. В некоторых серверах предпринимается попытка решения данной проблемы путем кодирования паролей, но в Kerberos используется нестандартный подход. Вместо того чтобы передавать пароль в зашифрованном виде, система использует его в качестве ключа для кодирования передаваемых данных. При этом пароль не передается, но данные может получить только тот пользователь, который знает пароль.

• Обеспечение однократной регистрации в сети. Kerberos дает возможность пользователю работать в сети, зарегистрировавшись лишь на своем компьютере. Для обмена с керберизованными приложениями вводить пароль не требуется. В частности, достаточно зарегистрироваться один раз, чтобы получать почту с помощью керберизованной почтовой системы или обращаться к другому компьютеру, на котором выполняется керберизованный сервер регистрации. (Описанные возможности не распространяются на взаимодействие с внешними системами). Срок действия билета, который пользователь получает при вводе пароля, ограничен, поэтому при работе в системе в течение длительного времени приходится вводить пароль повторно. Однако при обращении к серверу в течение времени жизни билета задавать пароль не нужно.

Средства Kerberos должны также удовлетворять некоторым требованиям, связанным с технической реализацией системы, но основное влияние на выбор принципа работы Kerberos оказали три описанные выше задачи. При решении их Kerberos использует билеты. Процесс взаимодействия с сервером включает следующие этапы.

1. Пользователь, работающий на рабочей станции, собирается воспользоваться некоторыми услугами, для чего вводит имя и пароль.

2. Рабочая станция (клиент Kerberos) передает имя пользователя KDC и запрашивает TGT (ticket-granting ticket — билет на получение билета). Этот запрос обрабатывается специальным компонентом Kerberos, который называется TGS (ticket-granting service — служба получения билета).

3. KDC ищет имя пользователя в базе данных. Если имя присутствует в ней, KDC возвращает В этом билете содержится имя пользователя, которому он предназначен, время выдачи билета и время, в течение которого он остается действительным. кодирует используя для этого пароль, содержащийся в базе данных, и передает его клиенту.

4. Клиент получает TGT и расшифровывает его с помощью пароля, введенного пользователем. Если попытка расшифровки оказывается успешной, клиент сохраняет билет для дальнейшей работы. Все действия с билетом остаются прозрачными для пользователя.

5. Используя данные, содержащиеся в билете, клиент отправляет KDC запрос на получение такого билета, который давал бы возможность взаимодействовать с требуемым сервером. Поскольку данные были успешно расшифрованы, а затем снова зашифрованы, KDC принимает их как корректные и передает серверу новый билет. Этот билет зашифрован паролем целевого сервера (его знают только сервер и KDC) и содержит имя пользователя, инициировавшего запрос, имя службы, доступ к которой должен быть предоставлен, время выдачи билета, время его действия, код сеанса и другую информацию. Код сеанса выполняет роль нового пароля; этот пароль создан KDC и предназначен для совместного использования клиентом и сервером. Для того чтобы уменьшить риск перехвата и незаконного использования информации, устанавливается малое время действия билета.

6. Клиент принимает билет на получение услуг, но не предпринимает попытки расшифровать его (действия с этим билетом также прозрачны для пользователя).

7. Клиент передает билет на получение услуг целевому серверу. Этот билет рассматривается как запрос на инициализацию сеанса передачи данных.

8. Сервер расшифровывает билет, пользуясь для этого паролем. Попытка расшифровки будет успешной только в том случае, если билет был корректно закодирован KDC. Если запрос корректен (билет получен от действительного пользователя, успешно расшифрован и т.д.), сервер использует код сеанса для кодирования ответа клиенту.

9. Клиент получает ответ сервера. Если данные корректны, клиент предполагает, что сервер аутентифицирован, завершает процедуру установления соединения и начинает передачу информации. Информация передается только в том случае, если от сервера получен допустимый ответ.

С этого момента процесс обмена данными происходит так, как будто система Kerberos не используется, за исключением того, что в составе керберизованных приложений действуют средства кодирования и декодирования данных (в обычных приложениях такие средства отсутствуют). Со временем срок действия TGT и билета на получение услуг истекает, но это вряд ли повлияет на обмен информацией, так как срок действия билетов обычно устанавливается равным нескольким часам. Если же такая ситуация возникла в течение сеанса, билеты должны быть обновлены.

Требования к серверу Kerberos

Зная принципы работы системы Kerberos, можно сформулировать требования к ее компонентам. Очевидно, что с точки зрения безопасности сети KDC является чрезвычайно важным компонентом системы. Доступ к серверу (равно как и физический доступ к компьютеру, на котором он выполняется) должен иметь только администратор системы. Необходимо уделять внимание своевременному обновлению версий программного обеспечения. Поскольку KDC используется в работе многих серверов, необходимо продумать план его восстановления в случае неисправности. Создавайте резервные копии данных KDC и держите наготове компьютер, где можно было бы запустить KDC в случае выхода из строя машины, на которой выполняется основной сервер. Имеет смысл создать ведомый, или резервный KDC, который получал бы конфигурационные данные от ведущего, или основного KDC, и в случае выхода из строя последнего мог бы взять на себя обязанности по обслуживанию клиентов и серверов в сети.

Характеристики аппаратных средств, необходимых для работы KDC, определяются размерами сети, а именно числом компьютеров и пользователей. Для небольших сетей, насчитывающих порядка двух десятков узлов, для KDC подойдет низкоуровневый компьютер. Система, содержащая процессор Pentium с низким быстродействием, 32 Мбайт оперативной памяти и жесткий диск объемом в несколько сотен мегабайт, будет более чем достаточна для работы KDC в такой сети. Если же к сети подключены сотни, а тем более тысячи машин, потребуется более мощный компьютер, обладающий быстродействующим процессором и обеспечивающий высокую скорость обмена по сети. Размещая KDC в сети, надо выбрать его расположение так, чтобы обеспечивалась максимальная надежность, а время доставки данных клиентам и серверам было минимальным. Например, если сеть состоит из нескольких отдельных сегментов, желательно поместить в каждом из сегментов свой KDC. Если один KDC будет обслуживать несколько сетевых сегментов, то при сбое в работе маршрутизаторов взаимодействие клиентов с серверами станет невозможным.

Версии и разновидности Kerberos

Наибольшей популярностью пользуется пакет Kerberos, доступный по адресу

http://web.mit.edu/kerberоs/www/

Подобно X Window, Kerberos распространяется в исходных кодах. Кроме того, существуют варианты системы, созданные на основе кода MIT, которые предоставляются на коммерческой основе. Одна из разновидностей Kerberos создана в Швеции Королевским технологическим институтом (Royal Institute of Technology) и доступна по адресу

http://www.pdc.kth.se/kth-krb/

krb4

binaries

Центр параллельных вычислений (Center for Parallel Computers) реализовал систему Kerberos, известную под названием Heimdal; ее коды расположены по адресу

http://www.pdc.kth.se/heimdal/

В настоящее время средства поддержки Kerberos включаются в состав большинства дистрибутивных пакетов Linux. В частности, Debian 2.2 комплектуется eBones и Heimdal, в состав Mandrake 8.1 и Red Hat 7.2 входит Kerberos V5, a SuSE 7.3 комплектуется Heimdal. В поставку систем Caldera 3.1, Slackware 8.0 и TurboLinux 7.0 средства Kerberos не входят, но вы можете включить их, скомпилировав исходные коды либо установив пакет, предназначенный для другой версии Linux.

Основой сети Kerberos является сервер Kerberos, или KDC. Как и для большинства серверов Linux, для настройки KDC используется текстовый файл, находящийся в каталоге

/etc

Очевидно, что пакет Kerberos должен быть установлен на компьютере, предназначенном для размещения KDC. Для компиляции исходных кодов MIT и установки полученных программ надо вызвать сценарий

configure

make

make install

configure

--enable-shared

krb5-libs

krb5-server

krb5-workstation

Редактирование конфигурационных файлов сервера

Основным конфигурационным файлом сервера Kerberos является файл

/etc/krb5.conf

krb5.conf

Листинг 6.1. Пример файла

krb5.conf

[logging]

default = FILE:/var/log/krb5libs.log

kdc = FILE:/var/log/krb5kdc.log

admin_server = FILE:/var/log/kadmind.log

[libdefaults]

ticket_lifetime = 24000

default_realm = THREEROOMCO.COM

dns_lookup_realm = false

dns_lookup_kdc = false

[realms]

THREEROOMCO.COM = {

 kdc = kerberos.threeroomco.com:88

 kdc = kerberos-1.threeroomco.com:88

 kdc = kerberos-2.threeroomco.com:88

 admin_server = kerberos.threeroomco.com:749

 default_domain = threeroomco.com

}

[domain_realm]

.threeroomco.com = THREEROOMCO.COM

threeroomco.com = THREEROOMCO.COM

outsider.threeroomco.com = PANGAEA.EDU

[kdc]

profile = /var/kerberos/krb5kdc/kdc.conf

Каждая строка внутри раздела состоит из имени переменной, за которой следуют знак равенства (символ "

=

[realms]

THREEROOMCO.COM

[login]

[kdc]

[appdefaults]

KDC также использует собственный конфигурационный файл

kdc.conf

krb5.conf

kdc.conf

krb5.conf

Определение области

Как правило, для определения областей в файлы

krb5.conf

kdc.conf

krb5.conf

В файле

krb5.conf

[realms]

[domain_realm]

В рассмотренном примере раздел

[realms]

THREEROOMCO.СОМ

kerberos

kerberos-n

admin-server

default_domain

В одном файле

krb5.conf

[realms]

Записи, содержащиеся в разделе

[domain_realm]

threeroomco.com

threeroomco.com

THREEROOMCO.СОМ

outsider.threeroomco.com

PANGAEA.EDU

krb5.conf

В файле

kdc.conf

krb5.conf

kdc.conf

[realms]

kdc.conf

EXAMPLE.COM

[realms]

[kdcdefaults]

Листинг 6.2. Пример файла

kdc.conf

[kdcdefaults]

acl_file = /var/kerberos/krb5kdc/kadm5.acl

dict_file = /usr/share/dict/words

admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab

[realms]

THREEROOMCO.COM = {

 master_key_type = des-cbc-crc

 supported_enctypes = des-cbc-crc:normal des3-cbc-raw:normal \

  des3-cbc-shal:normal des-cbc-crc:v4 des-cbc-crc:afs3

}

Создание основного ключа

Для контроля доступа к Kerberos используется основной ключ (master key), который по сути представляет собой пароль и хранится в stash-файле. Stash-файл — это специальный файл, который читает сервер при запуске и определяет, разрешено ли его выполнение. Если stash-файл отсутствует, основной ключ необходимо вручную вводить при запуске сервера.

Поскольку stash-файл содержит чрезвычайно важную информацию, он должен храниться на том же диске, что и KDC, и быть доступным для чтения только пользователю

root

yiwttd

yi9Wt%Td

Для создания основного ключа и записи его в stash-файл используется команда

kdb5_util

# kdb5_util create -r THREEROOMCO.COM -s

Initializing database '/var/kerberos/krb5kdc/principal' for

realm 'THREEROOMCO.COM',

master key name 'K/M@THREEROOMCO.COM'

You will be prompted for the database Master Password.

It is important that you NOT FORGET this password.

Enter KDC database master key:

Re-enter KDC database master key to verify:

В процессе выполнения утилита

kdb5_util

/var/kerberos/krb5kdc

/usr/local/var/krb5kdc

kdb5_util

• Stash-файл с именем

.k5.имя_области

.k5stash

• Файлы

principal

principal.ok

principal

principal.db

• Файлы

principal.kadm5

principal.kadm5.lock

Если вы по каким-то причинам не хотите создавать stash-файл, то, вызывая

kdb5_util

s

Администрирование области

Отредактировав конфигурационные файлы Kerberos и вызвав

kdb5_util

Информация о принципалах Kerberos хранится в формате ACL (Access Control Lists — списки контроля доступа) в файле, имя которого определяет запись

acl_file

kdc.conf

Принципал_Kerberos Полномочия Целевой_принципал

Первое поле (Принципал Kerberos) содержит идентификатор принципала (правила формирования идентификатора принципала были рассмотрены ранее). Любой компонент идентификатора можно заменить символом "

*

*/admin@THREEROOMCO.СОМ

admin

THREEROOMCO.СОМ

Второе поле (Полномочия) — это код ACL, соответствующего принципалу. Типы полномочий задаются с помощью односимвольных кодов. Назначение символов описано в табл. 6.1. Объединяя разные коды, можно задать различные типы доступа. Например, код

ali

Таблица 6.1. Коды полномочий в файле ACL

а

А

d

D

m

M

с

С

i

I

1

L

x

*

Последнее поле (Целевой принципал) может отсутствовать. Оно определяет имена принципалов, к которыми применяются заданные полномочия. Например, вы можете ограничить возможности пользователя по доступу и модификации прав конкретных принципалов. Как и при определении принципала Kerberos, в идентификаторе целевого принципала можно использовать символ "

*

Рассмотрим в качестве примера следующую запись:

*/admin@THREEROOMCO.COM *

Эта запись предоставляет всем принципалам экземпляра

admin

Для администрирования базы пользователей Kerberos применяются программы

kadmin

kadmin.local

kadmin

kadmin.local

kadmin.local

kadmin

При запуске программ

kadmin

kadmin.local

admin/admin@THREEROOMCO.COM

addprinc

# kadmin.local

Authenticating as principal root/admin@THREEROOMCO.COM with

password.

kadmin.local: addprinc admin/admin@THREEROOMCO.COM

WARNING: no policy specified for admin/admin@THREEROOMCO.COM;

defaulting to no policy

Enter password for principal "admin/admin@THREEROOMCO.COM":

Re-enter password for principal "admin/admin@THREEROOMCO.COM":

Principal "admin/admin@THREEROOMCO.COM" created.

После создания принципала, предназначенного для администрирования, вам надо сформировать для него ярлык (keytab). Ярлык — это ключ, который Kerberos использует для расшифровки административных билетов. Вам нет необходимости задавать этот ключ; Kerberos сгенерирует его самостоятельно. Достаточно лишь указать системе на необходимость выполнения этого действия, для чего следует в среде

kadmin.local

ktadd

kadmin.local: ktadd -k /var/kerberos/krb5kdc/kadm5.keytab \

kadmin/admin kadmin/changepw

Для указания файла, в котором должен храниться ярлык, используется опция

-k

kdc.conf

-k

kadmin/admin

kadmin/changepw

В дополнение к принципалу, который соответствует администратору, вы должны создать принципалов для ваших пользователей, серверов администрирования и KDC. Для этого используется описанная выше команда

addprinc

fluffy@THREEROOMCO.COM

kadmin.local: addprinc fluffy@THREEROOMCO.COM

Для серверов желательно использовать опцию

-randkey

Принципалы для серверов приложений создаются аналогичным образом, но идентификаторы обычно имеют вид

имя_сервера/имя_узла@имя_области

pop

ftp

host

host

ktadd

-k

kadmin

ktadd

Вероятнее всего, вы решите создать принципала для каждого KDC. Идентификаторы таких принципалов создаются в формате

host/имя_узла@имя_области

host/kerberos-1.threeroomco.com/THREEROOMCO.COM

Окончив работу с программой

kadmin

quit

Запуск KDC

К этому моменту компоненты Kerberos настроены и могут быть запущены. Для запуска сервером можно использовать способы, описанные в главе 4. Если пакет Kerberos поставлялся вместе с вашей системой, для вероятно, существует сценарий запуска SysV. Сценарий для KDC обычно называется

krb5kdc

kadmin

Если сценарии SysV отсутствуют, вы можете использовать для запуска программы

krb5kdc

kadmin

/etc/rc.d/rc.local

Настройка ведомого KDC

Ведомый KDC настраивается практически так же, как и ведущий. Вам надо отредактировать файлы

krb5.conf

kdc.conf

kdb5_util

ktadd

kadmin.local

Каждому KDC требуется файл, в котором перечислены все KDC (или, точнее, принципалы, связанные со всеми KDC. Этот файл необходим для передачи данных из базы. Указанный файл имеет имя

kpropd.acl

/var/kerberos/krb5kdc

/usr/local/var/krb5kdc

host/kerberos.threeroomco.com@THREEROOMCO.COM

host/kerberos-1.threeroomco.com@THREEROOMCO.COM

Сформировав данный файл для каждого из KDC, надо сконфигурировать ведомый KDC для выполнения двух серверов:

kpropd

klogind

/etc/inetd.conf

krb5_prop stream tcp nowait root /usr/kerberos/sbin/kpropd

kpropd eklogin stream tcp nowait root \

 /usr/kerberos/sbin/klogind klogind -k -c -e

Возможно, на вашем компьютере расположение файлов будет отличаться от указанного выше. Если же в вашей системе используется суперсервер

xinetd

/etc/services

krb5_prop

eklogin

krb5_prop 754/tcp # Передача данных ведомому

          # серверу Kerberos

eklogin 2105/tcp  # Удаленная регистрация

          # с использованием шифрования

Распространение данных осуществляется ведущим KDC и состоит из двух этапов: извлечение содержимого базы данных и передача его ведомым серверам. Сценарий, выполняющий обе задачи, представлен в листинге 6.3. Возможно, вам придется внести в него изменения, отражающие особенности вашей системы и структуру сети. Если в сети существует несколько ведомых серверов, вам надо вызвать

kprop

cron

Листинг 6.3. Пример сценария, предназначенного для передачи базы данных Kerberos ведомым KDC

# !/bin/sh

/usr/kerberos/sbin/kdb5_util dump

/usr/kerberos/var/krb5kdc/slave_datatrans

/usr/kerberos/sbin/kprop -f

/usr/kerberos/var/krb5kdc/slave_datatrans \

 kerberos-1.mil.threeroomco.com

Настройка KDC — важный этап подготовки системы Kerberos к работе, но сам по себе KDC не осуществляет полезных действий. Для того чтобы система стала работоспособной, необходимо выполнить вторую часть работы — настроить серверы приложений и клиенты Kerberos для взаимодействия с KDC. Данный раздел посвящен настройке серверов приложений, а настройка клиентов будет рассматриваться в следующем разделе.

Выбор конфигурации сервера приложения

При настройке серверов приложений совершаются многие из тех действий, которые выполнялись при выборе конфигурации KDC. В частности, настраивая сервер приложений, необходимо изменить содержимое разделов

[realms]

[domain_realm]

krb5.conf

host/имя_узла@имя_области

telnet/имя_узла@имя_области

kadmin.local

addprinc

kadmin.local

kadmin.local: addprinc \

 host/gingko.threeroomco.com@THREEROOMCO.COM

kadmin.local: addprinc \

 telnet/gingko.threeroom.com@THREEROOMCO.COM

kadmin.local: ktadd -k gingko.keytab \

 host/gingko.threeroomco.com telnet/gingko.threeroomco.com

Файл

gingko.keytab

/etc

krb5.keytab

scp

root

ktadd

-k gingko.keytab

Запуск керберизованных серверов

Как правило, в состав стандартного пакета Kerberos входят керберизованные серверы и локальные средства аутентификации, например, программы, поддерживающие протоколы Telnet и FTP, а также разновидности

shell

exec

login

inetd

/etc/inetd.conf

klogin stream tcp nowait root /usr/kerberos/sbin/klogind \

 klogind -k -c

eklogin stream tcp nowait root /usr/kerberos/sbin/klogind \

 klogind -k -c -e

kshell stream tcp nowait root /usr/kerberos/sbin/kshd \

 kshd -k -c -A

stream tcp nowait root /usr/kerberos/sbin/ftpd \

 ftpd -a

telnet stream tcp nowait root /usr/kerberos/sbin/telnetd \

 telnetd -a valid

Приведенные выше строки заменяют соответствующие записи в составе файла.

