книги хакеры / журнал хакер / 115_Optimized

Компонент «Архивирование данных Windows» сначала нужно установить

изводить как в графическом варианте, так и запускать в командной строке, передав все нужные параметры:

> NTBACKUP backup systemstate /f "D:\backup.bkf"

Впрочем, некоторые админы находят работу NTBackup непонятной и запутанной и предпочитают использовать для архивации софт сторонних разработчиков. Но теперь о NTBackup можно забыть. В Win2k8 ее заменила новая программа архивации данных, в которой используются совершенно иные технологии.

Отличийстолько,чтоновуюпрограммудаженельзяназватьаналогом. Например,еслиNTBackupработаетнауровнефайлов,топрограмма резервированияданныхWin2k8опустиласьниже.Дляархивирования используетсяслужбаVolumeShadowCopyService(VSS),иисточникданных воспринимаетсяуженауровнетомовиблоков.Такойметодобладаетодним большимпреимуществом—появиласьвозможностьпроводитькакполное, такидифференциальноерезервноекопирование,сохраняятолькоотличия. При помощи Server Backup можно создавать полную копию сервера (все тома), отдельных томов и состояния системы. Таким образом, в случае краха можно быстро восстановить всю систему на новый жесткий диск. Кроме того, можно использовать резервную копию для восстановления и даже клонирования системы на сервер с аналогичным оборудованием.

Также стало возможным создавать мгновенные снимки раздела, что упростит работу с несколькими копиями и сэкономит место на диске. На тех разделах, где хранятся резервные копии, программа архивирования задействует возможности службы теневого копирования, поэтому в мгновенных снимках сохраняются только измененные блоки. Таким образом, если сохранить несколько полных копий раздела в один и тот же том, их суммарный размер будет на порядок меньше, чем ожидаемый.

По умолчанию нельзя сохранять резервную копию на том же томе. Попы-

тавшись, получим сообщение: «ERROR — The location for backup is a critical volume». Хотя при желании ограничение можно обойти. Для этого запускаем программу regedit, переходим в раздел HKEY_LOCAL_ MACHINE\SYSTEM\CurrentControlSet\Services\wbengine,

создаем подключ SystemStateBackup, а в нем параметр с именем AllowSSBToAnyVolume. Задаем тип параметра DWORD, и чтобы разрешить сохранение резервных копий в любом разделе, устанавливаем его значение в «1».

Еслиприустановкедискнеразбивалсянанесколькоразделов,этоможносделатьприпомощиинструментов«Диспетчерасервера».Заходимв«Накопители» (Storage)—«Управлениедисками»(DiskManagement).Теперьвыбираемраздел, размеркотороготребуетсяуменьшить,ивконтекстномменю—пунктShrink Volume.Впоявившемсяокнебудетвыведенаинформацияозанятомпространст­ веипредложенозначение,накотороеможноуменьшитьразмерраздела.

Так как система воспринимает разностную копию как полную, восстановление информации прозрачно (не нужно последовательно восстанавливать

данные, как это делается при дифференциальном копировании). Но такой подход не лишен недостатков. Теперь нельзя сохранить в резервную копию файл или каталог, в любом случае приходится копировать весь том. Спасибо хоть, что нам под силу восстановить отдельный файл.

Еще одно удобство состоит в том, что резервные копии хранятся в формате виртуального диска Microsoft VHD (Virtual Hard Disk), который используется в MS Virtual PC 2004 и MS Virtual Server 2005. Такой образ можно подключить к работающей виртуальной машине и просто извлечь нужные файлы (загрузиться с него нельзя, так как комплектация оборудования не совпадает).

В небольших и средних организациях редко встретишь стример. Да и резервные копии проще сохранить на сетевом ресурсе или жестком диске. Вероятно, это одна из причин, почему программа архивирования данных Win2k8, в отличие от NTBackup, не поддерживает сохранение данных на ленточные носители. Вернее, поддерживает, но требуются сторонние разработки. Зато с ее помощью очень легко записать копию данных на

Созданиебэкапов ивосстановление вкоманднойстроке

Некоторыеоперациипрощеибыстреевыполнятьвкомандной строкеприпомощиутилитыwbadmin.Ктомуже,создатьрезервную копиюсостояниясистемыможнотолькосеепомощью.Вседоступныепараметрыкомандыможнопросмотреть,введя«wbadmin /?». ПодробноеописаниеэтойутилитыприведенонасайтеMicrosoft (go.microsoft.com/fwlink/?LinkId=93131).Длясозданиярезервной копиисистемнойобластииспользуетсякоманда«wbadminstart systemstatebackup»суказаниемдиска,накоторомбудетразмещена резервнаякопия.Например:

> wbadmin start systemstatebackup -backuptarget:D:

ВместобуквыразделаможноиспользоватьегоGUID-обозначение. Принеобходимостивкоманднойстрокеможнозадатьипериодичностьвыполнениязадания.Например,чтобысохранятьважные системныеобластинадискD:в12и18часов,пишем:

> wbadmin enable backup — allcritical — addtarget:d:

— schedule:12:00,18:00

Чтобыотменитьзадание,используемкоманду«wbadmin disable backup».Длявосстановленияперезагружаемконтроллердоменав режимвосстановления:

> bcdedit /set safeboot dsrepair

Привосстановлениииспользуетсякоманда«wbadmin start systemstaterecovery»,нопараметровейможнопередатьгораздо больше.Например,выполнивтакуюкоманду:

> wbadmin start systemstaterecovery - version:05/25/2008-19:20 -backupTarget:\\ servername\share -machine:server

—  мывосстановимархивнуюверсиюдлямашиныserverот 05/25/2008(узнатьдоступные,можновведя«wbadmin get versions»),котораярасположенанаресурсе\\servername\ share.Есливосстановлениепроизводитсянадругуюмашину,то добавляемпараметр«-recoveryTarget».

>>

ХАКЕР

нет возможности указать отличное от жесткого диска место хранения копии. очевидно, это связано с тем, что при работе по расписанию некому будет менять dvd-диски, или сетевой ресурс может быть недоступен. При ручной архивации в Backup Once предлагаются все варианты.

наследующемшагевыбираемпериодичностьсоздания резервнойкопии.копиюможносоздавать«развдень»(Once aday),указаввраскрывающемсяспискевремявыполнения этогозадания.вспискеинтервалуказансшагом30минут.для важныхсерверовможноиспользоватьвариант«несколькораз

вдень»(Morethatonceaday).вэтомслучаеотмечаемвремяи переносимцифрывправуюколонкуприпомощикнопкиAdd.к сожалению,нетвозможностиназначитьболеегибкоерасписание,например,чтобыкопиисоздавалисьтольковрабочиедни (хотяможноприбегнутькуслугампланировщиказаданий).

затем предлагается выбрать конечный носитель. в строке recommended disk size выдается рекомендуемый размер носителя.

врежиме Backup Once, в окне выбора источника, есть дополнительный флажок «включить восстановление системы» (enable system recovery). По умолчанию он активирован; в резервную копию будет включены: загрузочный том, том операционной системы и для контроллера домена — том с каталогом SySVOL.

если предложенный диск не подходит, можно вывести весь список, нажав «показатьвседоступныедиски»(show All Available disk).

создавать копию на рабочем томе нельзя. При выборе раздела жесткого диска появится предупреждение о том, что он будет отформатирован, а вся информация будет утеряна. также в целях безопасности этот раздел не будет виден в «Проводнике». сам процесс форматирования и формирования задания начнется после нажатия на кнопку Finish.

При повторном запуске мастера в режимеBackupSchedule будет предложено либо изменить текущее задание, либо остановить задачу. в режиме Backup Once можно сразу создать резервную копию с параметрами, указанными в активном задании (the same options …), или со своими установками

(different options).

узнать, когда было выполнено или запланировано следующее задание, можно в окне консоли. кроме этого, запись о проведенном копировании и его результат заносятся в журнал event viewer. Имеет смысл указать в настройках, чтобы event viewer отправлял сообщение о важных событиях по электрон-

ной почте. для этого двойным щелчком выбираем событие, затем в появившемся окне в поле Actions нажимаем Attach task to this events. далее — мастер нам в помощь. на третьем шаге Action отмечаемSendane-mail— и в следующем окне заполняем данные для отправки сообщения.

воССтановление СиСтемы

мастер восстановления запускается из окна server Backup нажатием ссылки recover. его работа напоминает Backup Wizard, только здесь все наоборот. сначала указываем, на какой компьютер будем восстанавливать данные, затем — дату создания резервной копии. мастер предложит указать тип восстановления: каталоги и файлы, приложения или том и, наконец, сам восстанавливаемый объект. При необходимости можно задать дополнительные параметры: восстановить объект в другое место, сохранить старые файлы и т.д. все это выбирается на предпоследнем шаге. После подтверждения выбора мастер начнет работу.

Программа архивирования поддерживает и автоматическое восстановление системы, для чего используется среда Winre (Windows recovery environment). Поэтому, если система не загружается, следует использовать установочный диск, в меню которого выбрать пункт «восстановление системы» (repair your computer). После чего будет предложено три варианта действий. нас интересует «Полное восстановление компьютера Windows» (Windows complete Pc restore). как вариант, можно загрузиться и восстановить систему в командной строке. далее Winre предложит выбрать резервную копию, из которой будет производиться восстановление.

в списке появятся все копии, которые будут найдены на диске, но можно указать и любой другой источник. При необходимости мастер восстановления позволит переразметить диск и отформатировать разделы. Подтверждаем свой выбор и ждем, пока закончится процесс восстановления.

