vermin.eu.org

Przy porządkowaniu serwera na pierwszy ogień poszły dwie zainstalowane na nim paczki - apache oraz apache-ssl. Przenosząc się całkowicie na drugą, należało przerzucić wszystkie skonfigurowane tam wirtualki do /etc/apache-ssl/httpd.conf

I tu pojawił się problem. Po złamaniu pierwszej zasady rekonfiguracji pakietu (drobne zmiany, restart, obserwacja), pewny swego wrzuciłem wszystko co było trzeba, odpaliłem apache-sslctl configtest z rezulatem OK, następnie apache-sslctl restart… I koniec. apache-sslctl start dawał komunikat apache-sslctl start: httpsd could not be started.
Powolne odchaczanie zmian doprowadziło mnie do celu - oczywiście, (jak widać po tytule posta ;-)), nabrudziły wirtualki. Coś czuję, że będę wolał wrócić do apache i mod-ssl…

Rozwiązanie okazało się proste - uruchomienie wirtualek na obydwu nasłuchujących portach (NameVirtualHosts *:80 oraz NameVirtualHosts *:443), a następnie uwzględnienie ich w konfiguracji poszczególnych sekcji VirtualHosts. Chociaż to pomogło mi rozwiązać zupełnie inny problem z konfiguracją (różne treści przy tym samym adresie) to nadal nie działało tak jak powinno. Rozwiązaniem okazało się uwzględnienie w każdej wirtualce (pomimo takiego ogólnego ustawienia) opcji SSLEnable oraz SSLDisable. Nie do końca rozumiem czemu tak, skoro tyle opcji skonfigurowane serwery wirtualne przyjmują ‘odgórnie’, ale cóż - nie zmienię tego (bo mi się nie chce :-))

Pierwsza część artykułu przeprowadziła nas przez prostą konfigurację postfixa, zapobiegającą przerobieniu naszego serwera na open-relay przy pomocy autoryzacji poprzez pop-before-smtp. Dziś czas na część drugą, czyli jak szybko włączyć autoryzację, tls i mieć to z głowy.

Pierwszą rzeczą jaką trzeba sprawdzić, to czy mamy zainstalowane potrzebne pakiety:

• postfix-tls
• sasl2-bin
• libsasl2
• openssl
• libsasl2-modules

Ruszamy - naszym celem są następujące pliki:

• /etc/postfix/main.cf, czyli plik zawierający opcje postfixa
• /etc/postfix/sasl/smtpd.conf, sposoby autentykacji sasl
• /etc/postfix/smtpd.key, klucz, którym będzie autoryzowany postfix
• /etc/default/saslauthd, konfiguracja demona SASL, który będzie dokonywał autentykacji
• /etc/fstab, nawet tu będziemy musieli dokonać zmiany, jeśli chcemy, żeby sasl działał poprawnie

Na pierwszy ogień idzie konfiguracja postfixa - otwieramy /etc/postfix/main.cf i dodajemy linie:

• smtpd_sasl_auth_enable = yes, odpowiada za włączenie mechanizmu autoryzacji
• broken_sasl_auth_clients = yes, pozwala na autoryzację klientom takim jak OE. Nazwa opcji jest swoją drogą jednoznaczna…
• smtpd_use_tls = yes, pozwalana włączenie szyfrowania transmisji
• smtpd_tls_cert_file = /etc/postfix/smtpd.cert, informuje gdzie znajduje się klucz publiczny serwera
• smtpd_tls_key_file = /etc/postfix/smtpd.key, dla odmiany wskazuje lokalizację klucza prywatnego
• do linijki smtpd_recipient_restrictions = dodajemy opcję permit_sasl_authenticated. Należy ją dodać przed jakimkolwiek zakazem typu reject.

