книги хакеры / журнал хакер / 102_Optimized

назначениеивозможностиWdS

СлужбаWDS—этонеперваяреализация сервиса,позволяющегоустановитьсистемупо сети.Службаудаленнойустановкипояви-

ласьещевWindows2000Server—Remote InstallationServices,RIS.Несмотрянаразличия вназваниях,задачиRISиWDSсхожи—быст- роевнедрениеиразвертываниеWindows на новых компьютерах с использованием установки по сети. При этом отпадает

необходимостьфизическогоприсутствияна каждомкомпьютереииспользованияустано- вочногокомпакт-диска.

СлужбаWDSявляетсяобновленнойиперерабо- таннойверсиейRIS.Главныеееотличия—под- держкаWindowsVistaиновогоформатафайлов

WindowsImaging—WIM,обеспечивающего хорошее сжатие (примерно в 2раза).Также вWDSвстроенаподдержкасредыпредварительнойустановкиWindows(WindowsPEв

качествезагрузочнойоперационнойсистемы). Обративнимание,чтоRISнебудетработать

сVista,поэтому,еслипланируетсяустановка этойверсииоперационнойсистемы,переходнаWDSнеизбежен.Учитывая,чтоWDS полностьюподдерживаетобразы,созданные

спомощьюRIS,этообновлениенеповлечетза собойпроблем.

СегоднясуществуютпродуктывродеNorton илиAcronisTrueImage,позволяющиесоздавать

>>

ХАКЕР.PRO

Вокневыбранногосерверапоявитсянесколько папок.Теперьсновавыбираемконтекстное менюсервераивнем—пункт«Свойства».

Вокнесвойствсерверанескольковкладок.

Вовкладке«Общие»показаныосновные настройкиирежимсервера.В«Параметры PXE-ответа»можноотредактироватьполитику ответаклиентам.Вкладка«Службыкаталогов» отвечаетзаименованиеновыхклиентских компьютеровиразмещениеихвдоменных службахActiveDirectory.Поумолчаниюновые компьютерыпредлагаетсяразмещатьвтомже домене,чтоиусервераслужбыWDS.Принеобходимостиможнопривязатькпользователю иликподразделению,ккоторомупринадлежит пользователь,запустившийклиентаудаленногоразвертывания,иливыбратьдоменвручную. Вовкладке«Загрузка»дляразныхархитектур указаныпрограммыиобразызагрузкипоумолчанию.ВкомплектеWDSужеимеютсяготовые программы,поэтомувэтомполеможноничего нетрогать.Образдлязагрузкипоумолчанию надобудетуказатьтолькопоследобавленияв основномокнепрограммыобразовдляустановкиизагрузкиоперационныхсистем. Вкладка«Клиент»позволяетнастроитьзапуск вавтоматическомрежиме.Дляэтогозаранее создаетсяфайлавтоматическойустановки,которыйиуказываетсявэтойвкладке.Еслипосле установкиоперационнойсистемынетребуется создаватьновуюучетнуюзаписьвдомене,следуетустановитьфлажок«Несоздаватьучетную записьвдоменепослезапускаклиента». Вкладка«ПротоколDHCP»содержитдваочень важныхпараметра.Так,еслислужбаDHCP находитсянатомжесервере,чтоислужбаWDS, необходимоустановитьфлажок«Непрослуши- ватьпорт67»исделатьтэг60DHCP-параметра равнымPXEClient,поставивфлажокнапротив этогопункта.Впротивномслучаеследуетснять

этидвафлажка,анаDHCP-серверевручную задатьпараметрPXEClient.

И,наконец,последняявкладка«Дополнительно».Здесьзадаютсядопустимыеконтроллеры доменаиDHCP-авторизация.Всамомпростом случаеможноразрешитьобнаруживать службыActiveDirectoryдинамически.Если DHCP-сервернаходитсянадругомкомпьютере, обязательноследуетвключить«Да,яхочуавторизоватьсерверслужбразвертыванияWindows вDHCP».Поокончаниинастроекнезабудь нажать«Применить»,чтобыактивироватьвсе установки.

