Forum Debian Users Gang

qluk · 2012-12-30 12:42:54

Potrzebuję pomocy przy wyborze wirtualizacji.
Celem jest stworzenie klastra na poziomie MTA (postfix). Schemat maszyn jak na ilustracji.

Do dyspozycji mam dwie maszyny Dell R520, do tego serwer mail-fax musi używać karty ISDN. Kontrolery działaja poprzez HeartBeat i jak pierwszy padnie drugi startuje. Serwery Fax to system posiadający MTA (do odbioru/przesłania poczty do serwerów Lotusowych poczty) i system faksowy który za pośrednictwem karty ISDN (PRI/PRA) wysyła/odbiera faksy.
Problem jaki mam to nie wiem które z rozwiązań wirtualizacji zapewni mi pełny dostęp do karty ISDN dla wirtualnego serwera. Najlepiej kontroler bym postawił na innej maszynie, czy to 2 fizycznych czy wirtualnych, ale nie mam takiej możliwości.

Jacekalex · 2012-12-30 16:45:21

Zarówno Xen jak i jak i KVM obsługują PCI-passtrought (KVM od wersji 1.3 również GPU z PCIex) - potrzebne jest vt-d w prockach Intela albo podobna funkcja (IOMMU) w AMD.

Najbardziej bezproblemowy jest KVM (moduły w każdym jaju, userspace w repo), albo Virtualbox - teraz ma moduł vboxpci -o ile mi wiadomo, też do tego, szczegółami nt vboxpci nie dysponuję.

KVM:
http://www.linux-kvm.org/page/How_to_assign_devices_with_VT-d_in_KVM
Xen:
http://wiki.xensource.com/xenwiki/VTdHowTo

KVM wolę dlatego, że chyba prędzej zjem własne kapcie, niż zmuszę Hypervisor Xena do podniesienia jajka z grsec/paxem.
Na razie mam tylko XX różnych komunikatów kernel-panic. :D
Za to KVM chodzi bez problemu.

W powyższych systemach nie ma problemów fakturowo/licencyjnych, jest jeszcze VMWARE ze sporą sektą wyznawców. ;)

Napisz może, co to za serwer faxowy, może w ogóle nie trzeba żadnych wirtualek, Asterisk i Freeswitch bezproblemowo działąją razem z MTA na jednym systemie, a moją dość wypasione moduły faxowe.
Np Freeswitch (u mnie na Gentoo działa, podobnie jak Asterisk):
http://wiki.freeswitch.org/wiki/Mod_spandsp

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2012-12-30 16:51:11)

qluk · 2012-12-30 16:56:11

Mocno zmodowany hylafax - specialnie musiałem się perla nauczyć żeby to doładować :)

Ogólnie zasada jest taka że przychodzi sobie mail z załącznikiem (PDF), potem pdf jest enkodowany jako fax, z adresu mailowego pobiera numer zew. (np. 7892@fax) hylafax szuka wolnej linii jeśli jest śle (w końcu ma ich 30 do wyboru :P ) jak nie to czeka w kolejce. Zwrotka o wysłaniu (raport) odsyłana jest do użytkownika Lotus. Całość przetestowałem ale bez klastrowania. Pierwotnie miały być dwie maszy z czego jedna jako slave z gorszą karta ISDN (4 BRI). Ale że jednak mam dwie karty PRA/PRI to nie ma sensu marnować 30 kanałów na nic nierobienie. Z klastrowaniem na poziomie hylafaxa są problemy (mało kto to robił) więc wybrałem klaster na poziomie MTA. Z odbiorem też nie ma problemu bo hylafax odbiera fax, na podstawie numeru DDI wyszukuje adresu mailowego na który ma go skierować robi konwersję na PDF i wysyła.

Jacekalex · 2012-12-30 17:13:33

We Freeswitch trochę rzeźbienia w dialplanie, w Asterisku skrypt AGI, jedno i drugie chodzi tez z hylafaxem w miarę bezproblemowo, samym hylafaxem nigdy się nie bawiłem, ale z tym MTA to nie jest jakiś straszny problem.

