LINUX.ORG.RU

Сообщения vlad_s

 

acl для squid

Форум — Admin

Приветствую! Нужен acl по некоторому уникальному признаку, который есть (или может быть) для всех устройств в локальной сети. Для ipv4 я использовал arp acl acl-name arp «/path/to/list», но для ipv6 это не работает, кроме того ipv6 периодически меняется для безопасности, как описано тут. eui-64 применить тоже не получится. У squid есть mark_client_connection и mark_client_packet, но из описания не ясно как это можно применить в моём случае и можно ли.

 

vlad_s
()
8 комментариев

«Виснут» все https соединения

Форум — Admin

Приветствую! Извиняюсь за такое название темы. Подробное описание проблемы. Есть свежеустановленная система ubuntu server 20.04.4 lts в качестве nas. На этой системе не возможно подключиться к сайтам, использующие https, командой wget или curl: 

root@nas:/home/user/temp# wget https://ya.ru
--2022-03-14 21:33:14--  https://ya.ru/
Resolving ya.ru (ya.ru)... failed: Temporary failure in name resolution.
wget: unable to resolve host address ‘ya.ru’
root@nas:/home/user/temp# ping ya.ru -c3
PING ya.ru(ya.ru (2a02:6b8::2:242)) 56 data bytes
64 bytes from ya.ru (2a02:6b8::2:242): icmp_seq=1 ttl=55 time=27.5 ms
64 bytes from ya.ru (2a02:6b8::2:242): icmp_seq=2 ttl=55 time=27.4 ms
64 bytes from ya.ru (2a02:6b8::2:242): icmp_seq=3 ttl=55 time=27.5 ms

--- ya.ru ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 27.437/27.492/27.528/0.039 ms
root@nas:/home/user/temp# wget https://ya.ru
--2022-03-14 21:34:26--  https://ya.ru/
Resolving ya.ru (ya.ru)... 2a02:6b8::2:242, 87.250.250.242
Connecting to ya.ru (ya.ru)|2a02:6b8::2:242|:443... connected.
^C
root@nas:/home/user/temp# wget https://www.google.com
--2022-03-14 21:43:54--  https://www.google.com/
Resolving www.google.com (www.google.com)... failed: Temporary failure in name resolution.
wget: unable to resolve host address ‘www.google.com’
root@nas:/home/user/temp# ping www.google.com -c3
PING www.google.com(ws-in-x6a.1e100.net (2a00:1450:400c:c00::6a)) 56 data bytes
64 bytes from ws-in-f106.1e100.net (2a00:1450:400c:c00::6a): icmp_seq=1 ttl=58 time=62.4 ms
64 bytes from ws-in-f106.1e100.net (2a00:1450:400c:c00::6a): icmp_seq=2 ttl=58 time=62.3 ms
64 bytes from ws-in-f106.1e100.net (2a00:1450:400c:c00::6a): icmp_seq=3 ttl=58 time=62.4 ms

--- www.google.com ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2002ms
rtt min/avg/max/mdev = 62.323/62.377/62.420/0.040 ms
root@nas:/home/user/temp# wget https://www.google.com
--2022-03-14 21:44:38--  https://www.google.com/
Resolving www.google.com (www.google.com)... 2a00:1450:400c:c00::67, 2a00:1450:400c:c00::68, 2a00:1450:400c:c00::63, ...
Connecting to www.google.com (www.google.com)|2a00:1450:400c:c00::67|:443... connected.
^C
root@nas:/home/user/temp# wget http://www.google.com
--2022-03-14 21:51:00--  http://www.google.com/
Resolving www.google.com (www.google.com)... 2a00:1450:400c:c00::67, 2a00:1450:400c:c00::68, 2a00:1450:400c:c00::63, ...
Connecting to www.google.com (www.google.com)|2a00:1450:400c:c00::67|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 16942 (17K) [text/html]
Saving to: ‘index.html’

index.html                      100%[=======================================================>]  16,54K  --.-KB/s    in 0s

2022-03-14 21:51:01 (224 MB/s) - ‘index.html’ saved [16942/16942]
^C - нажимал сочетание ctrl+c, т.к. уже к тому времени проходило 5-10 мин. Но если к сайту обращаться по http, то всё работает. В этой системе 3 сетевых карты: 
Intel Corporation Ethernet Controller 10G X550T
Intel Corporation Ethernet Connection I217-V
Qualcomm Atheros AR8161 Gigabit Ethernet
Со всеми такая проблема. Интернет этот nas получает от другого маршрутизатора на тоже ubuntu server (та же версия). С другими клиентами проблем нет, в том числе и на самом маршрутизаторе. На клиенте (w10) и маршрутизаторе такая же сетевая 10g карта. Ранее на этом nas была установлена openmediavault 5 (на debian 10 кажется) и работало нормально, т.е. железо исправно. Патч-корд тоже менял. Так же уменьшал величину mtu до 1400 (с 1500), не помогло, ip(6)tables сбрасывал правила, которых и так не было, при попытке выполнить ip(6)tables-save, ничего не выводилось. Сейчас выглядит так: 
root@nas:~# iptables-save
# Generated by iptables-save v1.8.4 on Tue Mar 15 21:09:28 2022
*mangle
:PREROUTING ACCEPT [3171361:151322853]
:INPUT ACCEPT [3171359:151322813]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3860734:8170267841]
:POSTROUTING ACCEPT [3860744:8170269349]
COMMIT
# Completed on Tue Mar 15 21:09:28 2022
# Generated by iptables-save v1.8.4 on Tue Mar 15 21:09:28 2022
*raw
:PREROUTING ACCEPT [3226639:153877829]
:OUTPUT ACCEPT [3920836:8338660083]
COMMIT
# Completed on Tue Mar 15 21:09:28 2022
# Generated by iptables-save v1.8.4 on Tue Mar 15 21:09:28 2022
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
# Completed on Tue Mar 15 21:09:28 2022
# Generated by iptables-save v1.8.4 on Tue Mar 15 21:09:28 2022
*filter
:INPUT ACCEPT [3296077:157105730]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3989630:8547160348]
COMMIT
# Completed on Tue Mar 15 21:09:28 2022
Установленный на этой системе (еле получилось это сделать, т.к. не удалалось выполнить wget -q -O- http://www.webmin.com/jcameron-key.asc | sudo apt-key add) установлен webmin, к нему подключение так же работает частично, что-нибудь не загружается (элементы интерфейса). Уже не знаю что ещё можно придумать.

 ,

vlad_s
()
17 комментариев

smartd и разрастающиеся файлы csv

Форум — Admin

Приветсрвую! В netdata я включил мониторинг жёстких дисков. Всё бы ничего но, мониторинг параметров ведётся в файлы hdd_name.csv. Эти файлы растут в размерах и непонятно как это регулировать. Из мана https://linux.die.net/man/8/smartd не очень понятно как это сделать. Прошу помощи. Спасибо!

 , ,

vlad_s
()
1 комментарий

Старт hostapd посредством шаблона hostapd@.service.

Форум — Admin

Приветствую! Есть маршрутизатор на ubuntu server 20.04 lts, к нему я добавил точку доступа, usb адаптер на realtek rtl8812bu. hostapd настроен (конфиг), запускается через hostapd@wlxYYYY.service, где wlxYYYY - название интерфейса этого адаптера. Всё работает, но есть проблема. Т.к. usb адаптер съёмный (что не удивительно), то при его извлечении (физическом) и последующей установке, hostapd не запускает точку доступа на этом адаптере, вместо этого в логе syslog видна попытка запуска сервиса hostapd@wlan0.service, но так как wlan0 у меня отсутствует, то это терпит неудачу. Дальнейший останов 

systemctl stop hostapd@wlan0.service
и запуск 
systemctl start hostapd@wlxYYYY.service
приводит к нужному результату, но это мягко выражаясь, неудобно. Далее, при перезагрузке системы, так же пытается выполниться hostapd@wlan0.service, хотя нужный hostapd@wlxYYYY.service нормально запускается. Как исключить этот wlan0?

Так выглядит файл hostapd@.service (идет в пакете): 

[Unit]
Description=Advanced IEEE 802.11 AP and IEEE 802.1X/WPA/WPA2/EAP Authenticator (%I)
After=network.target
BindsTo=sys-subsystem-net-devices-%i.device

[Service]
Type=forking
PIDFile=/run/hostapd.%i.pid
Restart=on-failure
RestartSec=2
EnvironmentFile=-/etc/default/hostapd
ExecStart=/usr/sbin/hostapd -B -P /run/hostapd.%i.pid $DAEMON_OPTS /etc/hostapd/%i.conf

[Install]
WantedBy=multi-user.target sys-subsystem-net-devices-%i.device

 , ,

vlad_s
()
3 комментария

Linux bridge на основе разных по скорости сетевых карт и шейпинг.

Форум — General

Всех приветствую! Ubuntu Server 18 в качестве домашнего маршрутизатора. На материнке две сетевых (встроенные реатек) 1 Гб, добавляю ещё одну в pci-e с 2х10 Гб. Все объединены в мост (через systemd) для локальной сети. Здесь всё нормально, но нужно регулировать трафик (через скрипт htb.init) от локалки в интернет. Это тоже в меру понимания настроено, но для 1 Гб сети. Как теперь для шейпинга, настроить мост в таком случае (сам мост, напомню настроен и работает)?

 

vlad_s
()
6 комментариев

IPv6 домру

Форум — General

Приветствую! Ubuntu Server 18, нужно настроить ipv6 от домру. В принципе, всё работает, но не так как хотелось бы. В теме не силён, поэтому терминология будет хромать. Получаю ipv6 через Prefix delegation (DHCPv6-PD). Проблема заключается в том что истекает время preferred_lft. Клиент ipv6 dhcpcd. Подключён Privacy extensions. Настройки такие, мост br0, br0.netdev 

[NetDev]
Name=br0
Kind=bridge

br0.network 

[Match]
Name=br0

[Network]
Address=192.168.2.1/24
Gateway=192.168.2.1
DNS=192.168.2.1
IPForward=kernel
IPv6PrivacyExtensions=kernel

br0-slave.network 

[Match]
Name=enp1s0f* enp3s0 enp4s0

[Network]
Bridge=br0
ConfigureWithoutCarrier=1

dhcpcd.conf 

allowinterfaces ppp0 br0
duid
ipv6only
noipv6rs
interface ppp0
    iaid 1
    ia_pd 1/::/64 br0/0/64

/etc/sysctl.d/10-ipv6-privacy.conf 

net.ipv6.conf.all.use_tempaddr = 2
net.ipv6.conf.default.use_tempaddr = 2
net.ipv6.conf.br0.use_tempaddr = 2
net.ipv6.conf.br0.stable_secret = 128-bit secret for generating ip addresses
net.ipv6.conf.br0.addr_gen_mode= 2
Вывод ip 
root@router:~# ip -6 addr list dev br0
10: br0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1000
    inet6 2a02:2698:4422:ad69::1/64 scope global dynamic noprefixroute
       valid_lft 84811sec preferred_lft 2011sec
    inet6 2a02:2698:4422:ad69:bc69:fc37:305e:5bea/64 scope global temporary dynamic
       valid_lft 21484sec preferred_lft 2011sec
    inet6 2a02:2698:4422:ad69:xxxx:xxxx:xxxx:xxxx/64 scope global dynamic mngtmpaddr noprefixroute
       valid_lft 21484sec preferred_lft 2011sec
    inet6 2a02:2698:4424:9923:34a1:bda1:cb5:4e66/64 scope global temporary deprecated dynamic
       valid_lft 1912sec preferred_lft 0sec
    inet6 2a02:2698:4424:9923:xxxx:xxxx:xxxx:xxxx/64 scope global deprecated dynamic mngtmpaddr noprefixroute
       valid_lft 1912sec preferred_lft 0sec
    inet6 fe80::e075:xxxx:xxxx:xxxx/64 scope link stable-privacy
       valid_lft forever preferred_lft forever
Ниже строки scope global temporary dynamic, значение preferred_lft обнуляется. После некоторых манипуляций (перезапуск ppp, systemd-networkd) в интернете вижу адрес из scope global dynamic noprefixroute (curl ifconfig.co). Как вариант, можно и его оставить, но мне не известен способ как это сделать на постоянной основе.

 , ,

vlad_s
()
8 комментариев

RSS подписка на новые темы