Linux Network Administration — Механизм PMTUD

Долго думал, какой блог выбрать, сначала склонялся к "Пятиминутке ненависти", но "Linux Network Administration" победил.

Вообще, написать об этой не очевидной сетевой проблеме, проявляющейся по-разному, но имеющей один корень, меня побудил один интересный случай.

Совсем недавно одному удаленному бухгалтеру понадобилось подключаться по RDP к нашему терминальному серверу для работы с 1C. Виндовый админ выделил нужные права, завел учетку, с моей стороны тоже проблем нет: IP клиента статический, а RDP использует TCP порт 3389, который сразу и был проброшен на терминальный сервер:

1 2	iptables -t nat -A PREROUTING -p tcp -s $ext_term_access -d $INET_IP --dport 3389 -j DNAT --to-destination $SRV1C iptables -A FORWARD -p TCP -s $ext_term_access --dport 3389 -d $SRV1C -j ACCEPT

Проверили конфигурацию с внешнего компьютера, успешно соединились, клиенту сразу был дан ответ «Готово, подключайтесь». Ко всеобщему удивлению клиент не смог соединиться, с его стороны соединение «зависало», не выдавая ошибок.

Юмор — Идеальный интерфейс

Господа, отличная новость! Случайно обнаружил, что разработка идеального интерфейса идет полным ходом. Проект доступен как минимум в репозиториях Арча и Генту, встречайте!

P.S. Не хватает только надписи "Тебе уже заебись!", ждем 2.0!.

Новости — Украден старый логотип Arch Linux

Несколько месяцев назад один из разработчиков Arch Linux увидел на машине, проезжающей по улице, старый лототип Arch Linux.



Оказалось, ныне этот логотип используется австралийской компанией "Ace International Tutoring". Dusty Phillips из Arch Linux связался с представителем компании, неким Dr. Elias, который утверждает, что удивлен и рисовал логотип самостоятельно, с нуля, не используя никаких наработок.



Однако, логотипы идентичны, и сомнений быть не может. После представленных по почте доказательств, Dr. Elias из "Ace International Tutoring" заявил, что его товарный знак зарегистрирован с момента появления компании, и, если бы он знал, чем обернется ему такое решение, он выбрал бы один из других семи возможных лого. Dr. Elias готов пойти навстречу и надеется решить проблему наилучшим для обеих сторон способом.



P.S. Логотип убрали.

Linux Network Administration — TARPIT без patch-o-matic

Нередко приходится видеть в логах брутфорс ssh или ftp или не менее назойливый скан httpd-директории. Иногда атаки совершаются не только с внешних адресов, но и с хостов с домашней локальной сети, где куча виндовых пользователей, подхвативших вирусы.

Есть масса способов защититься от этого, и я использую fail2ban. В сравнении с аналогичными программами он обладает более широкой функциональностью и гибкостью — позволяет использовать регексы для нестандартных сервисов и менять правила блокировки. Но хочется не просто защитить свой сервер от атак, а еще и слегка проучить атакующего.

Стандартными средствами iptables этого не сделать, но в расширенном варианте patch-o-matic, патче для ядра linux, есть цель TARPIT, позволяющая создать «ловушку» для нежелательных tcp-соединений.