Postfix już skonfigurowany - teraz pozostaje mu tylko dostarczyć dane, które obiecaliśmy. Na pierwszy ogień idzie autentykacja. Przede wszystkim otwieramy plik /etc/default/saslauthd i ustawiamy opcje

(lub “pam” lub “pam shadow”). Szybciutko restartujemy demona (/etc/init.d/saslauthd restart).
Nie jest to wszystko - drugi plik, którym musimy się zająć (a wręcz stworzyć ), to /etc/postfix/sasl/smtpd.conf. Opisuje on jakim mechanizmem posłużymy się do autentykacji - możemy użyć baz danych lub też w opisywanym przypadku, skonfigurowanego przed chwilą demona odwołującego się do kont systemowych. W naszej sytuacji wystarczy do tego pliku dodać linie

W perfekcyjnym świecie to byłoby wszystko, w tym mniej doskonałym okazuje się, że dostaniemy komunikat

Dzieje się tak, ponieważ domyślnie sasl tworzy swój socket w /var/run/saslauthd/ a postfix, działający w chrootowanym środowisku szuka plików w (domyślnie) /var/spool/postfix/var/run/saslauthd/. Tworzenie katalogu (mkdir -p /var/spool/postfix/var/run/saslauthd) a potem tworzenie softlinka (ln -s) jest tu oczywiście opcję, niemniej nie rozwiązującą sytuacji. Dużo lepszym rozwiązaniem (i dość permanentym), jest zamontowanie tego katalogu poprzez dowiązanie. Na stałe rozwiązuje to odpowiednia linijka w /etc/fstab:

.
I już jest prawie dobrze gdyby nie to, że przy próbie autentykacji okazuje się że coś jest nie tak z uprawnieniami (warning: SASL authentication
failure: cannot connect to saslauthd server: Permission denied; warning: SASL authentication
failure: Password verification failed; SASL PLAIN authentication failed). Żeby poprawić sytuację wystarczy dodać postfixa do grupy sasl komendą usermod -G sasl postfix i już po sprawie.

Po restarcie autentykacja już działa. Możemy sprawdzić to telnetując się na port 25. Po komendzie ehlo wyświeli nam się linijka z wspieranymi rodzajami autentykacji. My wydamy następną komendę - AUTH PLAIN dGVzdAB0ZXN0AHRlc3Q=. Jeśli mamy użytkownika o loginie test i haśle test to autoryzacja przebiegnie pomyślnie. A tak przy okazji - jeśli nie mamy, to ciąg znaków za metodą PLAIN możemy łatwo uzyskać za pomocą następujące komendy:

jeśli mamy oczywiście zainstalowanego albo perla z modułem MIME::Base64 albo xemacs21-bin

Pozostała nam kwestia bezpieczeństwa. Musimy utworzyć parę kluczy, tak aby można było hasło przesyłać bezpiecznie. W tym zakresie wystarczy wykonać polecenie

. Wpisanie danych daje nam ważny rok, podpisany samemu przez siebie certyfikat. Jeśli mamy certyfikat kwalifikowany, to wystarczy go dograć w to właśnie miejsce.

Voila - cel osiągnięty. Teraz pozostaje dodać spamassassina oraz clamav’a i mamy prosty, funkcjonalny serwer pocztowy, ale o tym w następnych odcinkach.

Dostałem dziś SMSa z numeru 660000584 o tresci -

Era:/ Wygrałeś nagrodę rzeczową w ERA PREMIA! Wyślij sms o treści 692807054 na nr 1120(koszt 1,22 zl z vat) aby dowiedziec sie jak odebrac nagrode. Gratulacje

Ponieważ Era informuje o promocjach i wygranych ze swoich numerów specjalnych a kod raczej nie powinien wyglądać jak czyjś numer telefonu, postanowiłem sprawdzić o co chodzi z tym numerem 1120. Po chwili okazało się, że jest to numer, na który wysyłając SMSa doładowujemy konto telefonu, którego numer znajduje się w treści wiadomości, kwotą 20 złotych (10 dla numeru 1110).
Posiłkując się tą wiadomością zadzwoniłem natychmiast na infolinię Ery, w celu poinformowania ich o niecnych działaniach podejmowanych przez ich użytkowników. Przemiła Pani Agata, chcąc mi pomóc udzieliła mi paru informacji.

