Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Релиз OpenBSD 5.2, opennews (??), 02-Ноя-12, (0) [смотреть все] Великолепные проги,отлаженная,отточенная,продуманная система Вот только никомуне, left (?), 15:54 , 02-Ноя-12, (3) –16 // Благодаря им у нас есть и openssh, и многое другое У вас странные понятия о разд, бедный буратино (ok), 16:11 , 02-Ноя-12, (6) +14   // Заметим, что переусложенный и навороченный и поэтому фигово поддающийся аудиту , Аноним (-), 16:21 , 02-Ноя-12, (11) –4   // Да, что-то перенаворатили они его В результате если его просто вывесить на стан, Аноним (-), 18:20 , 02-Ноя-12, (43) –1   fail2ban , Аноним (-), 21:36 , 02-Ноя-12, (50)   pf, mitiok (ok), 22:18 , 02-Ноя-12, (52)   У меня iptables Он конечно справляется с отстрелом уродов, но если уж в этот ме, Аноним (-), 22:27 , 02-Ноя-12, (54)   Это уже обсуждалось много раз, и, по-видимому, до вас никогда не дойдёт Но для , PereresusNeVlezaetBuggy (ok), 20:34 , 03-Ноя-12, (67) +3   В данном случае она и вынуждает как раз расход му ком-брутфорсером ресурсов н, Аноним (-), 21:04 , 03-Ноя-12, (75) +1   Опять между строк читаете Нагрузка на сервер за счёт SSH _предсказуема_ В отлич, PereresusNeVlezaetBuggy (ok), 21:43 , 03-Ноя-12, (82) +1   Это не чтение между срок Это лишь капитанинг основанный на опыте администрирова, Аноним (-), 07:50 , 13-Ноя-12, (113) –1   Нет, вы действительно не читаете внимательно то, что вам пишут, а слушаете тольк, PereresusNeVlezaetBuggy (ok), 13:37 , 13-Ноя-12, (119)   есть это всё просто автор исходного сообщения либо не знает не умеет, либо трол, сержант Скотч (?), 14:55 , 09-Ноя-12, (108)   Ну да, ну да, встроить файлтрансфер и какие там еще пробросы портов с впн, нужны, Аноним (-), 22:25 , 02-Ноя-12, (53) –1   По себе других не судите Проброс портов - жизненноважная вещь Между прочим, по, PereresusNeVlezaetBuggy (ok), 20:38 , 03-Ноя-12, (68)   Мне это нужно как рыбке зонтик в водной среде Особенно на серверах, где у меня , Аноним (-), 21:14 , 03-Ноя-12, (76)   Вот-вот Мне не нужно, значит, никому не нужно Гениально То, что другим это , PereresusNeVlezaetBuggy (ok), 22:03 , 03-Ноя-12, (85) –1   Просто есть нужная вообще почти всем хрень типа отстрела уродов, а есть нужная р, Аноним (-), 08:21 , 13-Ноя-12, (117) –1   BTW, а какие вы знаете альтернативные адекватные т е , FTPS не предлагать сред, PereresusNeVlezaetBuggy (ok), 22:26 , 03-Ноя-12, (89)   Да как г-на От rsync в котором простейшее шифрование встроено до например HTTPS, Аноним (-), 07:52 , 13-Ноя-12, (114)   кретин какой-то и socks и проброс портов в обе стороны используется не то ч, Валера (??), 22:42 , 04-Ноя-12, (102) –1   Вот только все это впном делается не в пример прямее и проще и в целом менее кри, Аноним (-), 07:53 , 13-Ноя-12, (115)   А не просветит кто-нибудь знающий, код драйверов и общие улучшения в разных подс, G.NercY.uR (?), 15:56 , 02-Ноя-12, (4) // Иногда, по мере интереса необходимости pf, например, во FreeBSD синхронизируют , andy (??), 16:10 , 02-Ноя-12, (5) // уже нет и pf сейчас по fbsd по ядрам масштабируется в head а причем тут ipfw , тигар (ok), 16:34 , 02-Ноя-12, (18) // Притом, что если fbsd развивает что-то свое, то логично предположить, что от сто, andy (??), 18:19 , 02-Ноя-12, (41) я надеюсь, что для Вас не является Тайной то, ipfw развивается давно, однако это, тигар (ok), 18:27 , 02-Ноя-12, (44) +3 когда 10ку зарелизят - посмотрим покаpf smp-friendly у народа паникует это как , сержант Скотч (?), 15:13 , 09-Ноя-12, (109) Тащемта на сайте опенбсдшников идеология разработки подробно и в деталях выражен, Аноним (-), 16:12 , 02-Ноя-12, (7) // Да Вот только идеологии ORACLов,судя по распространённости и комерческому успеху, left (?), 16:21 , 02-Ноя-12, (10) –2 // Мера успешности не-BSD проекта - собственный успех Мера успешности BSD проекта -, Аноним (-), 16:24 , 02-Ноя-12, (14) +3 Чьей реальности И у OpenBSD нет целей стать коммерчески успешным проектом , Аноним (-), 17:48 , 02-Ноя-12, (28) Он и некомерчески не особо успешен Нет,действительно,для чего разрабытратят врем, left (?), 17:56 , 02-Ноя-12, (30) –2 Ну, нравится людям программировать У Тео есть свои взгляды Ну на что-то такое , Аноним (-), 18:17 , 02-Ноя-12, (40) С чего Вы так решили , Аноним (-), 03:14 , 03-Ноя-12, (63) –1 Он некомерчески не особо успешен уже 17 лет Ничо так загнивание Даже катастр, PereresusNeVlezaetBuggy (ok), 20:40 , 03-Ноя-12, (69) Ну вон Minix тоже не коммерческий успех уже который год ловит Замечу что понач, Аноним (-), 21:17 , 03-Ноя-12, (77) +1 Дык Minix и позиционируется как полигон для студентов и научных работников бр-р, PereresusNeVlezaetBuggy (ok), 22:08 , 03-Ноя-12, (86) Да, если это чуть ли не единственная операционка которую тебе сватают да еще за , Аноним (-), 07:55 , 13-Ноя-12, (116) Песня