книги хакеры / журнал хакер / 098_Optimized

>>

Окно Configuration Wizard

насерверв сети,накоторомбудетработать внутренняяслужбаобновлений.Призадании этойполитикитребуетсявбитьдвапараметра: сервер,накоторомклиентскаяпрограмма будетискатьобновления,и сервер,кудабудет отправлятьсястатистика.Можноназначить дляобеихзадачодини тотжесервер,указавего адресв видеhttp://WSUS_server/.

Основныенастройкивыполнены.Локальные политикивступаютв силунемедленно,и примерночерез20минуткомпьютерпоявится

в спискеUnassignedComputer.Политикина основеActiveDirectoryобновляютсяприблизительнокаждые90минут.Ускоритьэтотпроцесс можно,введяв консолинаклиентскомкомпьютерекомандуgpupdate/forceи запустивпоиск сервераWSUSвручную:wuauclt.exe/detectnow.

Созданиегрупп компьютеровдляобновления

ЕсликонсольуправленияWSUSещенеоткры-

та,выбираем«WindowsServerUpdateServices»

в«ПрограммыАдминистрирование».ВажнойчастьюнастройкиработыWSUSявляется созданиегруппкомпьютеров.Группыкомпьютеровпозволяютопределитьустанавливаемые обновлениядляоднородныхсистем.Хорошим тономявляетсяпредварительноетестирование устанавливаемыхобновленийнанебольшой группетипичных(нонекритичных)систем, а в случаенормальногоихфункционирования

втечениеопределенногопромежуткавремени, распространенияи наостальныекомпьютеры.По умолчаниюв спискеприсутствуетдве группы—AllComputersи Unassigned.Можно добавитьлюбоеколичествогрупп,каких-либо ограниченийнесуществует.

Возможныдваспособадобавлениякомпьютеровв группыWSUS.Первый—установка именигруппыв пункте«Разрешитьклиенту присоединитьсяк целевойгруппеполитик безопасности».По умолчаниюиспользуется

Пример отчета WSUS

второйболеегибкийи удобныйвариант. Изменитьповедениесервераможно,перейдя

в«OptionsComputers».Положениепереключателя«UsetheUpdatesServiceconsole»

свидетельствуетобиспользованииименно этоговарианта.Еслипереключитьегов «Use GroupPolicyorregistrysettingoncomputers»,

принадлежностьк группамзадаетсяв реестре илив групповыхполитиках.

Теперьпереходимнепосредственнок созданию групп.Этотакжепросто.Щелкнувмышкойпо

«ComputersandGroups»,выбираемв меню«Add ComputerGroup»и в появившемсядиалоговом окневводимназваниегруппы.Тем временем

вUnassignedначинаютпоявлятьсякомпьютеры.Для перемещениякомпьютерав группу выделяемкомпьютерилигруппукомпьютеров, затемв контекстномменювыбираем«Change Membership»и в появившемсясписке—нуж- нуюгруппу.Все.

Обновлениесистем

Теперьосталосьтолькообновитьвыбранныесистемы.Но сначаланеобходимоэтиобновления загрузить,еслиэтоещенесделано.Выбираем

«ActionSynchronizeNow».Теперьв Updates

можнопросмотретьдоступныеобновления. По умолчаниюздесьнесколькопунктов:All Updates,CriticalUpdates,SecurityUpdatesи WSUS Updates.Для быстрогопоискаобновлений выбираем«ActionSearch»,послечеговводим необходимыекритериипоиска.Чтобынеповторятьэтупроцедурукаждыйраз,выбираем«New UpdateView»и формируемпостоянныйзапрос к базе,которыйпосленажатияна«ОК»будет виденв папкеUpdate.Такжеобративнимание нафильтрыApprovalи Status—используяих, можнобыстроотобратьобновленияещепо несколькимкритериям.Нассейчасинтересуют

AllUpdates,Approval—Unapprovedи Status

—Any.Еслищелкнутьпозаголовкуобновления, можнополучитьподробнуюинформациюо его

назначении:критичность,продукты,возможностьудаленияобновленияи необходимость принятиялицензионногосоглашения,ссылку настраницусайтаMicrosoft,содержащуюболее подробнуюинформацию.