Jak rozumiem, masz 2 fizyczne maszyny?
Ja bym na każdej wętolił tego hylafaxa i MTA i gotowe, be żadnej super wirtualki, trochę to oskrypcił.

Jeśli natomiast masz wsio na jednej maszynie, to możesz się bawić w wirtualki, ale moim zdaniem, jak oberwie serwer, i klęknie cały, to Ci te wirtualki się przydadzą, jak łysemu grzebień, chyba że na prawdę pobawisz sie i w cgroup, i diabli wiedzą co jeszcze, żeby wirtualka nie mogła przyblokować serwera głównego.
Wykonalne, ale troszkę to wygląda, jakbyś strzelał z armaty do wróbla.
Na moje oko, wsio, co potrzebujesz, to zapiąć mutta do hylafaxa, i będzie mógł ten mutt brykać z każdym MTA, choćby i Gmailem, niezależnie, czy ma MTA na localhoście, czy na Marsie.
Chyba, ze hylafax działa bezpośrednio z MTA, np używa polecenia sendmail do wysyłania.
Wtedy byłoby to jeszcze prostsze.

Na razie moja ślepota nie widzi tu natomiast zastosowania dla wirtualizacji - jako niezbędnej konieczności, raczej "można, ale nie trzeba".

qluk · 2012-12-30 23:23:00

Ech...
2 x Dell R520
Każda z maszyn:
4 x 1gbps
1 x ISDN PRI/PRA E1
2 x maszyna wirtualna (jedna na kontroler klastra MTA, druga to MTA + hylafax)

Kontroler MTA musi być osobno bo to będzie klaster, drugi rezerwowy kontroler na drugiej maszynie dzięki HA będzie miał taką sama konfiguracje (IP, etc.) więc jak mu HeartBeat nie odpowie z mastera to się włączy (na heartBeat będzie osobno przeznaczony jeden interfejs sieciowy). Dzięki temu na kontroler wpada przekierowanie z Lotus Domino, kontroler decyduje na który z serwerów przesłać maila (szkoda że nie będzie znał zajętości kanałów na kartach). Potem jest druga wirtualka to MTA + hylafax i ona potrzebuje już dostęp bezpośredni do interfejsu karty Eicon Diva E1 PRI. Potem może dojdą dodatkowe serwery do klastra albo karty zostaną zamienione na takie które mają cztery interfejsy PRI/PRA ale to by wymagało 8 traktów z centrali.

Czyli z tego co rozumie KVM zda egzamin.

Z tego co popatrzyłem to jedno Freeswitch idzie na hylafaxie więc to dodatkowa warstwa możliwej awarii.

Ostatnio edytowany przez qluk (2012-12-30 23:23:29)

Jacekalex · 2012-12-31 01:13:42

2 lustrzane serwerki, ucarp, i KVM na 100% zda egzamin, choć ja bym zainstalował na systemie MTA, hylafaxa, i wirtualizacja głowy sobie nie zaprzątał, postawił tylko porządny ACL, żeby się coś nieporządanego nie wydarzyło.

Moim zdaniem ucarp sprawę rozwiąże lepiej niż HeartBeat, w ucarpie masz wirtualny IP, na który odpowiadają wszystkie maszyny, w czasie padu jednego serwera nie tracisz nawet jednego pinga.

Wbrew pozorom wirtualizacja oficjalnie przed czymś chroni, ale dziur, pozwalających uderzyć z poziomu maszyny wirtualnej na roota Dom0 zarówno w Xenie jak i KVM nie brakowało, łatane natomiast są wolniej (zwłaszcza przy Xenie), niż zabezpieczenia chroota w grsecurity.
Ale jak ktoś lubi, wirtualizację, to ok.

Gdybym był złośliwy, to poradziłbym cloud-computing - modne słowo, nieźle wygląda w ofertach lepiej niż wirtualizacja :D

W każdym razie maszyna wirtualna jest taką samą częścią systemu, jak demon sieciowy, i to system główny musi wszystko wytrzymać, co mu się przytrafi.