посвященная выпуску http www openbsd org lyrics html 52Linux, the one an, Аноним (-), 16:14 , 02-Ноя-12, (8) // то ли детство, то ли батхерт, то ли зависть то ли всё вместе примерно как в с, ананим (?), 16:22 , 02-Ноя-12, (12) +2 // Бессмысленно объяснять такие вещи бедным обиженным детям Тем более, что очевидно, Аноним (-), 16:27 , 02-Ноя-12, (15) +1 Нормальная такая ирония, классная песня Это вам не обезьяны Только я не понял,, бедный буратино (ok), 16:37 , 02-Ноя-12, (19) // Ирония Странно что она не про мс, эппл, андроид наконец зыжДело то не в песен, ананим (?), 17:07 , 02-Ноя-12, (23) +1 Зачем им создавать лишнюю рекламу Microsoft даже этот ну как его там Lin, бедный буратино (ok), 17:11 , 02-Ноя-12, (24) +1 Да уж, незачет А они этот обложенный патентами кодек у себя по дефолту в систем, Аноним (-), 18:16 , 02-Ноя-12, (38) –1 На их сайте две ссылки, mp3 и ogg Непонятно, почему автор сообщения выбрал mp3 , бедный буратино (ok), 18:19 , 02-Ноя-12, (42) +2 Потому что дали дураку выбор, он и выбрал Правда накукуй ему эта бсд при таком , Аноним (-), 22:34 , 02-Ноя-12, (55) –1 Я оставил ссылку на mp3 потому как она шла на сайте первой Вот и все , Аноним (-), 15:18 , 03-Ноя-12, (66) Я поюзал винду потому что она на ноуте шла по дефолту Чья логика , Аноним (-), 21:18 , 03-Ноя-12, (78) Так у кого там баттхерт , Хвост (?), 23:47 , 03-Ноя-12, (91) бсд и вантуз - близнецы-братья судя по фонатам бсд, а оттуда и любовь ко всяким , kurokaze (ok), 15:18 , 04-Ноя-12, (98) +2 Доброго времени Большая просьба читать первоисточники, по мере возможностей Спас, a (??), 18:17 , 02-Ноя-12, (39) +4 Когда уже в этой самой безопасной системе появится нормальный мандатный контро, Аноним (-), 16:18 , 02-Ноя-12, (9) +1 // Когда придумают такую реализацию MAC, которая не будет создавать проблем более с, PereresusNeVlezaetBuggy (ok), 20:48 , 03-Ноя-12, (70) +3 // Разверни-ка , vle (ok), 01:24 , 07-Ноя-12, (104) Где это реально применяется Нет, ну я много слышал что это самая безопасная сист, Аноним (-), 16:24 , 02-Ноя-12, (13) +2 // На самом деле, безопасности OpenBSD - примерно как стабильность Ubuntu Заклинан, Аноним (-), 16:29 , 02-Ноя-12, (16) –7 // Вам бы лишь бы сказать Помимо тестирования, все нормальные люди просто вспомнят, Nirnroot (?), 17:02 , 02-Ноя-12, (21) +1 Как стабильность дебиана Много легенд, но рекеить машины все-таки пришлось д, Аноним (-), 18:14 , 02-Ноя-12, (36) +1 // В какой операционной системе меньше ошибок чем в stable срезе Debian GNU Linux , Аноним (-), 03:18 , 03-Ноя-12, (64) –1 Есть данные что в дебиане бывают всякие беспонтовые ошибки Если хотите по больн, Аноним (-), 21:34 , 03-Ноя-12, (79) –1 Чем меньше - тем безопасней IMHO , Ilyx (?), 17:07 , 02-Ноя-12, (22) +1 http www openbsd org users htmlТам всё есть В краткой форме кто и для чего , sanDro (ok), 17:50 , 02-Ноя-12, (29) +1 обычно делают с OpenBSD фаерволл, а так я ставил OpenBSD и ставил XFCE4 браузе, IMHO (?), 18:04 , 02-Ноя-12, (31) // чтобы при росте нагрузки узнать что он не умеет масштабироваться на несколько, Аноним (-), 22:36 , 02-Ноя-12, (56) +1 // Для крупного ISP - да, это может быть проблемой Для прочих - как-то не очень , PereresusNeVlezaetBuggy (ok), 20:50 , 03-Ноя-12, (71) Как бы от набора правил и их количества зависит Хотя конечно можно утверждать ч, Аноним (-), 21:39 , 03-Ноя-12, (80) +1 В PF как раз есть такая штука, как встроенный оптимизатор Который после загрузк, PereresusNeVlezaetBuggy (ok), 22:15 , 03-Ноя-12, (87) или увеличивает When pfctl 8 encounters a list during loading of the ruleset, , сержант Скотч (?), 15:32 , 09-Ноя-12, (110) gt оверквотинг удален Гм Не путайте сокращённую запись правил с самими правил, PereresusNeVlezaetBuggy (ok), 11:26 , 15-Ноя-12, (121) Хеш таблица хеш-таблице рознь, никто не мешает в случае коллизий использовать ст, vle (ok), 13:07 , 15-Ноя-12, (122) Французская команда коммитеров они же поддерживают порты GNOME 3 и XFCE на опён, PereresusNeVlezaetBuggy (ok), 20:53 , 03-Ноя-12, (72) кхм-кхм, а раньше что, потоки однопоточные были что ли , Аноним (-), 16:33 , 02-Ноя-12, (17) // Шедулинг тредов в одном процессе какой-то внутренней механикой в принципе ничему, Аноним (-), 18:13 , 02-Ноя-12, (35) Раньше, с точки зрения ядра, один фактический поток выполнения равнялся одному п, PereresusNeVlezaetBuggy (ok), 20:58 , 03-Ноя-12, (73) // Обалдеть, оказывается более-менее нормальная реализация потоков для кого-то еще , Аноним (-), 21:40 , 03-Ноя-12, (81) +1 // Не судите, да не судимы будете Сколько реализаций pthreads на вашей совести , PereresusNeVlezaetBuggy (ok), 22:19 , 03-Ноя-12, (88) Вдогонку, кому интересно http www openbsd org papers eurobsd2012 guenther-rth, PereresusNeVlezaetBuggy (ok), 22:58 , 03-Ноя-12, (90) Респект разработчикам, огромную