• Primo - proces jest nagminny i nie jestem pierwszą osobą, która się z czymś takim zgłasza.
• Secundo - nie przyjmie ode mnie numeru telefonu, bo nie wysłałem SMSa - no i nie mam zaświadczenia od policji, że coś takiego miało miejsce (co +- jest zropzumiałe)
• Tertio - nawet jeśli wyślę SMSa, pójdę na policję, i dostanę zaświadczenie, to co najwyżej zwrócą mi pieniądze w przeciągu trzech miesięcy. Wobec sprawcy nie wyciągną konsekwencji… Powiedziała mi to prywatnie, niemniej skoro nie chcą przyjąc numeru to czegóż innego można oczekiwać?

Ręcę opadają… Co to jest za dbanie o własny wizerunek, jeśli taki jest stan rzeczy? To lepiej jest pozwolić na okradanie innych? Przecież wystarczyłoby przy takim zgłoszeniu przyjąć numer, sprawdzić SMSa (czy wyszedł i czy przyszedł) i zablokować kwotę na rachunku docelowym. PODJĄĆ JAKIEŚ DZIAŁANIE! No ale w sumie po co, tak? Ewidentnie w PiaR Ery pracuje mój dobry znajomy, Luigi Pierdoletto…

P.S. 1 Swoją drogą w poniedziałek ide na policję zgłosić przestępstwo. Ciekawe co zrobią?

P.S. 2 No i do prasy to się nadaje - zrobię im ciut czarnego PR, niech się uczą!

Reklama wirusowa to aktualny trend marketingowy. Poniewaz tradycyjne formy przekazu powoli się wyczerpują, a raczej może coraz więcej ludzi jest na nie uodpornionych, potrzebna staje się reklama, której nośnikiem będzie m.in. sama grupa docelowa. W ten sposób wystarczy opublikować coś, co po chwili dotrze samo do w miarę odpowiednich osób.

Minusem takiej reklamy jest konieczność stworzenia pewnego zamieszania (buzz), które niestety uzyskuje się albo przez humor, seks, przemoc lub innego rodzaju prowokację. Ma to swoje minusy - nie do każdego rodzaju biznesu taka reklama się nadaje. Często ciężko sobie wyobrazić poważny biznesowy look z odrobiną “pieprzu” (niekoniecznie pojmowanego jako seks). Przykładem może być chociażby ostatnia reklama IBM, która pokazuje, jak bardzo poważna firma potrafi zrobić kampanię “z jajem”.

Na ten pomysł wpadł netart, bardziej znany jako nazwa.pl. Proponują oni tani, w stosunku do swoich możliwości (w Polsce, BOCTATOE), hosting. Co ciekawe, kierują swoją ofertę do każdego, wspierając się właśnie hasłem “Kimkolwiek jesteś…”. Celem kampanii jest pokazanie w bardzo ciekawy i humorystyczny sposób, że wizerunek w postaci własnej strony WWW może być przydatny w zasadzie każdemu - a zachęta w postaci kosztu wynoszącego raptem 50 złotych nie powinna stanowić przeszkody…

Pokazanie w krzywym zwierciadle społeczeństwa ma jednak swoje minusy - sporo ludzi z przyjemnością obejrzy te przerysowania charakterów - obawiam się jedynie, że w naszym wspaniałym kraju niektóre ze zwrotów mogą spowodować koniecznośc przeproszenia, czy to mniejszości japońskiej (Taka-Se-Baba), koreańskiej (Yem Ki’He, wszechpolskiej (Zenon Gnat) czy też mieszkanek mniejszych ośrodkóW Społecznych o zabudowIe rozproszonej (Malwina Gil)…

Kampania ma jeszcze jeden minus - te 50 złotych starcza raptem na 6 miesięcy - potem pojawia się już kwestia pełnej odpłatności, która nie jest już taka mała…