2xMTA na 3 różnych maszynach + 2xhylafax na tych maszynach spełnia nieźle zasadę HA, podobnie, jak wirtualki na każdą usługę.
Obawiam się tylko, że w przypadku mapowania portu PCI dla ISDN, na systemie wirtualnym, będzie bardziej podatny na zakłócenia, niż ten sam demon działającym na głównym systemie.

O ile sama wirtualizacja ma swoje lata, i wszystko, co się w niej może wydarzyć, jest doskonale znane, o tyle mapowanie portu PCI do gościa jest dość świeżą sprawą, młodszą od samej wirtualizacji o kilka dobrych lat, i stosowaną znacznie rzadziej, niż rozmaite serwery VPS za kilkanaście złotych.

Dlatego mam sceptyczny pogląd na pakowanie samego hylafaxa na wirtualną maszynę.
Z MTA kłopotu nie ma, wirtualki chodzą na interfejsach TAP i podobnych, z siecią problemów brak, czy z kartą ISDN to mapowanie PCI do gościa spełni swoje zadanie?
Teoretycznie powinno, formalnie powinno, praktycznie nic pewnego.
Zwłaszcza, jeśli karta byłaby dużo starsza, od technologii vt-d, która takie zabawy umożliwia, albo z innego powodu kiepsko znosiła takie zabawy.
Sprzęt czasami ma conieco do powiedzenia, i zazwyczaj powoduje bardzo zdziwione miny adminów.

Natomiast Freesswitch z pewnością ma w sobie conieco z Hylafaxa, ale gra w tej lidze, co Asterisk, czyli pełnokrwisty serwer VOIP, do tego ma moduły do GSM (bramki na modemach Huaweia po ~79), skypa, jabbera, jiingle, gtalka, i cholera wie, czego jeszcze.
Pod paroma względami jest nawet lepszy od Asteriska.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2012-12-31 01:26:00)

qluk · 2012-12-31 09:13:03

No właśnie nie uniknę tworzeni klastra dla MTA bo inaczej ruchu nie rzucę z Lotusa. Mogę go przerzucić na jeden konkretny adres IP. Stąd konieczność kontrolerów MTA.
Hylafax ma jednak tą przewagę że mam pewność że mam tylko ruch w protokole T38 otwarty na karcie ISDN, a nie mogę dopuścić do nawet potencjalnej możliwości wdzwonienia (izolowany intranet z drugiej strony).
Konfiguracje bez wirtualek mam przetestowaną i działa :) No ale ten klaster. A nie chcę robić tak żeby druga maszyna czekała na pad pierwszej - marnuje się 30 kanałów i kupa pieniędzy.
Powalczę więc testowo na jednej maszynie z KVM'em, choć na razie walczyłem z kontrolerem bo ten usilnie z RAID'a 10 robił 0+1.

W między czasie powalczę o wsadzenie kontrolera MTA na serwer wirtualek (osobna inna maszyna). Wtedy problem się sam rozwiąże :)
W każdym bądź razie dzięki.

Jacekalex · 2012-12-31 13:13:28

Mogę go przerzucić na jeden konkretny adres IP.

Po to właśnie w ucarpie masz dodatkowy IP, reprezentujący wszystkie maszyny biorące udział we spisku.
Ucarp, to następca vrrrd, o którym pewnie czytałeś taki fragment:

# vrrpd -i eth0 -v 50 10.0.0.22

I już działa! 10.0.0.22 jest teraz obsługiwany przez jeden z twoich serwerów, prawdopodobnie pierwszy na którym uruchomiono demona vrrp. Odłącz ten komputer od sieci i zobaczysz, że bardzo szybko drugi komputer przyjmie adres 10.0.0.22 jak również adres MAC.

Próbowałem tego u siebie i miałem działającą konfigurację w ciągu minuty. Z jakiegoś dziwnego powodu implementacja postanowiła odrzucić moją domyślną bramę, ale flaga `-n' temu zapobiegła.