работу проделали Не то что FreeBSD Отдельный , soko1 (ok), 17:00 , 02-Ноя-12, (20) –3 // а что не так в FreeBSD еще вчера была новость на лоре, а на опеннете как всегд, IMHO (?), 18:06 , 02-Ноя-12, (32) –2 // Ну так вы же их не пишете Если все вокруг в г-не, может быть это b ты b обо, Аноним (-), 18:09 , 02-Ноя-12, (34) +1 // ага, да тут бывают новости как и ваш постесли я не интересуюсь атомной физикой, , IMHO (?), 18:15 , 02-Ноя-12, (37) –1 Так у вас все карты на руках Если вам нравится нечто и вы мониторите развитие э, Аноним (-), 22:44 , 02-Ноя-12, (57) +1 На фоне Net Open DragonflyBSD фрибсдшники стали делать менее всего работы, кроме, soko1 (ok), 19:21 , 02-Ноя-12, (46) // у них там сейчас идет все к стабильности, и так если почитать про изменения то т, IMHO (?), 19:46 , 02-Ноя-12, (47) –1 Пацан к успеху шел , Аноним (-), 22:48 , 02-Ноя-12, (59) +1 Наконец-то Отличный перевод , 12345 (??), 17:27 , 02-Ноя-12, (25) –1 // Вообще-то по-русски watchdog - сторожевой таймер , dq0s4y71 (??), 20:18 , 02-Ноя-12, (49) +1 , ВовкаОсиист (ok), 17:37 , 02-Ноя-12, (26) +1 // KDE 4 9 2 и TDE 3 5 13 1 доступны в полуофициальном дереве портов openbsd-wip , PereresusNeVlezaetBuggy (ok), 21:04 , 03-Ноя-12, (74) Нифига себе название сторожевого пса W таймера Оно даже на русском языке жуткий, Аноним (-), 18:07 , 02-Ноя-12, (33) Тут по-быстрому просканировал nmap-ом все известнейшие сайты-OpenBSD встречается, left (?), 20:00 , 02-Ноя-12, (48) // Может сканировал их периметровые OpenBSD файрволы, за которыми спрятан, защищен , Алексей (??), 00:13 , 03-Ноя-12, (60) +1 // Выходит,что так Вообще,к слову,nmap ведёт себя странно Но то,что выдавался имен, left (?), 00:30 , 03-Ноя-12, (61) // Вообще, надежность детектирования операционки у нмапа - невысокая, скажем так О, Аноним (-), 21:44 , 03-Ноя-12, (83) nmap -sV -O -v oracle comStarting Nmap 5 00 http nmap org at 2012-11-04 00, a (??), 20:06 , 04-Ноя-12, (100) Вероятно сканируешь близлежащие хосты Akamai, которые неспециально оказались Ope, filosofem (ok), 20:52 , 04-Ноя-12, (101) +1 вот линуходы наезжают на бзди, но у самих линуксы то один фиг пальцем деланы по, Аноним (-), 21:53 , 02-Ноя-12, (51) // Это довольно мелкий напильник А вот занапилить какой-нибудь драйвер карточек AM, Аноним (-), 22:47 , 02-Ноя-12, (58) // xf86-video-ati и xf86-video-vesa кто-нибудь уже запретил в BSD , iZEN (ok), 00:38 , 03-Ноя-12, (62) –1 // Да, с HD7XXX они не работают , Аноним (-), 03:20 , 03-Ноя-12, (65) +1 Во первых они там доKMSной эпохи и поэтому то как оно работает - оставляет желат, Аноним (-), 21:47 , 03-Ноя-12, (84) +1 Да это и намного интереснее, чем очередной Болгенос делать читай мелкий напильн, Аноним (-), 12:24 , 13-Ноя-12, (118) Почему-то автор статьи пропустил в списке программ сторонних разработчиков Nginx, Александр (??), 07:10 , 04-Ноя-12, (92) // Релиз OpenBSD 5.2, a (??), 12:56 , 04-Ноя-12, (93) // Виноват, не заметил Обратил внимание на то, что nginx отсутствует в списке ПО п, Александр (??), 13:14 , 04-Ноя-12, (94) Ну да, сборка nginx из портов - ключевое свойство OpenBSD , м ирот (?), 14:35 , 04-Ноя-12, (95) +1 // nginx по-прежнему есть и в портах, т к для базового компонента отключен ряд, PereresusNeVlezaetBuggy (ok), 15:18 , 04-Ноя-12, (97) Решил посмотреть, тявкнули ли они что нибудь в адрес Линукса их комплекс неполн, kurokaze (ok), 15:17 , 04-Ноя-12, (96) –2 // На официальный комментарий к песне возразить т е , по существу нечего Речь уж, PereresusNeVlezaetBuggy (ok), 15:40 , 04-Ноя-12, (99) +5 // А что Linux Это созданная IBM дубинка для конкурентов Досталось sco,sun,microsof, left (?), 23:12 , 04-Ноя-12, (103) // Кто не допустит IBM Глупости http www-03 ibm com systems hardware browse linu, Пр0х0жий (ok), 13:53 , 07-Ноя-12, (105) А вы поищите System p с Linux aka PowerLinux в продакшене Везде AIX С чего бы та, left (?), 12:04 , 08-Ноя-12, (107) Поискал http ua opennet ru openforum vsluhforumID3 85620 htmlhttp www-01 ibm, Пр0х0жий (ok), 06:12 , 13-Ноя-12, (111) Авторизованные реселлеры по критериям По всему миру Power Systems IBM Syste, Пр0х0жий (ok), 07:34 , 13-Ноя-12, (112) Много эмоций, но сказано хорошо Возразить нечего Вообще складывается ощущение, , Пр0х0жий (ok), 03:03 , 14-Ноя-12, (120) +1 kde 3 5 10, качать и ставить, Аноним (-), 07:44 , 08-Ноя-12, (106) 3,4,8,9,13,17,20,25,26,33,48,51,92,96,106

Сообщения

[Сортировка по времени | RSS]

	6. "Релиз OpenBSD 5.2"	+14 +/–
	Сообщение от бедный буратино (ok), 02-Ноя-12, 16:11
	Благодаря им у нас есть и openssh, и многое другое. У вас странные понятия о разделении ролей. Как в примитивных стратегиях, когда из 100 ягод можно построить солдата, нужно только активно производить эти ягоды. Или если в науке всем уйти в самую модную и прибыльную науку, и развивать только её.