Впоявившемсяспискевыбираемнеобходимыеобновленияпоодиночкеилиудерживая клавишу«Ctrl».Затемв контекстномменю выбираем«Approve»,появляетсядиалоговое окноApproveUpdates,в которомпредставлены группыкомпьютеров,дляразрешенияихустановкинеобходимовыбрать«ApprovetoInstall». Еслижеобновления,наоборот,нужноудалить, топоступаеманалогичнымобразом,только

в менювыбираемуже«ApprovedforRemoval».

Чтобыполучитьотчето произведенныхобновлениях,приблизительночерезсуткивыбираем

«ReportsUpdateStatusSummary»и,указав критерииотбора,нажимаем«RunReport». Следуетотметить,чтоотчетыявляютсяодной изсильныхсторонWSUSверсии3.0. Возможнои автоматическоеодобрениеобновлений.Для этогоследует,выбравкомпьютер, нажатьна«Options»и напоявившейсястра-

нице—«AutomaticApprovals».Затемв зависи-

мостиоттого,чтотребуетсясделать,выбираем

«NewRule»или«InstallAutoDeploymentRule»

и нажимаем«Edit».В диалоговомокнеопределяемпараметрыи указываемимяправила, автоматическаяустановкаилиодобрение выбираетсяв Advanced.

Заключение

ПервоначальнуюнастройкуWSUSможно считатьзаконченной.Послепроизведенных действийсерверWSUSбудетпериодически получатьобновленияс MicrosoftUpdate,а клиентскиекомпьютерыавтоматическиполучать одобренныеобновления.Но WSUSимеетеще многоинтересныхфункцийи возможностей, таких,например,какформированиеотчетов и отсылкаe-mail-сообщений.Успехов.z

>>

Веб-интерфейс к Snort — BASE

содержащийразличныедополненияк Snort, начинаяс версии2.2.0,пустует.Скриптыдля созданиябазданныхпереместилисьв подкаталогschemas,а длясозданияrpm-пакетов

—в одноименныйподкаталог.Остальные же расширенияможнонайтинастранице www.snort.org / dl / contrib.Итак,всеосновное сказано,можноначинатьустановку. Распаковываемархив:

# tar -xzvf snort-2.6.1.2.tar.gz

Конфигурируем.В самомпростомслучае скриптуненужнопередаватьникакихпараметров.Если женеобходимоиспользоватьбазу данных,то,например,дляMySQLдобавляем опцию'--with-mysql'.С версии2.3.0RC1в Snort

включенкодпроектаSnort-inline,темсамымон получилвозможностьнетольковыявлять,но и останавливатьначавшуюсяатаку,перестраиваяправилаiptables.И теперьSnortявляется полноценнойсистемойпредотвращенияатак. Для включенияэтогорежимадобавляем

'--enable-inline'.

#. / configure --with-mysql

#make

#make install

НастройкаSnort

Незнаю,с чемэтосвязано,новсекаталоги, необходимыедляработыSnort,досихпор приходитсясоздаватьвручную.Сюдамы будемскладыватьконфигурационныефайлы

иправила:

#mkdir / etc / snort

Аздесьбудетвестисьжурналработы:

# mkdir  / var / log / snort

Теперьв каталог/ etc / snortкопируемвсе,что лежитв подкаталогеetcдистрибутива:

www.snort.org

# cp -R . / etc / * / etc / snort /

Далеераспаковываемфайлправили помещаем ихв / etc / snort / rules.В принципе,местодля правилможновыбратьлюбое,нотакудобнее, даи считаетсятрадиционным:

#tar -xzvf snortrules-snapshot- CURRENT.tar.gz

#mv rules  / etc / snort

Играемпоправилам

Дляописаниясобытий,которыемогутсчитатьсязлонамереннымиилианомальными,используетсягибкийязыкправилплюсмодульная системаанализа.Сегоднясуществуетдватипа правил.Первыйтип—официальныесерти- фицированныеи строгопротестированные