Добавлениеобразовустановкиизагрузки

Теперьсамоеглавное,радичеговсеэтобыло затеяно,—добавлениеобразоввсервисWDS. Выбираем«Образыустановок»ивконтекстном менюнажимаем«Добавитьобразустановки». Запуститсямастердобавленияобразов.Если ранеенебылосозданогруппобразов(это можносделатьизтогожеконтекстногоменю),

впервомокнебудетвыданзапроснасоздание такойгруппы.Еслитребуетсяиспользовать ранеесозданнуюгруппу,выбираемеевраскрывающемсясписке.Переходимвследующее окно,вкоторомследуетуказатьWIM-файл, содержащийнужныйобраз.ВWindowsVista такойфайлназываетсяinstall.wimинаходится

вкаталогеsourcesустановочногодиска.Файл форматаWIMможетсодержатьнесколькообразов,которыелегкоизменять,используяXML. Наследующемшагевыбираемобразы,которые следуетдобавить.Снявфлажоквнизу,можно изменитьописаниеобраза.Послесводкибудет произведенапроверкацелостностиисходных образовустановкииихкопированиевлокальныйкаталог.

Теперьнеобходимодобавитьзагрузочный образ,которыйбудутиспользоватьклиенты

приподключении.Проделываетсяэтоаналогичнымспособом.Выбираемкаталог«Образы загрузки»,затемвменю—пункт«Добавить образ загрузки». В мастере указываем файл boot.wim,которыйнаходитсявтомжекаталоге,чтоиinstall.wim.Послеэтойпроцедурыпоявитсяокно,вкоторомможноотредактировать образиегоописание.Аналогичнодобавляются идругиеобразыподкаждуюархитектуру.Если используетсяобразсобственноручногоизго- товления,следуетпомнить,чтоимяWIM-файла должносостоятьтолькоизбуквлатинского алфавитаицифр.Крометого,внемнедолжно бытьпробелов,иначепризагрузкеклиентов могутвозникнутьпроблемы.Из-заограниче- нийменюзагрузкинеможетотображатьболее 13образов,поэтомуувлекатьсятожеособенно нестоит.Теперьследуетвернутьсявовкладку «Свойства»,упомянутуювыше,иустановить образ,которыйпризагрузкебудетпредлагатьсяклиентампоумолчанию.

Созданиеобразов

СпомощьюоснасткиWDSможносоздавать образынесколькихтипов:

1.Образызаписи(Captureimages)—модифи- цированныйзагрузочныйобразWindowsPE2.0, которыйиспользуетсядляудаленнойзагрузки, захватаисозданияобразовустановкисэталонныхсистем,подготовленныхспомощью программыSysprep.exe.

2.Образыобнаружения(Discoverimages)

—спомощьюэтогообразаможнозагружать клиентскуюсистему,неподдерживающую PXE;послезагрузкистакогодисказапускается мастеробнаруженияслужбыWDS.

3.Образыустановки(Installimages)—образы операционныхсистем,которыеиспользуются дляустановкинаклиентскиекомпьютеры.

Разберемся,каксоздатьобразобнаружения.

>>

ХАКЕР

Переходимвовкладку«Образызагрузки», выбираемобраз,которыйбудетиспользован длясозданияобразаобнаружения.Привыборе следуетучитыватьархитектурукомпьютеров, хотяобраз,созданныйдляx86,будетработать везде.Вконтекстномменювыбираем«Создать образзагрузкиобнаружения».Появитсяочередноймастер,вкоторомследуетуказатьимя,описание,месторасположениеиимяфайланового образа(срасширениемwim),атакжесервер развертывания,которыйбудетотвечатьклиенту,использующемудлязагрузкиэтотобраз.В результатеработымастерабудетсозданновый WIM-файл.Далееегонеобходимопреобразо- ватьвISO-образизаписатьнакомпакт-диск. ДляпреобразованиявISOпонадобитсяпакет WindowsAIK,которыйдоступеннатомжедиске,чтоиобновлениеWDS(крометого,неза-