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Релиз OpenBSD 5.2"	–4 +/–
	Сообщение от Аноним (-), 02-Ноя-12, 16:21
	> Благодаря им у нас есть и openssh, и многое другое. Заметим, что переусложенный и навороченный (и поэтому фигово поддающийся аудиту) комбайн OpenSSH, хотя и сделан опенбсдшниками, не очень-то соответствует их идеологии. Но народ любит комбайны, потому что они удобны. А "многое другое" (всякие openntpd, openbgp) очень малопопулярно за пределами мира {Free,Open}BSD.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Релиз OpenBSD 5.2"	–1 +/–
	Сообщение от Аноним (-), 02-Ноя-12, 18:20
	> Заметим, что переусложенный и навороченный (и поэтому фигово поддающийся аудиту) комбайн > OpenSSH, хотя и сделан опенбсдшниками, не очень-то соответствует их идеологии. Да, что-то перенаворатили они его. В результате если его просто вывесить на стандартный порт - его конечно не сломают с нормальным паролем, но проц он начинает жрать конкретно когда ботики сканируют и долбятся брутфорсом.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Релиз OpenBSD 5.2"	+/–
	Сообщение от Аноним (-), 02-Ноя-12, 21:36
	fail2ban?
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Релиз OpenBSD 5.2"	+/–
	Сообщение от mitiok (ok), 02-Ноя-12, 22:18
	pf
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Релиз OpenBSD 5.2"	+/–
	Сообщение от Аноним (-), 02-Ноя-12, 22:27
	> pf У меня iptables. Он конечно справляется с отстрелом уродов, но если уж в этот мегакомбайн можно засовывать sdtp и впн то наверное и автоотстрел брутфорсеров сделать можно? В общем какая-то странная логика развития у них. Пир во время чумы, как обычно.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Релиз OpenBSD 5.2"	+3 +/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 03-Ноя-12, 20:34
	>> pf > У меня iptables. Он конечно справляется с отстрелом уродов, но если уж > в этот мегакомбайн можно засовывать sdtp и впн то наверное и > автоотстрел брутфорсеров сделать можно? В общем какая-то странная логика развития у > них. Пир во время чумы, как обычно. Это уже обсуждалось много раз, и, по-видимому, до вас никогда не дойдёт. Но для тех, кто пока ещё плохо разбирается в теме и поэтому может поверить пропагандируемой вами ахинее: Глупо пытаться встроить логику контроля подключений в каждое приложение, если только к этому не вынуждает логика протокола (например, виртуальный хостинг в случае HTTP, где разные значения заголовка Host могут определять совсем разные действия и разную нагрузку). Именно фаервол отвечает за контроль над установлением соединений. Поэтому логичнее, проще, естественнее, быстрее и надёжнее в конце концов - контролировать входящие подключения к SSH-серверу именно им. Но нет, это не по-нашему. Если для NetFilter нет mod_banextrasshload (нет ли?); если в NetFilter самом нет аналога "max-src-conn ... max-src-conn-rate ... overload ..." из PF (нет ли?), то это означет не то, что NetFilter несовершеннен - это означает, что следует использовать костыли вроде fail2ban и упрекать авторов популярных программных серверов, что они не смеют изобретать велосипеды. Вот, скажем, логика избегания нехватки файловых дескрипторов должна, увы, реализовываться в каждом приложении по-своему, да. По крайней мере, об изящных универсальных решениях этой проблемы для C лично мне пока не известно. И в этом случае таки да, разработчики OpenSSH, равно как и других компонентов OpenBSD, проделали соответствующую работу. ... Ну а теперь можно ждать очередных попыток сменить тему в духе: "а зато в вашем опёнке...". :)
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Релиз OpenBSD 5.2"	+1 +/–
	Сообщение от Аноним (-), 03-Ноя-12, 21:04
	> Глупо пытаться встроить логику контроля подключений в каждое приложение, если только к > этому не вынуждает логика протокола В данном случае она и вынуждает как раз: расход му...ком-брутфорсером ресурсов на его деятельность IIRC ниже чем расход серваком своих ресурсов на обслуживание этой деятельности. > ... Ну а теперь можно ждать очередных попыток сменить тему в духе: "а зато в вашем опёнке...". :) Зачем? Я вам вашим же вооружением и выдам. Вы сами про протоколы сказали. Как раз вполне уместно относительно SSH, ибо для сервера криптография IIRC более ресурсозатратна чем для клиента в этой схеме. Не говоря уж о том что иной раз припирается сразу несколько брутфорсеров, которые работают на взломанных хостах. И потому совсем не парятся расходом ресурсов, в отличие от НЕвзломанного сервера который активно брутфорсят. Ну да, подумаешь плохо катается на своих квадратных колесах. Зато кондей в салоне есть!