SourcefireVRTCertifiedRules,распространяющиесяполицензииVRTCertifiedRulesLicense Agreement,ограничивающейихкоммерческое использование.Этиправиладоступныв двух вариантах:длязарегистрированныхи незарегистрированныхпользователей.Регистрация абсолютнобесплатна.Всеизмененияв первую очередьраспространяютсясредиподписчиков

(subscriptionreleaseс буквой«s»в названии пакета),затемстановятсядоступнымидля зарегистрированныхпользователей(без буквы«s»).Те же,ктонезарегистрировался, довольствуютсястатистическимиправилами, обновляемымилишьк каждомурелизуSnort и,естественно,отстающимиотжизни(они имеютпрефикс«pr»в названии).Второйтип правилназываетсяCommunityRules.Эти правиласоздаютсядобровольцами,ониеще непрошлипроверкуи распространяютсяпод лицензиейGPL.Для загрузкиCertifiedRules необходимозайтинастраницуDownloadRules, выбратьнужноеправилои изменитьссылку.

Например,ссылканаVRTCertifiedRulesfor SnortCURRENTвыглядиттак:www.snort. org / pub-bin / downloads.cgi / Download / vrt_ os / snortrules-snapshot-CURRENT.tar.gz.

Но,нажавнанее,файлнеполучишь.Сначалаее необходимопривестик такомувиду: www.snort.org / pub-bin /oinkmaster. cgi / код_полученный_при_регистрации / vrt_ os / snortrules-snapshot-CURRENT.tar.gz.

Учти,чтоприошибкевводаповторнаязакачка будетвозможналишьчерез15минут,также нельзяпользоватьсянекоторымименеджерамизакачки.

Давайрассмотримодноправило,длятого чтобыбылоясно,каконипишутся.Вдругтебе понадобитсяписатьихсамомуилизахочется разобратьсяв том,чтоконкретноделаеттоили иноеправило.Возьмемодноправилоизфайла community-smtp.rule:

alert tcp!$SMTP_SERVERS any - > any 25 (msg:"COMMUNITY SMTP Mytob MAIL FROM Attempt"; flow: established, to_server;

content:"MAIL FROM|3A|"; nocase; pcre:" / MAIL \ s+FROM \ s* \ x3A \ s* \ x3C?

(spm| fcnz|www|secur| abuse)@ / i"; reference: url,www.symantec. com / avcenter / venc / data / w32.mytob@ mm.html; classtype: misc-attack; sid:100000689; rev:1;)

Несмотрянадовольносерьезныйвид,правилодовольнопростое,и еслиразобратьегопо частям,товсестановитсянасвоиместа.Первая строкаговорито том,чтовсесообщенияпо протоколуTCP,направленныес любогопорта напорт25(тоестьпочтовыйтрафик),с определеннымадресомв полеотправителяпринадле- жатвирусу-червюW32.Mytob@mm.Нижедан комментарий(reference),позволяющийнайти болееподробнуюинформациюобуязвимостина сайтеSymantec.Некоторыеправилазанимаютнесколькоэкрановмонитора.Директива alertуказываетнадействия,которыедолжен производитьSnortприобнаружениипакета, попадающегоподэтоправило.По умолчанию

ХАКЕР.PRO

имеетсяпятьдействий:alert,log,pass,activate

и dynamic.Крометого,в режимеinlineдоступны ещетри:drop,rejectи sdrop.Правиломожетбыть односторонним()и двусторонним(),когда направлениедвиженияпакетаролинеиграет.

Можнооставитькакесть,а можноуказать болеелогично,чтовсе,неявляющеесядомом, будетвнешним:

var EXTERNAL_NET!$HOME_NET

сменуболеестаромуFrag2.Крометого,некоторыепрепроцессорынаправленынаопределениеаномалийв работеопределенныхсервисов. Так,X Link2Stateпредназначендляопределения уязвимостив ExchangeServer,а HTTPInspect

изучаетаномалиив http-трафике.