Помимо программ, которые распространяются в составе пакета Kerberos, доступны также керберизованные варианты других серверов. Подобные серверы поставляются независимыми производителями. Прежде чем использовать такие продукты, необходимо тщательно изучить документацию и выяснить их возможности и особенности выполнения.

Для того чтобы пользователь мог работать с системой Kerberos, надо в первую очередь создать принципала для этого пользователя. Принципалы пользователей имеют вид

имя_пользователя@имя_области

kadmin

kadmin.local

Обеспечение доступа к серверам Kerberos

На первый взгляд может показаться, что для обращения к серверам приложений Kerberos достаточно иметь соответствующие клиентские программы. На самом деле ситуация выглядит несколько сложнее. Прежде всего, в процессе обмена участвуют специальные утилиты: пользователь должен иметь возможность получить TGT и при необходимости изменить пароль Kerberos. Кроме того, к самим клиент-программам Kerberos предъявляются специальные требования; без поддержки специфических возможностей клиенты Kerberos превращаются в обычные клиентские программы, не обеспечивающие повышенный уровень защиты.

В состав пакета Kerberos входят утилиты, предназначенные для управления паролями и билетами Kerberos. Наиболее важные из них перечислены ниже.

•

kinit

kinit

kinit

kinit minerva@PANGAEA.EDU

kinit

kinit

•

klist

kinit

klist

•

kpasswd

kpasswd

passwd

kpasswd

•

kdestroy

kdestroy

kdestroy

.logout

.xinitrc

kdestroy

Как используются перечисленные выше утилиты на практике? В большинстве случаев программы

kinit

kdestroy

klist

$ kinit

Password for fluffy@THREEROOMCO.COM:

$ klist

Ticket cache: FILE:/tmp/krb5cc_500

Default principal: fluffy@THREEROOMCO.COM

Valid starting   Expires      Service principal

10/09/02 14:38:57 10/10/02 00:38:57 krbtgt/THREEROOMCO.COM@\

                   THREEROOMCO.COM

Kerberos 4 ticket cache: /tmp/tkt500

klist: You have no tickets cached

$ kpasswd

Password for fluffy@THREEROOMCO.COM:

Enter new password:

Enter it again:

Password changed.

$ kdestroy

$ klist

klist: No credentials cache file found (ticket cache

FILE:/tmp/krb5cc_500)

Kerberos 4 ticket cache: /tmp/tkt500

klist: You have no tickets cached

Программа

kinit

klist

krbtgt

klist

klist

kinit

kdestroy

Клиент-программы, ориентированные на работу с Kerberos, выполняются так же, как и их аналоги, не обеспечивающие дополнительную защиту. В большинстве случаев для вызова клиент-программы надо ввести ее имя и имя сервера, с которым необходимо установить соединение. Иногда для использования средств Kerberos приходится задавать некоторые параметры. Например, чтобы избавить пользователя от необходимости указывать имя и пароль при работе с клиентом

telnet

•

telnet

telnet

telnet

telnet удаленный_узел

-а

-f

•

rlogin

rlogin

-f

telnet

-а

-f

•

ftp

ftp

rsh

telnet

rlogin

-f

rcp

rcp

-х

su

root

ksu

/usr/local/bin

/usr/local/sbin

/usr/kerberos/bin

PATH

PATH

/etc/profile

.bashrc

Применение Kerberos для регистрации пользователей

При обсуждении средств поддержки сеанса Kerberos предполагалось, что пользователь уже зарегистрирован в системе. Однако подобный подход крайне неудобен, так как пользователю приходится регистрироваться дважды: один раз в начале работы на компьютере, а второй раз при работе с серверами Kerberos (при запуске программы

kinit

login.krb5

ksu

login.krb5

kinit

kinit

login.krb5

login.krb5

Процедура регистрации в системе Linux в текстовом режиме включает использование программы

getty

getty

mingetty

mgetty

vgetty

/etc/inittab

/bin/login

/bin/login

login.krb5

/bin/login

# mv /bin/login /bin/login-original

# cp /usr/kerberos/sbin/login.krb5 /bin/login

Если возникнут проблемы с использованием

login.krb5

/bin/login

login

kinit

/etc/passwd

/bin/login

При использовании

su

ksu

• Компьютер, на котором работает

ksu

/etc/krb5.keytab

• Для исполняемого файла

ksu

root

chmod a+s /usr/kerberos/bin/ksu

• Для повышения уровня защиты пользователю, учетной записью которого вы собираетесь воспользоваться, должен соответствовать файл авторизации, в котором указываются права доступа для других пользователей. В роли файла авторизации может выступать

.k5login

.k5users

Для того чтобы один пользователь мог перейти к учетной записи другого пользователя, целевой пользователь должен создать файл авторизации. Без этого файла

ksu

.k5login

.k5users

*

minerva@THREEROOMCO.COM

/bin/ls

/usr/bin/zip

minerva@THREEROOMCO.COM /bin/ls /usr/bin/zip

После настройки программа

ksu

su

.k5login

.k5users

Если вы хотите непосредственно выполнить некоторую программу, вы можете сделать это с помощью опции

-е имя_программы

/bin/ls

fluffy

fluffy -e /bin/ls

Замена программ

login

su

vlock

xscreensaver

РАМ выполняет роль посредника между программами, которым требуется аутентификация (например, сервером FTP, программой

login

/etc/passwd

/etc/shadow

Несмотря на то что РАМ может выступать в роли универсального средства аутентификации и поддерживается во всех версиях Linux и во многих системах, отличных от Linux, керберизованные версии РАМ мало распространены. Ниже описаны некоторые из таких модулей, которые были доступны в момент написания данной книги.

• Модуль Деррика Брешера (Derrik Brashier). Этот модуль предназначен для использования совместно с Kerberos V4. Он расположен по адресу

ftp://ftp.dementia.org/pub/pam/

pam_krb4

• Модуль Фрэнка Кусека (Frank Cusack). Модуль РАМ, поддерживающий MIT Kerberos V5 и Heimdal, находится по адресу

http://www.nectar.com/zope/krb/

• Модуль Кертиса Кинга (Curtis King). Этот модуль доступен по адресу

ftp://ftp.dementia.org/pub/pam/

pam_krb5-1.1.3.tar.gz

• Модуль для системы Red Hat. Модуль РАМ Kerberos V5 входит в состав дистрибутивного комплекта Red Hat под именем

pam_krb5

• Модули для системы Debian. В Debian и других подобных системах работа с Kerberos V5 и Heimdal поддерживается соответственно модулями

libpam-krb5

libpam-heimdal

http://ftp.nl.debian.org/debian/pool/non-US/main/libp/libpam-krb5/

http://ftp.nl.debian.org/debian/pool/non-US/main/libp/libpam-heimdal/

При инсталляции РАМ для поддержки Kerberos вы по сути устанавливаете средства, с помощью которых РАМ настраивается для выполнения конкретной задачи. В состав модуля РАМ входит одна или несколько библиотек, которые располагаются в каталогах

/lib/security

/usr/lib/security

pam_krb5.so

pam_krb5afs.so

/etc/pam.d

/etc/pam.d/login

login

/usr/share/doc/pam_krb5-версия/pam.d

/etc/pam.d

•

login

login

login.krb5

login

•

gdm

•

xdm

•

su

sudo

su

su

sudo

sudo

•

passwd

passwd

•

vlock

vlock

vlock

•

xlock

xscreensaver

vlock

Возможно, вы захотите настроить и другие программы для взаимодействия с Kerberos; при этом вам придется отредактировать соответствующие конфигурационные файлы РАМ. Если какой-то из серверов уже сконфигурирован для работы с Kerberos, вам не надо модифицировать файлы РАМ. Например, если у вас уже установлен керберизованный FTP-сервер, вам не следует изменять файл

/etc/pam.d/ftp

Если некоторая программа использует РАМ, то для обеспечения ее совместной работы с Kerberos вам необходимо добавить или заменить некоторые строки в конфигурационном файле РАМ. В составе такого файла содержатся записи, определяющие основные действия, связанные с аутентификацией:

auth

account

password

session

gdm

Листинг 6.4. Пример конфигурационного файла РАМ для поддержки Kerberos

#%РАМ-1.0

auth   required  /lib/security/pam_nologin.so

auth   sufficient /lib/security/pam_unix.so shadow md5 \

 nullok likeauth

auth   required  /lib/security/kam_krb5.so use_first_pass

account  required /lib/security/pam_unix.so

password required /lib/security/pam_crack.lib.so

password required /lib/security/pam_unix.so shadow md5 \

 nullok use_authtok

session  required /lib/security/pam_unix.so

session  optional /lib/security/pam_krb5.so

session  optional /lib/security/pam_console.so

pam_krb.so

В данном примере наиболее важны последняя запись

auth

session

auth

use_first_pass

kinit

password

password required /lib/security/pam_krb5.so use_authtok

Это необходимо в случае, если модуль

password

раsswd

session

xscreensaver

linuxconf

В некоторых случаях приходится удалять существующие записи из файлов, размещенных в

/etc/pam.d

pam_pwdb.so

pam_pwdb.so

password

passwd

Новая конфигурация РАМ становится доступна сразу после внесения соответствующих изменений; перезапускать программы РАМ не требуется. Если установленная конфигурация оказывает воздействие на сервер, который уже выполняется в системе, то чтобы он работал с учетом новой конфигурации его, возможно, придется перезапустить. Если установки влияют на регистрацию в системе, они окажут требуемое воздействие лишь после завершения сеанса работы пользователя. При использовании средств регистрации с графическим интерфейсом, например GDM, может понадобиться перезапустить сервер.

При настройке Samba устанавливаются опции общего назначения, а также выбирается конфигурация конкретных разделяемых объектов Samba (разделяемыми объектами считаются каталоги и принтеры, которые Samba предоставляет клиентам). Опции общего назначения чрезвычайно важны, так как если они установлены некорректно, то доступ к серверу станет невозможным. Кроме того, эти настройки влияют на выполнение задач, непосредственно не связанных с разделением файлов и принтеров. К таким задачам относится, например, идентификация компьютеров в сети NetBIOS.

Конфигурационный файл Samba

Для настройки Samba используется файл

smb.conf

/etc

/etc/samba

/etc/samba.d

smb.conf

#

[имя_разделяемого_объекта]

Последующие строки раздела определяют характеристики объекта — имя каталога, соответствующего разделяемому объекту, особенности обработки файлов и т.д. Раздел, содержащий опции общего назначения, выглядит как определение разделяемого объекта, но таковым не является. В начале этого раздела указано имя

[global]

[global]

Для настройки Samba используются параметры, которые представляются в следующем формате:

параметр = значение

Samba позволяет использовать при указании параметров символы как нижнего, так и верхнего регистра, но в большинстве случаев имена параметров содержат только символы нижнего регистра, а значения параметров начинаются с прописной буквы. Некоторые значения, например имена файлов Linux, зависят от регистра символов. Ряд параметров предполагает двоичные значения; в этом случае

Yes

True

1

No

False

0

Идентификация сервера Samba

В сетях NetBIOS используется система имен, не связанная с доменными именами, применяемыми в сетях TCP/IP. Например, компьютеру

harding.threeroomco.com

BILLY

USPRES

Имя рабочей группы или имя домена задается с помощью параметра

workgroup

workgroup = USPRES

Данный параметр указывает на то, что компьютер принадлежит рабочей группе

USPRES

По умолчанию Samba использует в качестве имени узла NetBIOS первый компонент доменного имени TCP/IP этого компьютера. Например, для компьютера

harding.threeroomco.com

HARDING

netbios name

netbios aliases

BILLY

WILLIAM

netbios name = BILLY

netbios aliases = WILLIAM

Защита системы

В ранних реализациях SMB/CIFS пароли передавались по сети в незашифрованном виде. Это давало возможность для перехвата их другими узлами локальной сети, а если в обмене данными участвовали маршрутизаторы, то пароль мог быть перехвачен и внешними компьютерами. В последующих реализациях SMB/CIFS были использованы средства шифрования паролей. Однако способы кодирования SMB/CIFS не совместимы со способами, которые используются для поддержки локальных паролей Linux. Закодированный пароль SMB/CIFS невозможно сравнить с записями, хранящимися в локальной базе Linux, поэтому в Samba была реализована собственная база паролей. Эта база называется

smbpasswd

В системе Windows, начиная с версий Windows 95 OSR2 и Windows NT 4.0 SP3, по умолчанию используются зашифрованные пароли. Если сервер Samba настроен для передачи незакодированных паролей, взаимодействие с Windows будет невозможным. Для того чтобы устранить эту проблему, надо переконфигурировать либо сервер Samba, либо систему Windows. Чтобы изменить конфигурацию Samba, придется затратить меньше усилий, кроме того, такой подход гораздо предпочтительнее с точки зрения безопасности системы.

Обработкой зашифрованных паролей управляет параметр

encrypt passwords

smbpasswd

smbpasswd

# smbpasswd -а имя_пользователя

В процессе выполнения утилита

smbpasswd

smbpasswd

smbpasswd

smbpasswd

Дополнительные меры по защите обеспечивают параметры

hosts allow

hosts deny

/etc/hosts.allow

/etc/hosts.deny

algernon.pangaea.edu

hosts allow = 192.168.7. algernon.pangaea.edu

Samba как сервер имен NetBIOS

В сетях NetBIOS необходимы средства преобразования имен. Преобразование имен NetBIOS и TCP/IP выполняется различными способами; основные из них описаны ниже.

• Имена TCP/IP. Для преобразования можно использовать имена TCP/IP; в Windows 2000, Windows XP и Samba этот способ применяется по умолчанию. Следует заметить, что такое решение не имеет непосредственного отношения к NetBIOS.

• Применение файла

lmhosts

lmhosts

/etc/hosts

• Широковещательная передача. Если компьютеру необходимо определить адрес другого компьютера, он передает запрос в широковещательном режиме. Средства, реализующие данный способ, просты в настройке и хорошо работают в небольших сетях. В сетях большого размера такое преобразование приводит к неоправданному увеличению трафика. Если сеть состоит из нескольких подсетей, объединенных маршрутизаторами, данный способ будет применим только в том случае, когда маршрутизаторы настроены для передачи широковещательных сообщений.

• WINS-сервер. Сервер NBNS (NetBIOS Name Service — служба имен NetBIOS), который также известен под названием WINS (Windows Internet Name Service — сервер Internet-имен для системы Windows), выполняет преобразование имен в IP-адреса.

Чтобы сервер Samba мог работать в качестве WINS-сервера, надо включить в раздел

[global]

smb.conf

wins support = Yes

WINS-сервер не требует дополнительной настройки (по крайней мере на стороне сервера). Если клиенты и серверы NetBIOS могут обмениваться данными по сети, они регистрируются на WINS-сервере. WINS-сервер должен быть задан для каждого компьютера, подключенного к сети. В системе Windows для этого используется диалоговое окно TCP/IP Properties, показанное на рис. 7.1. Если вы установите флажок опции Use DHCP for WINS Resolution, Windows будет получать необходимую информацию от DHCP-сервера. (Вопросы настройки DHCP-сервера рассматривались в главе 5.)

Рис. 7.1. Диалоговое окно TCP/IP Properties в системе Windows позволяет задавать адрес WINS-сервера

Чтобы сервер Samba использовал для преобразования имен NetBIOS WINS-сервер, вам надо задать в файле

smb.conf

wins server

name resolve order

name resolve order

host

beast

wins server = 192.168.1.1

name resolve order = wins lmhosts host beast

Роль WINS-сервера может выполнять только одна система. Если таких серверов будет несколько, ненадежность выполнения процедуры преобразования снизится, так как некоторые компьютеры будут регистрироваться на одном сервере, а остальные — на других серверах. (В NetBIOS-сетях предусмотрен механизм использования вторичного сервера имен. Наличие вторичного сервера увеличивает надежность сети и обеспечивает работу клиентов при выходе основного сервера из строя. Однако система Samba не может работать в качестве вторичного сервера имен.)

Samba как основной броузер

Выше я упоминал о броузерах Network Neighborhood и My Network Places. Эти программы не являются Web-броузерами. Они предназначены для просмотра данных, предоставляемых серверами SMB/CIFS, работающими в сети NetBIOS (рис. 7.2). Дважды щелкнув мышью на имени компьютера, вы увидите информацию о разделяемых объектах SMB/CIFS. Разделяемые объекты файлов отображаются в виде папок, а разделяемые объекты печати — в виде пиктограмм с изображением принтеров. Дважды щелкнув на изображении папки, вы получите доступ к разделяемым файлам и сможете работать с ними так же, как и с файлами на локальном жестком диске.

Рис. 7.2. Windows предоставляет информацию о компьютерах вашего домена или рабочей группы, а также о компьютерах, принадлежащих другим доменам или рабочим группам, которые находятся в текущем сегменте локальной сети

Такое взаимодействие удобно с точки зрения пользователя, но для того, чтобы оно стало возможным, необходимо иметь соответствующим образом настроенное программное обеспечение. Рассмотрим описанную ситуацию с точки зрения сетевого броузера Windows. Как он может получить информацию о том, какие компьютеры присутствуют в сети и какие объекты доступны для совместного использования? Для этого один из компьютеров в сегменте сети NetBIOS должен выполнять функции основного локального броузера (local master browser). Этот компьютер хранит список серверов SMB/CIFS, принадлежащих сегменту сети, и предоставляет данные клиентам SMB/CIFS в ответ на их запросы. В результате, для того, чтобы иметь сведения о разделяемых ресурсах, клиент должен знать только адрес основного броузера, а такую информацию он может получить с помощью широковещательного сообщения. Сразу после загрузки клиент передает в широковещательном режиме запрос на получение адреса основного броузера. То же делает и сервер, но при этом он регистрирует свои ресурсы. В результате на основном броузере всегда содержится самая новая информация о конфигурации сети.

В домене NetBIOS используется другой тип основного броузера, который называется основным броузером домена (domain master browser) и взаимодействует с основными локальными броузерами, расположенными в подсетях, входящих в домен. Эти броузеры обмениваются содержащимися на них списками, в результате основной броузер домена получает (с некоторой задержкой) все текущие сведения о домене.