заключение

несколько раз прогнав весь процесс, ты быстро освоишься с новыми функциями и настройками. ничего сверхсложного здесь нет, поэтому проблем с восстановлением Ad и данных на Win2k8 у тебя, скорее всего, не будет. z

info

•чтобы создавать резервную копию на любой раздел диска, заведи в реестре ключ hkey_lOcAl_ MAchine\systeM\ currentcontrolset\ services\wbengine\ systemstateBackup

с параметром

AllowssBtoAnyvolume,

типом dWOrd и значением «1».

•Изменить размер любого раздела можно в консоли «управление дисками» (disk Management).

•для удобства работы в event viewer можно настроить отправ-

ку e-mail о важных событиях.

сергей «griNder» яреМЧуК

/ grinder@ua.fm /

вСе поделим поровну

ситуация,когдаодинканалнужносправедливоразделитьмеждупользователями,отнюдьнередкость.вsquidрегулировкапропускнойспособностиканалапроизводитсяприпомощипулов.занастройкиотвечаетгруппапараметров «Delaypools».большинствопараметровэтойсекциитребуюткомпиляции squidсопцией--enable-delay-pools.Поумолчанию—такиесть.узнать параметрысборкиустановленногоsquidможно,введякомандуsquid -v.

Принцип ограничения скорости прост. каждый запрашиваемый объект сначала попадает в буфер, а только затем передается клиенту. каждый пул определяется двумя параметрами: скоростью заполнения и размером буфера. если объем данных меньше размера буфера, то клиент получает их с максимальной скоростью, но при достижении лимита информация будет

выдаваться в соответствии с установками. По мере опустошения пула squid будет получать остальную часть запрашиваемой информации.

>>

ХАКЕР

Теперь для доступа к Squid нужно ввести пароль

Скорость заполнения пула зависит от класса. Для каждого пула при помощи delay_classдолжен быть установлен один из пяти классов (до версии 2.6

— один из трех):

1— ограничения действительны для всех;

2— действуют общие ограничения, плюс индивидуальные ограничения для отдельных хостов (биты 25 — 32 сетевого адреса); 3—действуютобщиеограничения,плюсиндивидуальныеограничениядля сетей(биты17—24)иотдельныххостов(биты17—32);

4— все, что определено в классе 3, плюс введены ограничения для конкретного пользователя; 5— запросы группируются в соответствии с их тегами, определенными при помощи external_acl.

Отсюда можно сделать вывод, что чем выше класс, тем через большее количество ограничений проходит соединение. Так, для четвертого класса сначала действуют общие ограничения, затем — ограничения подсети, отдельного узла и, наконец, для пользователя. Не стоит ожидать, что пользователь получит четко прописанную часть канала, если его подсеть выбрала свой лимит.

Класс для пула задается при помощи параметра delay_class, аргументами которого являются номер пула и номер класса. Количество пулов задается параметром delay_pools. Например, создадим два пула и определим для каждого из них свой класс. Для этого прописываем в squid. conf следующие строки:

#vim/etc/squid/squid.conf

#Задаем списки доступа, по которым будем распределять юзеров по пулам

acl office src 192.168.1.0/24 acl office2 src 192.168.2.0/24 acl user src 192.168.1.20/32 acl boss src 192.168.1.12/32

Принадлежность пользователей к пулу задается при помощи delay_ access. Его синтаксис напоминает http_access:

delay_access pool allow/deny ACL

Поиск пула для конкретного адреса будет происходить только до перво-

SARG покажет все сайты, где побывал юзер

го совпадения, поэтому при объявлении пулов необходимо соблюдать нужный порядок. В одной строке следует использовать только один ACL. Если прописать их несколько, в пул попадет только первый. Также, как и в http_access, чтобы в него не попал «лишний» адрес, каждый пул следует закрывать при помощи конструкции deny all.

delay_access 1 allow office delay_access 1 allow user delay_access 1 deny all delay_access 2 allow office2 delay_access 2 allow boss delay_access 2 deny all

http_access allow office office2 boss user http_access deny all

В первый пул включены клиенты, описанные в ACL officeи user, во второй — office2и boss. Важно помнить, что ACL, не указанные в delay_access, будут выходить в Сеть без ограничений. При помощи delay_parametersзадаем ограничения по скорости для каждого пула. В зависимости от класса пула количество аргументов будет различным. Для четвертого класса полный формат записи выглядит так:

delay_parameters пул общий сеть индивидуальный_пользователь

Соответственно,втретьемклассенеиспользуетсяпоследнийаргумент,а вовторомотсутствуют«сеть»и«пользователь».Количествопардолжно соответствоватьклассу.Есличто-топропустить,сквидоткажетсяработать. Ограничениянакаждойизпозицийсостоятизпарыскоростьзаполнения/ объемпула.Значенияздесьуказываютсявбайтах,аскоростьпровайдеры считаютвбитах.Впозициях,вкоторыхнетограничений,устанавливаем-1:

delay_parameters 1 16000/16000 8000/8000 delay_parameters 2 32000/32000 -1/-1 16000/16000

Для первого пула установлено общее ограничение в 128К и 64К для индивидуального адреса. Для второго общее ограничение — 256К; лимита на подсеть нет, но есть установка для отдельного IP-адреса. Для каждого пула должна быть только одна строка delay_parameters.

