» Общие вопросы по FreeBSD

res2001

Цитата:

xcode

причем он ради gcc разве что нужен.
gryu
Попробуйте собрать, на что будет ругаться.

goletsa
То что ругается, это точно.
Сейчас не помню. Пробовал месяца полтора назад.
Сейчас под рукой нет свободной машины чтоб попробовать.


Добавлено:
Кстати.
Какую версию пробовать собрать(я пробовал от Linux)?
Как собирать?
1. Скачал
2. Распаковал
3. Запустил
# python setup.py install

О как! ....
Сейчас "плюнул на всё" и на боевой машине повторил выше описанное, дабы переписать ошибку.
А оно собралось и по ./mining_proxy.py запустилось.... и шобы это значило?
Ведь не собиралось в прошлый раз.
Где то "на середине" выкидывало со стандартным "error code 1"

gryu
О как бывает

goletsa
Скорее всего потому что пробовал на тестовой машине. Ну и это был уже не первый эксперимент на ней.
Чёнить нито ковырнул раньше.


Добавлено:
Кажется всё ясно. Глюк в системе сборки.
Сейчас попробовал на другой машине.
# python setup.py install
Получил ошибку [more]The required version of setuptools (>=2.1) is not available,
and can't be installed while this script is running. Please
install a more recent version first, using
'easy_install -U setuptools'.

(Currently using setuptools 2.0.1 (/usr/local/lib/python2.7/site-packages))
error: Setup script exited with 2
[/more]. Не стал НИЧЕГО пересобирать, а тупо ещё раз запустил команду сборки. Собралось без ошибок.
(в прошлый раз точно другая ошибка была)

gryu
Видимо на прошлой сборке не хватало каких-то библиотек, надо было посмотреть какой библиотеки не хватало по ошибке, вычислить в каком порту эта библиотека и установить его.
А последняя ошибка у тебя - ну просто устаревшая версия порта установлена, обновить, да и нормально все будет.

res2001
Так в том то и дело что я ничего не обновлял. Просто "стрелочкой вверх и ввод" повторил команду сборки. Оно и собралось.
ИМХО в скрипте сборки где то небольшой косяк. "не могу установить пока сам себе работаю".

Коллеги.
Ну ни как я не могу понять IPFW NAT
Статьи читал.
http://www.lissyara.su/articles/freebsd/tuning/ipfw_nat/
http://nuclight.livejournal.com/124348.html


Дано.
[more]
---------------Ядро-------------------

    options IPFIREWALL    
    options IPDIVERT    
    options IPFIREWALL_VERBOSE    
    options IPFIREWALL_VERBOSE_LIMIT=5
    options IPFIREWALL_NAT    
    options LIBALIAS    
    options ROUTETABLES=2    
    options DUMMYNET        
    options HZ="1000"    
    options IPFIREWALL_DEFAULT_TO_ACCEPT (ужо специально добавил)

---------------------------

---------------rc.conf------------

ifconfig_em0="inet xxx.xxx.xxx.xxx netmask 255.255.255.0"
ifconfig_em1="inet 192.168.100.254 netmask 255.255.255.0"
defaultrouter="xxx.xxx.xxx.xxy"
gateway_enable="YES"
firewall_enable="YES"
firewall_nat_enable="YES"
firewall_type="/etc/rc.firewall"
--------------------------------------------------

---------sysctl.conf весь какой есть на данном этапе----------------

net.inet.ip.fw.enable=1 (знаю что это дубль firewall_enable="YES". ставлю для того чтоб можно было при необходимости вообще отключить фаервол скомпилированный в ядре)
net.inet.ip.fw.verbose=1
net.inet.ip.fw.verbose_limit=5
net.inet.ip.fw.one_pass=1
---------------------------------------

----------rc.firewall весь какой есть на данном этапе------------------

#!/bin/sh -
pre_com="ipfw -q"
ex_face="em0"
in_face="em1"
ex_ip="xxx.xxx.xxx.xxx"
in_ip="192.168.100.254"

$pre_com -f flush
$pre_com add 100 allow ip from any to any via lo0
$pre_com add 200 deny ip from any to 127.0.0.0/8
$pre_com add 300 deny ip from 127.0.0.0/8 to any
$pre_com add 400 allow all from any to any via $in_face
$pre_com nat 1 config log if $ex_face reset same_ports deny_in \
redirect_port tcp $ex_ip:20 20 \
redirect_port tcp $ex_ip:21 21 \
redirect_port tcp $ex_ip:22 22 \
redirect_port tcp 192.168.100.252:22 3350 \
$pre_com add 1030 nat 1 ip from any to any via $ex_face

--------------------
Вообще говоря пока убрал deny_in . FTP с этой опцией и редиректом через НАТ не работает.
------------------------------------------------------------------------

# ipfw show
00100 0 0 allow ip from any to any via lo0
00200 0 0 deny ip from any to 127.0.0.0/8
00300 0 0 deny ip from 127.0.0.0/8 to any
00400 25 2098 allow ip from any to any via em1
01030 1098 116375 nat 1 ip from any to any via em0
65535 7 648 allow ip from any to any
--------------------
# ipfw nat show config
ipfw nat 1 config if em0 log deny_in same_ports reset redirect_port tcp 192.168.100.252:22 3350 redirect_port tcp xxx.xxx.xxx.xxx:22 22 redirect_port tcp xxx.xxx.xxx.xxx:21 21 redirect_port tcp xxx.xxx.xxx.xxx:20 20
--------------
# tcpdump -i em1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em1, link-type EN10MB (Ethernet), capture size 65535 bytes
18:11:18.104567 IP6 fe80::d54f:1c4b:5f5d:2c74.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
18:11:19.105181 IP6 fe80::d54f:1c4b:5f5d:2c74.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
18:11:19.900544 IP ppp94-29-32-36.pppoe.spdop.ru.50198 > 192.168.100.252.ssh: Flags [S ] seq 2175276496, win 8192, options [mss 1380,nop,wscale 2,nop,nop,sackOK], length 0
18:11:21.105918 IP6 fe80::d54f:1c4b:5f5d:2c74.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
18:11:22.900756 IP ppp94-29-32-36.pppoe.spdop.ru.50198 > 192.168.100.252.ssh: Flags [S ] seq 2175276496, win 8192, options [mss 1380,nop,wscale 2,nop,nop,sackOK], length 0
18:11:25.107519 IP6 fe80::d54f:1c4b:5f5d:2c74.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
18:11:28.903292 IP ppp94-29-32-36.pppoe.spdop.ru.50198 > 192.168.100.252.ssh: Flags [S ] seq 2175276496, win 8192, options [mss 1380,nop,nop,sackOK], length 0
18:11:33.110717 IP6 fe80::d54f:1c4b:5f5d:2c74.dhcpv6-client > ff02::1:2.dhcpv6-server: dhcp6 solicit
18:11:36.923114 IP6 fe80::d54f:1c4b:5f5d:2c74.58889 > ff02::c.1900: UDP, length 119
18:11:36.923359 IP 192.168.100.100.58892 > 239.255.255.250.1900: UDP, length 125
18:11:36.924109 IP6 fe80::d54f:1c4b:5f5d:2c74.58889 > ff02::c.1900: UDP, length 117
18:11:36.924233 IP 192.168.100.100.58892 > 239.255.255.250.1900: UDP, length 123
18:11:39.924469 IP6 fe80::d54f:1c4b:5f5d:2c74.58889 > ff02::c.1900: UDP, length 119
18:11:39.924590 IP 192.168.100.100.58892 > 239.255.255.250.1900: UDP, length 125
------------------
tcpdump на целевой машине 192.168.100.252
# tcpdump -i bge1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on bge1, link-type EN10MB (Ethernet), capture size 96 bytes
01:03:45.295574 arp who-has 192.168.100.252 tell 192.168.100.254
01:03:45.295591 arp reply 192.168.100.252 is-at 00:14:5e:21:36:05 (oui Unknown)
01:03:45.295757 IP ppp94-29-32-36.pppoe.spdop.ru.53914 > 192.168.100.252.ssh: S 1384242307:1384242307(0) win 8192 <mss 1380,nop,wscale 2,nop,nop,sackOK>
01:03:48.295832 IP ppp94-29-32-36.pppoe.spdop.ru.53914 > 192.168.100.252.ssh: S 1384242307:1384242307(0) win 8192 <mss 1380,nop,wscale 2,nop,nop,sackOK>
01:03:54.294887 IP ppp94-29-32-36.pppoe.spdop.ru.53914 > 192.168.100.252.ssh: S 1384242307:1384242307(0) win 8192 <mss 1380,nop,nop,sackOK>


[/more]
Не работает проброс 3350 порта на 22 порт 192.168.100.252. (и вообще на любой порт любой машины локалки)
Редирект 20-22 портов на сам сервер работает нормально. SSH работает. (специально так сделал, а не открывал отдельными правилами фаервола, в том числе для проверки что нат видит редиркты)
Кто объяснит где я сам себе дурак?
Судя по tcpdump "туда" работает, а обратно где то рубится...

gryu
Привет!
Думал ты уже победил нат
deny_in я бы вернул, редирект порт на me не нужен, только в локалку, - нужно просто добавить соответствующие разрешающие правила до НАТа.
По 192.168.100.252 - судя по всему режется на этом хосте, т.к. туда приходит, а обратно ничего не отдается.
Видно по tcpdumpу на этом хосте - ничего не отдает назад.
И в rc.conf запись
firewall_type="/etc/rc.firewall"
смысла не имеет. firewall_type имеет смысл устанавливать только если ты используешь оригинальный rc.firewall, если rc.firewall самописный, то эта переменная теряет свой смысл (ну если, конечно ты сам не будешь ее использовать). Для назначения скрипта есть firewall_script.
Все переменные и значения по умолчанию можно посмотреть в /etc/defaults/rc.conf.

С ФТП - надо использовать активный режим, т.к. в пассивном используются динамические порты, которые хрен отследишь.
Вообще для ftp с me можно использовать правила типа:
accept tcp from any to me uid root
В последних версия фрии появилась эта опция (uid), т.е. смысл в том, что пропускать пакеты инициированные root. Если тебе надо, чтоб и юзера ходили по фтп, то этот способ не годится.

gryu

Цитата:

Не работает проброс 3350 порта на 22 порт 192.168.100.252. (и вообще на любой порт любой машины локалки)

А у машинки default gw на сервер то смотрит? А то мало ли что не так.

goletsa

Цитата:

А у машинки default gw на сервер то смотрит? А то мало ли что не так.

У 252 нет. Это параллельно стоящий резервный сервер/шлюз. Тоже 2 карты. Внешняя "xxx.xxx.xxx.xxz" и гетвей естественно тоже xxx.xxx.xxx.xxy.
Внутренняя 192.168.100.252.
Но проброс не работает и если пробрасывать на обычную виндовую машину в локалке.В примере 252 стоит потому что работает 7/24.

res2001
Цитата:

Думал ты уже победил нат

работы много. Недавно вернулся к этому вопросу.

Цитата:

По 192.168.100.252 - судя по всему режется на этом хосте, т.к. туда приходит, а обратно ничего не отдается.

Если я из консоли 254 лезу ssh user@192.168.100.252 то всё нормально работает и коннект есть. Значит 252 машина отвечает на запросы.
Цитата:

firewall_type="/etc/rc.firewall"

там и был scrypt. Просто я уже чего только не пробовал. В том числе использовать дефолтный конфиг фаервола по вот этой статье
http://mdex-nn.ru/page/probros-portov-v-jadernom-ipfw-nat.html
Цитата:

С ФТП - надо использовать активный режим, т.к. в пассивном используются динамические порты, которые хрен отследишь.

так как я сделал сейчас (с редиректом в нате и дени_ин) не работает ни активный ни пассивный. Если убрать дени_ин, то работает. Потом я естественно вернусь к практике отдельного правила, ибо незачем лишний раз НАТ грузить редиректом того, что не нуждается в маскараде.
Цитата:

Вообще для ftp с me можно использовать правила типа:
accept tcp from any to me uid root
В последних версия фрии появилась эта опция (uid), т.е. смысл в том, что пропускать пакеты инициированные root. Если тебе надо, чтоб и юзера ходили по фтп, то этот способ не годится.

Я чего то не понял? что значит "Если тебе надо, чтоб и юзера ходили по фтп"? А нафига нужен ФТП, если "юзера" на него не ходят?

gryu

Цитата:

У 252 нет. Это параллельно стоящий резервный сервер/шлюз. Тоже 2 карты. Внешняя "xxx.xxx.xxx.xxz" и гетвей естественно тоже xxx.xxx.xxx.xxy.
Внутренняя 192.168.100.252.  
Но проброс не работает и если пробрасывать на обычную виндовую машину в локалке.В примере 252 стоит потому что работает 7/24.  

И не будет тогда для 252 работать, ответ уходит через другую сетевую карту, с другого адреса.
А вендовую проверяли как? rdp?

goletsa
И вообще, вопрос с гетвеем конечно интересен. Но не должно это влиять. Пакет приходит по внутренней(локальной) сети на интерфейс внутренней(локальной) сети от машины из той же внутренней(локальной) сети. Значит и ответ с машины уходит на внутреннюю(локальную) сеть для машины внутренней(локальной) сети. Что тут "внешнему" дефолт гетвею делать?

gryu
Что ж ты ждал от 252 тогда, если у него шлюз по умолчанию другой.
см.ответ goletsa

Цитата:

Если я из консоли 254 лезу ssh user@192.168.100.252 то всё нормально работает

Оно и понятно - в этом случае оба компа в одной сети и шлюз по умолчанию не нужен, а когда из-вне стучишься, то, не взирая на нат, 252 открывает соединение с удаленным компом, а не с 254.

Цитата:

что значит "Если тебе надо, чтоб и юзера ходили по фтп"? А нафига нужен ФТП, если "юзера" на него не ходят?

У меня юзера не ходят по фтп, зарублено нафиг. Юзаю его только со шлюза, т.е. с фряхи для обновлений и т.п. как раз таким правилом с uid root. Ну и еще с пары машин, на которых более широкие правила. Вообще от него один геморрой

Цитата:

Пакет приходит по внутренней(локальной) сети на интерфейс внутренней(локальной) сети от машины из той же внутренней(локальной) сети. Значит и ответ с машины уходит на внутреннюю(локальную) сеть для машины внутренней(локальной) сети. Что тут "внешнему" дефолт гетвею делать?

All
Настраиваю тут очередной шлюз для внутреннего пользования и что-то зацепила меня проблема с тем, что не работают некоторые клавиши и сочетания. Проблема эта давнишняя и в той или иной степени есть на всех моих фряхах, до сих пор не было желания разобраться с ней, а сейчас решил добить.

Для доступа использую Putty.
Подобрал более или менее подходящий тип терминала, в котором большая часть клавиш работают.
Частично поправил с помощью bindkey в cshrc.
Остались только Ctrl+Home и Ctrl+End - по этим комбинациям не могу найти даже какой код клавиши выдается, чтоб привязать в bindkey.
И в bindkey для Ctrl+end есть вариант end-of-file, а противоположного ему для Ctlr+Home не нашел.


Если кто разобрался с этой бедой, подскажите, куда копать.
Хотелось бы какую-нить софтину, чтоб выдавала код нажатой клавиши в виде пригодном для bindkey.

Цитата:

Оно и понятно - в этом случае оба компа в одной сети и шлюз по умолчанию не нужен,

так и в случае с редиректом тоже самое.
Нат подменяет тег с внешнего IP на внутренний и только тогда запускает пакет во внутреннюю сеть. Не гуляет же пакет с тегом внешнего интерфейса по внутренней сети.

gryu

Цитата:

так и в случае с редиректом тоже самое.
Нат подменяет тег с внешнего IP на внутренний и только тогда запускает пакет во внутреннюю сеть. Не гуляет же пакет с тегом внешнего интерфейса по внутренней сети

Когда приходит в НАТ входящий пакет из инета, на правиле redirect port меняется IP адрес получателя на внутренний и отправляется ему(получателю), при этом IP отправителя остается неизменным.
Т.е. 252 у тебя видит внешний IP, а не внутренний. А раз IP внешний то при отправке ответа используется шлюз по умолчанию, а он на 252 совсем не тот, что нужен.

gryu
Смотрите дампы трафика, тогда все станет понятно.

res2001
goletsa
Хорошо. Уболтали черти полосатые.
Но суть то в том что не работает оно и при редиректе на машины локалки у которых дефолтный гетвей равен шлюзу через который и редиркетится порт.
Тоже где то теряется....

Добавлено:

Цитата:

А вендовую проверяли как? rdp?

до рдп не дошло. Просто обращения по портам. Отклика нет. Тем же телнетом к примеру.

gryu

Цитата:

Но суть то в том что не работает оно и при редиректе на машины локалки у которых дефолтный гетвей равен шлюзу через который и редиркетится порт.

Давай логи, tcpdump. Должно работать.
Я настраивал ipfw nat на основании тех же статей, что и ты привел в ссылках - все получилось, к тому же конфиг у меня гораздо сложнее был. Делаешь в принципе все правильно. Добавь логирование во все правила после 300 и добавь еще одно последнее, разрешающее все? так же с логированием. Будет больше информации для размышления.
Обычно хватает инфы, выдаваемой в лог, в сложных случаях помогает tcpdump.