В роли основного броузера домена обычно выступает контроллер домена. Компьютер специально настраивается для выполнения соответствующих функций. Основные локальные броузеры определяются с помощью процедуры выборов (election), в ходе которых компьютеры, принадлежащие сегменту сети, выступают в роли претендентов и объявляют в сети свои возможности. Один из претендентов оказывается победителем и принимает на себя обязанности основного локального броузера. Важно, чтобы основные броузеры работали надежно; если компьютер, выполняющий функции основного броузера часто выходит из строя или перезагружается, то в это время пользователи не смогут просматривать ресурсы сети. Важно также, чтобы сервер Samba не проявлял излишней "настойчивости", пытаясь стать победителем. Установка одного из параметров (он будет рассмотрен ниже) приведет к тому, что Samba будет периодически выставлять свою кандидатуру на роль основного локального броузера, в результате чего процедура просмотра ресурсов сети станет работать с перебоями.

Чтобы настроить сервер Samba для выполнения функций основного локального броузера, надо установить параметры, позволяющие ему участвовать в выборах и побеждать. Для этого в раздел

[global]

browse list = Yes

local master = Yes

preferred master = Yes

os level = 65

Параметр

browse list

Yes

Yes

Yes

preferred master

No

Yes

preferred master

os level

os level = 65

os level

os level

Для настройки Samba в качестве основного броузера домена надо, во-первых, установить рассмотренные выше параметры так, чтобы компьютер выиграл выборы и стал основным локальным броузером, а во-вторых, задать параметр

domain master = Yes

domain master

Samba как контроллер домена

Как вы уже знаете, компьютеры в сетях NetBIOS объединяются в рабочие группы, либо в домены. Эти структуры похожи друг на друга, но в домене степень централизации несколько выше. В домене присутствует компьютер, называемый контроллером домена, который выполняет аутентификацию пользователей. Вместо того чтобы предоставлять каждому серверу самостоятельно решать, разрешить ли пользователю обращаться к разделяемым объектам, эту задачу выполняет контроллер домена. Использование такого контроллера существенно упрощает администрирование сети, содержащей несколько серверов, в особенности, если администратору часто приходится создавать учетные записи для новых пользователей и удалять старые записи. Однако для настройки контроллера домена необходимо приложить определенные усилия. Контроллер домена может решать также другие задачи. Например, с помощью можно поддерживать сценарии регистрации или создавать профили Windows. Профили — это специальные наборы установок, которые могут вместе с пользователями перемещаться от одного клиента к другому. Конфигурирование контроллера домена — достаточно сложная задача, поэтому в данном разделе приводятся лишь общие сведения о его настройке.

Существуют два типа контроллеров домена NetBIOS: основной контроллер домена (primary domain controller — PDC) и резервный контроллер домена (backup domain controller — BDC). В случае если PDC выходит из строя или становится недоступным, его функции выполняет BDC. Samba поддерживает возможности PBC, но не может выступать в роли ВВС.

Чтобы настроить Samba для работы в качестве PBC, необходимо добавить в раздел

[global]

smb.conf

security = User

encrypt passwords = Yes

domain logons = Yes

Параметр

security

encrypt passwords

domain logons

domain logons

Yes

smbpasswd

workgroup

smb.conf

Если в состав сети входят компьютеры под управлением Windows NT, 2000 или XP, вам надо предпринять дополнительные действия по настройке системы. Во-первых, необходимо помнить, что версии Samba, предшествующие 2.2.0, не поддерживают взаимодействие с клиентами Windows NT, версии, выпущенные ранее 2.2.1a, не поддерживают клиентов Windows XP и Windows 2000 Service Pack 2 (SP2). Samba 2.2.0 и более поздние версии поддерживают многие новые возможности, реализованные в клиентах NT/2000 и даже в Windows NT 4.0. Это надо учитывать, выбирая версию Samba. Во-вторых, для использования Samba в качестве контроллера домена для каждого из клиентов NT/2000/XP необходимо создать в системе Linux структуру, которая называется доверительной учетной записью (trust account). Сделать это можно, выполнив следующие команды:

# groupadd -r trust

# useradd -r -g trust -d /dev/null -s /dev/null client$

# smbpasswd -a -m client

Команду

groupadd

useradd

CLIENT

$

smbpasswd

client

smbpasswd

$

Конфигурация домена требует также изменить способ настройки клиента. Это можно сделать с помощью управляющей панели. В Windows 9x/Me для этого надо выбрать в окне Network пункт Microsoft Networks и щелкнуть на кнопке Properties. Система отобразит диалоговое окно Client for Microsoft Networks Properties, показанное на рис. 7.3. Установите флажок опции Log On to Windows NT Domain и введите имя домена. Чтобы сделать то же самое в системе Windows 2000, надо щелкнуть правой кнопкой мыши на пиктограмме My Computer и выбрать пункт Properties, чтобы открыть диалоговое окно System Properties. Затем необходимо выбрать Network Identification и щелкнуть на кнопке Properties. После установки конфигурации домена система запросит пользовательское имя и пароль администратора. В ответ надо, как обычно, ввести имя пользователя и пароль.

Рис. 7.3. Выбор конфигурации домена на клиентской машине под управлением Windows сводится к установке флажка опции и вводу имени домена

Настройка файлового сервера для выполнения функций контроллера домена и WINS-сервера часто бывает необходима, но в подавляющем большинстве случаев сервер Samba используется как обыкновенный файловый сервер. Для того чтобы настроить Samba таким образом, надо определить разделяемые файлы, включив эти определения в файл

smb.conf

[global]

Описание разделяемых объектов

Описание разделяемого объекта Samba, обеспечивающего совместный доступ к файлам, выглядит следующим образом:

[sample]

path = /home/samba/shared-dir

browseable = Yes

read only = No

В данном примере определяется разделяемый объект с именем

[sample]

SAMPLE

/home/samba/shared-dir

SAMPLE

browseable = Yes

browseable

Yes

browseable

browseable = No

read only = No

writeable = Yes

write ok = Yes

Во многих сетях серверы Samba применяются для предоставления пользователям дополнительного дискового пространства, которое необходимо им для хранения документов. Для того чтобы упростить обслуживание пользователей, в системе Samba действует специальное соглашение, связанное с использованием разделяемого объекта

[homes]

[homes]

• Задавать параметр

path

• В списке просмотра разделяемый объект отображается под именем, совпадающим с именем пользователя (например, объект

rodsmith

browseable = No

[homes]

Во многих дистрибутивных пакетах разделяемый объект

[homes]

smb.conf

объекты, конфигурация, установленная по умолчанию, позволит вам использовать сервер Samba для решения многих практических задач. (Имя рабочей группы вам придется задать самостоятельно и, вероятнее всего, вам необходимо будет определить политику шифрования паролей.)

Настраивая сервер Samba, вы можете описывать как угодно много разделяемых объектов, но очевидно, что определять несколько объектов

[homes]

[global]

Поддержка имен файлов Windows

В системах Linux и Windows действуют разные соглашения по именованию файлов. Если в вашей сети, кроме Windows, присутствуют также клиенты DOS, то при настройке Samba следует учесть, что правила именования DOS-файлов отличаются от правил, принятых не только в Windows. Таким образом, при работе в сети с компьютерами Windows и DOS сервер Samba должен решить сложную задачу: представить файловую систему Linux в формате, совместимом с файловыми системами DOS и Windows.

Одно из самых важных отличий файловой системы Linux от системы Windows состоит в том, что имена файлов Linux чувствительны к регистру символов, т.е. имена

FILE.TXT

file.txt

File.txt

Параметр

case sensitive

sensitive = Yes

sensitive = Yes

Параметры

preserve case

short preserve case

Yes

No

default case

Lower

Upper

short preserve case

short preserve case = No

Средства SMB/CIFS обеспечивают доставку имен 8.3 даже в том случае, если исходные имена содержат большее количество символов. Это позволяет организовывать доступ к файлам с длинными именами для клиентов, работающих в DOS или 16-битовой системе Windows. Поскольку в Linux длина имени файла не ограничена, сервер Samba должен динамически генерировать имена 8.3. Параметр

mangled names = Yes

mangled names = No

Владелец файла и права доступа

Средства защиты Linux базируются на понятиях принадлежности файла определенному владельцу и правах доступа к нему, принятых в системе UNIX. Однако SMB/CIFS использует те же признаки несколько по-другому. Средства SMB/CIFS регистрируют пользователей, обратившихся к серверу, анализируя имена и пароли, таким образом, по умолчанию Samba использует для этой цели учетные записи Linux. Если пароли передаются в незашифрованном виде, Samba применяет стандартный механизм аутентификации Linux, а при работе с зашифрованными паролями сервер Samba самостоятельно идентифицирует пользователя. Samba позволяет проводить сеанс работы от имени различных пользователей. В частности, параметры

force user

force group

[jekyl]

path = /home/samba/jekyl

read only = No

force user = hyde

Каждый пользователь, обратившийся к данному объекту, будет выполнять любые действия так, как будто их выполняет пользователь, которому в Linux соответствует учетная запись

hyde

muriel

hyde

henry

/home/samba/jekyl

hyde

force group

force user

Параметры

force user

force group

Несмотря на то что и Linux, и SMB/CIFS поддерживают пользовательские имена, механизмы обеспечения доступа, используемые ими, не совпадают. Если Samba применяется для взаимодействия с клиентами DOS и Windows 9x/Me, клиент вовсе не использует сведения о правах доступа. Поэтому вы можете устанавливать для файлов, созданных этими клиентами, любые права. Сделать это можно с помощью параметров

create mask

directory mask

create mask

directory mask

В системах DOS и Windows используются три атрибута файлов, которые не поддерживаются в файловой системе Linux. Samba отображает эти атрибуты в биты, определяющие права запуска файлов на выполнение. В Samba предусмотрены параметры, позволяющие управлять отображением атрибутов файлов в права доступа. Эти параметры перечислены ниже.

•

map archive

Yes

create mask

•

map system

Yes

No

•

map hidden

Yes

No

hide dot files = No

Значение параметра

create mask

map archive

map system

map hidden

map system

map hidden

create mask

В системах Windows NT/2000/XP используется более сложная модель защиты, чем в Windows 9x/Me. В Windows NT/2000/XP поддерживаются ACL (Access Control Lists — списки контроля доступа), которые позволяют непосредственно определить уровень доступа конкретного пользователя к файлу. Samba поддерживает отображение прав доступа для владельца, группы и всех пользователей Linux в Windows ACL. Это позволяет хранить на сервере Samba информацию о правах, установленных в системе Windows NT/2000/XP. Поддержка ACL задается с помощью параметра

 nt acl support

Yes

No

create mask

directory mask

Ограничение доступа к разделяемым объектам

Samba использует различные средства контроля доступа к серверу. В качестве примера можно привести уже упоминавшиеся параметры

hosts allow

hosts deny

valid users

invalid users

valid users

invalid users

Помимо

valid users

invalid users

write list

read list

write list

В качестве примера применения описанных выше параметров рассмотрим следующий фрагмент конфигурационного файла:

[control]

path = /home/samba/control

read only = Yes

invalid users = thomas susan

write list = gertrude henry

Для большинства пользователей данный объект допускает только чтение. Двум пользователям (

thomas

susan

gertrude

henry

Разделяемые объекты, представляющие принтеры, используются по такому же принципу, как и объекты, предназначенные для организации совместного доступа к файлам. Для того чтобы вывести данные на печать, клиент передает файл разделяемому объекту принтера. Сервер обрабатывает этот файл и выводит его содержимое на устройство печати. Многие из параметров, которые используются при описании разделяемых объектов файлов, применимы и для объектов принтеров. Так, например, в описания разделяемых объектов принтеров можно включать параметры, управляющие доступом пользователей. С другой стороны, в определении таких объектов неуместны параметры, которые управляют использованием в именах файлов символов верхнего и нижнего регистра.

Трудности, возникающие при поддержке разделяемых принтеров, в основном связаны с обработкой заданий на печать, передаваемых Windows-клиентами. В зависимости от типа очереди Linux, такие задания должны либо модифицироваться, либо оставаться неизменными. В некоторых случаях приходится создавать различные конфигурации для PostScript-принтеров и принтеров, в которых отсутствует поддержка данного языка.

Создание разделяемого объекта принтера

Основное различие между разделяемыми объектами файлов и принтеров состоит в том, что в описании последнего присутствует параметр

printable = Yes

print ok = Yes

/var/spool/lpd

/tmp

/var/pool/samba

chmod 1777 /каталог

chmod o+t /каталог

[laser]

comment = Laser printer in Room 7

path = /var/spool/samba

printable = Yes

Параметр comment задает комментарии для разделяемого объекта

LASER

laser

name = lр

lр

В различных дистрибутивных пакетах Linux используются разные системы печати. В настоящее время чаще всего применяется система BSD, но системы LPRng и CUPS (Common Unix Printing System — общая система печати UNIX) также приобретают популярность. Разные системы печати отличаются друг от друга синтаксическими правилами, что необходимо учитывать при настройке Samba. Для этой цели предусмотрен параметр

printing

print command

%s

 print command

Выше в этой главе рассматривался вопрос создания разделяемого объекта файлов, обеспечивающего доступ всех пользователей к своим рабочим каталогам. Точно так же при работе с разделяемыми объектами принтеров вы можете создать один объект, обеспечивающий доступ ко всем принтерам, присутствующим в системе. Этот объект имеет имя

[printers]

/etc/printcap

[homes]

[printers]

browseable = No

PRINTERS

Yes

Совместное использование PostScript-принтеров

В ходе предыдущего обсуждения не затрагивался вопрос об использовании драйверов. Этот вопрос чрезвычайно важен для разделения принтеров в системе Samba; драйверы принтеров часто становятся источником проблем. В системе Windows драйверы принтеров взаимодействуют с прикладными программами и генерируют данные, совместимые с конкретной моделью принтера. Таким образом, формат файла, который приходит разделяемому объекту печати, расположенному на сервере Samba, зависит от того, какой драйвер принтера был установлен на клиентской машине. В отличие от Windows, в системе Linux обычно используются очереди печати, которые настраиваются для приема данных в формате PostScript. В зависимости от типа принтера, подключенного к компьютеру, данные могут передаваться ему в неизменном виде либо обрабатываться фильтром печати. Фильтр печати преобразует PostScript-код в формат, подходящий для данного принтера. Различия в моделях печати иногда приводят к возникновению конфликтов. Если клиент Windows предоставляет серверу Samba файл в формате, отличном от PostScript, информация, предназначенная для вывода на печать, может быть искажена. Возможна также ситуация, когда данные, сгенерированные PostScript-драйвером Windows, воспринимаются на сервере Samba как информация, представленная в другом формате. В этом случае при выводе на печать также будут получены некорректные результаты. Существует ряд правил и параметров Samba, которые позволяют разрешить данную проблему, но необходимо испробовать различные средства, чтобы найти наиболее подходящие из них.

Наиболее просто конфигурация Samba устанавливается в том случае, если разделяемый принтер поддерживает язык PostScript. В этом случае PostScript-код может быть непосредственно передан на устройство печати. Однако поддержка PostScript обычно реализуется в высокоуровневых лазерных принтерах и некоторых устройствах печати среднего уровня. Низкоуровневые лазерные принтеры и струйные принтеры, поддерживающие PostScript, встречаются крайне редко. Для того чтобы выяснить, может ли ваш принтер обрабатывать PostScript-код, необходимо ознакомиться с документацией на это устройство.

http://www.adobe.com

Если ваш принтер непосредственно поддерживает PostScript, вы можете установить PostScript-драйвер в системе Windows. Такие драйверы входят в поставку операционной системы, а также распространяются производителями принтеров. (Компания Adobe также предоставляет драйверы PostScript, но они предназначены для принтеров, в которых используется PostScript-интерпретатор, разработанный Adobe.) Этот драйвер генерирует данные в формате PostScript, которые Samba передает в очередь на устройство печати; затем данные приходят на конкретный принтер. В большинстве случаев информация корректно выводится на печать.

Иногда при использовании описанной конфигурации возникают проблемы, которые чаще всего связаны с тем, что PostScript-драйвер, установленный в системе Windows, предваряет вывод данных символом . Большинство PostScript-принтеров игнорирует этот символ, но он может влиять на поведение очереди в системе Linux. Фильтр печати ожидает встретить в начале файла, содержащего задание на печать, идентификатор формата PostScript. Обнаружив символ , фильтр печати интерпретирует его как признак того, что в файле содержится ASCII-текст. Поскольку ASCII-текст не может быть непосредственно передан на PostScript-принтер, этот файл повторно преобразуется в PostScript-формат. В результате вместо текста документа на принтер выводится его PostScript-код. Разрешить эту проблему можно двумя способами.

Рис. 7.4. Если наличие приводит к возникновению проблем при выводе документа на принтер в системе Linux, вы можете запретить генерацию этого символа

Вы можете отключить опцию драйвера печати Windows, которая управляет выводом символа . Эту опцию можно найти в диалоговом окне Properties принтера либо в окне, которое отображается после щелчка на кнопке Advanced в этом же окне необходимо сбросить флажок опции Send CTRL+D Before Job. (Опция Send CTRL+D After Job обычно не приводит к возникновению проблем.) Такое решение хорошо подходит в том случае, если вы используете одну очередь для обслуживания PostScript-принтеров и устройств печати, поддерживающих другие языки описания документов. Недостаток подобного подхода состоит в том, что для настройки многочисленных Windows-клиентов придется затратить много времени.

Чтобы разрешить проблему, возникающую из-за наличия в начале задания на печать символа , необходимо установить параметр

postscript = Yes

Совместное использование принтеров, не поддерживающих PostScript

Существуют два способа настройки Samba для работы с принтерами, не поддерживающими PostScript. Первый способ заключается в использовании PostScript-драйвера на клиентской машине и настройке очереди печати Linux для преобразования PostScript-данных в формат, поддерживаемый конкретным принтером. Согласно второму способу, следует установить на клиентском компьютере драйвер, генерирующий данные на языке принтера, а в системе Linux создать очередь без обработки (raw queue). Данные, помещенные в такую очередь, передаются на принтер в неизменном виде. Оба способа имеют свои преимущества и недостатки, и для реализации каждого из них необходимо определенным образом сконфигурировать Samba.

Предположим, что вам необходимо вывести на принтер, не поддерживающий PostScript, сгенерированные Linux-приложением PostScript-данные. В этом случае система должна быть сконфигурирована так, чтобы данные, предназначенные для печати, обрабатывались программой Ghostscript. Ghostscript

(http://www.cs.wisc.edu/~ghost/

http://www.linuxprinting.org/printer_list.cgi

В очереди печати Linux, настроенной для совместной работы с Ghostscript, присутствует фильтр печати, который распознает тип файла. В отличие от фильтра, который используется в очереди, обслуживающей PostScript-принтер, данный фильтр передает данные на вход программы Ghostscript. В этом случае необходимо использовать инструментальные средства настройки принтеров, поставляемые в составе дистрибутивного пакета, а также следовать инструкциям по установке конфигурации фильтра. Настроенная подобным образом очередь работает почти идентично очереди PostScript-принтера (вопросы выбора конфигурации Samba и клиентов для такой очереди рассматривались в предыдущем разделе). Для Windows-клиентов надо выбрать универсальный PostScript-драйвер (для лазерных принтеров хорошо подходят драйверы Apple LaserWriter, а для струйных — драйвер QMS magicolor). Проблема, связанная с появлением в составе задания на печать символа , решается так же, как и при использовании PostScript-принтеров.