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Релиз OpenBSD 5.2"	+1 +/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 03-Ноя-12, 21:43
	>> Глупо пытаться встроить логику контроля подключений в каждое приложение, если только к >> этому не вынуждает логика протокола > В данном случае она и вынуждает как раз: расход му...ком-брутфорсером ресурсов на > его деятельность IIRC ниже чем расход серваком своих ресурсов на обслуживание > этой деятельности. Опять между строк читаете. Нагрузка на сервер за счёт SSH _предсказуема_. В отличие от приведённого мною примера с HTTP (и то, кстати, с оным не всегда всё так плохо). Поэтому на фаерволе переборщики паролей прекрасно отстреливаются. Если, конечно, выполняются следующие два условия: 1) Речь идёт о переборе паролей с одного или нескольких, но не многих IP-адресов. Однако в противном случае сдуется и fail2ban, и сам SSH-сервер, как и любой другой. Если, конечно, кто-то не придумал способ до прохождения аутентификации отличать "хороших" пользователей от "плохих". ;) Есть, конечно, компромиссные решения, но они так же логичнее рулятся фаерволом, а не изобретаются заново в каждой софтине. 2) Фаервол позволяет производить оный отстрел. PF - родной для проекта OpenBSD, а, следовательно, и для OpenSSH - позволяет. Легко. Жду возмущений "а как же Linux?!". >> ... Ну а теперь можно ждать очередных попыток сменить тему в духе: "а зато в вашем опёнке...". :) > Зачем? Я вам вашим же вооружением и выдам. ... и попали себе в ногу.
	Ответить | Правка | Наверх | Cообщить модератору

	113. "Релиз OpenBSD 5.2"	–1 +/–
	Сообщение от Аноним (-), 13-Ноя-12, 07:50
	> Опять между строк читаете. Это не чтение между срок. Это лишь капитанинг основанный на опыте администрирования. > Нагрузка на сервер за счёт SSH _предсказуема_. Вранье. Зависит от погоды на марсе и настроения ботов-брутфорсеров. Сегодня пусто, а завтра 100500 ботов усиленно перебирают пароли - и ssh жрет ресурсы как не в себя. > В отличие от приведённого мною примера с HTTP Вот знаете, убедить нжинкс или lighttpd так же нагрузить проц у меня вообще ни разу не получалось. Там настолько хардкорно CPU жрать просто нечему. Зато блин всякие качалки файлов, недо-впн и портфорвардеры. Для чего навалом отдельных утилит есть. Более удобных. > 1) Речь идёт о переборе паролей с одного или нескольких, но не многих IP-адресов. Вот, начались галимые отмазки. Не, ну понятно что впн намного круче встроить чем например порткнокер простенький, который бы не давал делать ресурсоемкие операции для автоматизированных уродцев "с улицы". > Однако в противном случае сдуется и fail2ban, и сам SSH-сервер, Вот как раз штуки типа fail2ban могут в принципе посчитать что "идет атака" и вынести всех ее участников понизив порог раздачи банхаммером на время. > как и любой другой. Если, конечно, кто-то не придумал способ > до прохождения аутентификации отличать "хороших" пользователей от "плохих". ;) Portknocking называется, но почему-то народ вынужден его делать на местечковых платформозависимых костылях сам, в то время когда разработчики ssh страдают фигней с впнами и прочим портфорвардом. > Есть, конечно, компромиссные решения, но они так же логичнее рулятся фаерволом, а не > изобретаются заново в каждой софтине. Если софтину приходится защищать файрволом - это индикатор того что софтиан ненадежная. Нет, лишний рубеж обороны это хорошо. Просто за ним не должны быть неженки и лузеры. > 2) Фаервол позволяет производить оный отстрел. PF - родной для проекта OpenBSD, > а, следовательно, и для OpenSSH - позволяет. Легко. Жду возмущений "а как же Linux?!". Да он тоже позволяет, но с таким же успехом у меня и утилиты для передачи файлов и создания впнов есть, знаете ли, без всяких костылей в ssh. >> Зачем? Я вам вашим же вооружением и выдам. > ... и попали себе в ногу. Чего бы это ради?