будьустановитьMicrosoft.NETFramework2.0и MSXML6.0).Затемвыбираемпункт«УстановкаWindowsAIK»иследуемуказанияммастера. Послеустановкивменю«ПускПрограммы» появитсяодноименныйпункт.Сейчаснамв неминтересенподпункт«Утилитыкомандной строкиWindowsPE».Приеговыборепоявляетсякоманднаястрока,аналогичнаязапуску cmd,толькодополнительнобудутзагружены всенеобходимыепеременныеокружения,ине надобудетвводитьполныйпутькнекоторым файлам.Врусскоязычномруководствепредлагаетсяиспользоватьстандартныесредства копированиявродеcopy,однакоприихиспользованиизагрузочныйдискполучитьневозможно.СоздаемсредупостроенияWinPE:

> сopyPE x86 d:\Winpe

Для64 битнойархитектурывместоx86выбираемamd64.Далеекопируемсозданныйобраз загрузки:

>copy /y c:\boot.wim d:\Winpe\ ISO\Sources

ИсоздаемзагрузочныйISO-образспомощью oscdimg:

>oscdimg -n -bd:\winpe\ISO\boot\ etfsboot.com d:\winpe d:\winpe. iso

Теперьзаписываемсозданныйобразнаносительизагружаемсяснего.

Настройкаклиента

ВсеосновныенастройкиWDSпроизводятся насервере.Чтобыустановитьсистемунакли-

сергей «grinDer» яремчук

/ GRINDER@UA.FM /

jabbervsicQ

Несмотрянаточтопользователибольшезнают оICQ,самымпопулярнымсредиоткрытых проектовпоразработкеIM-сервера,является Jabber.Jabberиспользуетоткрытыйпрото-

колXMPP(eXtensibleMessagingandPresence Protocol),применяющийдлябыстрогообмена сообщениямииинформациейоприсутствии междулюбымидвумяабонентаминеplainтекст,аXML.Хотяэтоинесколькоувеличивает объемсообщенияитребуетналичияXML-пар- серов,которыепотребляютнекоторуючасть ресурсов,новзаменJabberдаетгибкостьи расширяемость.Благодарягибкостипротоко- ла,jabber-серверспособенподдерживатьICQ, IRC,MSN,RSS,Yahooидр.Да,еслиICQ—это толькообменсообщениямимеждудвумя пользователями, то Jabber включает и возможности IRC. Поэтому вместо двух серверов (ICQ и IRC) вполне возможно обойтись и одним. Так будет гораздо удобнее и администраторам, и

пользователям.ВJabberизначальноиспользуетсяUnicode,поэтомупроблемскодировкаминесуществует.ТакжеJabberотличает продуманнаясистемазащитыинформации. ВсереализациисерверовподдерживаютSSL, клиенты—шифрованиеспомощьюPGP/GPG. Паролинепередаютсявоткрытомвиде,а используютсяmd5-хэши.ПротоколXMPP,в отличиеотICQ,стандартизированиоткрыт, поэтомусписоксерверов,реализующихего,на порядокбольше,чемуICQ.

серверыjabber

Вероятно,самый полный список серверов, реализующих Jabber, можно найти по адресу www.jabber.org/software/servers.shtml.

ПослепросмотрастолбцовFeatureScoreи License=GnuGPLизвсехприсутствующих можноотобратьлишьчетыре:jabberd1.xи 2.x,OpenFireиejabberd.Списокподдержива-

емыхоперационныхсистемувсеходинаков:

AIX,*BSD, HP-UX, Linux, MacOS X, Solaris, Windows. Поэтому смотрим функциональность и удобство.

Первыедва—оченьхорошиесерверы,отли- чаютсястабильностьювработе,написанына языкеС.Повозможностямэтисерверыявляютсялишьбазой,посколькубольшаяихчасть (вродеконференций,поискапользователейи некоторыхдругих)реализованапосредством плагинов.Чтобызаставитьработатьнекоторыекомбинации,придетсяизряднопопотеть. К тому же версия 1.x уже практически не развивается.