Некоторые PostScript-драйверы в системе Windows включают в состав PostScript-файлов дополнительные команды, предназначенные для вывода информации на встроенные дисплеи принтеров. Такие команды часто приводят к появлению дополнительных страниц выходных данных с сообщениями типа

%% [ LastPage ] %%

gs

>/dev/null

/dev/null

/var/spool/lpd/имя_очереди/printfilter

/usr/lib/rhs/rhs-printfilters/ps-to-printer.fpi

Если вы хотите использовать на клиентской машине драйвер, генерирующий информацию в формате, отличном от PostScript, вам надо создать в системе Linux очередь принтера, в которой не предпринимались бы попытки модифицировать данные, переданные на печать. Некоторые фильтры Linux распознают ряд языков и передают соответствующие данные принтеру в неизменном виде, поэтому не исключено, что вам удастся использовать обычную очередь печати. Если же задания, помещенные в такую очередь, исчезают или выводятся в искаженном виде, вам придется создать очередь без обработки (raw queue).

Для создания очереди без обработки надо сформировать обычную очередь печати, а затем внести изменения в файл

/etc/printcap

if=

if

lр|hp4000|raw:\

 :lp=/dev/lp0:\

 :sd=/var/spool/lpd/lp:\

 :mx#0:\

 :sh:\

 :if=:

В данном примере указаны три имени принтера:

lp

hp4000

raw

/dev/lp0

/var/spool/lpd/lp

/var/spool/lpd/lp

mx#0

sh

 if= 

Определяя разделяемый объект принтера для очереди без обработки, необходимо убедиться, что параметр

postscript

No

Если компьютеру, на котором выполняется сервер Samba, подключен принтер, не поддерживающий PostScript, вам необходимо принять решение о том, нужно ли установить на клиентской машине PostScript-драйвер или драйвер, ориентированный на работу с имеющимся у вас устройством печати. Следует заметить, что рассмотренные выше варианты решения не являются взаимоисключающими, как это кажется на первый взгляд. Вы можете создать две очереди, а если фильтр печати распознает задания, предназначенные для принтера, не поддерживающего PostScript, можно даже обойтись одной очередью печати. (Если вы создадите две очереди Linux, то разделяемый объект

[printers]

Одно из важных различий между рассмотренными подходами состоит в том, что текст или изображение преобразуется в битовую карту на разных этапах обработки. Рассмотрим вывод на печать документа, содержащего в основном текстовые данные. Если вы используете Ghostscript в системе Linux и PostScript-драйвер на стороне клиента, клиент генерирует текстовый файл. Размеры этого файла относительно невелики, поэтому создание такого файла не создает существенной нагрузки на процессор клиентской машины. Трафик, связанный с передачей этого файла по сети, также невелик. Для обработки такого файла в системе Linux требуется большой объем ресурсов, так как содержащиеся в файле данные должны быть преобразованы в битовую карту. Если на клиентском компьютере установлен драйвер целевого принтера, основную нагрузку по обработке файла будет нести процессор этой машины, поскольку именно на стороне клиента будет осуществляться преобразование в формат битовой карты. Соответственно возрастет трафик сети, потому что размер передаваемого файла увеличится. Нагрузка на процессор компьютера, на котором выполняется сервер Samba, будет небольшой, поскольку основная обработка данных выполняется на стороне клиента. Таким образом, при использовании интерпретатора Ghostscript в работу вовлекается меньше ресурсов клиентской машины и уменьшается трафик сети. Применение драйвера целевого принтера оправдано в тех случаях, когда необходимо уменьшить нагрузку на процессор сервера. При выводе на печать графических файлов разница между различными подходами практически не ощущается, так как размеры файла почти не зависят от того, передается ли он в формате PostScript или в формате целевого принтера.

Еще одно различие между вариантами поддержки принтеров, не обрабатывающих PostScript-данные, связано с качеством выходных данных. Используя Ghostscript, вы полагаетесь на реализованные в этом продукте средства генерации изображений. Чаще всего Ghostscript хорошо справляется с этой задачей, но в некоторых случаях драйверы целевых принтеров генерируют изображения гораздо лучшего качества. В особенности это бывает заметно при работе с последними моделями струйных принтеров. Некоторые принтеры вовсе не поддерживаются Ghostscript; для такого устройства возможна лишь одна конфигурация, предполагающая использование драйвера этого принтера на стороне клиента и очереди без обработки в системе Linux. Бывают ситуации, в которых интерпретатор Ghostscript предпочтительнее драйвера целевого принтера. Это случается при работе с приложениями, непосредственно ориентированными на работу с PostScript-принтерами (например, пакетами, предназначенными для организации настольных издательских систем), или при выводе на печать файлов EPS (Encapsulated PostScript). Необходимо заметить, что интерпретатор Ghostscript позволяет обеспечить PostScript-совместимость, затратив для этого минимальные усилия. Преимуществом использования Ghostscript также является тот факт, что данный интерпретатор обеспечивает реальную возможность стандартизировать вывод на печать, т.е. исключает необходимость переключаться между различными принтерами.

С проблемой качества изображения непосредственно связана проблема обеспечения необходимого уровня гибкости при работе с драйверами. Используя Ghostscript, вы устанавливаете разрешение и другие параметры принтера с помощью опций интерпретатора. В системе Linux эти опции обычно задаются при создании очереди. Для того чтобы выводить данные с различным разрешением, необходимо сформировать несколько очередей и переключаться между ними. Если на клиентской машине установлен драйвер целевого принтера, пользователь может выбирать разрешение и управлять другими характеристиками печати с помощью опций этого драйвера. Так, например, организуя работу со струйными принтерами, гораздо удобнее устанавливать драйверы этих принтеров на стороне клиента.

Таким образом, на вопрос о том, следует ли использовать Ghostscript или драйвер целевого принтера, невозможно дать однозначный ответ. Выбирая конфигурацию системы, следует учесть специфику решаемых задач и характеристики вашей сети. При желании вы можете также поэкспериментировать с обеими конфигурациями и на практике определить, какой подход дает лучшие результаты в вашей сети и с вашими принтерами. Скорее всего, вы убедитесь в том, что для одних принтеров целесообразно использовать Ghostscript, а для других лучше установить драйверы этих принтеров на клиентском компьютере.

Одна из самых привлекательных особенностей Samba — возможность выполнения сценариев. Вы можете задавать команды, которые будут выполнены при наступлении определенных событий. Благодаря поддержке сценариев Samba можно использовать для решения задач, непосредственно не относящихся к совместному использованию файлов и принтеров. В начале данного раздела мы обсудим сценарии

preexec

postexec

Сценарии

preexec

и

postexec

Samba поддерживает параметры

preexec

postexec

preexec

postexec

billy@harding.threeroomco.com

preexec = mail -s "Share being used" \

 billy@harding.threeroomco.com

Если пользователь зарегистрируется для работы с объектом, Samba пошлет от его имени сообщение по адресу

billy@harding.threeroomco.com

Subject

Share being used

Аналогично действует параметр

postexec

Разновидностями параметров

preexec

postexec

root preexec

root postexec

root preexec

root postexec

root

При выполнении сценариев сервер Samba может обрабатывать переменные, перечисленные в табл. 7.1. Эти переменные позволяют настроить сценарии

preexec

postexec

Таблица 7.1. Переменные, доступные в системе Samba

%a

%d

%g

%u

%G

%U

%h

%H

%u

%I

%j

%L

%m

%M

%N

%p

%P

%R

%s

%S

%T

%u

%U

%u

%v

Параметры

preexec

postexec

preexec

preexec

postexec

• С помощью сценариев

preexec

postexec

follow symlinks = No

• С помощью параметра

preexec

postexec

• Вы можете записывать в файлы протоколов различные данные, в том числе информацию, которую Samba в обычных условиях не регистрирует.

• При необходимости вы можете сформировать разделяемый объект и создать сценарии, которые будут преобразовывать графические файлы, находящиеся в соответствующем каталоге, в другие форматы и передавать преобразованные файлы другим объектам.

• Разделяемые объекты с ограниченным доступом можно использовать при выполнении задач администрирования. Возможна конфигурация, при которой этот объект содержит копии файлов из каталога

/etc

postexec

/etc

• Чтобы уменьшить риск потери информации, необходимо периодически создавать резервные копии данных. Разделяемый объект можно использовать для создания процедуры копирования, запускаемой по инициативе пользователя. Для этого надо создать Windows-сценарий, который открывал бы разделяемый объект Samba, копировал все файлы с компьютера в этот объект и закрывал его. Для решения данной задачи следует также построить сценарий разделяемого объекта, осуществляющий копирование данных на резервный носитель. При наличии такого объекта и сценариев пользователю остается установить носитель на устройство, запустить сценарий Windows и ожидать завершения копирования данных.

Некоторые из описанных примеров реализуются чаще других. Ряд задач (например, задачи администрирования) создают потенциальную угрозу безопасности системы, поэтому соответствующие сценарии находят лишь ограниченное применение. Поэтому приведенные выше примеры — это не описания задач, которые должны быть решены с помощью сценариев

preexec

postexec

preexec

postexec

В некоторых случаях возникает необходимость ограничить число пользователей, которые могут одновременно обращаться к разделяемому объекту. Это можно сделать с помощью параметра

max connections

max connections = 1

Использование псевдопринтеров

Еще одну возможность использования сценариев предоставляет параметр

print command

print command

print command

• Передача факсов с помощью программного обеспечения Linux и PostScript-драйвера Windows. При этом даже можно воспользоваться Windows-программами, например, продуктом Respond (

http://www.boerde.de/~horstf/

• Конвертирование PostScript-файлов в другие типы данных, например, представление их в виде PDF-файлов или преобразование в графический формат. Пример подобного использования параметра

print command

• Непосредственный вывод на печать данных в формате, отличном от PostScript. Некоторые из таких данных корректно обрабатываются с помощью фильтров печати Linux, для них необходимость в создании специальной конфигурации не возникает, однако в ряде случаев применение

print command

• Объединяя данные в файл архива и передавая этот файл на компьютер под управлением Linux, вы можете решать задачи, подобные тем, которые решаются с помощью сценариев

preexec

postexec

Подобно сценариям

preexec

postexec

print command

force user

В составе параметра

print command

%s

preexec

postexec

%H

Параметр

print command

preexec

postexec

postexec

print command

Пример использования средств Linux для записи компакт-дисков

С помощью сценариев можно сконфигурировать сервер Samba как платформу для создания компакт-дисков. Предположим, что вы администрируете сеть небольшого офиса, к которой подключены десятки клиентских компьютеров. Предположим также, что в офисе имеется лишь одно устройство, позволяющее записывать компакт-диски. Время от времени у разных пользователей возникает необходимость записать информацию на компакт-диск. Вы можете подключить устройство записи к компьютеру, на котором выполняется сервер Samba, и предоставить всем желающим возможность использовать программное обеспечение Linux для создания компакт-дисков. Однако при этом возникнут проблемы. Во-первых, вам придется обучить пользователей работать с программами записи. Во-вторых, некоторые пользователи не будут удалять после окончания записи свои файлы, что приведет к нерациональному использованию дискового пространства. Сценарии Samba позволяют автоматизировать процесс записи и разрешить возникающие проблемы.

Предположим, что вы решили выделить один из разделяемых объектов Samba для записи компакт-дисков. Этот объект не должен использоваться ни для каких других целей. Для создания компакт-диска с помощью сценариев

preexec

postexec

1. Удаление из разделяемого объекта всех файлов.

2. Получение файлов, предназначенных для записи на компакт-диск.

3. Создание образа диска с помощью

mkisofs

4. Запись образа на компакт-диск с помощью

cdrecord

5. Удаление образа диска и файлов, из которых он был создан.

Описание разделяемого объекта, предназначенного для решения данных задач, выглядит следующим образом:

[cd-create]

path = /home/samba/cd-create

create mask = 0666

directory mask = 0777

read only = No

max connections = 1

preexec = /bin/rm -r %P/*

postexec = /usr/local/bin/create-cd %H %P %U

Параметр preexec решает первую задачу. Вторая задача решается с помощью обычных операций Samba. Для решения задач 3-5 предназначен сценарий

/usr/local/bin/create-cd

Листинг 7.1. Сценарий, предназначенный для записи компакт-диска

#/bin/sh

# $1 - Рабочий каталог пользователя, выполняющего запись на диск

# $2 - Каталог с исходными файлами

# $3 - Имя пользователя, выполняющего запись на диск

mkisofs -J -r -о $1/image.iso $2

cdrecord speed=2 dev=4,0 $1/image.iso

mail -s "CD-R creation finished" $3

rm $1/image.iso

rm -r $2/*

Для создания описанного выше разделяемого объекта выполните следующие действия.

• Создайте сценарий

create-cd

/usr/local/bin

chmod а+x /usr/local/bin/create-cd

mkisofs

cdrecord

• Создайте разделяемый объект Samba с именем

[cd-create]

• Установите признак SUID для исполняемой программы

cdrecord

chmod a+s /usr/bin/cdrecord

forсе group

[cd-create]

postexec

root postexec

create-cd

cdrecord

После выполнения описанных выше действий вы можете использовать созданный разделяемый объект. Работая в системе Windows, можно смонтировать этот объект с помощью Network Neighborhood или My Network Places. Для этого надо щелкнуть правой кнопкой мыши на имени объекта и выбрать в контекстном меню пункт Map Network Drive. Затем следует связать разделяемый объект с именем устройства. Монтирования каталога пользователь должен скопировать файлы, предназначенные для записи на компакт-диск, на сервер Samba. Он может перемещать файлы в пределах каталога, копировать, удалять их и выполнять другие подобные действия. Когда пользователь будет готов начать запись, ему следует вставить чистый диск в устройство и размонтировать разделяемый объект, щелкнув правой кнопкой мыши на соответствующем ему пункте в окне My Computer и выбрав в контекстном меню пункт Disconnect.

К сожалению, при активизации этого пункта меню Windows может не разорвать соединение с объектом. В этом случае придется завершить сеанс работы или (при использовании Windows 9x/Me) перезагрузить компьютер. Через некоторое время (от нескольких секунд до нескольких минут) начнется запись на компакт-диск, по завершении которой пользователю, инициировавшему данную задачу, будет передано почтовое сообщение. Получив сообщение, пользователь может извлечь диск из устройства и проверить качество записи на своей машине.

Определение разделяемого объекта и код сценария, приведенные в данном примере, далеки от совершенства. В сценарии не приняты меры, запрещающие одновременное обращение к разделяемому объекту двух пользователей. Поэтому, если пользователь предпримет попытку начать запись до того, как другой пользователь извлечет свой диск из устройства, неминуемо возникнет проблема. Кроме того, сценарий не оповещает пользователя об ошибках. Например, если образ диска слишком велик и не может быть записан на имеющийся носитель, пользователь узнает об этом лишь тогда, когда попытается прочесть записанные данные. Более совершенный сценарий должен сообщать о возникающих проблемах или устранять их самостоятельно. Наконец, следует заметить, что различные версии Samba по-разному интерпретируют переменную

%P

Механизм псевдопринтеров позволяет записывать компакт-диски способом, более удобным для пользователей Windows 9x/Me, однако применение данного средства не так очевидно, как действия, основанные на использовании разделяемого объекта файлов. Данный подход заключается в следующем. Windows-клиент передает серверу Samba zip-архив, который содержит файлы, предназначенные для записи на компакт-диск. Разделяемый объект вызывает сценарий, который распаковывает архив, и записывает извлеченные из архива файлы на компакт-диск. Данный сценарий представляет собой разновидность сценария

create-cd

[cd-print]

path = /var/spool/samba

printable = Yes

print command = /usr/local/bin/print-cd %H %s %U %P; rm %s

Как и в предыдущем примере, вам необходимо уточнить особенности обработки переменной

%P

/var/spool/samba

Листинг 7.2. Сценарий для записи компакт-диска с помощью параметра print command

#!/bin/sh

# $1 - Рабочий каталог пользователя, выполняющего запись на диск

# $2 - Имя zip-файла

# $3 - Имя пользователя, выполняющего запись на диск

# $4 - Путь к zip-файлу

mkdir -p $1/cdr/samba

cd $1/cdr/samba

unzip $4/$2

mkisofs -J -r -o $1/image.iso ./

cdrecord speed=2 dev=4,0 $1/image.iso

mail -s "CD-R creation finished" $3

rm $1/image.iso

rm -r $1/cdr/samba

Сценарий и разделяемый объект, используемые в данном примере, надо сконфигурировать так же, как это было сделано для объекта

[cd-create]

create-cd

mkisofs

cdrecord

cdrecord

root

COPY

С:\> COPY FILE.ZIP\\SERVER\CD-PRINT

В результате выполнения данной команды содержимое файла

FILE.ZIP

SERVER

.ВАТ

COPY %1 \\SERVER\CD-PRINT

При вызове файла

.ВАТ

MAKECD.ВАТ

MAKECD FILE.ZIP

.ВАТ

.ВАТ

.ВАТ

.ВАТ

Как и при использовании разделяемого объекта файлов, решение, реализованное в данном примере, имеет ряд недостатков. При выполнении сценария не проверяется размер образа диска и не принимаются меры, препятствующие одновременному обращению двух пользователей к разделяемому объекту. Но сценарий, свободный от этих недостатков, был бы гораздо сложнее.