Poniżej `na żywo' symulacja awarii jednej z maszyn:

64 bytes from 10.0.0.22: icmp_seq=3 ttl=255 time=0.2 ms
64 bytes from 10.0.0.22: icmp_seq=4 ttl=255 time=0.2 ms
64 bytes from 10.0.0.22: icmp_seq=5 ttl=255 time=16.8 ms
64 bytes from 10.0.0.22: icmp_seq=6 ttl=255 time=1.8 ms
64 bytes from 10.0.0.22: icmp_seq=7 ttl=255 time=1.7 ms

Nie straciliśmy nawet jednego pinga!

Sznurek, pewnie znasz ;)
http://bromirski.net/docs/translations/lartc-pl.html
Myślę, że pisząc o Lotusie miałeś dokładnie coś takiego na myśli.
Ino dalej nie widzę, w kontekście klastra, jakie jest ograniczenie w liczbie MTA na jednym IP, przy użyciu ucarpa/vrrrd.
Mając 2 maszyny, masz na nich 2 Postfixy, i potrzebują wspólny IP dla Lotusa?
W porządku, zrobione. ;)

Pozdrawiam
;-)

qluk · 2012-12-31 15:35:53

Tylko z tego co rozumie to uCarp to failover a nie loadbalanc.
Tutaj musi być coś co zdecyduje że mail A poleci na fax_mail_A, a wiadomość B na fax_mail_B.
Chyba że nie rozumie działania mechaniki ucarp'a, ale wydaje mi się że to to samo co carp w BSD.

... hmm Chyba, że ...
Masz na myśli że obydwie maszyny są kontrolerami MTA, dodatkowo MTA + hylafax. I każda z nich w konfiguracji kontrolera ma ukierunkowanie na siebie lub drugą maszynę :] (Nie wiem czy jedna instancja postfixa może równocześnie być kontrolerem klastra jak i normalnym MTA wraz z smart hostem). Jeśli to masz na myśli to to rzeczywiście ciekawe podejście :)

Ostatnio edytowany przez qluk (2012-12-31 15:36:46)

Jacekalex · 2012-12-31 19:26:01

Ucarp zastąpił vrrrd.
Jest przeportowany z BSD, gdzie funkcjonuje jako CARP.

Różnica między ucarpem a vrrrd? Vrrrd powstał po to, żeby kilka routerów wisiiało na jednym IP, co zapewniało wysoką dostępność.
Działało to równocześnie jako failover i loadbalancing w jednym.
Jest bardzie konfigurowalny od vrrrd, przykład vrrrd masz dwa posty wyżej.
Crash jednej maszyny, ile pingów się zgubiło? Ani jeden.
jeżeli takie rozwiązanie nie wyczerpuje cechy wysokiej dostępności, to chyba nic jej nie wyczerpuje.
W dodatku cały proces przełączania maszyn jest wykonywany w czasie maks 20ms, czyli w przypadku Lotusa czy maili praktycznie niezauważalnym.
Nawet w nadawaniu radia internetowego nie byłby to problem, w video taki czas oznaczałby zgubienie 1 klatki filmu.

W vrrrd domyślna akcja polegała na tym, ze wszystkie spięte maszyny działały jak jeden serwer.
W Ucarpie jest więcej parametrów, i trzeba go skonfigurować, w każdym razie to raczej mądrzejszy loadballancing, który automatycznie odpina zdechłe maszyny, dzieląc zadania między aktualnie działające.
Jak to w routerach ;)

Jeśli miałbym 2 działające graty, to właśnie tak bym to ustawił, trochę kombinowania byłoby ze skrzynkami pocztowymi na obu maszynach, gdyby tam był również dovecot i imap.
W każdym razie wykonalne, na poziomie samego Postfixa, żeby kopię każdego maila wysyłał na drugi serwer.
Gorzej byłoby z imapem, i kasowaniem poczty, ale Dovecot też ma jakieś opcje klastra, nie nurkowałem w tym na razie.
Tu jest ogólny opis opcji z NFS lub z SSH.
http://blog.dovecot.org/2012/02/dovecot-clustering- … nc-based.html

Masz na myśli że obydwie maszyny są kontrolerami MTA, dodatkowo MTA + hylafax. I każda z nich w konfiguracji kontrolera ma ukierunkowanie na siebie lub drugą maszynę

mniej więcej tak to widzę.

Pytanie, jaka jest rola MTA+hylafax, że stawiasz na każdym osobno MTA i osobno MTA+hylafax,czyli 2 MTA na jednej maszynie.
Jeden nie starczy? - Względy bezpieczeństwa, czy może co innego?

W dodatku popełniłem w życiu kilka serwerków pocztowych, zazwyczaj niezbyt ogromnych, i nigdy nie musiałem kombinować 2 MTA na jednej maszynie, za to nigdy nie stawiałem samotnego MTA bez całego bajzlu antyspamowego i serwera POP3/IMAP.

chmuri · 2013-01-01 02:37:24

Kurcze no i Jacek wszystkie puchary pozbiera :P Zobacz jak Ci się będzie podobał KVM bo tak się rozpisał że moja "opozycja" z Xenem jest tutaj bardzo malutka w porównaniu z wypracowaniami mojego przedmówcy ale jeśli nie będziesz mieć problemów i oporów przed Xenem to mógłbym trochę popisać na ten temat. Od razu zaznaczę że nie mam doświadczenia w wirtualizowaniu ISDN BRI bo po prostu nie potrzebuje tego w do codzienności ale myślę że z odrobiną determinacji bez problemu mogę polecić jako XEN HVM gdyż na tym typie wirtualizacji bez problemu odpalisz każdy system operacyjny ( unix windows etc.) nawet ulubione dugowe jajeczko z grseciem bez problemu wstanie na tej pełnej wirtualizacji łącznie z bootowaniem z ISO itp. Najbardziej mnie zastanawia że mój przedmówca nie wymienił OpenVZ gdyż ta witualizacja jest najbardziej elastyczna na rynku jeśli chodzi o takie pojedyncze rozwiązania jak serwer firmowy. Jedyną barierą w całej tej szaradzie jest występowanie sprzętu który również przydało by się włączyć na VM jedyny minus jest taki że jest to związane z dzieleniem kernela na głównym komputerze ale dzięki temu uzyskujemy naprawdę fajne wyniki przy oszczędności w zakupie sprzętu. Co do Xena możesz spokojnie już myśleć o 4.0 ale tylko na Centosie 5 x64 i nie z oficjalnych źródeł xena tylko poszukaj GITCO repozytoriów. Szczęśliwego Nowego Roku:)

qluk · 2013-01-01 20:42:25

Dobra bo się chyba trochę nie rozumiemy :)
Jest sobie bardzo duże odizolowane środowisko intranetowe (nie ma bezpośrednich styków transmisji po protokołach przesyłu danych z innymi sieciami) - stąd nie muszę się obawiać o atak.
Do tego systemu zostana dopięta dwa serwery (Dell R520) z jednej strony będą wpięta w ów intranet (VLAN izolujący), a z drugiej w wewnętrzną sieć ISDN (od strony centrali dostępny na trunk będzie tylko protokół faksowy dodatko serwer będzie miał tylko sterowniki protokołu faksowego na kartach Eicon Diva).
Liczę że tutaj jest to zrozumiałe.
Teraz schemat przebiegu dla poczty która ma wyjść jako faks.

Poczta utworzona w Lotus Notes leci do klastra Lotus Domino obsługującego danego użytkownika. Aby system wiedział że jest to "faks" stosuje się wirtualny domenę z przekierowaniem (taki Smart Host), przykład adresu:
- 2853@fax, gdzie 2853 to numer na który faks ma zostać wysłany (w tym wypadku wew.), @fax wirtualna domena do przekierowania

Następnym punktem jest kontroler klastra postfix (nie mogę zrobić klastra na bazie DNS) który zdecyduję na który z dwóch dostępnych serwerów faksowych przesłać mail. W razie awarii kontrolera jest drugi zapasowy w systemie fail over. (na tym się kończy rola MTA na kontrolerze klastra)
Mail dociera do serwera faksowego. MTA odbiera go, następnie jeśli jest to mail w domenie innej niż @fax leci do /dev/null. Dla poprawnych maili wykonywany jest skrypt hylafax'a gdzie argumentem jest nadawca, skrzynka docelowa (czyli numer faksu zewnętrznego), adres mail nadawcy (w celu przesłania raportu).
Hylafax łapie mail'a, wyodrębnia pdf'y, potem dokonuje konwersji PDF->tiff->fax. Wysyła powstały fax na wskazany numer, na podstawie nadawcy generuje nagłówek wraz z numerem zwrotnym przypisanym dla nadawcy. Ten sam numer zwrotny przypisuje linii używanej do transmisji tego faksu.
Po zakończeniu transmisji (pomyślnie bądź nie) generowany jest raport który wysyłany jest do nadawcy oraz jeśli to konieczne na adres nadzoru nad system faksowym.

Najważniejsze to musi być klaster a nie system tylko fail over, ponieważ w klastrze mam do dyspozycji łącznie dwa trakty T1, czyli 60 kanałów teletransmisji. W przypadku fail over byłby to jeden trakt T1 (30 kanałów).

Chyba teraz jest jasno :]
Wydaje się że ucarp sprawdzi się o ile dwie instancje Postfixa ruszą prawidłowo.

Jacekalex · 2013-01-01 22:15:34

Ruszą, ruszą, każdy Postfix będzie robił swoją robotę równolegle, nie zastanawiając się, co słychać u bliźniaka na drugiej maszynie.
Ucarp powstał w miejsce vrrrd, a vrrrd służyło do łączenia XX routerów w "jedną maszynę" z jednym IP.
To troszkę mądrzejsze narzędzie, niż fail over czy load ballancing.
Rozkłada obciążenie między maszyny i dba o to, żeby wszystkie żądania były obsłużone, tzn rozdziela żądania między aktualnie aktywne maszyny.

W razie potrzeby możesz tam potem dostawić następne 64 Delle z kartami ISDN i hylafaxami.
Chociaż troszkę się zastanawiam, kto dzisiaj używa jeszcze faksu, kiedy maile już weszły pod strzechy.
Jak robiłem w reklamie, to przez dwa lata wysłałem może ze 3 faksy, za to maili kilkadziesiąt dziennie.
Trochę faksów przychodziło do mnie z powrotem, ale faks w biurze był tak zjebany, że potem sobie kupiłem za 3 dychy usługę fax2mail - i działało dużo lepiej, tylko musiałem sam sobie robić wizytówki z nowym faksem ;), to było prostsze, niż tłumaczyć kretyństwu dyrekcji, o co chodzi. :D

Edyta:
Ten kontroler klastra podstawowy i zapasowy, właśnie ten kawałek straci rację swojego istnienia, jeśli Ucarpem ustawisz Wirtualny adres IP reprezentujący obie maszyny, i wypuścisz Lotusa na ten adres wirtualny ucarpa.
To próbuję tutaj wytłumaczyć od baaarrrdddzzzooo dawna.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2013-01-01 22:27:01)

qluk · 2013-01-02 14:04:46

:D
No widzisz, ale w końcu doszliśmy do tego. Początkowo tak trochę zamieszałeś z ucarpem że wyglądał tylko jak zwykły FO ( w sumie na stronie projektu tez tak pisze).I wyszło na to, że wirtualizacja jest zbędna - w sumie i dobrze.
Jest jakiś dobry manual do Ucarpa?

W wymianie pomiędzy niektórymi instytucjami jest niezbędny (prokuratura, sąd, policja, straż graniczna, straż pożarna, wojsko).

---
No to trzeba będzie się pobawić, ale najpierw muszę zmusić kontroler PERC H710 do pracy z debianem bo jak na razie to nie chce pracować.