СерверOpenFire(дофевраля2007года— WildFire)—самыйпростойвустановке,таккак дляегозапускатребуетсялишьналичиеJava RuntimeEnvironment.Да,оннаписаннаJava, но сегодня это никого уже пугать не должно. Для тех, кто не хочет использовать внешнюю базу данных (MySQL, Postgres, Microsoft SQL Server, DB2), в наличии есть встроенная HSQLDB.

>>

Всенастройкиосуществляютсячерезудобный веб-интерфейс.Вустановкепоумолчанию OpenFireимеетбольшоеколичествовозможностей,остальное(Asterisk,широковещатель- ныесообщения,IM-шлюз,контент-фильтри прочее)реализуетсяпосредствомплагинов. Последнийназванныйнамисервер—ejabberd (www.process-one.net/en/ejabberd).Практичес-

кивсееговозможности,заложенныевпротоколе,реализованыизкоробки.Написанонна языкеErlang(erlang.org),вкачествебазыданных используетсяMnesia(поддерживаютсяидругие: MySQL,PostgreSQL).ЯзыкErlangпредназначен длясозданияотказоустойчивыхраспределен- ныхприложений.Результат—ejabberdможет работатьвкластере,когдаодиндоменфизическимогутобслуживатьнесколькосерверов, синхронизируяинформациючерезединую базуданных.Откомпилированныеприложения выполняютсявErlang(JAM)emulator,этимон несколькопохожнаJava.Этотсерверивыбираем дляустановки.

Установкаejabberd

Настраницезакачкипроектаejabberdможно найтиссылкинаустановочныефайлыдля

Windows,MacOSX(PowerPCиIntel),Linuxи

исходныетексты.Врепозитарияхдистрибу-

тивовDebian,Ubuntu,Mandriva,OpenSUSE, Fedora,FreeBSDимеютсяпакетыдляустановки ejabberd.Длякомпиляции,помимоmakeи gcc,понадобятсябиблиотекиOpenSSLиZlib, атакжеErlang/OTP.Установкапоследнего нескольконеобычна,нопроста.

Скачиваемдистрибутив:

$ wget — c http://erlang.org/ download/otp_src_R11B-4.tar.gz

Создаемкаталогдляустановки:

$ sudo mkdir /usr/local/erlang $ cd /usr/local/erlang

$ sudo mkdir otp_r11b $ cd otp_r11b

Распаковываемдистрибутив:

$ sudo gunzip -c /home/grinder/ otp_src_R11B-4.tar.gz | tar xfp -

Запускаемустановочныйскрипт:

$ sudo ./Install /usr/local/ erlang/otp_r11b

Скриптначнетзадаватьвопросы,вбольшинс-

ХАКЕР.PRO

%Только незаблокированные пользователи могут соединяться с севером

{access, c2s, [{deny, blocked}, {allow, all}]}.

%Администраторы сервера являются и администраторами MUC (Multi User Chat)

{access, muc_admin, [{allow, admin}]}.

%Разрешаем всем пользователям подключаться к MUC

{access, muc, [{allow, all}]}.

%Используем встроенную базу данных

{auth_method, internal}.

%Порты, на которых будут работать сервисы ejabberd {listen,

%Обычный сервис client-2 server [{5222, ejabberd_c2s, [{access, c2s},

starttls, {certfile, "/etc/ ssl/certs/ejabberd.pem"},

{shaper, c2s_shaper}]},

%Сервис client-2 server с ис-

пользованием SSL

{5223, ejabberd_c2s, [{access, c2s},

tls, {certfile, "/etc/ssl/ certs/ejabberd.pem"},

{shaper, c2s_shaper}]},

%Порт для работы server-2 server {5269, ejabberd_s2s_in,

[{shaper, s2s_shaper}]}, {outgoing_s2s_port, 5269}.