Logi w systemie Windows to temat straszliwie zagmatwany. System ten potrafi i ma możliwości, (oczywiście z pogwałceniem wydajności), logowania praktycznie chyba wszystkiego. Możliwość ustawienia performace meters, (dzienniki wydajności), pozwala śledzić problemy sprzętowe a sam Event Viewer (Podgląd zdarzeń) przechowuje zdarzenia aplikacyjne i sprzętowe, domyślnie podzielone na aplikacje, system i zabezpieczenia (na stacji roboczej, w serwerze dochodzą jeszcze Serwer
DNS, Usługa katalogowa i Usługa replikacji plików). Oczywiście kategorii tych może być więcej, np. IE7b2 stworzył sobie swoją, podobnie zresztą sterowniki ATI (ACEEventLog).

pozornie niska szczegółowość
Problemem jednak jest fakt, iż zazwyczaj wiele różnych kategorii zdarzeń zapisywanych jest do tych raptem 3 głównych. Jest to niemiłe jeśli prowadzimy jakiś audyt dostępu do obiektów czy też audyt użycia uprawnień. Event Viewer nie spełenia niestety swojej roli zbyt dobrze - ma niby możliwości filtrowania zdarzeń, ale kiepskie to i dalekie od fleksyjności PERLa, który niestety na nic tu nam, gdyż same logi są zapisane w formacie binarnym. Ponieważ zazwyczaj niestety IT w polskim sektorze MiŚP nie jest zbyt dofinansowane a budżet skończył sie w momencie zakupienia redundantnego zasilania do serwera, musimy sobie jakoś radzić.

kilka komputerów to nie problem!
Chcąc ściągnąć logi z kilku maszyn polecam narzędzie o nic nie mówiącej nazwie EventCombMT. Pozwala ono ściągnąć na jedną maszynę logi z kliku, co już ułatwi adminowi koniecznośc przelogowywania się, odpalania Remote Desktop (czy innego rdesktop’a pod linuxem - przypominam tylko, że linux potrzebuje wredne licencje dostępowe CAL…). Samo narzędzie swoją droga jest częścią pakietu Account Lockout and Management Tools, który pozwala na sprawdzenie czemu ktoś akurat nie może się zalogować do maszyny, domeny, etc.

ulepszone przeglądanie, czyli czy jest coś lepszego niż PERL
OK - mamy logi z kilku maszyn, niemniej jesteśmy w tej samej głupiej sytuacji. Jak z tego całego tatałajstwa wyciągnąć pożądane przez nas informacje? Z pomocą przyjdzie nam inne przemiłe i darmowe narzędzie LogParser. Nie wiedzieć czemu stanowi on część pakietu Internet Information Services (IIS) 6.0 Resource Kit Tools, niemniej nie umniejsza to jego wspaniałej roli w wyciaganiu potrzebnych nam zdarzeń. Opierając się na składni zbliżonej do SQL pozwala on na wyciągnięcie naprawdę ciekawych szczegółów. Co lepsze - pozwala na wybranie odpowiadającego nam sposobu prezentacji -zarówno czysto tekstowej, HTML jak i wykresów! Nie jestem zwolennikiem IIS jako web serwera, niemniej zamiast webalizera taka zabawka spełniłaby się na pewno
Przykładowo

pozwoli na przejrzenie historii logowań. Inne przykłady znaleźć można na http://www.logparser.com/, czytając ciekawy artykulik ze skrypty ;-), czy też polskie opracowanie na WSS.

No ale co z tego wynika?
Analiza logów niestety też nie jest zbyt wdzięcznym zajęciem. Tu zazwyczaj niestety albo eventid.net albo google i dokładny zapis komunikatu błędu. I tu niestety kłania się polskim adminom jakość tłumaczeń - ciężko czasem wpaść jako to właściwie brzmi po angielsku i jak niektóre pojęcia się mapują pomiędzy językami. Bez tego niestety zazwyczaj admin wpadnie po uszy - większość artów w KB jest w języku angielskim. Cóż - przy zakupie nowych serwerów polecam wersje EN (dla odmiany zdecydowanie nie przy SBSie, z którym przy mieszaniu wersjami sharepointa i windowsa wychodzą czasem niemiłe sytuacje). W zasadzie nie znalazłem poza wzmiankowanymi witrynami żadnych innych darmowych narzędzi pozwalających na szybki troubleshooting Little help, anyone?

Ponieważ czasem ktoś jednak czyta moje wypociny - mam szybkie pytanie. Jakie dodatki do wordpresa polecacie? Szczególnie chodzi mi o możliwość wyświetlania ostatnich komentarzy w prawym pasku, ale wszelkie inne ułatwienia mile widziane

Cóż - format PDF zawsze wydawał mi się piękny, wspaniały i przenośny. Dopóki oczywiście nie zacząłem współpracować z poligrafią. Pliki przesyłane pomiędzy studiem DTP a kooperantami potrafią czasem zostawić fonty dosłownie w rozsypce.

Prawdziwym jednak szokiem było odkrycie dziś w nocy, że zainstalowany Acrobat 7.05 (oczywiście na www.reader.pl jest tylko wersja enu, ale co tam) NIE POTRAFI obsłużyć polskich czcionek w trybie wypełniania formularzy (z wyświetlaniem sobie radzi świetnie). Przy naciśnięciu alt-l program sprawdza update’y…

Początkowo myślałem, że to opcja w menu Preferences. Niestety parokrotne przewertowanie menu pokazało mi jak bardzo się mylę. Swoją droga poznałem menu Readera - nie jest ono krótkie i co gorsza dużo nie wnosi. Następnie szybki google search, niewiele wniósł, więc przeniosłem się na strony Adobe. Tam oczywiście jest support, ale jak się szuka błędu to czegoś takiego nie znajduje. Już zaczynałem kląć i szukać przedstawicielstwa w Polsce… (Swoją drogą - nie ma czegoś takiego). Próbowałem zainstalować starszego readera którego miałem w wersji PL - no way jose - trzeba dokonać deinstalacji softu (a komputera z różnych względów restartować nie mogę).

Na szczęście na stronach readera znalazłem programik mający circa 1,1MB o wdzięcznej nazwie CEFonts.exe. Udało się go ściągnąć, choć witryna Adobe nie mogła się wciąż doładować do 100% i odpalić skryptu serwującego plik klientowi. Instalacja, próba wpisania tekstu… D..A! Na ’szczęście’ alt-l ponownie uruchomiło aktualizacje, te pomieliły dłużej i zaproponowały ściągnięcie nowszej, 4,4 MB wersji wzmiankowanego pliku. Po tej instalacji zadziałało. Ale jak pomyslę, ile to zajęło czasu (gdzieś miałem ostro wąskie gardło i szło jak…), że gdybym nie miał sieci to zupełnie nie dałoby rady. Heh. To ja wolę, jak urzędy publikują dokumenty w doc…

Muszę przyznać, że ostatnio jakoś wpadłem w wir testowania bet. Live Messenger, biztalk server 2k6, a teraz IE7 - szczególnie, że to otwarta beta.

Strasznie mnie interesują nowości zaimplementowane w tej przeglądarce, gdyż nieukrywajmy, za niedługo (?) będzie to nowy standard biznesowy obowiazujący na rynku - to do niej będą musiały równać konkurencyjne browsery. W ilości siła, a udostępnienie jej dla XP na pewno przewagę siłową przyniesie, w końcu większość używanych wersji Windows to XP właśnie - dłuższa przerwa w wydawaniu systemów przyniosła przynajmniej standaryzację na rynku systemów na desktop

Więc pierwsze wrażenia - download dwa razy większy niż firefox. Szybka instalacja, konieczny restart. Jest to niestety wymóg związany z głębokim powiązaniem z systemem Windows - konieczność założenia haczyków (hooks?) na bibliotekę wininet.dll Bez restartu krzyczy nie tylko IE, ale także inne rzeczy korzystające z jego modułów, jak chociażby Outlook. Zresztą, Bigo pisał na podstawie rpzezyc własnych o tym jak to wszystko głęboko sięga…