	Ответить | Правка | Наверх | Cообщить модератору

	119. "295"	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 13-Ноя-12, 13:37
	>> Опять между строк читаете. > Это не чтение между срок. Это лишь капитанинг основанный на опыте администрирования. Нет, вы действительно не читаете внимательно то, что вам пишут, а слушаете только себя. Вернее, может, и читаете, но в ваших комментариях это не отражается... >> Нагрузка на сервер за счёт SSH _предсказуема_. > Вранье. Зависит от погоды на марсе и настроения ботов-брутфорсеров. Сегодня пусто, а > завтра 100500 ботов усиленно перебирают пароли - и ssh жрет ресурсы > как не в себя. ... А вот и наглядное доказательство. В третий раз, для самых маленьких: SSH даёт предсказуемую нагрузку для каждого клиента. Объём и характер вычислений на этапе установления соединения _одинаковый_ для любого клиента (с оговорками про разные виды ключей, перебор публичных ключей и т.д., но это в описываемой ситуации не принципиально). Как следствие, _можно_ прогнозировать, какое количество одновременных подключений можно держать максимально. В случае с тем же HTTP этого сделать _нельзя_: потому что усилия, которые прилагает сервер для отдачи статической картинки не сравнимы с теми, которые нужны для переработки тяжёлого скрипта. >> В отличие от приведённого мною примера с HTTP > Вот знаете, убедить нжинкс или lighttpd так же нагрузить проц у меня > вообще ни разу не получалось. Там настолько хардкорно CPU жрать просто > нечему. Зато блин всякие качалки файлов, недо-впн и портфорвардеры. Для чего > навалом отдельных утилит есть. Более удобных. Это вы тоже говорите, основываясь на опыте администрирования? Если вы не видели, как может быть перегружен (на абсолютно легальной нагрузке) nginx, то говорить об опыте просто сме-шно. Ещё раз: User294, вы сме-шны. Причём смешны в самом противном смысле. Вы даже про HTTPS не подумали и сравниваете нешифрованный трафик с шифрованным... Сме-шно. И противно. >> 1) Речь идёт о переборе паролей с одного или нескольких, но не многих IP-адресов. > Вот, начались галимые отмазки. Не, ну понятно что впн намного круче встроить > чем например порткнокер простенький, который бы не давал делать ресурсоемкие операции > для автоматизированных уродцев "с улицы". Про port knocking мы с вами тоже не раз беседовали. И до вас так же до сих пор не дошло, что это одна из худших идей, которые приходили когда-либо кому-то в голову. Ещё раз (не для вас - это явно бесполезно - а для других) объясняю, почему: 1. Port knocking заметно сужает класс устройств, которыми вы можете воспользоваться. Не говоря о том, что в некоторых случаях у вас может не быть возможности стучаться на сторонние порты. 2. Даже если принять его за эффективную меру (а в случае целенаправленной атаки это не совсем так), опять-таки, вы предлагаете реализовывать его в каждом сетевом приложении? Ведь ЛЮБОЕ приложение может, при соответствующем использовании, нагрузить систему. Отстрел лишних подключений - задача фаервола, это он работает на L3 OSI. >> Однако в противном случае сдуется и fail2ban, и сам SSH-сервер, > Вот как раз штуки типа fail2ban могут в принципе посчитать что "идет > атака" и вынести всех ее участников понизив порог раздачи банхаммером на > время. Ага, щаз. И как fail2ban отличит легального админа от зомбо-компа из того же города? Ещё раз: пока не прошла аутентификация, вы не можете наверняка сказать, кто это подключается, легальный пользователь или нет. А если можете, то только на основании IP-адреса. А резать коннекты по IP-адресам, опять-таки, логичнее и удобнее на фаерволе. >> Есть, конечно, компромиссные решения, но они так же логичнее рулятся фаерволом, а не >> изобретаются заново в каждой софтине. > Если софтину приходится защищать файрволом - это индикатор того что софтиан ненадежная. Кажется, вы всё-таки не прикидываетесь. Увы. Фаервол должен выполнять свои обязанности, софт - свои. Задача софта - обеспечивать требуемую функциональность, отвечая за неё. Задача фаервола (среди прочего) - не заставлять софт заниматься посторонними делами. > Нет, лишний рубеж обороны это хорошо. Просто за ним не должны > быть неженки и лузеры. Вот только подтвердить свои слова про неженок и лузеров у вас не получается. Ну или записать в них весь софт на свете. >> 2) Фаервол позволяет производить оный отстрел. PF - родной для проекта OpenBSD, >> а, следовательно, и для OpenSSH - позволяет. Легко. Жду возмущений "а как же Linux?!". > Да он тоже позволяет, но с таким же успехом у меня и > утилиты для передачи файлов и создания впнов есть, знаете ли, без > всяких костылей в ssh. Это какие? Про передачу файлов - rsync, авторы которого сами не рекомендуют открывать доступ по "родному" протоколу в недоверенной сети? Сме-шно. >>> Зачем? Я вам вашим же вооружением и выдам. >> ... и попали себе в ногу. > Чего бы это ради? Может, вы мазохист. Или, что более очевидно, унылый тролль. Который никак не хочет понять, что слил по-крупному. Счастливо оставаться.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Релиз OpenBSD 5.2"	+/–
	Сообщение от сержант Скотч (?), 09-Ноя-12, 14:55
	> если в NetFilter самом нет аналога "max-src-conn ... max-src-conn-rate ... overload есть это всё. просто автор исходного сообщения либо не знает/не умеет, либо троллит. > ..." из PF (нет ли?), то это означет не то, что > NetFilter несовершеннен - это означает, что следует использовать костыли вроде fail2ban > и упрекать авторов популярных программных серверов, что они не смеют изобретать > велосипеды. а чего костыли? я бы предпочёл отдельный лог, в который падают сообщения, допустим, в json {"host": "10.55.44.23", "type": "bforce", "user": "vasya"} вполне очевидно, что нужен какой-то протокол для взаимодействия с пакетным фильтром. пока всё это выражается в костыли типа fail2ban вокруг логов. конечно, неплохо туда timestamp добавить, pid процесса.
	Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

	53. "Релиз OpenBSD 5.2"	–1 +/–
	Сообщение от Аноним (-), 02-Ноя-12, 22:25
	> fail2ban? Ну да, ну да, встроить файлтрансфер и какие там еще пробросы портов с впн, нужные спасибо если раз в год в суперкомбайн можно, а вот защиту от уродов сделать, чтобы можно было безопасно вывешивать на стандартный порт - не, ну что вы, юзайте внешний костыль на питонятине или что у нас там еще.
	Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

	68. "Релиз OpenBSD 5.2"	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 03-Ноя-12, 20:38
	>> fail2ban? > Ну да, ну да, встроить файлтрансфер и какие там еще пробросы портов > с впн, нужные спасибо если раз в год По себе других не судите. Проброс портов - жизненноважная вещь. Между прочим, посредством такого же проброса вы на халяву имеете возможность _защищённого_ терминального запуска любого X-приложения на удалённой машине при работе с окнами этого приложения локально... Ну, то есть, имели, до прихода Wayland. :-\ А VPN - да, бывает нужен раз в год. Зато когда нужен - спасает огромное количество времени и сил. Впрочем, вы же этим не пользуетесь - значит, это никому не нужно, да...