%Транспорт Jabber <-> ICQ {5347, ejabberd_service, [{ip, {127, 0, 0, 1}}, {access, local},

{host, ["icq.grinder.com», "sms.localhost"], [{password, "secret"}]}]},

%Веб-интерфейс

{5280, ejabberd_http, [http_ poll, web_admin]}]}.

% Используемые модули и параметры

{modules,

[

{mod_announce, [{access, announce}]},

...

]}.

Впринципе,конфигурационныйфайл понятен,ноприегозаполненииследуетбыть внимательным.

НастраиваемDNS,заводим администраторов

Вэтомжекаталогенаходитсяещеодинважный файл—inetrc,отвечающийзаработусослуж- бойDNS.Еслисерверejabberdприменяетсяв локальнойсети,гденетсмысланастраивать DNS-сервер,необходимоуказатьнаиспользо-

вание/etc/hosts:

{file, hosts, "/etc/hosts"}. {file, resolv, "/etc/resolv. conf"}.

% сначала ищем записи в hosts, а затем обращаемся к DNS {lookup, [file, dns]}.

Вфайле/etc/hostsдолжнабытьзапись,ука- зывающаянасоответствиеIP-адресаиимени компьютера:

127.0.0.1 localhost 192.168.1.158 grinder.com

Теперьзапускаем/перезапускаемсервер.Это можносделатьдвумяспособами. Стандартным:

$ sudo /etc/init.d/ejabberd restart

Илисиспользованиемутилитыejabberdctl:

$ sudo ejabberdctl restart

Проверяемстатусработысервера:

$ sudo ejabberdctl status

Node ejabberd@grinder is started. Status: started

Есливответмыполучаемдругоесообщение,то просматриваемвыводnetstat-na.Есливвыводе нетоткрытыхпортов,указанныхвконфигурационномфайле,значит,сервиснезапустился(или запустилсячастично).Останавливаемегоработу ипроверяемejabberd.cfg.Еслижепортывсписке есть,тоначинатьследуетсразрешенияимен. Теперьнеобходимозавестипользователей,

имеющихправаадминистратора.Внашем случаеэтоgrinderиsergej:

$ sudo ejabberdctl register sergej grinder.com super_ password

Проверяем,чтопользовательуспешносоздан:

$ sudo ejabberdctl registeredusers

sergej@grinder.com

Всенормально,аналогичнозаводимивторого админа.Теперь,еслибылразрешенвеб-ин- терфейс,вызываемвеб-браузеризаходимна страницуhttp://grinder.com:5280/admin.На запросименипользователяипаролявводим параметрыучетнойзаписиадминистратора. Толькокименидобавляемидомен,тоесть вместо«sergej»вводим«sergej@grinder.com».

Веб-интерфейспозволяетвудобнойформе настраиватьспискиуправлениядоступом, заводитьиудалятьпользователей,просматриватьстатистику.Следуетпомнить,чтовсена- стройки,произведенныечерезвеб-интерфейс, вконфигурационномфайленесохраняются. Приналичиизаписейoverride_*онибудутдействительныдопервойперезагрузки.Все,сервер кработеготов,можнозазыватьпользователей.

ТранспортICQ<->Jabber

Некоторыепользователи,вероятно,незахотят отказыватьсяотICQ.Длянихможнонастроить транспортICQ<->Jabber.Организуетсяонс помощьюPyICQt(pyicq-t.blathersource.org),для работыкоторогодополнительнопотребуются библиотекиTwisted,PyCryptoиPyOpenSSL (www.twistedmatrix.com).ВUbuntu/Debianих оченьпростоустановитьоднойкомандой:

$ sudo apt-get install pythontwisted python-crypto pythonpyopenssl

ТакмыустановимPythonипрочиенедостающиепрограммыибиблиотеки.Теперь скачиваемираспаковываемPyICQt.Переименовываемшаблонконфигурационногофайла config_example.xmlвconfig.xmlиредактируем:

#viconfig.xml

<pyicqt>

<jid>icq.grinder.com</jid> <! — здесь указан текущий

каталог, ejabberd должен иметь право на запись в него -->

>>

ХАКЕР