Как отладишь логи уберешь, net.inet.ip.fw.verbose_limit поставь побольше - 500 хотя бы.

Добавлено:
gryu

Цитата:

до рдп не дошло. Просто обращения по портам. Отклика нет. Тем же телнетом к примеру.

Какая винда? Включен ли фаер? Если да то какой фаер на винде стандартный или еще какой-то.
На XP в стандартном фаере по умолчанию "Доступ к файлам и принтерам" работает только для локальной сети. В Вин7 аналогично. Так что требуется донастройка и виндового фаера. Проще всего отключить его на время тестирования.

res2001
goletsa
Бл@ть!
У них донглы мобильного интернета воткнуты!! "ну ведь нам нужен доступ, а не работает"
А я **** тут как ****

Спасибо что пнули в сторону "чужого гетвея".
А то яб ещё долго голову ломал, почему дома настроенная система работает, а там нет.

Добавлено:

Цитата:

тому же конфиг у меня гораздо сложнее был.

да и у меня это уже упрощённый до минимума. Так то он куда как сложнее.
Там нужно несколько подсетей и "на выход" не одна "дырка".

gryu

Цитата:

и "на выход" не одна "дырка"

Это интересно. Как реализовал балансировка или резервный канал? С помощью чего?

res2001
Жёсткое перенаправление по адресации. Специфика.
На один канал "тырнет". На второй по списку адресации.

gryu
Ясно.
Я сделал балансировку на ipfw.
Вроде работает пока

gryu

Цитата:

У них донглы мобильного интернета воткнуты!! "ну ведь нам нужен доступ, а не работает"

А у вас они не запрещены? Как бы брешь в безопасности.

goletsa
Есть люди равные, а есть равнее.

Мда. Наверно нужно пояснить.
Есть случаи когда приходится допускать нарушения по безопасности, если важнее становится конечный результат.
А необходимый результат это обмен с удалёнными система, который не желают предоставлять.
Можно подумать что порнуху кто качать будет.
Те кому порнуха нужна, добудут её и так. (даже с теми ограничениями что вводят).
А те кто работают, с грёбаного ютуба ролик по Броку просмотреть не могут.
СТС-овские похахатушки просматриваются, а ролик о роботах Brokk нет. Режется центром.
И на все вопромы ответ "пишите оф бумагу".
А НАХЕР оно этим людям её писать, если всё что нужно они "и так получат".
Бегаешь, просишь переслать ЧТО не работает.... а им похер. "в курилке" поплачутся, выслушают ответ и ... донгл в комп.

All
Отвечаю на свой же вопрос.
С клавишами Ctrl+Home и Ctrl+End похоже виновата Putty - она тупо эти комбинации клавиш не пересылает на хост, соответственно и обработать их нельзя.
Нашел сборку putty, где этот косяк или фича исправлены. Но версия старовата и сомневаюсь, что проект кто-то поддерживает, поэтому от использования отказался, хотя там эти комбинации клавиш работают. По отзывам в инете эти кнопки работают в shellguard и в клиенте OpenSSH, но за shellguard хотят денег, а openssh - чисто консольный, что не совсем удобно.
А в целом, остальные клавиши удалось заставить работать.

FreeBSD 9.2-RELEASE FreeBSD 9.2-RELEASE #0 r255898: Fri Sep 27 03:52:52 UTC 2013 root@bake.isc.freebsd.org:/usr/obj/usr/src/sys/GENERIC i386

smb.conf:
unix charset = koi8-r
dos charset = cp1251
display charset = cp1251

Проблема следующая. Самба-сервер. При использовании ls русские названия отображаются нормально. С виндовых клиентов тоже все нормально, а вот smbstatus пишет русские имена файлов и папок каракулями. Как сделать правильную кодировку вывода smbstatus?

Вот вывод команды locale:
LANG=ru_RU.KOI8-R
LC_CTYPE="ru_RU.KOI8-R"
LC_COLLATE="ru_RU.KOI8-R"
LC_TIME="ru_RU.KOI8-R"
LC_NUMERIC="ru_RU.KOI8-R"
LC_MONETARY="ru_RU.KOI8-R"
LC_MESSAGES="ru_RU.KOI8-R"
LC_ALL=ru_RU.KOI8-R

Бага в обработке правила fwd в ipfw во FreeBSD 10.0 Release.
Описание и лечение на хабре.