Ostatnio edytowany przez qluk (2013-01-02 14:22:37)

Jacekalex · 2013-01-02 17:40:05

Do Ucarpa? na różnych blogach strzępki, profesjonalnego wiki nie widziałem, może z wyjątkiem tego:
http://www.gentoo-wiki.info/HOWTO_Setup_IP_failover_with_UCARP
i jakiegoś fracuskiego, jak znajdę sznurka, to wkleję.
Tu masz conieco do Debiana:
http://xn.pinkhamster.net/blog/tech/mail/high-avail … n_debian.html
W każdym razie konfiguracja nie jest zbyt skomplikowana. ;)

Wirtualizacja? ja cały czas się zastanawiałem się, do czego w tym bajzlu jakieś wirtualki, myślałem, ze Postfix będzie wystawiony na świat, i obawiałeś się, żeby w razie czego nie oberwał hylafax, względnie masz jakąś dystrybucję ze skonfigurowanym Hylafaxem, Asteriskiem i wygodnym panelem do zarządzania, i chcesz ją na wirtualkę wpakować z "dobrodziejstwem inwentarza" - żeby sobie roboty z konfiguracją zaoszczędzić.

Na szczęście poszczególne usługi Postfixa mogą siedzieć w chrootach (do ustawienia w master.cf), a jak do tego grsecurity się zaopiekuje chrootami, to można spać spokojnie.
W Postfixie zdecydowanie nie podoba mi się, ze proces master, który zarządza resztą bajzlu, wisi na porcie z uprawnieniami roota, w Qmailu tcpserwer zrzuca uprawnienia na qmaild po otwarciu portu, i nic na jako root na żadnym porcie nie wisi, SUID-root ma tylko qmail-local - skrypt, który wrzuca maile do skrzynek, ale ten od połączeń tcp odgradza kilka różnych procesów i użytkowników.
Ja wole, jak wsio co żyje, używa minimalnych koniecznych uprawnień, a nie maksymalnych.

W dodatku nie napisałeś na początku w ogóle, czy tam będzie Debian, czy co innego.

Do Postfixowych chrootów polecam to:

Kod:

kernel.grsecurity.chroot_caps = 1
kernel.grsecurity.chroot_deny_chmod = 1
kernel.grsecurity.chroot_deny_chroot = 1
kernel.grsecurity.chroot_deny_fchdir = 1
kernel.grsecurity.chroot_deny_mknod = 1
kernel.grsecurity.chroot_deny_mount = 1
kernel.grsecurity.chroot_deny_pivot = 1
kernel.grsecurity.chroot_deny_shmat = 1
kernel.grsecurity.chroot_deny_sysctl = 1
kernel.grsecurity.chroot_deny_unix = 1
kernel.grsecurity.chroot_enforce_chdir = 1
kernel.grsecurity.chroot_execlog = 0
kernel.grsecurity.chroot_findtask = 1

Bynajmniej nawet jaile z *BSD większego poziomu ochrony, niż chroot+grsec, wcale nie oferują, choć w klasztorze *BSD nikt w to nie chce uwierzyć. :D

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2013-01-02 17:57:15)

Forum Debian Users Gang

Ogłoszenie

#1 2012-12-30 12:42:54

qluk - Pan inż. Cyc

Wybór wirtualizacji

#2 2012-12-30 16:45:21

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

#3 2012-12-30 16:56:11

qluk - Pan inż. Cyc

Re: Wybór wirtualizacji

#4 2012-12-30 17:13:33

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

#5 2012-12-30 23:23:00

qluk - Pan inż. Cyc

Re: Wybór wirtualizacji

#6 2012-12-31 01:13:42

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

#7 2012-12-31 09:13:03

qluk - Pan inż. Cyc

Re: Wybór wirtualizacji

#8 2012-12-31 13:13:28

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

#9 2012-12-31 15:35:53

qluk - Pan inż. Cyc

Re: Wybór wirtualizacji

#10 2012-12-31 19:26:01

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

#11 2013-01-01 02:37:24

chmuri - [=Centos=]

Re: Wybór wirtualizacji

#12 2013-01-01 20:42:25

qluk - Pan inż. Cyc

Re: Wybór wirtualizacji

#13 2013-01-01 22:15:34

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

#14 2013-01-02 14:04:46

qluk - Pan inż. Cyc

Re: Wybór wirtualizacji

#15 2013-01-02 17:40:05

Jacekalex - Podobno człowiek...;)

Re: Wybór wirtualizacji

Kod:

Stopka forum