Оторвал, наконец у своего ноутбука привычку уходить в suspend при закрытии крышки.
...
Оторвал, наконец у своего ноутбука привычку уходить в suspend при закрытии крышки.
Которая появилась при апгрейде на jessie.
Оказалось, что за переход в саспенд при закрытии крышки теперь ответствененен logind.
Раньше это отрывалось на уровне acpi-support.
Нет, все-таки Поттеринга зря не довелит до самоубийства.
Сорок лет не было в unix'е logind. Был login который делал ровно одну вещь -
проверял имя и пароль и запускал то, что для этого имени в /etc/passwd написано. exec-ом.
А теперь завели хрень, которая что-то явно лишнее, и не относящееся к этой задаче делает - реагирует на кнопку питания, закрытие крышки etc.
Нет, я понимаю, что та концепция сессии, которую придумали 40 лет назад для PDP-8 с последовательными терминалами, устарела и её надо менять.
Но то что придумал Поттеринг всем хуже. Оно блин, похоже на того азимовского робота который не мог перемещаться. если у него на плечах не сидел человек. По соображениям безопасности. То есть типа sshd у меня на ноутбуке быть не может.
Понятно, что он не сам это придумиал, он это то ли с MacOS, то ли с андроида слизал.
Но вообще ублюдков. которые притащили в linux из эппловского мира avahi, хочется поубивать с еще большей жестокостью, чем Поттеринга.
This entry was originally posted at http://vitus-wagner.dreamwidth.org/1102651.html. Please comment there using OpenID. Now there are 
comments
Попробовал тут поставить putty посвежее, текущий снапшот, и выяснил что генерировать ключи с ...
Попробовал тут поставить putty посвежее, текущий снапшот, и выяснил что генерировать ключи с нормальным алгоритмом puttygen уже научили, а вот работать с ними - ни pageant, ни сам putty - нет.
pageant ругается на invalid format, a putty просто молча игнорирует и пытается аутентифицироваться с паролем (чего, конечно, ему никто не позволяет)
This entry was originally posted at http://vitus-wagner.dreamwidth.org/1102072.html. Please comment there using OpenID. Now there are 
comments
Попробовал поиграться с softether vpn, котрая вся из себя кроссплатформная и много чего умеет.
...
Попробовал поиграться с softether vpn, котрая вся из себя кроссплатформная и много чего умеет.
Командно строчный клиент там похоже дизайнили люди, ушибленные в детстве VMS-ом. Ну да ладно, я тоже когда-то VMS-ом пользовался. и продраться через их дивный интерпретатор команд вполне способен.
Но никаких средств диагностики и администрирования они не предлагают. Утверждая "Если ваша смарткарта в списке не показывается, попробуйте сапгрейдиться на более новую версию софта".
Ну да, взял исходники из GIT, посмотрел как они там ищут PKCS11 модули. Увидел, что работа с PKCS11 модулями не под Win32 у них там вообще не написана.
Не, лучше я нормальный pppd буду допинывать.
This entry was originally posted at http://vitus-wagner.dreamwidth.org/1101013.html. Please comment there using OpenID. Now there are 
comments
Дописал к sstp-client-у поддержку клиентских сертификатов и engines, чтобы можно было ...
Дописал к sstp-client-у поддержку клиентских сертификатов и engines, чтобы можно было авторизовываться ключом с eToken-а. Первый раз в жизни послал на github-е pull-реквест.
Оказалось, что для того, чтобы ходить в нашу корпоративную VPN, этого мало. Нужна еще поддержка PEAP в pppd. А её там из коробки нет. (удивительно, уже семь лет существует Windows server 2008, в котором RAS эти извращенные способы доступа умеет, а в апстрим это еще не пропихнули).
Нашел, правда, готовый патч. Судя по комментариям автора, довольно наколеночный, нужно будет внимательно проаудитить.
Видимо, в наше время для людей, которые умеют программировать под *nix крайне нехарактерно работать в конторах, где критичные элементы инфраструктуры строятся на технологиях Microsoft.
This entry was originally posted at http://vitus-wagner.dreamwidth.org/1100669.html. Please comment there using OpenID. Now there are 
comments
Вчера я, наконец, нашел время и доделал последний штрих к конфигурации почтового сервера на Banana ...
Вчера я, наконец, нашел время и доделал последний штрих к конфигурации почтового сервера на Banana Pi.
Так я вообще-то уже две недели им пользуюсь, но до сих пор у пользователей не было возможности самостоятельно, без обращения к системному администратору, то есть мне, менять свои пароли. Теперь есть. Заодно разобрался в некоторых, еще не во всех, тонкостях взаимодействия Prayer Web mail с managesieve.
На мой взгляд, получилось вполне self-contained решение.
Конечно некоторые могут сказать, что почта должна использовать общесетевую базу пользователей, например из ldap, но эти некоторые пускай сами настраивают.