Пример создания PDF-файлов

В качестве примера использования очереди печати можно привести задачу преобразования входных PostScript-данных в PDF-файлы. Для ее решения надо создать очередь подобную той, которая используется для обработки данных, сгенерированных с помощью PostScript-драйвера. Описание разделяемого объекта имеет следующий вид:

[pdf-create]

comment = Create a PDF file

path = /var/spool/samba

printable = Yes

print command = gs -dNOPAUSE -q -dBATCH -sDEVICE=pdfwrite \

 -sOutputFile=%H/%s.pdf %s; rm %s

\

С помощью параметра

print command

gs

-dNOPAUSE

-q

-dBATCH

-sDEVICE=pdfwrite

-sOutputFile=%H/%s.pdf

.pdf

В 1998-2002 г. средства поддержки NFS в системе Linux претерпели ряд важных изменений; некоторые из таких изменений рассматриваются в данном разделе. Если вы используете старые дистрибутивные пакеты или устаревшую документацию, представленные здесь сведения позволят вам составить впечатление о реальном положении дел. Чаще всего сервер NFS, поставляемый в составе Linux, можно использовать для обмена данными, но в некоторых случаях, чтобы реализовать NFS-взаимодействие с другими компьютерами, вам придется установить более новое (а возможно, и более старое) программное обеспечение. Информацию о последних разработках в области NFS-обмена в системе Linux можно получить, обратившись по адресу

http://nfs.sourceforge.net

Пользовательский режим и режим ядра

Сервер NFS в основном предназначен для обмена данными между файлами на диске и сетевым интерфейсом. В обычных условиях сервер NFS выполняется в системе Linux в пользовательском режиме. Это означает, что сервер не имеет специальных привилегий и не использует средства ядра. Другими словами, информация читается с диска с помощью функций ядра, затем прочитанные данные передаются программе, работающей в пользовательском режиме, а после этого они поступают на сетевой интерфейс. (Данные, принятые посредством сетевого интерфейса и записываемые на диск, проходят этот путь в обратном направлении.) Необходимость обмена информацией между ядром и программой, выполняющейся в пользовательском режиме, снижает производительность системы. Чтобы устранить этот недостаток, надо изменить коды сервера NFS и конфигурацию ядра так, чтобы передачей данных занимались только функции ядра. Для этого необходимо установить опцию NFS Server Support в подменю Network File Systems меню File Systems (рис. 8.1). Сделав это, вы передадите ядру часть обязанностей сервера NFS. Кроме того, надо использовать код сервера NFS, непосредственно ориентированный на взаимодействие с ядром. Обычно программа, реализующая такой сервер, называется

knfsd

nfsd

Рис. 8.1. В ядре Linux реализованы средства поддержки как клиента, так и сервера NFS

NFSv2 и NFSv3

Подобно другим протоколам и программам, средства NFS периодически пересматриваются и реализуются их новые версии. В 2002 г. широко использовалась последняя на тот момент версия 3 системы NFS, или NFSv3. (На самом деле в это время уже существовала версия NFSv4, но она находилась в стадии разработки. Дополнительную информацию о состоянии дел с NFSv4 можно найти, обратившись по адресу

http://www.ntsv4.org

Если вы хотите обеспечить работу с сервером NFSv3, в котором операции NFS ускоряются за счет ядра, вы должны при установке конфигурации ядра выбрать опцию Provide NFSv3 Server Support (которая является подопцией обсуждавшейся ранее опции NFS Server Support). Аналогично, для использования средств NFSv3 клиентом надо выбрать опцию Provide NFSv3 Client Support. Протокол NFS обеспечивает совместимость с ранними версиями, поэтому если в вашей системе поддерживаются средства NFSv3, а на других компьютерах установлены лишь средства NFSv2, то узлы сети могут обмениваться данными по протоколу NFSv2.

Если вы хотите обмениваться данными по протоколу NFSv3, то, помимо установки опций ядра, вам надо использовать утилиты, поддерживающие эту версию. Для обеспечения работы клиента вам понадобятся

nfs-utils 

mount

rpm

dpkg

mount

$ rpm -q mount mount-2.11b-5mdk

В данном случае при выполнении команды было обнаружено, что в системе инсталлирована версия 2.11b утилиты mount, которая подходит для обеспечения работы клиента NFSv3.

Для того чтобы обеспечить совместное использование файлов, надо сообщить серверу NFS о том, какие каталоги должны экспортироваться и какие клиенты имеют право доступа к конкретным каталогам. Кроме того, необходимо указать опции, управляющие доступом и определяющие другие характеристики сервера. Для монтирования каталогов, экспортированных сервером NFS, на стороне клиента используется программа

mount

Определение экспортируемых каталогов

Для управления сервером NFS используется файл

/etc/exports

экспортируемый_каталог клиент1(опции) [клиент2(опции) [...]]

Имя экспортируемого каталога может иметь вид

/home

/usr/X11R6

/etc

/proc

/dev

/dev

/dev

nodev

При описании экспортируемых каталогов указываются отдельные клиенты или группы клиентов. Ниже перечислены способы, позволяющие задавать клиентов, которым разрешен доступ к экспортируемому каталогу.

• Отсутствующий идентификатор клиента. Если вы зададите только список опций, помещенный в скобки, к экспортируемому каталогу сможет обращаться любой клиент. Такая конфигурация недопустима с точки зрения безопасности системы и может применяться лишь в исключительных случаях.

• Имя одного компьютера. Если вы укажете имя конкретного компьютера, например

larch

larch.threeroomco.com

• Группа клиентов, определенная с помощью символов групповой операции. При описании клиента могут быть использованы знак вопроса (

?

*

*.threeroomco.com

threeroomco.com

?

*

.

*.threeroomco.com

mulberry.bush.threeroomco.com

• Группа NIS. Если в вашей сети присутствует сервер NIS (Network Information Service — сетевая информационная служба), вы можете задавать группы NIS, указывая в начале имени группы символ

@

• Группа клиентов, заданная с помощью IP-адреса сети. Ограниченную группу клиентов можно описывать, указывая адрес и маску подсети, например 255.255.0.0. Допускается также определение маски подсети как число битов, соответствующих адресу посети, например 172.19.0.0/16. (Задавая IP-адрес одного компьютера, маску подсети можно не указывать.)

С точки зрения безопасности системы предпочтительнее использовать для идентификации компьютеров их IP-адреса, так как если злоумышленник получит доступ к серверу DNS или NIS, доменные имена и имена групп могут быть переопределены. IP-адрес также можно подделать, особенно если попытка незаконного доступа осуществляется из локальной сети, но использование IP-адреса исключает по крайней мере один способ атаки. С другой стороны, указание компьютеров с помощью IP-адресов может быть неудобным, в особенности если адреса часто меняются. Так, например, происходит, если адреса компьютерам выделяет сервер DHCP, работа которого рассматривалась в главе 5 данной книги.

portmap

Для каждого клиента или группы клиентов можно задать отдельный набор опций. Эти опции помещаются в скобки и указываются после идентификатора клиента. Опции отделяются одна от другой запятыми. Некоторые из них управляют доступом; их использование рассматривается в следующем разделе. Другие опции задают характеристики сервера и влияют на производительность. Примеры таких опций приведены ниже.

•

sync

async

async

•

wdelay

no_wdelay

wdelay

no_wdelay

wdelay

Средства контроля доступа

Многие из опций, которые указываются для каждого клиента в файле

/etc/exports

/etc/exports

•

secure

insecure

root

insecure

insecure

•

ro

rw

ro

rw

knfsd

ro

rw

•

hide

nohide

/usr

/usr/local

/usr

/usr/local

hide

nohide

hide

nohide

hide

•

noaccess

/home

/home/abrown

/etc/exports

/home

/home/abrown

noaccess

/home/abrown

•

subtree_check

no_subtree_check

no_subtree_check

subtree_check

•

root_squash

no_root_squash

root

root

root

no_root_squash

•

all_squash

no_all_squash

all_squash

no_all_squash

all_squash

•

anonuid

anongid

nobody

anonuid

anongid

root

Пример файла

/etc/exports

/usr/X11R6

/home

noaccess

/home/abrown

/usr/X11R6

/home

gingko

/usr/X11R6

/hom

gingko

/usr/X11R6

/home

Листинг 8.1. Пример файла

/etc/exports

/usr/X11R6 gingko(ro,anonuid=504) 192.168.4.0/24(ro)

/home gingko(rw,no_subtree_check) 192.168.4.0/255.255.255.0(rw)

/home/abrown (noaccess)

Монтирование экспортируемых каталогов

На стороне клиента экспортируемые каталоги выглядят как разделы диска. Для их монтирования используется команда

mount

сервер:путь_к_монтируемому_каталогу

/home

/mnt/userfiles

# mount larch:/home /mnt/userfiles

Если вы хотите, чтобы экспортируемый каталог был постоянно доступен, вам надо создать запись в файле

/etc/fstab

mount

nfs

mount

/etc/fstab

mount

larch:/home /mnt/userfiles nfs defaults 0 0

В результате пользователь, обращаясь к каталогу

/mnt/userfiles

/home

larch

Экспортируя каталоги и содержащиеся в них файлы, сервер NFS экспортирует также права доступа к ним. Информацию о пользователях и правах можно применять для контроля обращений к файлам и каталогам. Эти средства можно использовать даже для управления доступом со многих компьютеров, например, в случае, если один сервер NFS обслуживает несколько клиентов. Однако при этом может возникнуть проблема, которая состоит в следующем. Для идентификации пользователей в системе NFS применяются UID и GID. Если такие идентификаторы не совпадают на клиентах и на сервере, это может угрожать безопасности системы. Способы разрешения данной проблемы будут рассмотрены ниже в этой главе.

В последующих разделах будут описаны некоторые опции программы mount, которые влияют на поведение клиентов и серверов NFS и могут быть использованы для увеличения производительность и решения других задач. Ряд опций утилиты mount перечислен ниже.

•

hard

•

soft

timeo=время

•

nodev

•

nosuid

•

noexec

Перечисленные опции можно задавать при вызове команды

mount

-о

# mount -о noexec,nodev larch:/home /mnt/userfiles

Если вы создаете запись в файле

/etc/fstab

defaults

Повышение производительности системы

Выше были описаны два способа повышения производительности системы: поддержка NFS ядром (совместно с программой

knfsd

• Оптимизация размера передаваемых блоков. Опции

rsize

wsize

mount

larch: /home /mnt/userfiles -о rsize=8192

/etc/fstab

defaults

• Оптимизация за счет исключения информации об обращении к файлу. Опция

noatime

mount

• Выбор количества экземпляров сервера NFS. Как правило, в сценарии запуска сервера NFS предусматривается одновременное выполнение восьми экземпляров этой программы. Если нагрузка на систему не велика, с ней может справиться и меньшее количество серверов. Если же система постоянно обрабатывает запросы, восьми серверов может оказаться недостаточно. Недостаток серверов при большой нагрузке на систему приводит к что для установления соединения с клиентом потребуется неоправданно большое время. Увеличить производительность можно, выбрав наиболее подходящее число экземпляров сервера. Обычно это значение задается в начале сценария и имеет вид

RPCNFSDCOUNT=8

• Устранение причин снижения производительности, не связанных с работой средств поддержки NFS. Производительность NFS может снижаться по ряду причин, многие из которых непосредственно не связаны с работой сети. Например, если ваша сетевая карта работает медленно, эффективность NFS-обмена будет низкой. Качество работы сервера NFS существенно зависит от используемого жесткого диска. Важно, чтобы данное устройство было достаточно быстродействующим и не создавало излишней нагрузки на центральный процессор. (Для сервера хорошо подойдет EIDE-контроллер с поддержкой адаптера DMA или SCSI; производительность устройств SCSI выше, чем производительность дисков EIDE.)

Если производительность сервера NFS недостаточна, необходимо прежде всего выяснить, что является источником проблем: программное обеспечение сервера NFS, клиент-программы или конфигурация сети. Возможно также, что производительность снижается по другим причинам, например, из-за недостаточной эффективности работы жестких дисков. Выяснить это можно, выполняя тестирование с использованием различных протоколов и с участием разных клиентов. (Для проверки производительности жестких дисков можно вызвать команду

hdparm

-t

На компьютере под управлением Linux, работающем независимо от других машин, за отображение пользовательских имен в числовые идентификаторы (UID) отвечает файл

/etc/passwd

/etc/group

/etc/passwd

Согласование идентификаторов пользователей на клиентском компьютере и на сервере

Самым простым решением описанной выше проблемы отображения пользовательских имен является синхронизация UID и GID на клиентской машине и на сервере. Например, если некоторому пользователю на сервере соответствует идентификатор 504, необходимо принять меры к тому, чтобы и на клиентском компьютере его UID был также равен 504. Аналогичным образом должны быть синхронизированы GID. Если сеть насчитывает большое число компьютеров, синхронизация UID и GID займет очень много времени. Однако в небольшой сети, при условии, что число пользователей в ней невелико, действия по синхронизации могут быть выполнены относительно просто. Привести в соответствие существующие пользовательские идентификаторы можно с помощью утилиты

usermod

abrown

# usermod -u 504 abrown

При выполнении этой команды будет изменена запись в файле

/etc/passwd

Команда

groupmod

usermod

-g

project3

# groupmod -g 127 project3

/tmp

Говоря о данном способе синхронизации идентификаторов, важно заметить, что имена пользователя на клиентской машине и на сервере не обязательно должны совпадать. Например, один и тот же пользователь может иметь имя

abrown

alyson

alyson

abrown

Обеспечить синхронизацию UID и GID можно, используя отдельный сервер для аутентификации пользователей как на клиентских компьютерах, так и на сервере NFS. В этом случае пользователь получит один и тот же UID, независимо от компьютера, на котором он зарегистрируется, а конкретной группе будет соответствовать единственный GID. В качестве такого средства аутентификации можно использовать систему Kerberos, которая была рассмотрена в главе 6. Кроме того, реализация NFS для Linux включает поддержку аутентификации NIS; для этой цели используется опция

map_nis

/etc/exports

Средства синхронизации идентификаторов пользователей, выполняемые на стороне сервера

Предположим, что вы занимаетесь администрированием сети, состоящей из двух компьютеров. На каждом узле этой сети существуют учетные записи для пользователей, перечисленных в табл. 8.1. В данном примере компьютер

gingko

larch

james

james

larch

alyson

gingko

larch

Jennie

samuel

Один из способов решения проблемы синхронизации пользовательских идентификаторов состоит в следующем. На сервере NFS создается файл соответствия идентификаторов, содержащий информацию, подобную приведенной в табл 8.1. О наличии этого файла сервер оповещается посредством опции

map_static

/etc/exports

/home larch(rw,map_static=/etc/nfs/larch-map)

Таблица 8.1. Идентификаторы пользователей на двух компьютерах

gingko

larch

Эта запись сообщает системе о том, что, предоставляя каталог

/home

larch

/etc/nfs/larch-map

map_static

larch-map

#

uid

gid

-

Листинг 8.2. Пример содержимого файла соответствия идентификаторов

# Отображение идентификаторов для клиента larch

#  удаленный локальный

uid 0-99    -     # доступ запрещен

uid 504    500

uid 501    501

uid 503    502

uid 502    503

gid 0-99    -     # доступ запрещен

gid 100-102  100

В файле соответствия необходимо задать идентификаторы всех пользователей. Например, в листинге 8.2 указан UID 501, который отображается в тот же идентификатор на сервере. Отсутствующий UID приведет к некорректному отображению, что, в свою очередь, станет источником проблем. В листинге 8.2 явным образом указано, что попытки обращения с системных UID (с номерами меньше 100) должны отвергаться. Аналогичное правило задано для идентификаторов групп 0-99. GID 100-102 отображаются в GUID 100. Несмотря на то что вы можете отобразить диапазон клиентских идентификаторов в единственный идентификатор на сервере, обратное действие не имеет смысла. При попытке пользователя с определенным UID на стороне клиента создать файл сервер не сможет выбрать локальный идентификатор.

Как и в случае, когда синхронизация идентификаторов на клиентской машине и сервере производится вручную, имена пользователей на клиентском компьютере и на сервере могут различаться. В файле соответствия содержится исключительно информация об идентификаторах пользователей и групп; сведения об именах отсутствуют. Несмотря на то что подобная ситуация не мешает нормальной работе, желательно согласовать пользовательские имена на клиентских компьютерах и на сервере.

Средства синхронизации идентификаторов пользователей, выполняемые на стороне клиента

Решить проблему синхронизации пользовательских идентификаторов можно, задавая на стороне сервера опцию

map_daemon

ugidd

rpc.ugidd

ugidd

ugidd

/etc/hosts.allow

nobody

Среди средств настройки сервера BSD LPD наиболее важны два файла:

/etc/hosts.lpd

/etc/printcap

/etc/printcap

Редактирование файла /etc/hosts.lpd

По умолчанию система BSD LPD не принимает задания на печать с удаленных компьютеров, т.е. реализующие ее программы не могут выполнять роль сетевого сервера печати. Для того, чтобы изменить конфигурацию системы, необходимо отредактировать файл

/etc/hosts.lpd

@

+

+

-

/etc/hosts.lpd

gingko

+@group1

group1

oak.threeroomco.com

group1

Листинг 9.1. Пример файла

/etc/hosts.lpd

gingko

birch.threeroomco.com

192.168.1.7

+@group1

-oak.threeroomco.com

В файле

/etc/hosts.lpd

#

/etc/hosts.lpd

/etc/hosts.equiv

/etc/hosts.equiv

rlogin

Указание сервера на клиенте BSD LPD

В файле

/etc/printcap

printcap

:

\

Большинство деталей настройки принтеров с помощью файла

/etc/printcap

•

lр

lp=/dev/lp0

/dev/lp0

lр=

•

rm

oak

rm=oak

•

rp

rp

rm

rp

inkjet

/etc/printcap

rp=inkjet

inkjet

lр1

canon

Таким образом, имея локальную очередь печати, вы можете преобразовать ее в сетевую очередь, заменив опцию

lp

rm

rp

rm

rp

lp

rm

rp

Если сервер печати не поддерживает LPD-соединения, необходимо использовать более сложную конфигурацию. Например, сервер может быть настроен для обработки заданий на печать, передаваемых средствами SMB/CIFS или AppleTalk. В таком случае вам надо создать сценарий, который обрабатывал бы задания на печать, и вызывать его с помощью опции

if

С точки зрения пользователя система печати LPRng работает так же, как и BSD LPD. Это вполне закономерно, так как средства LPRng были разработаны для замены BSD LPD. LPRng использует файл

/etc/printcap

/etc/lpd.perms

Редактирование файла

/etc/lpd.perms

Файл

/etc/lpd.perms

lpd.perms

/var/spool/lpd/имя_очереди

/etc/lpd.perms

Независимо от расположения файла

lpd.perms

#

/etc/hosts.lpd

DEFAULT ACCEPT

DEFAULT REJECT

ACCEPT [ключ=значение[, значение]* ]*

REJECT [ключ = значение [, значение]* ]*

Первые два типа записей задают политику системы по умолчанию, т. е. общие правила по предоставлению или запрету доступа. В большинстве пакетов LPRng, поставляемых в составе дистрибутивных версий Linux, в файле

/etc/lpd.perms

DEFAULT ACCEPT

localhost

ACCEPT

REJECT

Опции

ACCEPT

REJECT

lpq

lprm

lрс

NOT

/

Таблица 9.2. Ключи и их значения, используемые при формировании файла

lpd.perms

SERVICE

USER

HOST

GROUP

IP

PORT

REMOTEUSER

REMOTEHOST

REMOTEGROUP

REMOTEIP

CONTROLLINE

PRINTER

FORWARD

SAMEHOST

SAMEUSER

SERVER

Опции, предназначенные для контроля доступа, являются достаточно сложными, поэтому имеет смысл пояснить их на конкретных примерах. Рассмотрим следующие строки, входящие в состав стандартного файла

/etc/lpd.perms

ACCEPT SERVICE=M SAMEHOST SAMEUSER

ACCEPT SERVICE=M SERVER REMOTEUSER=root

REJECT SERVICE=M

В этих трех строках указано, кто может использовать утилиту

lprm

SERVICE=M

lprm

SERVICE

SAMEHOST

SAMEUSER

SERVER

REMOTEUSER=root

root

lprm

lpd.perms

ACCEPT SERVICE=M

REJECT SERVICE=M

ACCEPT

REJECT

Как было сказано ранее, во многих случаях система LPRng по умолчанию настраивается так, чтобы она принимала обращения с любого узла. Подобная конфигурация недопустима с точки зрения безопасности, так как любой внешний пользователь может запустить задание на печать, в результате чего будут расходоваться бумага и ресурсы принтера. Кроме того, при обнаружении недостатков в защите LPRng неограниченный доступ к этой системе предоставит дополнительную возможность для взлома принтера. Исходя из этих соображений возможности пользователей по обращению к серверу печати необходимо ограничить. Сделать это можно с помощью брандмауэра (вопросы настройки брандмауэра будут рассмотрены в главе 25). Кроме того, я настоятельно рекомендую вам принять дополнительные меры по защите самой системы LPRng. Предположим, что вы настраиваете сервер печати, который должен обрабатывать задания, переданные из сети 172.22.0.0/16, и с компьютера, на котором установлен сервер; обращения с других узлов должны отвергаться. Сделать это можно с помощью следующих записей:

ACCEPT SERVICE=X SERVER

REJECT SERVICE=X NOT REMOTEIP=172.22.0.0/16

Данные строки ограничивают способность устанавливать соединения с сервером, а следовательно, возможность передавать задания на печать и выполнять прочие действия. Первая строка разрешает устанавливать соединения при обращении с сервера (эти обращения поступают с интерфейса, который имеет адрес 127.0.0.1, поэтому использование

REMOTEIP=127.0.0.1

SERVER

REJECT

ACCEPT

Указание LPRng-сервера на стороне клиента

Файл

/etc/printcap

lp

rm

rp

Системы BSD LPD и LPRng используют протокол LPD, поэтому вы можете сконфигурировать клиент LPRng для печати на сервере BSD LPD и наоборот. Подобное взаимодействие можно также организовать с системой CUPS. Кроме того, CUPS поддерживает расширенный протокол, который может использоваться только в рамках этой системы.

Система печати CUPS, предназначенная для использования в Unix и Linux, обеспечивает чрезвычайно высокую степень гибкости. Вместо того чтобы вносить изменения в пакет BSD LPD (что по сути надо было сделать при создании LPRng), разработчики CUPS создали полностью новый набор базовых средств, поддерживающих вывод на принтер в различных системах, в том числе в Linux. Часть этих базовых средств предназначена для обеспечения совместимости, поэтому пользователи могут задавать привычные им команды для вывода данных на печать. Клиенты CUPS могут работать с серверами LPD, а клиенты LPD, в свою очередь, могут передавать задания на сервер CUPS. Кроме того, в системе CUPS реализована поддержка нового протокола IPP, который базируется на протоколе HTTP, используемом Web-серверами и броузерами. В системе CUPS можно передавать на сервер информацию о типе файла, что упрощает выбор принтера; для описания возможностей принтеров могут использоваться файлы PPD (PostScript Printer Description); средства просмотра принтеров дают возможность клиенту искать нужные принтеры в сети; при этом не требуется настройка клиентской системы для работы с конкретным устройством. При условии повсеместного применения CUPS перечисленные свойства системы существенно упростят конфигурацию как локальных, так и сетевых средств печати.

Работу с CUPS усложняет одна особенность этой системы: конфигурационные файлы существенно отличаются от файлов, используемых в системах BSD LPD и LPRng. Даже если вы хорошо знакомы с данными системами, это не поможет вам при работе с CUPS; средства ее настройки придется изучать специально. Если вы предпочитаете работать с инструментами, предоставляющими графический интерфейс, можете воспользоваться KUPS (

http://cups.sourceforge.net/kups/

http://www.easysw.com/printpro/

http://localhost:631

http://www.cups.org/sam.html

Редактирование файла

/etc/cups/cupsd.conf

Работой сервера CUPS управляет файл

/etc/cups/cupsd.conf

/etc/cups/printers.conf

/etc/cups/classes.conf

lpadmin

cupsd.conf

Файл

cupsd.conf

•

Allow

from

All

None

Allow

Location

•

AuthClass

AuthClass

Anonymous

User

System

Group

Anonymous

System

sys

SystemGroup

Group

AuthGroupName

•

BrowseAddress

BrowseAddress

•

BrowseAllow

BrowseAllow

from

•

BrowseDeny

BrowseAllow

•

BrowseOrder

BrowseAllow

BrowseDeny

BrowseOrder

BrowseOrder Allow, Deny

BrowseOrder Deny, Allow

•

BrowseInterval

BrowseTimeout

•

BrowsePoll

•

BrowsePort

•

BrowseTimeout

BrowseInterval

•

Browsing

On

Off

On

•

Deny

Allow

Deny

Location

•

HostNameLookups

Off

On

Double

Off

On

Double

Double

•

Listen

Listen 192.168.23.8:631

Listen

•

Location

Location

Allow

Deny

Location

/admin

/classes

/jobs

/printers

•

MaxClients

MaxClients

•

Order

BrowseOrder

Allow

Deny

Order Allow, Deny

Allow

Order Deny, Allow

•

Port

Port

Файл

/etc/cups/cupsd.conf

 BrowseAllow from 127.0.0.1

 BrowseAllow from 172.22.0.0/16

 Allow from 127.0.0.1

 Allow from 172.22.0.0/16

Поскольку в директиве

Location

/printers

/admin

/jobs

Получение заданий от клиентов BSD LPD и LPRng

Рассмотренные выше директивы, предназначенные для включения в файл

/etc/cups/cupsd.conf

cups-lpd

Программа

cups-lpd

inetd

xinetd

cups-lpd

/usr/lib/cups/daemon

/etc/inetd.conf

printer stream tcp nowait lp /usr/lib/cups/daemon/cups-lpd \

 cups-lpd

Учитывая различия между

inetd

xinetd

cups-lpd

xinetd

/etc/cups/cupsd.conf

Определение сервера CUPS на стороне клиента

Для добавления принтеров к системе CUPS используется утилита lpadmin, вызываемая из командной строки или доступная посредством специального

графического

://localhost:631

localhost

lpadmin

# lpadmin -р Имя_Принтера -Е -v lpd: //имя_сервера/имя_очереди\

 -m ppdfile.ppd

В данном примере

Имя_Принтера

имя_сервера

имя_очереди

lpd

ipp

-v

parallel:/dev/lp0

-m

/usr/share/cups/model

http://www.linuxprinting.org/driver_list.cgi

Если вы хотите модифицировать существующую очередь печати, для этого также можно применить инструмент

lpadmin

-v

Если вы предпочитаете инструменты с графическим пользовательским интерфейсом, можете воспользоваться средствами Web. В стандартном пакете CUPS предусмотрена возможность выполнения операций администрирования по протоколу HTTP. Соответствующая Web-страница показана на рис. 9.1. Для того чтобы приступить к администрированию, надо ввести URL компьютера, на котором установлен сервер, и указать порт 631. Затем CUPS запросит у вас имя и пароль администратора. После этого вы сможете выбрать конкретный пункт, например Do Administration Tasks или Manage Printers. Результат выбора Manage Printers показан на рис. 9.1. На этой странице отображается информация о двух принтерах. Первый из них,

hp4000

lexmark

Рис. 9.1. Web-интерфейс CUPS упрощает настройку как локальных, так и сетевых принтеров

Из протоколов, обеспечивающих работу временных серверов, наиболее популярен NTP (Network Time Protocol — сетевой протокол времени), который описан в документе RFC 1305 (

http://www.ietf.org/rfc/rfc1305.txt

http://www.eecis.udel.edu/~ntp/

Функционирование временных серверов

Работа временных серверов начинается с получения сведений о времени от официальных источников. Эти сведения получаются путем считывания показаний атомных часов, приема специальных радиосигналов и т.д. Служба GPS (Global Positioning System — глобальная система позиционирования) принимает временные сигналы со спутников, поэтому может быть использована в качестве официального источника данных о времени. (Информацию об устройствах отсчета времени можно получить, обратившись по адресу

http://www.eecis.udel.edu/~ntp/hardware.html

Атомные часы, устройства приема радиосигналов и прочее оборудование принято называть эталонными временными серверами, или серверами уровня 0. Эти серверы не поддерживают сетевые соединения (они взаимодействуют с компьютерами через последовательные порты, и для обмена данными с ними требуются дополнительные устройства). Компьютеры, которые синхронизируют свои системные часы, используя такие устройства, называются серверами уровня 1. Может показаться, что на них поддерживается наиболее точное время в Internet, однако исследования показали, что приблизительно треть из них имеют погрешность в секунду и больше. Компьютеры, которые используют для синхронизации серверы уровня называются серверами уровня 2 и т.д.

Процедура синхронизации предполагает обмен клиента с сервером несколькими пакетами данных (как правило, каждые пять минут передаются как минимум пять пакетов). Клиент передает серверу пакет, содержащий текущие показания своих системных часов. В ответ сервер передает клиенту тот же пакет. Сравнивая время в момент передачи и в момент приема, клиент может оценить задержку, связанную с пересылкой данных по сети, и учесть ее при коррекции значения таймера. Клиент может быть настроен для работы с несколькими серверами. В этом случае, сравнивая показания времени, задержку, вызванную передачей данных, и другие факторы, он может выбрать из этих серверов наиболее пригодный для себя.

Полнофункциональный сервер NTP работает постоянно и время от времени опрашивает вышестоящий сервер (первоначально обращения осуществляются каждые 64 секунды, но при некоторых вариантах конфигурации системы интервал между обращениями может увеличиться до 1024 секунд). Сервер NTP корректирует показания часов компьютера, на котором он выполняется, различными способами. Большие расхождения во времени (порядка секунды или больше) сначала игнорируются — сервер считает, что они могут быть вызваны ошибками при обмене данными. Но если такая ситуация сохраняется в течение некоторого времени, NTP компенсирует ошибку; он либо непосредственно устанавливает требуемое значение времени, либо ускоряет или замедляет ход системных часов до тех пор, пока системное время и время внешнего сервера не сравняются. (Процедура ускорения и замедления хода называется подстройкой системных часов.) Сервер NTP также поддерживает специальный файл (обычно это

/etc/ntp/drift

/var/state/ntp.drift 

ntpdate

ntpdate

В обычных условиях сервер NTP, работающий в небольшой сети, использует для синхронизации данные, предоставляемые тремя внешними серверами. (Число три выбрано произвольно, при желании вы можете увеличить или уменьшить количество внешних серверов, с которым будет взаимодействовать сервер NTP в вашей сети. Использование трех серверов обеспечивает избыточность данных, требуемую для надежной работы.) Для небольшой сети роль внешних серверов, как правило, выполняют серверы уровня 2. Количество серверов уровня 1 относительно невелико, и они обычно используются для синхронизации серверов NTP, которые обслуживают сотни клиентов. Клиентские компьютеры в небольшой сети практически постоянно обращаются к серверу уровня 3 для получения сведений о текущем времени. Вместо серверов на компьютерах могут быть установлены клиенты NTP, в этом случае опрос сервера может производиться не так часто. Если ваша сеть насчитывает несколько десятков компьютеров и для их работы необходимо обеспечивать точные показания системных часов, в ней имеет смысл установить два сервера NTP уровня 3. Это позволит избежать проблем, если сервер выйдет из строя или станет работать ненадежно. Если по каким-либо причинам необходимо, чтобы системные часы клиентских компьютеров работали особенно точно, вам следует рассмотреть возможность приобретения специального устройства и организации в вашей сети сервера уровня 1. Необходимое для этого устройство может стоить несколько сотен долларов.

В системе NTP используется универсальное время (Coordinated Universal Time — UTC), которое практически совпадает с гринвичским временем (Greenwich Mean Time — GMT) без учета переходов на летнее и зимнее время. UTC отличается от GMT лишь некоторыми деталями. В частности, UTC не определяется исходя из скорости вращения Земли, а отсчитывается на основании показаний высокоточных и высоконадежных атомных часов. При необходимости значение UTC можно привести в соответствие со скоростью вращения Земли, прибавляя или вычитая около секунды в день. Локальное время отличается от UTC смещением часового пояса. Кроме того, при определении локального времени также должны учитываться правила перехода на летнее и зимнее время.

Большинство операционных систем, установленных на компьютерах x86, требуют, чтобы системные часы показывали локальное время. Linux может работать с системным таймером, отсчитывающим либо локальное время, либо UTC, а также поддерживает отдельные программные часы, установленные в соответствии с UTC. Если на компьютере установлена только система Linux, желательно применять UTC, так как при этом нет необходимости переводить таймер на летнее и зимнее время. Если же на компьютере кроме Linux инсталлирована Windows (или другая операционная система, использующая локальное время), вам придется установить таймер по локальному времени. Кроме того, при этом возникает проблема при переходе на летнее и зимнее время. Устранить ее можно, запуская средства поддержки временного протокола при загрузке системы. Заметьте, что преимущества применения NTP в Linux не распространяются на другие системы, так как при коррекции системных часов Linux не изменяет значение аппаратного таймера. Для приведения аппаратного таймера в соответствие с системными часами можно использовать команду

hwclock --systohc --localtime

--localtime

--utc.

Временные серверы для Linux

Сервер NTP для работы в Linux реализуется с помощью программы

ntp

xntp

xntp3

xntpd

Большинство пакетов NTP содержат сервер NTP и несколько вспомогательных программ. Компоненты пакета описаны ниже.

•

ntpd

xntpd

•

ntpdate

ntpd

ntpdate

ntpdate

•

ntptrace

•

ntpq

•

xntpdc

ntpq

Помимо NTP, в Linux для согласования времени могут быть использованы и другие программы. Одной из таких программ является

rdate

ntpdate

rdate

ntpdate

ntpdate

rdate

Структура конфигурационного файла

ntp.conf

Для настройки средств NTP используется файл

ntp.conf

/etc

#

•

server адрес [key ключ] [version номер] [prefer]

ntp.conf

server

key

prefer

•

fudge адрес stratum номер

•

driftfile имя_файла

•

broadcast адрес [key ключ] [version номер] [ttl номер]

•

broadcastclient [yes|no]

В файле

ntp.conf

/usr/share/doc/xntp-версия

Файл

ntp.conf

http://www.eecis.udel.edu/~mills/ntp/servers.htm

ping

Если в списке указано, что, прежде чем использовать некоторый сервер, надо оповестить об этом оператора, не забудьте послать соответствующее сообщение. Возможно, вам имеет смысл рассмотреть в качестве претендентов на роль источника данных о времени менее известные серверы, расположенные ближе к вашей сети. Подобные серверы поддерживают многие крупные организации, в том числе провайдеры Internet. Если вы устанавливаете временной сервер для отдела, обсудите этот вопрос с системным администратором, обслуживающим сеть всей организации, и с провайдером.

Если вы приобретете GPS либо другое устройство, позволяющее принимать эталонные данные времени, вы можете установить в своей сети сервер уровня 1. Для работы с таким оборудованием вам понадобятся специальные драйверы. Эти драйверы устанавливают принадлежность устройства сети 127.127.0.0/16, в результате для работы с ним можно использовать обычную опцию

server

http://www.eecis.udel.edu/~ntp/hardware.html

После редактирования

ntp.conf

ntpdate

ntpd

ntpd

ntpd

Контроль операций NTP

Помимо визуального контроля показаний часов с помощью программы

xclock

ntpq

ntpq

•

host имя_узла

ntpq

host

ntpq

ntpq remote.threeroomco.com

•

hostnames [yes | no]

yes

ntpq

no

-n

ntpq

•

ntpversion номер_версии.

•

quit

ntpq

•

peers

host

ntp.conf

*

ntpq

peers

lpeers

opeers

•

associations

lassociations

passociations

lpassociations

•

readvar идентификатор_соответствия имя_переменной

readvar

rv

mreadvar

•

readlist идентификатор_соответствия

readvar

readlist

rl

mreadlist

•

pstatus идентификатор_соответствия

pstatus

readlist

•

writevar идентификатор_соответствия имя_переменной

Программа

ntpq

ntpq

ntpq

ntpd

+

*

Рис. 10.1. Программа

ntpq

Если вы заметите, что показания системных часов изменяются странным образом, имеет смысл вызвать программу

ntpq

ntpd

ping

http://fsmlabs.com/community/

Использование клиентских средств NTP

Ранее уже шла речь о том, что при формировании сети можно расположить на одном из компьютеров сервер NTP, который получал бы информацию о времени от внешнего сервера, и настроить остальные компьютеры так, чтобы они обращались за этой информацией к серверу NTP, расположенному в локальной сети. В результате во всей сети будет поддерживаться точное время, а трафик, связанный с NTP-обменом будет относительно невелик. На каждом из компьютеров такой сети будет выполняться программа

ntpd

На подавляющем большинстве компьютеров используется лишь незначительная часть возможностей, предоставляемых

ntpd

ntpd

ntpd

ntpd

ntpdate

rdate

ntpdate

ntpd

ntpdate

ntpdate

ntpdate

Для того чтобы запустить программу

ntpdate

•

-B

ntpdate

•

-b

•

-о версия

•

-р число_показаний_времени

ntpdate

С помощью данной опции вы можете увеличить или уменьшить это значение (но оно должно оставаться в диапазоне от 1 до 8).

•

-q

-q 

•

-s

cron

•

-u

ntpdate

После запуска программа

ntpdate

-q

ntpdate

Для периодического запуска программы

ntpdate

cron

ntpdate

ntpdate

ntpd

ntpdate

ntpdate

Как вы уже имели возможность убедиться, NTP — чрезвычайно полезный протокол, позволяющий поддерживать с высокой точностью показания системных часов на компьютерах под управлением Linux. Кроме NTP, существуют и другие протоколы подобного назначения. Один из них реализован в составе протоколов SMB/CIFS, используемых для разделения файлов и принтеров. (Эти протоколы и реализующий их продукт Samba рассматривались в главе 7.) Если вы планируете запустить сервер NTP на компьютере, на котором установлен сервер Samba, примите во внимание тот факт, что гораздо проще сконфигурировать Samba для предоставления данных о времени, чем инсталлировать клиенты NTP на каждом из Windows-компьютеров. (Samba не позволяет устанавливать системное время, обращаясь к серверу SMB/CIFS, работающему под управлением Windows.)

Опция временного сервера в конфигурационном файле Samba

Как вы уже знаете, конфигурационный файл

smb.conf 

[global]

smb.conf

time server = Yes

Данное значение опции указывает на то, что сервер Samba должен отвечать на запросы клиентов SMB/CIFS и предоставлять им сведения о текущем времени. Вы можете задавать данное значение опции независимо от того, используется ли на вашем компьютере

ntpdate

rdate

Настройка Windows-клиента для автоматической коррекции системного времени

Для того чтобы установить текущее время на клиентской машине под управлением Windows, надо выполнить следующую команду:

С:\> NET TIME\\SERVER /SET /YES

В данном случае

SERVER

.ВАТ

SETTIME.ВАТ

AUTOEXEC.BAT

NET TIME /SETSNTP:NTP_сервер

NTP_сервер

В предыдущем разделе были описаны лишь общие принципы доставки почты. Для того чтобы понять работу протокола получения почты, надо более подробно рассмотреть функционирование почтовой системы и вопросы взаимодействия протокола получения с другими компонентами доставки почты. В данной главе обсуждаются два основных протокола получения: POP (Post Office Protocol — протокол почтового отделения) и IMAP (Internet Message Access Protocol — протокол доступа к сообщениям Internet). Приведенные ниже рассуждения в равной степени относятся к обоим протоколам, несмотря на то, что они существенно различаются между собой. На практике достаточно использовать один протокол получения. Представляя себе круг задач, на которые ориентирован каждый протокол, вы сможете обоснованно выбрать для себя наиболее подходящий из них.