Restart. Zalogowanie do systemu. Pierwsza przyjemność - naprawił się IE, popsuty po próbie zainstalowania wersji kierowanej dla anglojęzycznej publiczności. Jego błąd objawiał się dośc specyficznie - otwierane w IE strony wyświetlały się po chwili… w Mozilli (bo to akurat default browser). Pierwsza różnica po wyświetleniu się okna przeglądarki to małe menu - naprawdę została zminimalizowana ilość śmieci pomiędzy powierzchnią roboczą okna a paskiem tytułu. I wygląda to lepiej niż brak pasków w firefox - przyznać trzeba Microsftowi, że speców od UI ma niezłych, a przynajmniej moje UX jest miłe.

Sama przeglądarka wita nas ekranem autokonfiguracji, który pyta się o włączenie zabezpieczeń antyphishingowych. Zresztą na dolnym pasku cąły czas jest aktywne pole pozwalające na sprawdzenie aktualnie oglądanej witryny lub tez przesłanie jej jako podejrzanej (notabene, przynajmniej w końcu jest do kogo, bo pisanie do CERTu o podejrzanych siteach wyławianych z phishingowych maili jest jakoś tak czasochłonne…)

Druga rzecz - zakładki! W końcu! Co ciekawe, ich wygląd zależy od przyjętego interfejsu - w Lunie są zaokrąglone i teksturowane, w standardowym ułożeniu nieprzyjemnie kanciaste. Niestety do standardu obsługi zakładek jakoś nie moge od razu przywyknąć - cóż, mozilla miała je wcześniej… Na szczęście klikanie środkowym przyciskiem myszy działa

Rzecz trzecia - przycisk RSS zgodny z tym, który jest w firefox. Oczywiście o tym wszyscy już pisali, ale miło jest zobaczyć to na własne oczy W momencie wejścia na stronę z feedem przycisk miło się ‘odszarza’ - a gdy wybierzemy jakiś feed, to potem dopiero zaczyna się ciekawie! Przechodzimy do wbudowanej przeglądarki feedów. Program uprzejmie informuje nas co się stało i oferuje możliwość subskrypcji, a także włączenia automatycznej aktualizacji feedu. Co ciekawe - aktualizacje feedów sa sprawdzane nawet gdy IE7 nie jest włączony!
Sama przeglądarka także wygląda ciekawie - wykrywa kategorie wpisów, pozwala je posortować… Warto dodać, że przy okazji pamięta kiedy ostatni raz odświeżaliśmy dany feed.
Cóż każde z rozwiązań ma swoje plusy i minusy - w FF podoba mi się możliwość szybkiego, z poziomu menu przejrzenia ostatnich wiadomości w RSS (chociaz ogromnym minusem jest niemożność szybkiego odświeżenia folderu zawierajacego same feedy). Czas pokaże z czego lepij korzystać.

Rzecz czwarta - obiekty macromedii chodzą tak samo tragicznie jak w firefox. Coś się komuś popsuło?

Rzecz piąta - w opcjach nie znalazłem niczego ciekawego - poza opcję enable native XMLHTTP support. Jak widać AJAX znalazł drogę do serc IE Team

Rzecz szósta - w opcjach wyszukiwania jest domyslnie tylko MSN. Na szczęście jest opcja, żeby dodać innych, ale FF już sam z siebie ma kilka. Ja wiem, że dodanie google jako default to jest nienajlepszy pomysł w produkcie z redmond, niemniej chociaż kilka innych mogłoby tam się znaleźć w wersji out-of-the box.

Nic - czekam na firefox 2. Pewnie FF mi się sam uaktualni, bo słucha wciąż na kanale ‘beta’… A co do IE. Testować trzeba (teraz zresztą nie mam wyjścia, bo jest to jedyny IE na tej maszynie), przyszłość przyniesie rozwiązania.