Используя различные типы acl (смотри zза май этого года), можно ввести ограничения по времени, протоколам, типу файлов и др. Например, при помощи такой конструкции легко ограничить скорость любителям качать мультимедиа:

ХАКЕР.PRO

acl USERS proxy_auth REQUIRED http_access allow USERS http_access deny all

auth_param /usr/lib/squid/ncsa_auth /etc/ squid/passwd

auth_param children 5

auth_param basic realm Squid proxy-caching web server

auth_param basic credentialsttl 2 hours

В первых трех строках объявлен новый acl и при помощи http_access разрешен доступ для всех клиентов, входящих в данный список. Значение REQUIRED указывает на то, что любой пользователь, прошедший аутентификацию, будет допущен. Как вариант, здесь можно прописать конкретные логины. В строке ниже указываем программу для аутентификации и расположение файла паролей. В разных дистрибутивах месторасположение ncsa_auth отличается. Найти его просто:

$ dpkg -L squid3 | grep ncsa_auth

Или — для RPM:

# rpm -ql squid | grep nsca_auth

Параметр childrenпозволяет задать максимальное количество процессов, используемых для аутентификации. Небольшое количество процессов может ее замедлить. Используя realm, определим сообщение Squid, выводимое юзеру в окне ввода пароля. В принципе, текст здесь можно ввести и на русском, но то, как он будет выведен пользователю — зависит от настроек браузера. И, наконец, credentialsttl указывает время кэширования пароля.

Файл паролей создается при помощи утилиты htpasswd, которая входит в состав пакета Apache. Создадим пользователя grinder:

$ sudo htpasswd -c /etc/squid/passwd grinder New password:

Re-type new password:

Adding password for user grinder

Напомню, что ключ –сиспользуется только однажды (для создания файла). В дальнейшем добавляем учетные записи с ключом -b. Для удобства пароль можно указывать прямо в командной строке:

$ sudo htpasswd -b /etc/squid/passwd user 123456

Перезапускать Squid при изменении списка пользователей не требуется. Чтобы никто другой не мог получить доступ к файлу паролей, следует установить соответствующие права:

$ sudo chmod 440 /etc/squid/passwd

$ sudo chown squid:squid /etc/squid/passwd

Пробуем подключиться к прокси-серверу. Чтобы не вводить каждый раз логин и пароль, их можно указать в настройках клиентского браузера.

Аутентификация в AD с LDAP

При наличии Active Directory или сервера каталогов оптимальным вариантом будет использование единого

>>

ХАКЕР

Анализатор логов lightsquid

хранилища. При большом количестве пользователей такой вариант упрощает администрирование, — не нужно для каждого юзера создавать еще и учетную запись на прокси. для работы с Ad есть две

схемы: аутентификация с использованием kerberos + Samba (winbind) или получение информации об учетных записях при помощи ldAP. Первый вариант считается официальным и подробно расписан на сайте проекта (wiki.squid-cache.org/configexamples/WindowsAuthen ticationntlM). Поэтому будем разбираться со вторым. это несколько более универсальный способ, так как его можно использовать с любым ldAP-сервером, вроде OpenLDap. для работы через ldAP следует завести отдельную учетную запись (пусть это будет squidproxy). Причем, для Ad можно использовать учетную запись с минимумом привилегий. домен для примера возьмем domain.com.

для начала проверяем, видит ли модуль squid_ldap_authнаш сервер:

$/usr/lib/squid3/squid_ldap_auth -v 3 -b "cn=squidproxy,dc=domain,dc=com" -f "uid=%s" domain.com

вответ на запрос вводим строку в виде — «пользователь пароль». если получаем Ok, можно идти дальше. вместо имени контроллера домена можно указать его iP-адрес. второй вариант проверки — с помощью утилиты поиска ldapsearch, которая входит в пакет ldap-utils. При подключении к Ad можно использовать вместо «cn=squidpr oxy,dc=domain,dc=com» более удобный вариант записи в виде squidproxy@domain.com. в Ad имя учетной записи получается при помощи «sAMAccountName=%s», а в ldAP используем «cn=%s».

других отличий нет.

если планируется аутентификация не только по пользователям, но и по группе, проверяем доступность групп:

настройка прокси в миранде