Функции протоколов получения почты

Как было сказано ранее, при организации почтового сервера необходимо установить сервер передачи почты. Без него использование сервера получения не будет иметь смысла, так как письма, предназначенные для доставки пользователям, попросту не будут поступать на почтовый сервер. В большинстве случаев письмо, подготовленное на компьютере пользователя, попадает на сервер передачи почты (не исключено, что на пути к получателю оно побывает на нескольких серверах передачи) и в конечном итоге попадает на сервер получения. В ответ на очередное обращение клиента сервер получения передает ему письмо.

В отличие от многих других протоколов, при доставке электронных писем некоторые серверы используются в качестве ретрансляторов (relay). Вместо того чтобы доставить письмо непосредственно на компьютер адресата, почтовая система пытается передать его на компьютер, расположенный как можно ближе к адресату. Строго говоря, почтовая система в принципе не может доставить письмо на компьютер пользователя, так как в почтовом адресе отсутствует информация об этом компьютере. Предположим, например, что вы передаете сообщение по адресу

sammy@threeroomco.com

mail.threeroomco.com

gingko.threeroomco.com

larch.threeroomco.com

trilobite.pangaea.edu

franklin.pangaea.edu

osgood.pangaea.edu

trilobite.pangaea.edu

gingko.threeroomco.com

gingko.threeroomco.com

larch.threeroomco.com

Рис. 11.1. В процессе доставки электронных писем может участвовать несколько серверов передачи, выполняющих роль ретрансляторов. Как правило, доставку сообщения на клиентскую машину осуществляет сервер получения

На рис. 11.1 представлен лишь один из возможных путей доставки почты. В некоторых случаях в процессе передачи письма может участвовать лишь один компьютер (так происходит, если письмами обмениваются пользователи одной системы). Не исключено, что цепочка серверов будет более длинной, чем это показано на рис. 11.1. Как в домене отправителя, так и в домене получателя передачей сообщения могут заниматься дополнительные компьютеры. В процесс доставки письма могут быть также вовлечены компьютеры из других доменов. Например, если студент закончил учебное заведение и устроился на работу в некоторую организацию, письма, адресованные ему, будут приходить по адресу, который он использовал ранее, а затем, если система настроена корректно, они будут перенаправляться по новому адресу. Как вы узнаете, изучив материал данной главы, серверы получения могут применяться не только на последнем этапе доставки письма, но и на других стадиях.

Следует помнить, что сервер получения не используется для передачи почты. Передачей сообщений занимаются другие серверы, реализующие SMTP или другой протокол аналогичного назначения. Но на компьютере может присутствовать как сервер передачи, так и сервер получения. Поэтому пользователь может передавать и получать письма посредством одного и того же узла сети, но использовать при этом различные протоколы. В некоторых случаях сервер передачи и сервер получения располагаются на разных компьютерах. Например, на узле

franklin.pangaea.edu

ponyexpress.pangaea.edu

ponyexpress.pangaea.edu

Хранение писем на стороне клиента и на стороне сервера

Как было сказано ранее, одна из функций сервера, реализующего протокол получения почты, состоит в том, чтобы хранить сообщения до тех пор, пока пользователь не обратится за ними. Когда клиент-программа обращается к серверу, почтовые сообщения копируются на клиентскую машину. На первый взгляд может показаться, что при этом они должны удаляться с сервера, однако так происходит не всегда. Ниже описаны случаи, когда целесообразно оставлять копии сообщений на сервере.

• При получении почты с двух различных компьютеров. В этом случае многие предпочитают оставлять копии сообщений на сервере, независимо от того, применяют ли они протокол POP или IMAP. Следует заметить, что при использовании протокола POP накопившиеся на сервере сообщения вскоре начинают мешать работе, так как POP предоставляет очень несовершенные средства для идентификации отдельных сообщений и их обработки.

• При использовании протокола IMAP. В этом случае есть возможность организовывать "папки" сообщений на сервере. Поэтому, если вы работаете на различных компьютерах, вы можете разместить сообщения на сервере удобным вам способом и не испытывать ненужных трудностей, возникающих вследствие дублирования сообщений. IMAP также предоставляет возможность копировать на пользовательский компьютер только заголовки сообщений (содержащие, в частности, адрес отправителя и тему письма), поэтому для просмотра корреспонденции с помощью данного протокола не требуется высокая пропускная способность линии связи.

В некоторых случаях различия между POP и IMAP несущественны для пользователя, но иногда они играют решающую роль при выборе протокола. Если вы всегда работаете на одном и том же компьютере и хотите хранить почтовые сообщения на локальной машине, вам подойдет как POP, так и IMAP. Если же вам приходится работать на разных машинах или если, работая на одном компьютере, вы используете различные программы просмотра почты, протокол IMAP будет более удобен для вас. Следует заметить, что при хранении писем на сервере для их просмотра требуется больше времени, особенно если вам необходимо часто обращаться к старым письмам. Как правило, для организации сервера IMAP требуется больший объем диска и более высокая пропускная способность соединения, чем для сервера POP, поэтому, если вам не нужны специальные возможности IMAP, лучше использовать для получения почтовых сообщений протокол POP.

Пример сеанса взаимодействия по протоколу POP

На самом деле POP — это несколько взаимодействующих между собой протоколов. На сегодняшний день наиболее популярна версия POP-3, которая использует TCP-порт 110. (Более ранняя версия POP-2 использовала порт 109.) Подобно многим другим протоколам, применяемым в Internet, POP-взаимодействие основано на обмене текстовыми сообщениями между клиентом и сервером. В POP-3 предусмотрено более десяти команд. Среди них можно отметить команды

USER

PASS

RETR

DELE

QUIT

telnet

Листинг 11.1. Пример сеанса взаимодействия по протоколу POP-3

$ telnet nessus 110

Trying 192.168.1.3...

Connected to nessus.rodsbooks.com.

Escape character is '^]'.

+OK POP3 nessus.rodsbooks.com v7.64 server ready

USER rodsmith

+OK User name accepted, password please

PASS password

+OK Mailbox open, 1 messages

RETR 1

+OK 531 octets

>From rodsmith Wed Aug 8 14:38:46 2001

Return-Path: 

Delivered-To: rodsmith@nessus.rodsbooks.com

Received: from speaker.rodsbooks.com (speaker.rodsbooks.com

[192.168.1.1])

 by nessus.rodsbooks.com (Postfix) with SMTP id EB2A01A2BD

 for ; Wed, 8 Aug 2001 14:38:26 -0400 (EDT)

Message-Id: <20010808183826.EB2A01A2BD@nessus.rodsbooks.com>

Date: Wed, 8 Aug 2001 14:38:26 -0400 (EDT)

From: ben@pangaea.edu

To: undisclosed-recipients:;

Status:

This is a test message.

.

DELE 1

+OK Message deleted

QUIT

+OK Sayonara

Connection closed by foreign host.

Как видно из листинга 11.1, при использовании протокола POP сообщения идентифицируются по номерам. В данном примере на сервере присутствует лишь одно сообщение; на это указывает строка

+OK mailbox open, 1 messages

RETR 1

DELE 1

From:

Return-Path:

ben@pangaea.edu

Received:

Received:

speaker.rodsbooks.com

nessus.rodsbooks.com

pangaea.edu

Пример сеанса взаимодействия по протоколу IMAP

Как и POP, IMAP представляет собой протокол получения почты, однако IMAP позволяет использовать расширенные средства управления сообщениями. Применяя IMAP, пользователь, перед тем как копировать письма на свой компьютер, может ознакомиться с их заголовками. Наличие дополнительных возможностей предполагает реализацию дополнительных команд; таковых в IMAP-4 предусмотрено больше двадцати. (IMAP-4 является текущей версией данного протокола и использует при работе порт 143.) Пример сеанса взаимодействия по протоколу IMAP приведен в листинге 11.2. В ходе этого сеанса достигается такой же результат, как и при использовании протокола POP (листинг 11.1). Отличие лишь в том, что листинг 11.2 включает команду копирования сообщения в папку IMAP.

Листинг 11.2. Пример сеанса IMAP-4

$ telnet nessus 143

Trying 192.168.1.3...

Connected to nessus.rodsbooks.com.

Escape character is '^]' .

* OK nessus.rodsbooks.com IMAP4rev1 v12.264.phall server ready

A1 LOGIN rodsmith password

A1 OK LOGIN completed

A2 SELECT Inbox

* 1 EXISTS

* NO Trying to get mailbox lock from process 29559

* 1 RECENT

* OK [UIDVALIDITY 997295985] UID validity status

* OK [UIDNEXT 4] Predicted next UID

* FLAGS (\Answered \Flagged \Deleted \Draft \Seen)

* OK [PERMANENTFLAGS (\* \Answered \Flagged \Deleted \Draft \Seen)]

Permanent flags

* OK [UNSEEN first unseen message in /var/spool/mail/rodsmith

A2 OK [READ-WRITE] SELECT completed

A3 FETCH 1 BODY [HEADER]

* 1 FETCH (BODY[HEADER] {494}

>From rodsmith Wed Aug 8 16:02:47 2001

Return-Path:

Delivered-To: rodsmith@nessus.rodsbooks.com

Received: from speaker.rodsbooks.com (speaker.rodsbooks.com [192.168.1.1])

 by nessus.rodsbooks.com (Postfix) with SMTP id 2C7121A2BD

 for ; Wed, 8 Aug 2001 16:02:25 -0400 (EDT)

Message-Id: <20010808200225.2C7121A2BD@nessus.rodsbooks.com>

Date: Wed, 8 Aug 2001 16:02:25 -0400 (EDT)

From: ben@pangea.edu

To : undisclosed-recipients: ;

)

* 1 FETCH (FLAGS (\Recent \Seen))

A3 OK FETCH completed

A4 FETCH 1 BODY [TEXT]

* 1 FETCH (BODY[TEXT] {25}

This is a test message.

)

A4 OK FETCH completed

A5 COPY 1 demos

A5 OK COPY completed

A6 LOGOUT

* BYE nessus.rodsbooks.com IMAP4rev1 server terminating connection

A6 OK LOGOUT completed

Connection closed by foreign host.

Листинг 11.2 демонстрирует дополнительные возможности IMAP, которые отсутствуют в протоколе POP. IMAP требует от клиента передавать ему нумерованные команды, например, вместо

LOGOUT

A6 LOGOUT

A3

A4

A2

A5

FETCH

http://www.ietf.org/rfc/rfc2060.txt

Несмотря на то что рассмотрение низкоуровневых команд позволяет получить представление о работе IMAP, вам, как системному администратору, вряд ли необходимо знать детали функционирования этого протокола. Однако наличие некоторых команд оказывает влияние на конфигурацию сервера. Поскольку IMAP позволяет работать с папками, эти папки надо где-то хранить. Расположение папок зависит от используемого сервера. В настоящее время наиболее популярен сервер IMAP, разработанный в Вашингтонском университете (UW IMAP;

http://www.washington.edu/imap/

INBOX

/var/spool/mail/имя_пользователя

INBOX

Выбор протокола

Выбор протокола получения почты зависит от имеющихся в наличии ресурсов и от того, какие клиентские программы применяют пользователи. Не секрет, что на решение вопроса большое влияние оказывают вкусы и привычки самого системного администратора. При использовании протокола POP требования к ресурсам сервера и пропускной способности линии минимальны, поскольку подавляющее большинство пользователей не хранят письма на сервере, а копируют их на клиентские машины. Некоторые пользователи предпочитают работать с сервером IMAP. Чтобы организовать функционирование такого сервера, необходимы дополнительные ресурсы, в частности, для хранения писем на сервере потребуется жесткий диск большего объема. В составе почтовых систем серверы POP используются чаще, чем IMAP, поэтому, если вы установите сервер IMAP, желательно установить на том же компьютере и сервер POP. При этом дополнительная нагрузка на компьютер практически не будет ощущаться, но пользователи, которые работают с клиентскими программами, не поддерживающими IMAP, смогут получать свои письма. POP-клиент может очистить папку

INBOX

xinetd

Как правило, для обеспечения работы сервера POP не приходится затрачивать больших усилий. Чаще всего, настройка не требуется, и вам достаточно лишь запустить сервер. Тем не менее следует убедиться, что выбранная вами программа сервера совместима с сервером SMTP. He менее важно обеспечить совместимость с форматом хранения писем. В настоящее время используются два таких формата:

mbox

maildir

sendmail

mbox

qmail

maildir

qmail

mbox

maildir

Серверы POP для Linux

Серверы POP входят в состав практически каждого дистрибутивного пакета Linux. Как правило, самым простым решением является использование сервера, поставляемого вместе с системой, но если вы перенастроите сервер SMTP для хранения писем в другом формате, вам, возможно, придется заменить сервер POP программой, в которой предусмотрена поддержка этого формата. Ниже перечислены некоторые программные продукты, обеспечивающие работу сервера POP.

• UW IMAP. Сервер IMAP, созданный в Вашингтонском университете (

http://www.washington.edu/imap/

mbox

• Cyrus IMAP. Подобно UW IMAP, Cyrus IMAP (

http://asg.web.cmu.edu/cyrus/imapd/

mbox

•

nupop

nupop

http://nupop.sourceforge.net

maildir

qmail

• Courier. Продукт Courier (

http://ww.courier-mta.org

http://www.inter7.com/courierimap/

maildir

• QPopper. Несмотря на свое название, данный пакет (

httр://www.eudora.com/qpopper/

qmail

mbox

•

qmail-pop3d

qmail

http://www.qmail.org

maildir

qmail

qmail-pop3d

Здесь приведена информация лишь о незначительной части продуктов, реализующих обмен по протоколу POP. На сервере

http://www.sourceforge.net

Инсталляция и настройка сервера POP

Как правило, серверы POP запускаются с помощью суперсервера (вопросы использования суперсерверов рассматривались в главе 4). При инсталляции некоторых серверов автоматически устанавливается конфигурация

xinetd

/etc/inetd.conf

inetd

xinetd

По умолчанию UW IMAP и большинство других серверов POP полагаются на результаты выполнения стандартной процедуры аутентификации Linux. Поэтому, чтобы сервер обслуживал пользователей вашей системы, не надо принимать никаких специальных мер. Если для пользователя создана учетная запись и если сервер SMTP получает его корреспонденцию, сервер POP будет доставлять письма на удаленный компьютер. Пользователю лишь необходимо указать в клиент-программе POP свое имя и пароль. Поскольку действия, выполняемые сервером POP, чрезвычайно просты, в большинстве программ специальный конфигурационный файл не используется.

Серверы IMAP инсталлируются и настраиваются практически так же, как и серверы POP. Как было сказано ранее, продукт UW IMAP поставляется с большинством дистрибутивных пакетов Linux, кроме того, в состав некоторых систем включаются и другие серверы. Действия по настройке обычно сводятся к изменению конфигурации и перезапуску суперсервера.

Серверы IMAP для Linux

Многие из пакетов, сведения о которых были приведены в предыдущем разделе, в частности UW IMAP, Cyrus IMAP и Courier, обеспечивают также работу сервера IMAP. В 2002 г. в стадии разработки находился ряд проектов по созданию серверов IMAP, но реально работающий код еще не был доступен. Информацию об этих проектах можно найти на сервере

http://www.sourceforge.net

Наиболее популярный сервер для Linux, UW IMAP, использует для организации большинства почтовых папок рабочие каталоги пользователей. Если пользователь время от времени регистрируется и работает на этом компьютере, такое решение нежелательно, так как пользователь может непреднамеренно удалить или переместить каталоги с папками. (Местоположение папок можно изменить; для этого надо модифицировать исходный код программы и перекомпилировать ее. Соответствующие действия описаны в файле

CONFIG

mbox

Инсталляция и настройка сервера IMAP

В состав большинства версий Linux входит продукт UW IMAP, соответствующий пакет обычно носит имя

imap

Fetchmail — не совсем обычная программа. Она не является ни программой просмотра почты, ни почтовым сервером, но в то же время сочетает элементы их обоих. Fetchmail извлекает письма с сервера получения и передает их другой программе; чаще всего Fetchmail взаимодействует с сервером передачи почты и перенаправляет полученные письма локальным пользователям. Программу Fetchmail можно сконфигурировать для выполнения различных задач, более того, редактируя конфигурационный файл

.fetchmailrc

fetchmailconf

Участие Fetchmail в процессе доставки почты

Протоколы получения почты были разработаны для того, чтобы обеспечить клиентским почтовым программам возможность извлекать сообщения с почтового сервера. Считается, что компьютер, на который приходят почтовые сообщения, работает постоянно и на нем выполняется сервер передачи почты. В отличие от сервера, время работы компьютера, на котором установлена клиентская программа, не определено, кроме того, его IP-адрес может изменяться от одного сеанса работы к другому. Возможны ситуации, при которых возникает необходимость извлечь почту с помощью протокола получения, а затем возобновить ее передачу посредством другого сервера. Подобные ситуации описаны ниже.

• Компьютер под управлением Linux, подключенный к Internet по коммутируемой линии. В большинстве случаев на компьютере Linux, даже если он подключен к Internet через PPP-соединение, присутствует почтовый сервер. Этот локальный сервер позволяет организовать обмен письмами между несколькими локальными пользователями или передавать пользователям сообщения, сгенерированные системой. Для того чтобы интегрировать эти сообщения с письмами, которые приходят на сервер провайдера, надо извлечь письма с помощью протокола POP или IMAP и включить их в очередь локального почтового сервера. В результате пользователь получает возможность читать все сообщения (как локальные, так и удаленные) с помощью одной программы; при этом он избавлен от необходимости обращаться к серверу посредством протокола POP или IMAP.

• Локальная сеть, подключенная к Internet по коммутируемой линии. В небольших компаниях компьютеры часто объединяют в локальную сеть, которая, помимо выполнения других задач, позволяет организовать обмен почтовыми сообщениями между пользователями. Подобная сеть может быть подключена к Internet по коммутируемой линии; при этом письма, адресованные пользователям локальной сети, доставляются на сервер провайдера. Администратору локальной сети приходится решать задачу получения писем и перенаправления их на пользовательские компьютеры в пределах локальной сети.

• Получение почты, приходящей по нескольким адресам. Если у вас есть несколько учетных записей, на которые приходят письма, вы можете автоматизировать процесс получения корреспонденции. Работая на компьютере под управлением Linux, подключенном к Internet по коммутируемой линии, вы можете использовать протокол получения почты для того, чтобы собрать письма из нескольких источников и перенаправить их на одну учетную запись. (Эта учетная запись может располагаться как на локальном, так и на удаленном компьютере.) Альтернативным решением данной проблемы является организация перенаправления почты на тех серверах, на которые она поступает, либо использование почтовой программы, опрашивающей различные учетные записи.

