~ubuntu-branches/ubuntu/feisty/kubuntu-docs/feisty

        <title>Работа в сети</title>

  <para>Компьютерные сети состоят из двух и более устройств, таких как компьютерные системы, принтеры, и сопутствующее оборудование, объединеных кабельными или беспроводными соединениями с целью разделения и распределения информации среди подключенных устройств.</para>

  <para>Данный раздел руководства по серверу Ubuntu содержит общие сведения и специфическую информацию относительно работы в сети, включая обзор сетевых концепций и подробное рассмотрение популярных сетевых протоколов и серверных приложений.</para>

          <para>Большая часть настроек ethernet сконцентрирована в одном файле: <filename>/etc/network/interfaces</filename>. Если у вас нет сетевых устройств, тогда только loopback-интерфейс будет представлен в этом файле, и файл будет выглядеть примерно вот так: <screen>#Этот файл описывает сетевые устройства присутствующие в системе

# и способы их активации. Для более подробной информации см. interfaces(5).

# The loopback interface

netmask 255.0.0.0</screen> Если в вашей стстеме одно ethernet-устройство, которое получает настроечные данные с сервера DHCP, и оно должно подключаться автоматически при загрузке системы, то для его настройки понадобится всего лишь две строчки дополнительно: <screen>auto eth0

iface eth0 inet dhcp boot</screen> Первая строка говорит о том, что устройство eth0 должно включатся автоматически при загрузке. Вторая строка определяет, что интерфейс (<quote>iface</quote>) eth0 должен работать в пространстве адресов IPv4 (замените <quote>inet</quote> на <quote>inet6</quote> для устройств с адресами IPv6) и получает настроечные данные с сервера DHCP. Подразумевая, что ваша сеть и сервер DHCP настроены и работают правильно, настройки сети данного компьютера  не требуют дальнейшей настройки для работы в сети. Сервер DHCP предоставит адрес основного шлюза (реализованного с помощью команды <application>route</application>), IP-адрес устройства (реализованного с помощью команды <application>ifconfig</application>) и адреса DNS серверов, используемых в сети (реализовано в файле <filename>/etc/resolv.conf</filename>)</para>

                <para>Для настройки вашего устройства ethernet на использование статического IP-адреса и собственных настроек, необходимо иметь больше информации. Допустим, вы хотите присвоить IP-адрес 192.168.0.2 устройству eth1, со стандартной маской сети 255.255.255.0. IP-адрес вашего основного шлюза 192.168.0.1. Тогда ваш файл <filename>/etc/network/interfaces</filename> будет подобен следующему:<screen>iface eth1 inet static

        gateway 192.168.0.1</screen> В этом случае вам также необходимо определить вручную ваши серверы DNS в файле <filename>/etc/resolv.conf</filename>, который будет выглядеть примерно так: which should look something like this: <screen>search mydomain.com

nameserver 4.2.2.2</screen> Директива <emphasis role="italics">search</emphasis> будет добавлять mydomain.com к запросам имени хоста при попытках разрешить имя в вашей сети. Например, если домен вашей сети mydomain.com и вы попытаетесь послать эхо-запрос хосту <quote>mybox</quote>, запрос DNS на разрешение имен будет модифицирован к виду <quote>mybox.mydomain.com</quote>. Инструкции <emphasis role="italics">nameserver</emphasis> определяют серверы DNS, используемые для разрешения имен хостов в IP-адреса. Если вы используете собственный сервер имен, укажите его здесь. В противном случае, запросите у вашего провайдера услуг Интернет (Internet Service Provider, ISP) адреса основного и вспомогательного серверов DNS, и опишите их в файле <filename>/etc/resolv.conf</filename> как показано выше.</para>

                <para>Существует большое количество возможных вариантов настроек сети, включая модемные интерфейсы PPP, работу в сети по протоколу IPv6, VPN устройства и т.п. Более полная информация и описание поддерживаемых возможностей дано в руководстве <application>man 5 interfaces</application>. Помните, что файл <filename>/etc/network/interfaces</filename> используется скриптами <application>ifup</application>/<application>ifdown</application> в для предоставления схемы настройек более высокого уровня, чем может использоваться в других дистрибутивах Линукс, а также, что традиционные низкоуровневые утилиты такие как <application>ifconfig</application>, <application>route</application> и <application>dhclient</application> также доступны вам для специально подобранных настроек.</para>

            <para>Данный раздел объясняет как настроить использование существующих серверов имен (name server) при разрешении IP-адресов в имена хостов и обратно. Здесь не объясняется, как настроить систему для работы в качестве сервера имен.</para>

            <para>Для управления списком DNS, вы можете добавлять, изменять или удалять имена DNS в файле <filename>/etc/resolv.conf</filename>. Содержимое <ulink url="../sample/resolv.conf">файла-примера</ulink> представлено ниже:</para>

            <para>Ключевое слово <application>search</application> определяет строку, которая будет добавляться к неполным именам хостов. В нашем примере это строка <application>com</application>. То есть, если мы выполним комманду: <command>ping ubuntu</command>, она будет интерпретирована как  <command>ping ubuntu.com</command>.</para> 

            <para>Ключевое слово <application>nameserver</application> определяет IP-адрес сервера имен. Этот адрес будет использован, при разрешении заданного IP-адреса или имени хоста. Данный файл может содержать несколько записей с описанием серверов имен. Серверы имен будут использоваться сетевыми запросами в той же последовательности, как они указаны в файле.</para>

            <para>Если сервера имен DNS доставляются автоматически через DHCP или PPPOE (от вашего ISP). не добавляйте записи для серверов имен в этот файл. Он будет обновлен автоматически.</para>

          <title>Управление хостами</title>

            <para>Для управления хостами, вы можете добавлять, изменять, удалять хосты в файле <filename>/etc/hosts</filename>. Этот файл содержит IP-адреса и соответствующие им имена хостов. Когда ваша система пытается разрешить название хоста в IP-адрес, сначала происходит обращение к файлу <filename>/etc/hosts</filename> и лишь потом используются серверы имен. Если IP-адрес содержится в файле <filename>/etc/hosts</filename>, серверы имен не используются. Такое поведение может быть изменено настройками в файле <filename>/etc/nsswitch.conf</filename>, на ваш собственный риск.</para>

            <para>Если в вашей сети есть компьютеры, чьи IP-адреса не прописаны в DNS, мы рекомендуем вам добавить их в файл <filename>/etc/hosts</filename>.</para>

          <para>Протокол контроля передачи данных и Интернет протокол (The Transmission Control Protocol and Internet Protoco - TCP/IP) - это стандартный набор протоколов, разработанных в конце 70-х годов управлением перспективного планирования оборонных научно-исследовательских работ (DARPA) в качестве средства коммуникации между различными типами компьютеров и компьютерных сетей. Так как сеть Интернет построена на стеке протоколов TCP/IP, они представляют самый популярный набор сетевых протоколов на Земле.</para>

          <para>Две компоненты протокола TCP/IP имеют дело с различными аспектами компьютерных сетей. <emphasis>Интернет протокол</emphasis> (Internet Protocol), "IP" в TCP/IP - это протокол без организации соединения, который обеспечивает лишь пересылку сетевых пакетов, используя <emphasis role="italics">IP датаграммы</emphasis> в качестве единицы представления сетевой информации. IP датаграмма состоит из заголовка, за которым следует тело сообщения. <emphasis>Протокол управления передачей</emphasis>(Transmission Control Protocol), TCP в TCP/IP, обеспечивает хостам сети возможности устанавливать соединения, которые могут быть использованы для обмена потоками данных. TCP обеспечивает гарантированную доставку данных между соединенными системами, а также то, что эти данные доставляются на принимающий хост в том же самом порядке, в котором они были отправлены с другого хоста.</para>

          <title>Настройка TCP/IP</title>

            <para>Настройка протокола TCP/IP состоит из нескольких элементов, которые должны быть указаны в соответствующих файлах конфигураций, или получены с помощью дополнительных служб таких как сервер протокола динамической настройки хостов (Dynamic Host Configuration Protocol, DHCP), который, в свою очередь, может быть настроен для автоматического предоставления правильных настроек TCP/IP клиентам сети. Следующим параметрам настройки должны быть указаны правильные значения, чтобы обеспечить нормальную работу вашей системы Ubuntu в сети.</para>

            <para>Обычные элементы настроек TCP/IP и их назначение таковы: <itemizedlist>

               <listitem>

                  <para><emphasis role="bold">IP адрес</emphasis>. IP адрес - это уникальная идентификационная строка, представленная в виде четырёх десятичных чисел в диапазоне от нуля (0) до двухсот пятидесяти пяти (255), разделённых точками, каждое из четырёх чисел представляет восемь (8) бит адреса, полная длина которого тридцать два (32) бита. Этот формат называют <emphasis>dotted quad notation (четырехкомпонентная система обозначений адресов с точками)</emphasis>.</para>

               </listitem>

               <listitem>

                  <para><emphasis role="bold">Маска сети (Netmask)</emphasis> Маска подсети (или просто, <emphasis>netmask</emphasis>) - это локальная битовая маска, или наборы флагов, отделяющая часть IP-адреса, значимую для сети, от битов, значимых для <emphasis>подсети (subnetwork)</emphasis>. Например, в сети класса C, стандартная маска сети определена как 255.255.255.0, она маскирует первые три байта IP адреса и позволяет последнему байту IP адреса оставаться доступным для обозначения хостов в подсети.</para>

               </listitem>

               <listitem>

                  <para><emphasis role="bold">Адрес сети (Network Address)</emphasis> Адрес сети представляется байтами, включающими в себя сетевую часть IP адреса. К примеру,  хост 12.128.1.2 в сети класса А будет использовать 12.0.0.0 в качестве адреса сети, которая использует двенадцать (12) для представления первого байта IP адреса (сетевая часть), тогда как нули (0) в оставшихся трех байт представляют потенциальные значения для хостов. Хосты сети использующие стандартные закрытые и не маршрутизируемые IP адреса, подобные 192.168.1.100, будут, в свою очередь, использовать в качестве адреса сети 192.168.1.0, которая определяет первые три байта 192.168.1 сети класса C и нуль (0) для всех возможных хостов в сети.</para>

               </listitem>

               <listitem>

                  <para><emphasis role="bold">Широковещательный адрес (Broadcast Address)</emphasis> Широковещательный адрес - это такой IP адрес, который позволяет передать сетевые данные одновременно на все хосты заданной подсети, вместо передачи на конкретный хост. Стандартным общим широковещательным адресом для IP сетей является 255.255.255.255, однако этот адрес не может быть использован для передачи широковещательных сообщений всем хостам сети Интернет, так как роутеры блокируют данный адрес. Более приемлем широковещательный адрес соответствующий конкретной подсети. Например, для популярной закрытой сети класса C, 192.168.1.0, широковещательный адрес должен быть настроен как 192.168.1.255. Широковещательные сообщения обычно рассылаются сетевыми протоколами такими, как протокол разрешения адресов (Address Resolution Protocol или ARP) и информационный протокол маршрутизации (Routing Information Protocol, RIP).</para>

               </listitem>

               <listitem>

                  <para><emphasis role="bold">Адрес шлюза (Gateway Address)</emphasis> Адрес шлюза - это IP адрес, через который некоторая сеть, или хост в сети, могут быть доступны. 

Пусть один сетевой хост желает организовать соединение с другим сетевым хостом, но они расположены в разных сетях, в таких случаях должен использоваться  <emphasis>шлюз (gateway)</emphasis>. Во многих случаях адрес шлюза будет совпадать с адресом маршрутизатора той же сети, который, в свою очередь, будет перенаправлять трафик в другие сети или на другие хосты, такие как хосты Интернет. Адресу шлюза должно быть присвоено правильное значение, в противном случае ваша система не сможет связаться ни с одним хостом, находящимся за пределами вашей сети.</para>

               </listitem>

               <listitem>

                  <para><emphasis role="bold">Адрес сервера имен (Nameserver Address)</emphasis> Адреса серверов имен представляют IP адреса систем службы именования доменов (Domain Name Service, DNS), которые разрешают имена хостов сети в IP адреса. Есть три уровня адресов серверов имен, которые могут быть определены в порядке приоритета: <emphasis> основной (Primary)</emphasis> сервер имен, <emphasis>вспомогательный (Secondary)</emphasis> сервер имен, и  <emphasis>третичный (Tertiary)</emphasis> сервер имен. Для того, чтобы ваша система могла разрешать сетевые имена хостов в соответствующие IP адреса, вы должны определить допустимые адреса серверов имен, которые вам разрешено использовать в настройках TCP/IP вашей системы. Во многих случаях эти адреса будут предоставлены вашим провайдером сетевых услуг, но также существуют свободные и открыто доступные сервера имен, которые можно использовать, такие как серверы Level3 (Verizon) с IP адресами от 4.2.2.1 до 4.2.2.6.</para>

                        <para>IP адрес, маска сети, адрес сети, широковещательный адрес и адрес шлюза обычно определяются с помощью подходящих инструкций в файле <filename>/etc/network/interfaces</filename>. Адреса серверов имен обычно задаются с помощью директивы <emphasis>nameserver</emphasis> в файле <filename>/etc/resolv.conf</filename>. Для получения более полной информации, смотрите страницы системного руководства для <filename>interfaces</filename> или <filename>resolv.conf</filename>, соответственно, введя следующие команды в терминале:</para>

                    <para>Обратитесь к соответствующей странице системного руководства о <filename>interfaces</filename> с помощью комманды:</para>

                    <para>Обратитесь к соответствующей странице системного руководства о <filename>resolv.conf</filename> с помощью комманды:</para>

            </itemizedlist></para>

            <para>IP маршрутизация (роутинг) - это способы определения и нахождения путей доставки сетевых данных в сети TCP/IP. Маршрутизация использует набор <emphasis>таблиц маршрутизации (routing tables)</emphasis> для управления передачей сетевых пакетов данных от отправителя к получателю, зачастую через множество промежуточных сетевых узлов, именуемых <emphasis>маршрутизаторы (routers)</emphasis>. IP маршрутизация - это основной способ определения путей доставки в сети Интернет. Есть две основных формы IP маршрутизации: <emphasis>статическая маршрутизация (Static Routing)</emphasis> и <emphasis>динамическая маршрутизация (Dynamic Routing)</emphasis>.</para>

            <para>Статическая маршрутизация подразумевает ручное добавление IP маршрутов в таблицу маршрутизации системы, обычно это достигается изменением таблиц маршрутизации с помощью команды <application>route</application>. Статическая маршрутизация имеет множество преимуществ над динамической, таких как простота реализации в небольших сетях, предсказуемость (таблицы маршрутизации рассчитываются заранее, следовательно используемые маршруты остаются постоянным от раза к разу), а также малая нагрузка на другие роутеры и сетевые соединения так как не используется протокол динамической маршрутизации. Однако, у статической маршрутизации есть и свои минусы. Например, ее применение ограничено небольшими сетями, к тому же она плохо масштабируется. Более того,  из-за фиксированности маршрутов, статическая маршрутизация не может адаптироваться к перебоям в работе сети и ошибкам, возникающим на маршрутах доставки.</para>

            <para>Динамическая маршрутизация зависит от больших сетей со множеством возможных IP маршрутов от отправителя к получателю и использует специальные протоколы маршрутизации, такие как протокол маршрутной информации (Router Information Protocol, RIP), который поддерживает автоматические изменения в таблицах маршрутизации, что делает возможным саму динамическую маршрутизацию. Динамический роутинг имеет несколько преимуществ над статическим, в числе которых отличная масштабируемость и возможность подстройки при возникновении сбоев и ошибок на маршрутах доставки данных. В дополнение к этому, при этом способе необходимо меньше ручных настройек таблиц маршрутизации, так как роутеры обмениваются друг с другом информацией о существовании других роутеров и доступных маршрутах. Это также устраняет возможность внесения ошибочной информации в таблицы маршрутов из-за ошибок операторов. Однако, динамический способ маршрутизации тоже несовершенен. Из недостатков мы отметим повышенную сложность и дополнительную нагрузку на сети, связанную с передачей информации между роутерами, которые не дают мгновенных преимуществ пользователю, но в то же время используют часть пропускной способности сети.</para>

            <para>TCP - протокол с установлением соединения, предоставляющий коррекцию ошибок и гарантированную доставку данных через так называемое <emphasis>управление передачей (flow control)</emphasis>. Управление передачей определяет когда поток данных необходимо остановить и заново отправить предыдущие пакеты данных вследствие таких проблем как <emphasis>коллизии (collisions)</emphasis>. TCP обычно используется при обмене важной информацией, такой как транзакции баз данных.</para>

            <para>Протокол управляющих сообщений сети Интернет (Internet Control Messaging Protocol, ICMP) - это расширение Интернет протокола (IP), определенное в документе RFC#792 (Request For Comments), поддерживающее сетевые пакеты, содержащие управляющие и информационные сообщения, а также сообщения об ошибках. ICMP используется сетевыми приложениями, например, утилитой <application>ping</application>, с помощью которой можно определить доступность сетевого хоста или устройства. Например, сообщения об ошибках, возвращаемых ICMP, которые полезны как хостам в сети, так и устройствам типа маршрутизаторов,  включают в себя <emphasis>адресат недоступен (Destination Unreachable)</emphasis> и <emphasis>превышено время ожидания (Time Exceeded)</emphasis>.</para>

          <title>Демоны</title>

            <para>Демоны - это специальные системные программы, которые, как правило, выполняются постоянно в фоновом режиме и ожидают запросов на функции, которые они предоставляют для других программ. Многие демоны направлены на работу с сетью; то есть, большое число демонов, выполняющихся в фоновом режиме в системе Ubuntu могут предоставлять сетевую финкциональность. В качестве примера таких сетевых демонов можно привести <emphasis>Hyper Text Transport Protocol Daemon</emphasis> (httpd), который предоставляет функции веб-сервера, <emphasis>Secure SHell Daemon</emphasis> (sshd), который предоставляет безопасный удаленный доступ к консоли и возможность передачи файлов и <emphasis>Internet Message Access Protocol Daemon</emphasis> (imapd), который предоставляет службы электронной почты.</para>

                <title>Настройка межсетевого экрана (брандмауера)</title>

          <para>Ядро Linux включает подсистему <emphasis>Netfilter</emphasis>, которая используется для регулирования сетевого траффика, входящего на или проходящего через вашу систему. Все современные средства межсетевой защиты Linux используют эту систему для фильтрации пакетов.</para>

          <title>Введение в брандмауер</title>

            <para>Система фильтрации пакетов ядра была бы малопригодной для администраторов без пользовательского интерфейса управления ею. Для этого предназначено приложение iptables. Когда пакет достигает вашего сервера, он передается подсистеме Netfilter для приема, обработки или отклонения, в зависимости от правил, передаваемых ей из рабочего пространства пользователя с помощью iptables. Таким образом, если вы хорошо знакомы с iptables - это все, что вам необходимо для управления межсетевым экраном. Однако, существует множество программ предоставляющих интерфейс для упрощения этой задачи.</para>

          <title>IP маскировка</title>

            <para>Назначение IP маскировки в том, чтобы позволить машинам в вашей сети с частными, не маршрутизируемыми IP-адресами, иметь доступ в Интернет через машину, осуществляющую маскировку. Трафик из вашей сети, предназначенный для Интернета, должен быть обработан так, чтобы ответы могли вернуться обратно на машину, которая организовала запрос. Чтобы это сделать, ядро должно изменить IP-адрес <emphasis>источника</emphasis> в каждом пакете так, чтобы ответы возвращались на сервер, а не на частный IP-адрес (что невозможно в Интернете), с которого сделан запрос. Linux использует <emphasis>Connection Tracking</emphasis> (conntrack) для хранения записи о том, каким машинам принадлежат соединения, и перенаправляет каждый возвращенный пакет соответствующим образом. Таким образом, трафик, покидающий вашу сеть, "замаскирован", как будто исходит от машины, которая выполняет роль шлюза. В документации Microsoft этот процесс упоминается как технология Internet Connection Sharing.</para>

                        <para>Этого можно достичь с помощью простого правила в iptables, которое может слегка варьироваться в зависимости от настроек вашей сети: <screen>sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASQUERADE</screen> В команде, приведенной выше, предполагается, что вы используете закрытое адресное пространство 192.168.0.0/16, а подключение к Интернет обеспечено через устройство ppp0. Данный синтаксис может быть объяснен так: <itemizedlist>

                                  <listitem><para>-t nat -- правило, для обращения к таблице NAT</para></listitem>

                                  <listitem><para>-A POSTROUTING -- правило, добавлямое (-A) к цепочке POSTROUTING</para></listitem>

                                  <listitem><para>-s 192.168.0.0/16 -- правило применяется для трафика, происходящего из обозначенного адресного пространства</para></listitem>

                                  <listitem><para>-o ppp0 -- правило применяется к трафику, который планируется направить через определенное сетевое устройство</para></listitem>

                                  <listitem><para>-j MASQUERADE -- трафик попадающий под данное правило должен быть перенаправлен "jump" (-j) с маскировкой (MASQUERADE) для обработки, как описано выше</para></listitem>

                          </itemizedlist></para>

                        <para>Любая цепочка правил в таблице фильтрации (это основная таблица, где происходит обработка большинства пакетов) имеет в качестве <emphasis>политики (policy)</emphasis> по умолчанию правило ACCEPT (принимать), но если вы создаете межсетевой экран в дополнение к устройству шлюза, вы можете настроить политики на использование правил DROP (пропустить) или REJECT (отклонить), в этом случае (для работы правила, описанного выше) необходимо разрешить прохождение вашего маскированного трафика через цепочку FORWARD (перенаправить): <screen>sudo iptables -A FORWARD -s 192.168.0.0/16 -o ppp0 -j ACCEPT

sudo iptables -A FORWARD -d 192.168.0.0/16 -m state --state ESTABLISHED,RELATED -i ppp0 -j ACCEPT</screen> Эти команды разрешают все соединения из вашей локальной сети в Интернет, а также позволяют всему трафику, относящемуся к этим соединениям, возвращаться на машины их инициировавшие.</para>

          <title>Инструменты</title>

            <para>Есть большое количество программ, которые помогут вам полностью настроить брандмауэр без необходимости подробного изучения iptables. У тех, кто предпочитает графические оболочки, довольно популярно простое в использовании приложение <application>Firestarter</application>, а также <application>fwbuilder</application> - очень мощный инструмент настройки, который покажется знакомым администраторам, пользовавшимся коммерческими брандмауэрами типа Checkpoint FireWall-1. Для предпочитающих работу в командной строке и простые текстовые файлы настроек, <application>Shorewall</application> - подходящее и мощное решение, которое поможет настроить межсетевой экран любой сложности для любой сети. Если же ваша сеть достаточно простая, или у вас вообще нет локальной сети, утилита <application>ipkungfu</application> предоставит вам работающий "из коробки" (без необходимости настпройки) брандмауэр, а также даст возможность легко настроить более сложный межсетевой экран с помощью редактирования простых и хорошо документированных файлов настроек. Еще одна интересная программа - <application>fireflier</application>, которая разработана как межсетевой экран для настольного ПК. Она состоит из сервера (fireflier-server) и графического клиента на ваш выбор (GTK или QT). Во время работы она ведет себя похоже на многие интерактивные брандмауэры для Windows.</para>

          <title>Журналирование</title>

            <para>Сообщения в журнале брандмаура необходимы для определения атак, поиска проблем в правилах, а также для определения необычной активности в вашей сети. Чтобы активировать журналирование вам необходимо включить соответствующие правила в конфигурацию вашего межсетевого экрана, более того, эти правила должны быть заданы ранее всех применяемых завершающих правил (это правила с целью, которая определяет дальнейшую судьбу пакета, такие как ACCEPT, DROP или REJECT). Например, <screen>sudo iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j LOG --log-prefix "NEW_HTTP_CONN: "</screen> Тогда запрос на порт 80 с локальной машины будет генерировать сообщение в dmesg подобное следующему:</para>

                        <para>Сообщение выше, будет также записано в файлы <filename>/var/log/messages</filename>, <filename>/var/log/syslog</filename>, и <filename>/var/log/kern.log</filename>. Данное поведение можно изменить соответствующими настройками в файле <filename>/etc/syslog.conf</filename> или с помощью установки и настройки <application>ulogd</application> (при этом нужно использовать цель ULOG вместо LOG). Демон <application>ulogd</application> - это сервер пользовательского рабочего пространства, который ожидает от ядра инструкций для записи в журнал, специфичных для брандмауэров, и может сохранять их в любой файл на ваш вкус, и даже в базу данных <application>PostgreSQL</application> или <application>MySQL</application>. Разобраться в журнале брандмауэра может помочь использование утилит анализа журналов событий, таких как <application>fwanalog</application>, <application> fwlogwatch</application>, или <application>lire</application>.</para>

                <title>Сервер OpenSSH</title>

           <para>Данный раздел документации сервера <phrase>Ubuntu</phrase> представляет мощный набор инструментов <emphasis>OpenSSH</emphasis>, используемый для удаленного управления компьютеров в сети и передачи данных между ними. Вы также узнаете о некоторых возможностях настройки серверного приложения OpenSSH, а также как изменять эти настройки на вашей Ubuntu системе.</para>

          <para>OpenSSH - это свободно доступная версия инструментов, поддерживающих протокол Secure Shell (SSH), для удаленного управления компьютером или передачи файлов между компьютерами. Традиционно использовавшиеся для этих целей инструменты, такие как <application>telnet</application> или <application>rcp</application>, не являются безопасными: они передают пароль пользователя простым текстом во время их использования. OpenSSH предоставляет серверного демона и клиентские программы для обеспечения безопасных и зашифрованных операций удаленного управления и передачи файлов, эффективно заменяя при этом устаревшие программы.</para>

          <para>Серверная компонента OpenSSH, <application>sshd</application>, постоянно ожидает клиентских соединений от любых клиентских программ. Когда приходит запрос на соединение, <application>sshd</application> устанавливает правильный тип соединения, в зависимости от типа подключаемого клиента. Например, если удаленный компьютер пытается подключится с помощью приложния-клиента  <application>ssh</application>, сервер OpenSSH, после авторизации, запустит сеанс удаленного управления. Если же удаленный пользователь подключается с помощью <application>scp</application>, серверный демон OpenSSH, после авторизации, организует безопасное копирование файлов между сервером и клиентом. OpenSSH может использовать множество методов авторизации, включая обычный пароль, использование открытого ключа, и сертификаты <application>Kerberos</application>.</para>

        <title>Установка</title>

        <para>Установка клиента и сервера OpenSSH проста. Для установки OpenSSH клиента на вашу систему Ubuntu, используйте следующую команду в строке терминала:</para>

        <para>Для установки сервера OpenSSH и всех необходимых файлов выполните эту команду в строке терминала:</para>

          <title>Конфигурация</title>

            <para>Вы можете настроить режим работы по умолчанию серверного приложения OpenSSH, <application>sshd</application>, редактируя файл <filename>/etc/ssh/sshd_config</filename>. Для получения информации об инструкциях настройки, используемых в этом файле, вы можете просмотреть соответствующее руководство с помощью следующей команды, выполенной в командной строке терминала:</para>

            <para>В конфигурационном файле демона <application>sshd</application> существует множество директив, управляющих такими вещами, как настройки соединения и режимы аутентификации. Ниже перечислены примеры директив, значения которых могут быть изменены в файле <filename>/etc/ssh/ssh_config</filename>.</para>

               <para>Перед внесением изменений в файл настроек, вы должны скопировать оригинальный файл и защитить его от записи. Таким образом, вы будите иметь оригинальные настройки для справки или повторного использования, при необходимости.</para>

               <para>Создайте копию файла <filename>/etc/ssh/sshd_config</filename> и защитите его от записи, используя следующую команду, введенную в командной строке терминала:</para>

            <para>Ниже даны примеры инструкций настройки, которые вы можете изменять:</para>

               <para>Чтобы настроить демона OpenSSH в режим прослушивания TCP порта 2222, вместо стандартного TCP порта 22, измените директиву Port таким образом:</para>

               <para>Port 2222</para>

            <para>Чтобы <application>sshd</application> позволял возможность процедуры идентификации пользователя с использованием данных, основанных на открытом ключе, просто добавьте или измените следующую строку:</para>

               <para>PubkeyAuthentication yes</para>

            <para>в файле <filename>/etc/ssh/sshd_config</filename>, если такая строка уже присутствует в файле, удостоверьтесь, что она раскомментирована.</para>

             <para>Чтобы ваш сервер OpenSSH отображал содержимое файла <filename>/etc/issue.net</filename> в качестве сообщения перед логином, просто добавьте или измените следующую строку:</para>

               <para>Banner /etc/issue.net</para>

               <para>в файле <filename>/etc/ssh/sshd_config</filename>.</para>

            <para>После внесения изменений в файл <filename>/etc/ssh/sshd_config</filename>, сохраните его и, чтобы изменения вступили в силу, перезапустите серверное приложение <application>sshd</application>, выполнив следующую команду в терминале:</para>

                           <para>Доступно большое количество инструкций для <application>sshd</application>, чтобы настроить поведение серверного приложения под ваши нужды. Однако, мы вас предупреждаем: если единственный для вас метод доступа к серверу - с помощью <application>ssh</application> и вы допустите ошибку при настройке <application>sshd</application> с помощью файла <filename>/etc/ssh/sshd_config</filename>, может случится, что вы заблокируете себе доступ к серверу после его перезапуска или что сервер <application>sshd</application> откажется запуститься из-за неправильной директивы настройки, то есть будьте предельно внимательны при редактировании этого файла на удаленном сервере.</para>

      <title>Ссылки</title>

      <ulink url="http://www.openssh.org/">Сайт OpenSSH</ulink>

      <ulink url="https://wiki.ubuntu.com/AdvancedOpenSSH">Страница Wiki о расширенных настройках OpenSSH</ulink>

            <para>Протокол передачи файлов (FTP) является TCP-протоколом для передачи файлов между компьютерами. FTP работает по модели клиент-сервер. Серверная часть называется <emphasis>FTP демоном</emphasis>. Он постоянно прослушивает FTP-запросы от удаленных клиентов. Когда запрос получен, он авторизует клиента и устанавливает соединение. На протяжении всей сессии FTP-сервер выполняет любые команды посланные FTP-клиентом.</para>

                    <para>Анонимный</para>

                    <para>Авторизованный</para>

            <para>В Анонимном режиме, удаленные клиенты могут получить доступ к FTP серверу, используя стандартную учетную запись 'anonymous' или 'ftp' и передававя в качестве пароля свой адрес электронной почты. В Авторизованном режиме пользователь должен иметь учетную запись и пароль. Пользователи получают доступ к файлам и каталогам FTP сервера в соответствии с правами учетной записи, использованной при входе на FTP сервер. Общей нормой является то, что FTP сервер скрывает свою корневую директорию и подставляет вместо нее домашнюю директорию FTP, что позволяет скрыть остальную часть файловой системы от удаленных клиентов.</para>

                    <para>vsftpd - это FTP демон доступный в Ubuntu. Он прост в установке, настройке и использовании. Для установки <application>vsftpd</application> необходимо выполнить следующую команду: <screen> <command>sudo apt-get install vsftpd</command> </screen></para>

                <para>Чтобы сменить настройки сервера, с заданных по умолчанию, вы можете отредактировать файл настроек vsftpd: <filename>/etc/vsftpd.conf</filename>. По умолчанию, позволен только анонимный доступ на FTP. Если вы хотите отключить эту опцию, вам нужно изменить строку <programlisting>

</programlisting> на <programlisting>

</programlisting> По умолчанию, локальным пользователям отключена возможность входа на FTP сервер. Чтобы изменить это, раскомментируйте следующую строку: <programlisting>

</programlisting> Также настройки по-умолчанию, позволяют пользователям только скачивать файлы с FTP сервера, но не разрешают загружать файлы на сервер. Для изменения этого поведения, раскомментируйте строку <programlisting>

</programlisting> Точно так же анонимным пользователям запрещена загрузка файлов на FTP сервер. Для изменения этой настройки раскомментируйте эту строку: <programlisting>

</programlisting> В конфигурационном файле содержится большое количество параметров настройки. Информация о каждом параметре также дана в файле конфигураци. В качестве альтернативы, для получения более полной информации о каждом параметре, вы можете обратиться к документации: <command>man 5 vsftpd.conf</command>.</para>

                <para>Как только вы настроили <application>vsftpd</application>, вы можете запустить демона. Для запуска воспользуйтесь следующей командой: <screen> <command>sudo /etc/init.d/vsftpd start</command> </screen></para>

                                <note><para>Примите во внимание, что настройки, прописанные по умолчанию в файле конфигурации, выбраны именно такими из соображений безопасности. Каждое изменение, из описанных выше, делает вашу систему немного более уязвимой. Вносите эти изменения только если вы действительно нуждаетесь в них.</para></note>

                <title>Сетевая файловая система (Network File System, NFS)</title>

          <para>NFS позволяет системе предоставлять в общий сетевой доступ каталоги и файлы. Посредством NFS, пользователи и программы могут получать доступ к файлам на удаленных машинах так же легко, как будто это файлы на их локальном компьютере.</para>

          <para>Некоторые из преимуществ, которые может обеспечить NFS:</para>

      <para>Рабочие станции используют меньше локального дискового пространства, так как общие данные могут содержаться на одной машине и оставаться доступными по сети для всех остальных.</para>

      <para>У пользователей отпадает необходимость в использовании отдельных домашних каталогов на каждой машине, подключенной в сеть. Можно разместить домашние каталоги пользователей на сервере NFS и сделать их доступными с помощью сети.</para>

      <para>Устройства хранения информации такие как флоппи дисководы, приводы компакт дисков и USB приводы могут использоваться другими машинами в сети. Это может уменьшить общее число накопителелей со сменными носителями в сети</para>

        <title>Установка</title>

          <para>Введите следующую команду в терминале для установки NFS сервера:</para>

        <title>Конфигурация</title>

          <para>Вы можете настроить директории для экспорта добавляя их в файл <filename>/etc/exports</filename>. Например:</para>

          <para>Вы можете заменить * одним из форматов записи имени хоста. Сделайте объявление хоста настолько необычными, насколько это возможно, чтобы нежеланные системы не могли получить доступа к монтированию NFS</para>

          <para>Для запуска NFS сервера выполните следующую команду в терминале:</para>

        <title>Настройка NFS клиента</title>

          <para>Используйте команду <application>mount</application> для монтирования NFS директории открытой на другой машине. Наберите в терминале команду, схожую со следующим примером.</para>

      <para>Точка монтирования <filename>/local/ubuntu</filename> должна существовать. В директории <filename>/local/ubuntu</filename> не должно быть никаких файлов или под-директорий.</para>

      <para>Другой способ монтирования NFS ресурса, открытого на другой машине состоит в добавлении соответствующей строчки в файл <filename>/etc/fstab</filename>. Строчка должна содержать имя хоста NFS сервера, название каталога, открытого на сервере, и название директории на локальной машине, куда будет монтироваться NFS каталог.</para>

      <para>Общий синтаксис строки файла <filename>/etc/fstab</filename> следующий:</para>

        <title>Ссылки</title>

                                <para><ulink url="http://nfs.sourceforge.net/">Линукс NFS FAQ</ulink></para>

                <title>Протокол динамической настройки хостов (Dynamic Host Configuration Protocol, DHCP)</title>

            <para>DHCP (протокол динамической конфигурации узла) это сетевой сервис, позволяющий компьютерам автоматически получать настройки от сервера, в отличие от ручной настройки каждого компьютера в сети. Компьютеры, настроенные в качестве DHCP клиентов не контролируют параметры, которые они получают от DHCP сервера, и настройка прозрачна для пользователя компьютера.</para>

            <para>В самом общем случае, настройки предоставляемые сервером DHCP его клиентам включают в себя:</para>

                    <para>IP адрес и маску сети</para>

            <para>Кроме того, DHCP сервер может дополнительно предоставить параметры настроек такие как:</para>

                    <para>Имя хоста</para>

                </listitem>

                <listitem>

                    <para>Имя домена</para>

                </listitem>

                <listitem>

                    <para>Шлюз по умолчанию</para>

                </listitem>

                <listitem>

                    <para>Сервер синхронизации времени</para>

                </listitem>

                <listitem>

                    <para>Сервер печати</para>

            <para>Преимущество использования DHCP сервера в сети состоит в том, что изменения настроек сети, например, изменение адреса DNS сервера, должны выполняться только на DHCP сервере. Все остальные компьютеры в сети будут автоматически перенастроены DHCP клиентами во время следующего опроса ими DHCP сервера. Дополнительное преимущество состоит в том, что становится проще подключать в сеть новые компьютеры, так как отпадает необходимость проверять доступность IP адреса. Также сокращается количество конфликтов при назначении IP адресов.</para>

            <para>DHCP сервер может предоставлять конфигурацию двумя способами:</para>

                    <term>MAC-адрес</term>

                        <para>Данный метод включает в себя использование DHCP для определения уникальных аппаратных адресов каждой сетевой карты, подключенной в сеть, а затем постоянным предоставлением одной и той же конфигурации каждый раз, когда DHCP клиент делает запрос к серверу, используя данное сетевое устройство.</para>

                    <term>Пул адресов</term>

                        <para>Данный метод подразумевает определение пула (иногда используется термин диапазон) IP адресов, из которых динамически формируются параметры конфигурации для каждого DHCP клиента, обслуживание которых ведется по принципу: первый пришел - первый обслужен. Если DHCP клиент не работает в сети в течение некоторого определенного периода времени, то присвоенная ему конфигурация утрачивает силу и ее адрес возвращается назад в пул адресов для использования другими DHCP клиентами.</para>

            <para>В поставку Ubuntu входят как DHCP сервер, так и клиент. <application>dhcpd</application> (DHCP демон) - это сервер. Клиент, поставляемый с Ubuntu называется <application>dhclient</application> и должен быть установлен на всех компьютерах, которые необходимо настраивать автоматически. Обе программы легко устанавить и настроить. Они автоматически запускаются в процессе загрузки системы.</para>

        <title>Установка</title>

          <para>Для установки <application>dhcpd</application> введите следующую команду в терминале:</para>

          <para>Вы увидите следующий вывод, объясняющий, что делать далее:</para>

↵

Пожулуйста, отметьте, если вы устанавливаете DHCP сервер в первый↵

раз, то его необходимо настроить. Пожалуйста, остановите (/etc/init.d/dhcp↵

stop) DHCP сервер, отредактируйте /etc/dhcpd.conf согласно вашим потребностям↵

в определенной конфигурации, и перезапустите DHCP сервер↵

(/etc/init.d/dhcp start).↵

↵

Необходимо также отредактировать /etc/default/dhcp для указания интерфейсов,↵

которые должен использовать dhcpd. По умолчанию используется eth0.↵

↵

Примечание: сообщения dhcpd's отправляются в syslog. Все диагностические↵

сообщения необходимо смотреть там.↵

↵

Запуск DHCP сервера: Ошибка запуска dhcpd  - для диагностики проверьте syslog.  </screen>

        <title>Конфигурация</title>

            <para>Сообщение об ошибке, с которым заканчивается процесс установки может быть немного непонятным, но приведенные ниже шаги помогут вам настроить службу</para>

            <para>Наиболее вероятно, вы захотите установить случайную раздачу IP адресов. Это может быть выполнено сдледующим образом:</para>

# Sample /etc/dhcpd.conf↵

# (ваши комментарии тут)

            <para>Это приведет к тому, что DHCP сервер присвоит клиенту IP адрес из диапазона 192.168.1.10-192.168.1.100 или 192.168.1.150-192.168.1.200. Ip адрес назначается на 600 секунд, если клиент не запросит конкретных временных рамок. В противном случае максимальное (разрешенное) время аренды IP адреса будет 7200 секунд. Сервер также "посоветует" клиенту использовать 255.255.255.0 в качестве маски подсети, 192.168.1.255 в качестве широковещательного адреса, 192.168.1.254 в качестве маршрутизатора/шлюза, а также 192.168.1.1 и 192.168.1.2 в качестве DNS серверов.</para>

            <para>Если вам необходимо задать WINS сервер для вашего Windows клиента, вам нужно включить опцию netbios-name-servers, например</para>

            <para>Настройки конфигурации Dhcpd берутся из DHCP мини-HOWTO, которое можно найти <ulink url="http://www.tldp.org/HOWTO/DHCP/index.html">здесь</ulink>.</para>

        <title>Ссылки</title>

                <title>Служба именования доменов (DNS)</title>

            <para>Служба именования доменов (Domain Name Service, DNS) - это сервис сети Интернет, который устанавливает соответствие между IP адресами и полностью определенными именами доменов (FQDN). DNS частично снимает необходимость в запоминании IP адресов. Компьютеры, которые обслуживают DNS называют <emphasis>серверы имен (name servers)</emphasis>. Ubuntu поставляется с приложением <application>BIND</application> (Berkley Internet Naming Daemon - демон именования для Интернет родом из Беркли), самой распространенной программой, используемой для поддержки сервера имен на GNU/Linux.</para>

        <title>Установка</title>

          <para>Для установки <application>bind</application> наберите в терминале следующую команду:</para>

        <title>Конфигурация</title>

          <para>Конфигурационные файлы DNS храняться в директории <filename>/etc/bind</filename>. Главный файл конфигурации <filename>/etc/bind/named.conf</filename>. Ниже представлено содержимое конфигурационного файла по умолчанию:</para>

// Это первоначальный файл конфигурации BIND DNS сервера.

// Пожалуйста прочтите /usr/share/doc/bind/README.Debian для получения информации о 

// структуре файлов конфигурации BIND в Debian для BIND версий 8.2.1 

// и выше, *ДО ТОГО* как вы измените этот файл конфигурации.

// уменьшение многословности лога при неподконтрольных нам проблемах

// загрузить в сервер знания о корневых серверах

// быть авторитетным для передней и обратной зон локального хоста, и для

// широковещательных зон как для RFC 1912

// добавьте сюда определения местных зон

          <para>Директива <application>include</application> определяет имя файла, который содержит опции DNS. Директива <application>directory</application> в файле опций говорит DNS где искать эти файлы. Все файлы, которые использует BIND будут относиться к этой директории.</para>

 

          <para>Файл <filename>/etc/bind/db.root</filename> описывает мировые корневые серверы имен. Серверы со временем изменяются и должны поддерживаться сечас и потом.</para>

 

          <para>Раздел <application>zone</application> определяет основной сервер, этот раздел сохранен в файле упомянутом напротив тэга file. Файл каждой зоны содержит 3 ресурсных записи (resource records, RRs): SOA RR, NS RR и PTR RR. SOA - сокращение для Start of Authority. "@" - это специальное обозначение, подразумевающее происхождение. NS - это сервер имен (Name Server RR). PTR - указатель доменного имени (Domain Name Pointer). Для запуска DNS сервера, выполните следующую команду в строке терминала:</para>

          <para>Для получения детальной информации вы можете обратиться к документации, упоминаемой в разделе ссылок.</para>

        <title>Ссылки</title>

                <title>CUPS - сервер печати</title>

          <para><emphasis role="bold">Common UNIX Printing System</emphasis> (CUPS) - это основной механизм печати в Ubuntu и представления служб печати. Данная система печати представляет собой свободно распространямый, переносимый уровень управления печатью, который уже стал новым стандартом печати во многих дистрибутивах GNU/Linux.</para>

          <para>CUPS управляет заданиями на печать и очередями, а также обеспечивает печать по сети, используя стандартный протокол печати Интернет, (Internet Printing Protocol, IPP). В то же время он поддерживает большое количество принтеров, от матричных до лазерных. CUPS также поддерживает описание принтеров PostScript (PostScript Printer Description, PPD) и авто-определение сетевых принтеров, и имеет простой web-ориентированный инструмент настройки и администрирования.</para>

        <title>Установка</title>

          <para>Для установки CUPS на ваш компьютер с Ubuntu, просто воспользуйтесь командой <application>sudo</application> вместе с <application>apt-get</application>, передав названия пакетов в качестве первого аргумента. Полная инсталляция CUPS имеет очень много зависимостей, но все они могут быть указаны в одной команде. Введите следующую команду в строке терминала для установки CUPS:</para>

          <para>После аутентификации с помощью вашего пароля, пакеты должны бфть скачаны и установлены без ошибок. По завершении установки, сервер CUPS будет автоматически запущен. Для разрешения проблем, вы можете просматривать лог ошибок сервера CUPS в файле журналирования ошибок: <filename>/var/log/cups/error_log</filename>. Если лог-файл не дает достаточной информации для определения источника вашей проблемы, количество информации записываемой в лог CUPS может быть увеличено изменением директивы <emphasis role="bold">LogLevel</emphasis> в файле настроек (смотри далее) на "debug" или даже "debug2", которая сохраняет все, в отличие от параметра по умолчанию "info". Если вы сделаете эти изменения, не забудьте исправить все обратно, после того, как решите вашу проблему, для предотвращения значительного увеличения размера лог-файла.</para>