Собственно, новой для меня задачей в этой истории было сделать так, чтобы почтовые пользователи не должны были быть системными пользователям. Если заводить всех почтовых польозователей как системных, то prayer-accountd из дистрибутива задачу управления паролями и finger information решает из коробки.
Но мне интересно было решить задачу с виртуальными пользователями, авторизационная информация по которым хранится в базе данных (sqlite). Поэтому пришлось нарисовать свой собственный accountd. Благо протокол accountd крайне простой.
Получилось решение, которое
1. Хранит архивы почты у меня на столе, а не где-то в облаке
2. Позволяет доступ по IMAP и отправку почты из любой точки земного шара
3. Позволяет доступ через web-интерфейс, если вдруг по каким-то причинам нет возможности использовать нормальный эргономичный почтовый клинент
4. Осуществляет server-side фильтрацию почты, например раскладывает списки рассылки в отдельные папки. Правила фильтрации настраиваются через стандартный протокол managesieve, к которому есть и отдельные клиенты и плагины к почтовым клиентам, либо через веб-интерфейс.
5. Имеет обучаемый пользователями байесовский спамфильтр, причем общий для всех пользователей.
Обучение сводится к тому что проскочивший фильтры спам надо складывать в папку "спам", а весь не спам куда-то перекладывать из INBOX-а. Можно - в "Корзину".
Кстати, спама почему-то стало ощутимо меньше. Возможно потому что я поменял исторически сложившиеся настройки spamassassin-а на дистрибутивные.
6. Пользователи могут менять пароли (через веб-интерфейс к почте).
Получилась следующая картина:
Аппаратура:
Banana PI, 16 Гб UHS SD-карта, самодельный жестяной корпус.
Установлены:
postfix, dovecot, spamassassin и prayer.
Есть sqlite-база которой пользуется dovecot для авторизации и postfix для проверки существования адреса.
Вообще есть мысль в ту же базу засунуть еще таблицу алиасов (которая virtual_alias_map) и научить accountd ее редактировать, чтобы в web-интерфейсе prayer заработала функциональность "перенаправить почту на более другой адрес". Мне это нафиг не нужно, но ради спортивного интереса и полноты реализации протокола accountd...
У postfix в master.cf описан транспорт dovecot, который сначала фильтрует почту через spamc, а потом отправляет в dovecot-lda. Этот транспорт прописан как виртуальный транспорт для всех доменов. Естетсвенно, включена smtp-авторизация. Через dovecot-овский sasl, то есть кончается все дело той же sqlite-базой.
С доменами у меня сделано так, что каждый пользователь имеет адрес во всех доменах, которые поддерживаются на сервере. Можно было бы развести, но зачем?
Соответственно доступ к почте поддерживается по imap over ssl и через web-интерфейс. Управление фильтрами - через manage-sieve (благо в нем есть starttls) или через тот же web-интерфейс. У prayer, кстати, есть довольно неплохой консруктор фильтров, который пишет за человека sieve скрипты. Если бы он еще знал о существовании в sieve расширения spamtest...
На входном роутере у меня порты 443 993 465 и 4190 отправляются на эту коробочку. А 22 и 80 - на рабочую станцию. 25 вообще у провайдера закрыт. Поэтому приходится направлять MX на VDS, с которой почта перенаправляется опять же через postfix-овские virtual transport через openvpn. Что позволяет вообще пользоваться провайдером за NAT-ом. Где бы я эту коробочку ни включил, как только она загрузится и установит OpenVPN-соединение с VDS, почта в обе стороны ходить будет (Правда читать ее смогут только те, кто в одной локальной сети с этой коробочкой). Но поскольку провайдер дает достижимый извне IP, то читать почту и отправлять ее можно откуда угодно - 465 порт не фильтруется. А зафильтруют, так 587 есть.
На самом деле еще на этой коробочке крутится SNIProxy, которая перенаправляет https-запросы к home.wagner.pp.ru (а не к mail.wagner.pp.ru) на рабочую станцию. Чтобы можно было снаружи рулить transmission-ом через web-интерфейс.
К сожалению, найти web-mail, который бы уживался на одном виртуальном сервере с другими веб-приложениями мне не удалось, поэтому весь https://mail.wagner.pp.ru занят prayer-ом (и он же является там web-сервером).
В данной конструкции не описан greylisting и мендежер списков рассылки, потому что они стоят на VDS. Грейлистинг - по совершенно очевидным причинам, а менеджер списков рассылки чтобы не гонять их траффик туда-обратно через vpn.
Резервное копирование:
По крону rsync-ом на рабочую станцию. Не rsnapshot-ом а просто rsync-ом. rsnapshot-ом оно потом на внешний носитель копируется, а на диске рабочей станции есть просто ровно одна копия всей файловой системы почтового сервера.
http://vitus-wagner.dreamwidth.org/1099737.html. Please comment there using OpenID. Now there are
comments