• Использование одного почтового ящика несколькими абонентами. Бывают случаи, когда на одну учетную запись приходят письма, адресованные нескольким пользователям. Если существуют правила, позволяющие рассортировать письма, вы можете сделать это, используя средства фильтрации Fetchmail (либо реализовать фильтрацию посредством отдельной программы) и разместить сообщения в отдельных очередях.

• Преобразование POP в IMAP. Предположим, что почта, адресованная пользователям вашей сети, приходит на внешний сервер, на котором установлен сервер POP, но пользователи предпочитают работать посредством протокола IMAP. С помощью компьютера под управлением Linux вы можете получать почту с сервера POP и помещать ее в локальную очередь. Установив IMAP на локальном компьютере, вы обеспечите для пользователей возможность работать с корреспонденцией, применяя средства, обеспечиваемые протоколом IMAP.

cron

cron

cron

ppp-on-dialer

interface

monitor

Сказанное выше можно выразить следующим образом. Средства доставки почты с помощью серверов получения в основном предусматривают работу одного пользователя с применением достаточно простых средств. В особенности это относится к протоколу POP, который лучше всего подходит для тех случаев, когда пользователь работает с одной клиентской программой и получает письма с одного сервера. В более сложных ситуациях, например, когда один пользователь должен получать письма с нескольких серверов, либо когда письма, приходящие на одну учетную запись, должны быть распределены по нескольким потокам, нужны дополнительные инструменты. Одним из таких инструментов является Fetchmail.

Настраивая программу Fetchmail, важно обеспечить ее работу в качестве клиента как сервера получения, так и сервера передачи. (Fetchmail может не использовать сервер передачи, но такая конфигурация применяется крайне редко). Поскольку в составе Fetchmail объединены два клиента, эта программа требует, чтобы оба сервера были доступны. Fetchmail может работать как в пакетном режиме, так и в режиме демона. В пакетном режиме данная программа опрашивает один или несколько серверов получения и перенаправляет полученные письма с помощью сервера передачи. В режиме демона Fetchmail работает постоянно, опрашивая сервер получения через заданные интервалы. Этот режим нежелателен, поскольку, как показывает опыт, при длительной работе в режиме демона в работе Fetchmail происходят сбои. Поэтому предпочтительнее запускать этот инструмент в пакетном режиме. Исключение составляют случаи, когда работа в режиме демона продолжается недолго. Если вы хотите организовать периодический опрос сервера, можно планировать вызовы Fetchmail с помощью

cron

Использование

fetchmailconf

Настройка Fetchmail предполагает редактирование текстового конфигурационного файла. Этот файл обычно хранится в рабочем каталоге пользователя, от имени которого запускается программа. При необходимости Fetchmail могут вызывать несколько пользователей, работающих на одном компьютере. Для настройки Fetchmail можно использовать специальный инструмент с графическим интерфейсом

fetchmailconf

.fetchmailrc

fetchmailconf

В состав большинства версий Linux программа

fetchmailconf

fetchmailconf

1. Зарегистрировавшись как обычный пользователь, введите в окне

xterm

fetchmailconf

2. Щелкните на кнопке Configure Fetchmail в окне Fetchmail Launcher. На экране отобразится окно Fetchmail Configurator, в котором вы сможете указать, предпочитаете ли вы использовать средства, ориентированные на начинающего или на опытного администратора. Конфигурация, предназначенная для начинающего, позволяет использовать лишь подмножество тех опций, которые представляются опытному администратору. При изложении материала данного раздела я в основном буду ориентироваться на расширенный набор опций, поступающих в распоряжение более квалифицированного администратора.

3. Щелкните на кнопке Expert Configuration в окне Fetchmail Configurator. Программа выведет диалоговое окно Fetchmail Expert Configurator, показанное на рис. 11.2. Если вы собираетесь запускать Fetchmail в режиме демона, введите в поле Poll Interval интервал между последовательными обращениями к серверу, выраженный в секундах (например, 1200 секунд соответствуют 20 минутам). Если вы хотите, чтобы программа Fetchmail выполнялась в пакетном режиме, оставьте в этом поле значение по умолчанию, равное 0. В поле Postmaster указывается имя пользователя, которому следует сообщать о проблемах, возникших в процессе работы Fetchmail. По умолчанию принимается имя пользователя, который запустил данную программу. Большинство опций, расположенных в средней части окна, можно оставить без изменений. Щелкнув на кнопке Help, вы получите информацию об их назначении.

Рис. 11.2. Диалоговое окно Fetchmail Expert Configurator позволяет задавать глобальные опции и указывать почтовый сервер, к которому программа Fetchmail должна обращаться для получения почты

4. Наиболее важный компонент окна Fetchmail Expert Configurator — панель, расположенная в нижней его части. С помощью этой панели вы можете задать имя почтового сервера, с которого собираетесь получать почту. Введите имя узла, и после нажатия клавиши отобразится новое диалоговое окно Fetchmail Host Имя_узла (рис. 11.3). Заданное вами имя должно также появиться в списке, расположенном в окне Fetchmail Expert Configurator ниже поля New Server. Если вы собираетесь получать почту с нескольких серверов, вам надо ввести их имена, но задать имя следующего сервера можно лишь после установки всех конфигурационных параметров для предыдущего сервера.

Рис. 11.3. Информация о сервере получения почты задается в диалоговом окне Fetchmail Host Имя_узла

5. Наиболее важными в окне Fetchmail Host Имя_узла являются разделы Protocol, User Entries for Имя_узла и Security. В разделе Run Controls задаются опции, определяющие временные соотношения при получении почты, и имя сервера (если оно отличается от введенного ранее). В области Multidrop Options указываются правила, используемые при дублировании или перенаправлении сообщения. Конкретное решение принимается на основании анализа указанных в этом разделе полей заголовка. Данный раздел используется в том случае, если надо обеспечить распределение писем, приходящих на одну учетную запись, однако в некоторых случаях, например при участии в списке рассылки, такое распределение может привести к возникновению проблем.

6. В разделе Protocol окна Fetchmail Host Имя_узла надо указать протокол получения почты. По умолчанию предполагается значение Auto; такая установка обеспечивает работу с некоторыми серверами, но если вы знаете, какой протокол поддерживается на сервере, желательно указать его явно. Для проверки протокола можно воспользоваться кнопкой Probe for Supported Protocols, но средства, активизируемые с ее помощью, не всегда работают корректно. Лучше запросить необходимую информацию у провайдера или провести сеанс вручную, используя клиентскую программу

telnet

telnet

7. Средства, доступные посредством раздела Security, особенно важны в тех случаях, когда взаимодействие с сервером получения производится по коммутируемой линии, причем эта линия не всегда активна. В поле Interface to Monitor введите имя интерфейса, например

ppp0

/

ppp0

ppp0

8. В разделе User Entries for Имя_узла есть поле New User. Введите в нем имя, под которым вы зарегистрированы на почтовом сервере. После нажатия клавиши отобразится окно Fetchmail User Имя_пользователя Querying Имя_узла (рис. 11.4). Как и при указании имени сервера, следующую учетную запись вы можете указать только после завершения работы с этим окном.

Рис. 11.4. Многие опции Fetchmail определяют работу с конкретными учетными записями на почтовом сервере

9. Наиболее важным элементом в окне Fetchmail User Имя_пользователя Querying Имя_узла является поле Password в разделе Authentication. Информация, задаваемая в этом поле, необходима для получения почты с сервера. Следует убедиться, что в поле Local Names перечислены все локальные пользователи, которые должны получать письма посредством данной учетной записи. По умолчанию предполагается, что локальное имя совпадает с именем на сервере; при необходимости вы можете задать другое имя. Раздел Forwarding Options позволяет указать узел для передачи почты. По умолчанию в качестве такого узла используется локальная система, но с помощью Fetchmail можно также организовать получение писем с одного узла и передачу их на другой узел. Опции в разделах Forwarding Options, Processing Options и Resource Limits используются редко, и назначение большинства опций понятно из их названий. При первом запуске Fetchmail целесообразно установить флажок опции Suppress Deletion of Messages After Reading в разделе Processing Options, чтобы исключить риск потери писем вследствие некорректной работы Fetchmail. После того как вы убедитесь, что программа работает корректно, опцию можно отключить. В разделе Remote Folders указываются папки IMAP, которые программа Fetchmail проверяет, помимо папки

INBOX

.fetchmailrc

rw-------

10. Щелкните на кнопке OK в окне Fetchmail User Имя_пользователя Querying Имя_узла, а затем на такой же кнопке в окне Fetchmail Host Имя_узла. Для того чтобы установки сохранились в файле

.fetchmailrc

11. Для того чтобы проверить конфигурацию программы, щелкните на кнопке Test Fetchmail в окне Fetchmail Launcher. В результате программа Fetchmail будет запущена в режиме отладки, т.е. вы увидите команды, которые данная программа передает серверу получения и серверу передачи почты, а также ответы этих серверов. Эта информация позволяет выявить и устранить проблемы, возникающие при работе Fetchmail. Убедившись в работоспособности программы, завершите ее работу щелчком на кнопке Quit.

Во многих случаях средства настройки, предоставляемые

fetchmailconf

.fetchmailrc

Редактирование

.fetchmailrc

Если вы работаете с

fetchmailconf

.fetchmailrc

fetchmailconf

.fetchmailrc

Листинг 11.3. Пример файла

.fetchmailrc

# Fetchmail file for retrieving mail from mail.abigisp.net

# and imap.asmallisp.com

set postmaster rodsmith

set bouncemail

set daemon 1800

set syslog

poll mail.abigisp.net with proto POP3

 user rodericksmith there with password abc123

 is rodsmith here fetchall forcecr

 smtphost speaker.rodsbooks.com

poll imap.asmallisp.com with proto IMAP

 user rodsmith there with password A1B2C3

 is rodsmith here

Как и в других конфигурационных файлах, символ

#

set

fetchmailconf

Fetchmail поддерживает большое количество опций и в этом разделе невозможно обсудить их все. Исчерпывающую информацию об опциях данной программы вы можете получить на страницах справочной системы, посвященных Fetchmail, а также в других документах. Значением некоторых опций является строка символов (например, посредством опции может задаваться пользовательское имя). Если в строке содержатся пробелы, строка помещается в кавычки. Некоторые из наиболее важных глобальных опций описаны ниже.

•

set postmaster имя_пользователя

postmaster

root

postmaster

postmaster

--postmaster имя_пользователя

•

set bouncemail

set bouncemail

set no bouncemail

postmaster

•

set daemon интервал

set daemon 

--daemon интервал

--daemon 0

.fetchmailrc

•

set logfile имя_файла

•

set syslog

В файле

.fetchmailrc

poll

poll имя_сервера опции-сервера описание_пользователя

Ключевое слово

server

poll

skip

.fetchmailrc

.fetchmailrc

and

with

has

wants

options

:

;

,

poll

Некоторые из наиболее важных опций сервера приведены ниже.

•

proto имя

protocol имя

.fetchmailrc

-p

•

interface интерфейс/IP-адрес/маска_подсети

eth1

ppp0

eth1/192.168.1.0/255.255.255.0

eth1

-I

•

monitor интерфейс

-М

Ниже перечислены опции, наиболее часто применяющиеся в описании пользователя.

•

user имя

username имя

poll

here

there

-u

•

pass пароль

password пароль

•

is имя

to имя

user имя with pass пароль

here

there

•

smtphost имя_узла

localhost

-S

•

keep

-k

keep

•

fetchall

fetchall

-а

•

forcecr

qmail

forcecr

Если вы зададите больше одного локального имени, Fetchmail будет анализировать заголовки писем и пытаться определить, кто является получателем конкретного сообщения. Например, если вы укажете локальные учетные записи

jack

jill

jill

jill

Среди серверов новостей, предназначенных для выполнения в системе Linux, наиболее популярным является InterNetNews, или INN (

http://www.isc.org/products/INN

innd

nnrpd

innxmit

nntpsend

/etc/news

/var/lib/news

Сервер INN в составе операционной системы Linux обычно поставляется в пакете под названием

inn

Получение материалов групп

Если вы устанавливаете на своем компьютере сервер новостей, который должен поддерживать хотя бы часть Usenet, вам необходимо найти поставщика новостей и сконфигурировать свой сервер для работы с ним. Настройка сервера для получения материалов групп будет обсуждаться далее в этой главе, а здесь мы кратко рассмотрим вопросы выбора поставщика. Протокол NNTP позволяет использовать для получения групп любой сервер новостей, однако не следует думать, что вы можете указать в конфигурационном файле произвольные серверы. Вам необходимо найти такой сервер, администратор которого согласился бы предоставлять вам необходимые материалы.

Поиск сервера на роль поставщика новостей лучше всего начать с провайдера. Если быстродействие вашего соединения достаточно для того, чтобы вы могли получать материалы требуемых групп, провайдер предоставит их вам или, по крайней мере, укажет сервер новостей, услугами которого вы могли бы воспользоваться. Многие провайдеры, в особенности те, которые предоставляют услуги Internet небольшим компаниям, не содержат своего сервера новостей, так как пропускная способность их линий не позволяет им этого. В этом случае поставщиком новостей может быть независимый сервер, например NewsGuy (

http://www.newsguy.com

binary

binaries

alt

comp

Чтобы организовать полнофункциональный сервер новостей, необходимо затратить значительные средства как на приобретение оборудования и организацию быстродействующего соединения, так и на оплату услуг поставщика новостей. Например, на момент написания данной книги стоимость получения материалов групп на сервере NewsGuy составляла 1200 долларов в месяц, а для взаимодействия с этим сервером требовался компьютер не ниже, чем Pentium 400, с объемом оперативной памяти не менее 500 Мбайт, оснащенный жестким диском объемом не меньше 64 Гбайт. Для получения данных требовалась пропускная способность соединения не ниже 3 Мбод. Планируя пропускную способность соединения, необходимо также учитывать, что на сервер будут обращаться клиенты. В зависимости от набора поддерживаемых вами групп новостей, времени хранения сообщений и других характеристик сервера, требования к ресурсам могут увеличиваться или уменьшаться. Поскольку количество групп и объем сообщений в них ежегодно возрастает, не исключено, что приведенные выше требования вскоре придется пересмотреть.

Настройка INN

Настройка INN предполагает установку большого количества опций в различных конфигурационных файлах. В пакете, предназначенном для инсталляции, указаны такие значения опций, которые практически обеспечивают функционирование сервера. Вам остается лишь привести некоторые установки в соответствии с требованиями системы. Например, вам понадобится объявить поддерживаемые группы новостей и настроить средства для контроля доступа. (Если вы хотите установить полнофункциональный Usenet-сервер, администратор поставщика новостей, скорее всего, сообщит вам установки, необходимые для доступа к его серверу.) Необходимо также определить политику удаления сообщений по истечении срока их действия и сообщить INN, как следует обрабатывать специальные управляющие сообщения (например, команды на удаление статей, создание новых групп и т.д.).

Основным конфигурационным файлом является

/etc/news/inn.conf

имя_опции: значение

Такой же синтаксис используется и в других конфигурационных файлах. Значения большинства опций в файле

inn.conf

•

organization

organization

•

server

localhost

•

pathhost

Path

news.threeroomco.com

•

moderatormailer

%s@uunet.uu.net

•

domain

threeroomco.com

•

fromhost

From

•

complaints

complaints

В файле

inn.conf

inn.conf

В файле

inn.conf

active

newsgroups

pathdb

inn.conf

/var/lib/news

Файл

active

имя_группы максимальный_номер минимальный_номер флаги

В первом поле указывается полное имя группы, например

comp.os.linux.misc

•

y

•

n

•

m

•

j

•

x

•

=группа_новостей

Сервер новостей, который допускает только локальные операции, может поддерживать лишь несколько групп. Имена этих групп задаются произвольно, но они должны соответствовать схеме, принятой в Usenet. При желании вы можете назначать локальным группам имена, начинающиеся с имени вашей организации, например, на сервере новостей, расположенном в домене

threeroomco.com

threeroomco.support

threeroomco.support.bigproduct

threeroomco.accounting

active

В процессе работы сервера INN значения полей

максимальный_номер

минимальный_номер

active

максимальный_номер

минимальный_номер

минимальный_номер

Файл

newsgroups

active

Чтобы предотвратить незаконные действия с материалами групп и сэкономить ресурсы, многие администраторы ограничивают доступ к серверам новостей. Рассматривая вопросы ограничения доступа, следует принять во внимание три задачи, выполняемые сервером: предоставление материалов групп другим серверам, получение материалов с других серверов и организация взаимодействия с клиентом. Первые две задачи необходимо учитывать лишь тогда, когда ваш сервер обменивается новостями с другими серверами. Если же вы организуете независимый сервер, вам необходимо убедиться, что его конфигурация не предполагает обмена данными с другими серверами новостей. Взаимодействие с клиентами осуществляет любой сервер новостей (это необходимо предусмотреть, редактируя конфигурационные файлы).

Если вы хотите, чтобы сообщения, переданные вашими пользователями, достигали других узлов, тем более, если вы собираетесь предоставлять другим серверам материалы групп в полном объеме, вам надо соответствующим образом сконфигурировать ваш сервер новостей. Для этого необходимо отредактировать содержимое файла

/etc/news/newsfeeds

/etc/news/newsfeeds

идентификатор_узла:шаблон[,шаблон...]:флаг[, флаг...]:параметр

Длина подобных записей может быть достаточно большой. Для того чтобы разместить запись в нескольких строках, надо использовать символ

\

•

идентификатор_узла

•

шаблон

*

comp.os.*

comp.os

!

@

!comp.os.linux

comp.os.linux

comp.os.linux.hardware

comp.os.linux.hardware

@comp.os.linux

newsfeeds

comp.os.*, !comp.os.linux

comp.os

!comp.os.linux

comp.os.*

 !comp.os.linux

•

флаг

<размер

Gчисло

•

параметр

newsfeeds

Файл

newsfeeds

/etc/news/nntpsend.ctl

newsfeeds

nntpsend.ctl

идентификатор_узла: имя_узла: максимальный_размер: [параметры]

Значение в поле

идентификатор_узла

newsfeeds

имя_узла

максимальный_размер

2m

innxmit

Содержимое рассмотренных выше конфигурационных файлов вам придется менять, если вы собираетесь предоставлять материалы групп другим серверам или получать новости у них. Для того чтобы ваш сервер работал эффективно, серверы, поставляющие вам группы новостей, должны получать у вас сообщения, отправленные вашими пользователями. Без этого сообщения ваших пользователей будут доступны только в пределах локального сервера, а пользователи Internet не получат их. Таким образом, даже в том случае, когда вы лишь получаете группы новостей с внешнего сервера, вы должны предусмотреть в конфигурационном файле возможность передачи сообщений в эти группы.

Сервер INN может управлять доступом со стороны других серверов и клиентов. Основной демон,

innd