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Релиз OpenBSD 5.2"	+/–
	Сообщение от Аноним (-), 03-Ноя-12, 21:14
	> запуска любого X-приложения на удалённой машине при работе с окнами этого > приложения локально... Мне это нужно как рыбке зонтик в водной среде. Особенно на серверах, где у меня никаких иксов нет. А вот процессор жрать в неуемных количествах оно начинает просто "по дефолту". > Ну, то есть, имели, до прихода Wayland. :-\ Что-то мне подсказывает что в опенке с их махровой некрофилией все это вам особо не грозит. Как впрочем и быстрая графическая подсистема с шустрыми, стабильными и фичастыми опенсорсными драйверами для существующего ассортимента видеокарт. > А VPN - да, бывает нужен раз в год. Зато когда нужен > - спасает огромное количество времени и сил. Меня обычно openvpn спасает. Намного менее через задницу сделано. Хотя любители гасить гвозди микроскопом не одобряют. > Впрочем, вы же этим не пользуетесь - значит, это никому не нужно, да... Да, я считаю что когда программа хреново выполняет прямые обязанности, зато своими перделками лезет в 100500 смежных областей, где и так навалом программ на все вкусы - это довольно странно выглядит. Как минимум это ну совсем не юниксвэйно. Это что-то типа FatRat, NeroBurningRom и подобных монстров, только консольное.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Релиз OpenBSD 5.2"	–1 +/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 03-Ноя-12, 22:03
	>> запуска любого X-приложения на удалённой машине при работе с окнами этого >> приложения локально... > Мне это нужно как рыбке зонтик в водной среде. Вот-вот. "Мне не нужно, значит, никому не нужно". Гениально. То, что другим это нужно, вас не интересует? > Особенно на серверах, где у меня никаких иксов нет. 1. Сервера серверам рознь. 2. На свете бывают не только сервера. 3. Если вы не в курсе, X-протокол работает в том числе между разными ОС. То есть я совершенно спокойно из своего опёнка могу запустить какой-нибудь virt-manager в CentOS. >> Ну, то есть, имели, до прихода Wayland. :-\ > Что-то мне подсказывает что в опенке с их махровой некрофилией все это > вам особо не грозит. "Это" - это что? Wayland? > Как впрочем и быстрая графическая подсистема с Уже есть. Упс? Извинения будут? Не говоря о том, что вы опять соскакиваете с темы. > шустрыми, стабильными и фичастыми опенсорсными драйверами для существующего ассортимента видеокарт. Не для всего, увы. Пока что в фаворе Intel, как самый адекватный. Впрочем, ни одна ОС не может тем же похвастаться. И опять-таки, к SSH и даже X-протоколу это не имеет никакого отношения. >> А VPN - да, бывает нужен раз в год. Зато когда нужен >> - спасает огромное количество времени и сил. > Меня обычно openvpn спасает. Намного менее через задницу сделано. Ну, это ещё бабушка надвое сказала. У OpenVPN свои родовые травмы присутствуют. Но кто без греха... > Хотя любители гасить гвозди микроскопом не одобряют. Только OpenVPN ещё развернуть надо. Зачем лишний геморрой для временного решения? Если бы вы хотя бы руководство по ssh(1) прочитали, то, скорее всего, запомнили бы, что там и не рекомендуется VPN через SSH для постоянного использования. Это специфический инструмент. Можно и без него. Как без перфоратора, например, при ремонте. >> Впрочем, вы же этим не пользуетесь - значит, это никому не нужно, да... > Да, я считаю что когда программа хреново выполняет прямые обязанности, Пруф, что OpenSSH плохо реализует RFC? Покажете, что и как надо исправить? > зато своими > перделками лезет в 100500 смежных областей, где и так навалом программ > на все вкусы - это довольно странно выглядит. Как минимум это > ну совсем не юниксвэйно. Это что-то типа FatRat, NeroBurningRom и подобных > монстров, только консольное. Не лезет. Разработчики выжимают всё, что можно, из протокола SSH. И одновременного работают над улучшением последнего, да. Не больше и не меньше. Задача SSH как протокола - обеспечить надёжный, безопасный канал для передачи команд и данных через недоверенную среду. VPN - это не смежная область. Это ТА ЖЕ область. Просто с другой стороны. С помощью OpenVPN можно организовать удалённый шелл. И - верю! - в какой-то ситуации это окажется удобнее, чем поднимать SSH. Вот и всё.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Релиз OpenBSD 5.2"	–1 +/–
	Сообщение от Аноним (-), 13-Ноя-12, 08:21
	> Вот-вот. "Мне не нужно, значит, никому не нужно". Гениально. Просто есть нужная вообще почти всем хрень типа отстрела уродов, а есть нужная раз в сто лет, типа извращенского vpn over ssh. >> Особенно на серверах, где у меня никаких иксов нет. > 1. Сервера серверам рознь. Да, но обычно на серваках все-таки иксов нет. > 2. На свете бывают не только сервера. И даже так иксы по ssh - решение весьма на любителя. > 3. Если вы не в курсе, X-протокол работает в том числе между разными ОС. Спасибо, Кэп. > То есть я совершенно спокойно из своего опёнка могу запустить какой-нибудь virt-manager в CentOS. А еще можно левой пяткой правое ухо чесать. >> вам особо не грозит. > "Это" - это что? Wayland? Ага. Вы лучше будете за иксы цепляться. Хоть оно и тормозное и переросточное, если называть вещи своими именами. >> Как впрочем и быстрая графическая подсистема с > Уже есть. Упс? Извинения будут? Не говоря о том, что вы опять соскакиваете с темы. Не будут, потому что понятия опенбсдшников о быстроте графики - что-то типа понятий улиток о болидах F1. > Не для всего, увы. Пока что в фаворе Intel, как самый адекватный. Интел, как самый