Файлконфигурацииsnort.conf

Последнийшаг,которыйостаетсясделать,

—этоотредактироватьконфигурационный файл / etc / snort / snort.conf.В дистрибутиве ужеимеетсяготовыйшаблон,поэтомус нуля егописатьнепридется.В файлеиспользуютсяпеременные,в томчислевстречающиеся в правилах.Этодовольноудобно:присмене какого либопараметразатемнепридется егопереписыватьнесколькораз.Крометого,

некоторыеопциивынесенывовнешниефайлы, которыеподключаютсядирективойinclude

с именемфайла.Всепараметрыснабженыкомментариями,начинающимисятрадиционносо знакарешетки.Для удобствавосприятияфайл разбитнашестьчастей:

1.установкапеременныхсети;

2.указаниединамическиподгружаемых библиотек;

3.настройкапрепроцессоров;

4.настройкавыводаинформации;

5.установкадополнительныхдиректив;

6.модификацияправил.

Примечание:втораяи пятаясекциинепредставляютдлянасособогоинтереса. ПеременнаяHOME_NETопределяетIP-адре- са,которыеSnortбудетсчитатьдомашними. Возможнозаданиеотдельногоадресаили диапазона.Еслитребуетсяуказатьнесколько адресов,тоониперечисляютсячереззапятую. Ключевоеслово«any»означаетлюбойадрес. Например:

var HOME_NET 192.168.1.0 / 24

var HOME_NET [10.1.1.0 / 24,192.168

.1.0 / 24]

ПеременнаяEXTERNAL_NETуказываетна внешниеузлы.По умолчаниюстоитany.

Нижев файлеидетсписоксерверов(DNS, SMTP,web,sql,telnetи snmp),используемых в сети.Можнооставитькакесть,тоесть

$HOME_NET,илиуказатьконкретныйIP-адрес. С другойстороны,еслиу наснетweb сервера, тои незачемотслеживатьспецифическиедля негоатаки.Поэтомулишнееможносмело отключить.

Далеезадаютсяномерапортов,используемых серверами.ЭтопозволяетSnortнераспылять ресурсы,а искатьатакуболееконкретно (прицельно).Принциптот же:еслинетOracle, тосоответствующуюстрокулучшезакомментировать.Обративнимание,чтономерпорта можетбытьзаданкакединичный(80)и как непрерывный(80:8080).Перечислениепортов череззапятуюработатьнебудет(уженескольколетобещаютисправитьэтотмомент). Поэтомуеслиweb сервериспользуетдвапорта, тописатьнеобходимотак:

var HTTP_PORTS 80 var HTTP_PORTS 8080

Препроцессоры,подключаемыев третьей секции«Configurepreprocessors»,—штукадо-

вольносерьезнаяи в хозяйстве,какговорится, полезная,нотребующаянекотороговремени длятого,чтобыразобратьсяс назначением

иособенностямиработы.Обративнимание, чтонекоторыепрепроцессорыдублируютдруг друга,поэтомувключатьвсесразутакжене имеетсмысла.Так,вместоPortscanи FlowPortscanразработчикирекомендуютисполь-

зоватьsfPortscan,разработанныйв Sourcefire

ипредназначенныйдлятех жецелей,тоесть дляопределениясканированияпортов.Более быстрыйв работемодульFrag3,используемый длядефрагментацииIP-пакетов,пришелна

Настройкавыводаданных

Вчетвертойсекции«Configureoutputplugins»,

какужеговорилось,настраиваютсявыходные параметры.В общемслучаестрокапараметров имееттакойвид:

output <name_of_plugin>: <configuration_options>

ВнастоящеевремяSnortможетиспользовать 10плагиновдлявыводаинформации(каждый изкоторыхимеетдополнительныеопции):

1.alert_syslog—длявыводаинформации используетсядемонsyslog;модульпозволяет настроитьприоритетысообщенийи уровень;

2.alert_fast—информацияо возможнойатаке выводитсяв указанныйв качестведополнительногопараметрафайлв сокращенном форматебезподробностей;

3.alert_full—модуль,подходящийдлянеболь- шихсетей,таккаксильнотормозитработу Snort;заголовокпакетавыводитсяполностью; в лог каталогебудетсозданподкаталог,покаждомуIPв которыйбудутзаписыватьсяпакеты, вызвавшиепредупреждение;

4.alert_unixsock—схожс предыдущимзаисключениемтого,чтоинформацияв реальном временипередаетсяв Unix сокет,откудаможет бытьсчитаналюбойдругойпрограммой;

5.log_tcpdump—записываетв указанный файлперехваченныепакетыв форматеутилитыtcpdump(к именифайлабудетдобавляться меткавремени,поэтомузатеретьегопри перезапускенеполучится);

6.database—модуль,позволяющийзаносить информациюв базуданных;

7.csv—выводв файлформатаcsv,который можетбытьиспользовандлязанесения

Snort в режиме захвата пакетов

информациив базуданных.Кромеимени файла,необходимоперечислитьпараметры, которыев негозаносятся;

8. unified—выводитданныев специальном формате,оптимизированномдляобработки внешнимиутилитами,которыезатембудут заниматьсярегистрациейсобытия;

9. alert_prelude—доступенприконфигуриро- ваниис опцией'-–enable-prelude',в этомслучае SnortиспользуетсякакдатчикгибриднойIDS Prelude(www.prelude-ids.org);

10.log_null—в этомслучаеSnortспособен реагироватьнауказанныепредупреждениябез регистрациипакетов.

И,наконец,в концефайлатынайдешьшестую секцию«Customizeyourruleset»,в которойне-

обходимоубратькомментарии,указывающие нафайлыс правилами:

include $RULE_PATH / local.rules include $RULE_PATH / bad-traffic. rules

…

#include $RULE_PATH / multimedia. rules

#include $RULE_PATH / p2p.rules include $RULE_PATH / experimental. rules

Названияправилговорятсамизасебя.Оставь то,чтотебедействительнонужно(хотяесли сомневаешься,лучшевключивсе).По умолчаниюфайлlocal.rulesпуст,в негозаноситсвои правиласампользователь.

ЗапускSnort

После того как все будет готово, можно запускать Snort. Для работы в режиме снифера Snort запускается с флагом '– v'. При этом на экран выводятся заголовки пакетов. Если же есть желание просмотреть и передаваемую информацию, используй следующую команду:

Держись, хакер!

# snort -vd

Еслив системеодининтерфейс,топрограмма самаразберется,с чемейработать.В противномслучаееготребуетсяуказатьc помощью'–i':

# snort -vd -i eth0

Можноуказатьнаконкретнуюинформацию, которуютребуетсязахватить.Например, устанавливаемв качестведомашнейсети 192.168.1.0и захватываемпакетыс узла

192.168.1.1:

# snort -h 192.168.1.0 / 24 d -v host 192.168.1.1

Длярегистрациипакетовв общемслучае указываемкаталог,кудаследуетзаписывать информацию:

# snort -l . / log

Еслинавыходетребуетсяфайлв формате tcpdump,тодобавляемпараметр'–b'.

И,наконец,работав режимесистемыобнаруженияатак.Таккакфайлsnort.confужесоздан, топоступаемпросто:

# snort -c  / etc / snort / snort.conf

Длятестированиянабираем«ping-s 65507 ip_адрес».Послечего,есливыбрансоответствующийрежимведенияжурнала,в каталоге / var / log / snortпоявитсяфайлс предупреждениемо потенциальноопасномпакете:

[**] [1:499:3] ICMP Large ICMP Packet [**]

[Classification: Potentially Bad Traffic] [Priority: 2] 15 / 11 18:21:2.1131991802 192.168.0

.1 -> 192.168.0.20

ICMP TTL:255 TOS:0x0 ID:18479 IpLen:20 DgmLen:63028

Type:0 Code:0 ID:512 Seq:19456 ECHO REPLY

[Xref => arachnids 246]

ПривсестороннемтестированииработыSnort следуетиспользоватьспециальныеутилиты вродеIDSwakeup(www.hsc.fr / ressources / outils / idswakeup / download).

ДляавтоматическогозапускаSnortпризагрузке системынеобходимоиспользоватьскрипт snortd,которыйлежитв подкаталогеrpm дистрибутива.Копируемегов / etc / rc.d / init.

d и даемкоманду:

# chkconfig snortd on

Анализаторыфайлови веб-морды

Snortсоздандлятого,чтобывыполнятьодну задачу—определениеатак,и выполняетон еехорошо.Анализфайловжурналовотданна откупстороннихразработчиков.Некоторые утилиты,предназначенныедляэтихцелей,ты найдешьнасайтепроекта.Например,c помо-

щьюPerl скриптаSnortALog(jeremy.chartier. free.fr / snortalog)можноотобратьнеобходи-

муюинформациюи вывестиеев удобномдля чтениявиде.Воттакможновывеститопатак, сгруппированныхповремени,и отослатьего попочте:

# cat  / var / log / snort / snort. log.1164559498 | . / snortalog.pl -hour_attack | / usr / sbin / sendmail -f admin@domain.com

Такжеимеетсянескольковеб-интерфейсов,поз- воляющихпроанализироватьсобраннуюин-

формацию:ACID(AnalysisConsoleforIntrusion Databases,acidlab.sf.net),BASE(BasicAnalysis andSecurityEngine,base.secureideas.net), SnortCon(snortcon.sf.net).z

ХАКЕР.PRO

Сергей Супрунов

/ amsand@rambler.ru /

Инсталляция

ДлячистотыэкспериментаобеСУБДставить будемизисходников. Еслиприложениеесть

вменеджерепакетовтвоейсистемы(мне покаещене попадалисьтакие, гдене было быMySQLилиPostgreSQL), толучшеус-

танавливатьоттуда. Таки с обновлением меньшепроблем, и отслеживатьзависимости проще—а топопробуйпотомкакому-нибудь RoundCubeдокажи, чтоСУБДу тебяуже есть. Но поскольку«официальная» инсталляцияникакихпроблемвызватьне должна(ско-

мандовать«aptitudeinstallmysql-server-5.0» или «portinstallpostgresql-server» особоготруда

не составит), томыпойдемпо путинаибольшегосопротивления.

Итак, разжившись архивами с исходным кодом свежих версий (сразу бросается

вглаза соотношение их размеров — 24 Мб

MySQL5.0.27против10МбPostgreSQL 8.2.0; а еще говорят, что постгрес

тяжелый), потратимнесколькоминутнаизучениеопцийконфигурации, чтобыне былопотом мучительнобольно… Как обычно, полныйсписокдоступныхопцийможнопросмотреть, введяв полученномпослераспаковкитарбола каталогеследующуюкоманду:

$./configure --help

Вслучаес MySQLпервое, начтоследуетобратитьвнимание, —это кодировка, которую СУБДбудетиспользоватьпо умолчанию.

Посколькуlatin1насврядлиустроит, нужно будетуказатьопцию'--with-charset'в соответствиис твоейкодировкой(скореевсего, это будетkoi8r, cp1251илиutf8). Еслиты планируешь работатьв дальнейшемс несколькимикодовымистраницами, тодополнительныекодировки укажив опции'--with-extra-charsets'. Чтобы себяни в чемне ограничивать, можешьзадать сразу'--with-extra-charsets=all'.

Втораявещь, не совсемпривычнаядля пользователей, работавшихранеес другимиСУБД, —возможностьвыбратьтип таблиц. MySQLподдерживаетцелуювереницуразличныхдвижковнавсеслучаи жизни: BDB, InnoDB, MyISAM, HEAP... Первые два—BerkeleyDB(разработчик—Sleepycat Software, нынепринадлежащийOracle)

и InnoDB(опять-такикупленныйOracle)—яв- ляютсятранзакционными. Это обеспечивает высокуюнадежностьработыс данными(БД не потеряетсогласованностьв случаевозникновенияпрограммногоилиаппаратного сбоя, и существуетвозможностьвосстановить илиоткатитьнезавершенныеоперации)и позволяетобъединятьлогическисвязанныеизмененияв БДв атомарные(транзакционные) блоки, фиксирующиесяв базепо принципу «всеилиничего». ТаблицыMyISAMне поддер­ живаюттранзакции, чтообеспечиваетим болеевысокуюскоростьработы, но меньшую надежность. ТаблицыHEAPразмещаются

в оперативнойпамяти, благодарячемуработаюточеньбыстро, но, естественно, не

сохраняютданныепри сбоях. С учетомряда другихограниченийHEAP-таблицыудобно использоватьдлявременныхданных, но для «нормальной» работыонималопригодны.

Еслиты точнознаешь, какойтиптаблицтебе нужен, томожнопри сборкеСУБДуказатьтолькоих. Обычнов такихслучаяхрекомендуют использоватьMyISAMтам, гдерадискорости можнопожертвоватьвсемиданными, и InnoDB дляостальныхзадач.

Перейдемк PostgreSQL. С языкамиздесьчутьпро- ще—этаСУБДне будетнапрягатьтебяпо поводу дефолтныхкодировоки т.д. Единственное, что можносделать, —это указатьв '--enable-nls' переченьязыков, накоторыхсистемабудет с тобойобщаться.

Авотнадчемможнозадуматься,такэто над спискомязыковпрограммирования. Их можно использоватьдляразработкитриггеров, хранимыхпроцедури прочихпрелестей. PostgreSQL поддерживаетнесколькоязыковнатвойвыбор

—«изкоробки» можновключитьподдержку

PL/Tcl, PL/Perlи PL/Python, вдогонкук стан-

дартномуPL/pgSQL; такжеподдерживаются

PHPи Java.

Опции'--with-krb5', '--with-pam'и '--with-ldap'

позволяютвключитьподдержкудополнительныхспособовавторизации, чтоможет бытьоченьполезнодляработыв локальной сети, когдатребуетсяобеспечитьпредельную гибкостьи прозрачностьпри работепользователейс базой. Такжеподумайсразу, нужнали тебеподдержкабезопасныхсоединений

>>

pgAdmin: до PL/SQL Developer от Oracle пока явно не дотягивает, но работать приятно

('--with-openssl')и протоколаавтоматическойнастройки сетиBonjour('--with-bonjour').

Побольшомусчету, параметры, предлагаемыепо умолчанию, достаточнохороши, и еслиты ставишьсебеСУБД«общего назначения», товполнеможешьничегоне менять. Только дляMySQLлучшебыне забытьуказатькодировку, чтобы потомне удивляться, чтокак-токривоработаетсортировка по отечественномуалфавиту.

Итак, послетогокакты наметилдлясебя, с какимипараметрамиследуетсобиратьприложения, сборкаи инсталляциятрадиционныи просты:

$ sudo addgroup mysql

$ sudo adduser -g mysql mysql

$ ./configure --prefix=/usr/local/mysql -- with-charset=utf8

$ make

$ sudo make install

Возможно, придетсясамуюмалостьповозитьсяс зависимостями(разужмыпошлипо путисборкииз исходников, тоизбежатьэтоготрудно). Например, потребуетсябиблиотекаcurses(илиncurses), причемнужны будути заголовочныефайлы, которыеобычновынесены в отдельный dev-пакет и по умолчанию редко устанавливаются.

ДляPostgreSQL:

$ sudo adduser postgres

$ ./configure --prefix=/usr/local/pgsql -- with-python --with-perl

$ make

$ sudo make install

Здесьиззависимостеймогутвстретитьсябиблиотеки readlineи zlib(тожес dev-пакетами). ЕслиPostgreSQLсоби-

рается с поддержкой процедурных языков PL/Perl

и PL/Python(какв примере), топонадобятсятакжеdevпакеты для Libperl и Python. Для других

опций, естественно, будут выплывать свои зависимости. Главное—не забудьсоздатьнужныхдля работыпользователейи группы.

С установкойнаэтомвсе, переходимк настройкам.

initdb: должно быть все OК

Инициализацияи настройка

Итак, установкапозади. Преждечемприступатьк

иmy-small.cnf отличаются по большей части значениями, заданными для различных влияющих на потребление памяти переменных (буферов, кэшей

ит.д.). Если интересно, можно выполнить

ХАКЕР.PRO