адекватный, тоже выпускает все современные драйвера для своего добра KMS-only и на бсдшников давно забил болт. Их разработчики вот прямо так и сказали что не собираются клинить развитие линуксного кода из-за всяких слоупоков. Конечно можно пользоваться версией из доKMSной эры, но оно не выдерживает никакого сравнения с современными версиями. И насколько она поддерживает современное оборудование, выпущенное недавно? > Впрочем, ни одна ОС не может тем же похвастаться. Какие-то отмазки. Я конечно понимаю что некоторым неудобно замечать что интель открытый драйвер только под линухи откровенно пилит в последнее время, но собственно страусиный подход в этом и виноват. Мир идет вперед. Требования к графике заметно выросли в среднем по больнице. А то что в отдельно взятой резервации до сих пор кто-то пашет на лошадях - вовсе не отменяет трактора. > И опять-таки, к SSH и даже X-протоколу это не имеет никакого отношения. Это имеет отношение к состоянию графической подисстемы в ОС. >> Меня обычно openvpn спасает. Намного менее через задницу сделано. > Ну, это ещё бабушка надвое сказала. У OpenVPN свои родовые травмы присутствуют. Ну по крайней мере оно умеет юзать и tcp и udp на любой порт а для TCP может еще и шарить порт 443 с HTTPS сервером, что позволяет оному пробиваться через почти любые файрволлы и прокси, не узурпируя 443 порт полностью если тот нужен для собственно HTTPS. > Но кто без греха... Просто в openssh брутально поклали на unix-way сделав какого-то монстра. Ну я бы еще понял если бы оформили это как несколько наборов утилиток - что понадобилось то и взял. Но оформили как именно 1 перенавороченный монстр. >> Хотя любители гасить гвозди микроскопом не одобряют. > Только OpenVPN ещё развернуть надо. По минимуму разворачивается парой команд и строчек конфига. > Зачем лишний геморрой для временного решения? Все-равно пригодится в свете текущих трендов рунета... > постоянного использования. Это специфический инструмент. Можно и без него. Как без > перфоратора, например, при ремонте. Перфоратор как раз инструмент нацеленный на серьезный юзеж в своей области. А это - дрель встроенная в соковыжималку, пардон. С аргументацией что раз мотор есть - пусть до кучи и сверло умеет крутить. Хоть это и явно не основной функционал прибора и усложняет прибор почем зря. > Пруф, что OpenSSH плохо реализует RFC? Покажете, что и как надо исправить? Какой именно RFC? На угребищный встроенный VPN? Или самопальный файлтансфер? Ну, могу показать по этому поводу RFC1149. Его вроде не реализует. Ну или где оно голубятню заныкало? :) > Не лезет. Разработчики выжимают всё, что можно, из протокола SSH. Это маразм. То же самое что "разработчики TCP выжимают все что возможно из своего протокола". Во был бы номер если б в ядро ОС встроили все вплоть до MySQL сервера с таким аргументом :) > И одновременного работают над улучшением последнего, да. Не больше и не меньше. Как по мне так они сделали какой-то переросточный комбайн. > Задача SSH как протокола - обеспечить надёжный, безопасный канал для передачи команд > и данных через недоверенную среду. И вот это оно должно делать хорошо. В том числе не страдая от атакующих и ботов. Ибо когда задницу "безопасного" надо фаером защищать - это ЛОЛ. > VPN - это не смежная область. Это ТА ЖЕ область. Ну тогда создатели TCP стэка были просто обязаны впихать VPN, передачу файлов и секурный шелл прямо в ядро ОС. Сделав openssh ненужным duplicate функционалом. > Просто с другой стороны. С помощью OpenVPN можно организовать удалённый шелл. > И - верю! - в какой-то ситуации это окажется удобнее, чем поднимать SSH. Вот и всё. С другой стороны, нафиг не упало микроскопом гвозди забивать. Да, через OpenVPN можно было бы и файлы передавать и ремотный шелл юзать и прочая. Но его авторы в отличие от - еще немного в здравом уме и делают впн. Который делает 1 дело и делает его хорошо.
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Релиз OpenBSD 5.2"	+/–
	Сообщение от PereresusNeVlezaetBuggy (ok), 03-Ноя-12, 22:26
	>> fail2ban? > Ну да, ну да, встроить файлтрансфер BTW, а какие вы знаете альтернативные адекватные (т.е., FTPS не предлагать) средства безопасной передачи файлов в *nix? ;)
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	114. "Релиз OpenBSD 5.2"	+/–
	Сообщение от Аноним (-), 13-Ноя-12, 07:52
	> безопасной передачи файлов в *nix? ;) Да как г-на. От rsync в котором простейшее шифрование встроено до например HTTPS/WebDAV over https и еще туевой хучи вариантов. Или чтоугодно - over VPN, например. Почему такое средство должно быть именно в удаленной администрилке - вопрос интересный. А давайте туда встроим еще файрвол какой-нибудь и ядро операционки? :)
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Релиз OpenBSD 5.2"	–1 +/–
	Сообщение от Валера (??), 04-Ноя-12, 22:42
	кретин какой-то ... и socks и проброс портов в обе стороны  используется не то что каждый день, а каждый час... доступ к удаленной БД, веб-серверу ... моменты с геотаргетингом при отладке проектов ... да тупо обойти поломанный роутинг где-нибудь в недрах рашковании, прокинув порты через ssh хосты с нормальным соединением - вопрос 30 секунд...
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	115. "Релиз OpenBSD 5.2"	+/–
	Сообщение от Аноним (-), 13-Ноя-12, 07:53
	> ssh хосты с нормальным соединением - вопрос 30 секунд... Вот только все это впном делается не в пример прямее и проще и в целом менее криво получается.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема