subject:"Re\: openvz"

Hello!

On Friday 12 March 2010 16:33:32 Victor Wagner wrote:
> On 2010.03.12 at 12:40:25 +0300, Alexey Pechnikov wrote:
> 
> > Если сервер стоит _не у вас в офисе_, чем ему страшна проверка офиса?
> > А в москве такого беспредела сейчас не видно, чтобы у провайдеров с
> > хостинговых площадок сервера выносили.
> 
> Было несколько случаев недавно. У Ринета в частности. И еще у кого-то из
> достаточно крупных хостеров.

Для России полтора года назад - очень давно. Это что касается Ринета, про 
другие случаи я не в курсе. История пренеприятная, о чем говорить, но
по сравнению с "живым щитом", недавно использованным гайцами на МКАД,
не стоит паники.

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010-03-12 Пенетрантность Vladislav Naumov

Hello!

On Friday 12 March 2010 14:20:51 Иван Лох wrote:
> On Fri, Mar 12, 2010 at 02:06:35PM +0300, Alexey Pechnikov wrote:
> > > Ну, проверять могут и хостера. И его аплинка/аплинков.
> > > Вот не занесут кому-нибудь денег, и тут же выяснится что датацентр
> > [skipped]
> > 
> > Джеймс Браун так заразен?
> 
> А Вы наивны. Очень. Выбирая между гипотетическими претензиями клиента и
> любым телефонным звонком сверху -- наши хостеры всегда выбирают телефон.

На вас конкуренты никогда самых невероятных "телег" в ФСБ и прочие органы не 
катали?.. Например, что сэмплы спутниковых снимков Австралии на вашем сайте 
являются российской гостайной, а вы, вероятно, как минимум иностранный 
резидент. Не вижу ничего нового в области хостинга - все как везде. Необходимо,
чтобы о происходящем вас оповестили незамедлительно, а дальше вполне 
понятно, что и как делать. А если вы лично не можете спать из-за того, что такое
_может_ случиться, что вам мешает переехать, к примеру, в Израиль и там 
дружно бояться уже террористов.

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010-03-12 Пенетрантность Victor Wagner

On 2010.03.12 at 14:20:51 +0300, Иван Лох wrote:

> On Fri, Mar 12, 2010 at 02:06:35PM +0300, Alexey Pechnikov wrote:
> > > Ну, проверять могут и хостера. И его аплинка/аплинков.
> > > Вот не занесут кому-нибудь денег, и тут же выяснится что датацентр
> > [skipped]
> > 
> > Джеймс Браун так заразен?
> 
> А Вы наивны. Очень. Выбирая между гипотетическими претензиями клиента и
> любым телефонным звонком сверху -- наши хостеры всегда выбирают телефон.

Американские - тоже. Только у них верх другой.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100312133506.gb28...@wagner.pp.ru

Re: OpenVZ

2010-03-12 Пенетрантность Victor Wagner

On 2010.03.12 at 12:40:25 +0300, Alexey Pechnikov wrote:

> Если сервер стоит _не у вас в офисе_, чем ему страшна проверка офиса?
> А в москве такого беспредела сейчас не видно, чтобы у провайдеров с
> хостинговых площадок сервера выносили.

Было несколько случаев недавно. У Ринета в частности. И еще у кого-то из
достаточно крупных хостеров.



-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/2010031212.ga28...@wagner.pp.ru

Re: OpenVZ

2010/3/12 Alexey Pechnikov :
>> Ну, проверять могут и хостера. И его аплинка/аплинков.
>> Вот не занесут кому-нибудь денег, и тут же выяснится что датацентр
> [skipped]
> Джеймс Браун так заразен?

Его паранойя, возможно, не вполне рациональна. Но и не вполне безосновательна.
Или вы полагаете что бизнес хостеров внесён в список "не кошмарить"?

>> За четыре года ничего не сломалось.
> Значит, нагрузка небольшая, т.к. диски в режиме работы с высокой нагрузкой 
> столько не
> живут.

А вот диски как раз один раз за это время менялись. Кажется, вместе с SAN-ом.
Рассылали предупреждения про это. Но обошлось всё гладко, без
даунтайма и потерь.

>> Сервер работает, счета к оплате приходят.
>> Может быть это и есть "хороший сервис"?
>
> Если у вас колокейшен, то за оборудованием следите вы сами, а не хостер.

Упаси господи.
У меня и так хватает оборудования для "следить", не хватало мне в
Калифорнию мотаться сервера причёсывать... Уж лучше хостер пусть
следит. У него отлично получается.

Re: OpenVZ

2010-03-12 Пенетрантность Иван Лох

On Fri, Mar 12, 2010 at 02:06:35PM +0300, Alexey Pechnikov wrote:
> > Ну, проверять могут и хостера. И его аплинка/аплинков.
> > Вот не занесут кому-нибудь денег, и тут же выяснится что датацентр
> [skipped]
> 
> Джеймс Браун так заразен?

А Вы наивны. Очень. Выбирая между гипотетическими претензиями клиента и
любым телефонным звонком сверху -- наши хостеры всегда выбирают телефон.

> > "Я вам не скажу за всю Одессу", но из нашего конкретного региона
> > (Омск) от всех провайдеров, где я тестировал, самое быстрое зеркало
> > debian - не в Москве и не в Новосибирске, в почему-то в Финляндии.
> 
> "За Одессу" я тоже не скажу, у меня пользователи из 26-ти регионов и 
> оптимально сервера 
> держать в Москве. Вероятно, для Сибири это не так и лучше размещаться в 
> Новосибирске,
> но сам не проверял (пока).

Так проверьте. "О сколько нам открытий чудных..."


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100312112051.ga10...@nano.ioffe.rssi.ru

Re: OpenVZ

2010-03-12 Пенетрантность Vladislav Naumov

Hello!

On Friday 12 March 2010 13:48:55 Vladislav Naumov wrote:
> 2010/3/12 Alexey Pechnikov :
> > Если сервер стоит _не у вас в офисе_, чем ему страшна проверка офиса?
> 
> Ну, проверять могут и хостера. И его аплинка/аплинков.
> Вот не занесут кому-нибудь денег, и тут же выяснится что датацентр
[skipped]

Джеймс Браун так заразен?

> Собственно, я не в курсе про сервис.
> За четыре года ничего не сломалось.
> Вообще ни разу.

Значит, нагрузка небольшая, т.к. диски в режиме работы с высокой нагрузкой 
столько не 
живут.

> Сервер работает, счета к оплате приходят.
> Может быть это и есть "хороший сервис"?

Если у вас колокейшен, то за оборудованием следите вы сами, а не хостер.

> > Доступ из регионов наиболее шустрый именно в Москву, т.к.
> > каналы всех или почти всех провайдеров именно там сходятся.
> 
> "Я вам не скажу за всю Одессу", но из нашего конкретного региона
> (Омск) от всех провайдеров, где я тестировал, самое быстрое зеркало
> debian - не в Москве и не в Новосибирске, в почему-то в Финляндии.

"За Одессу" я тоже не скажу, у меня пользователи из 26-ти регионов и оптимально 
сервера 
держать в Москве. Вероятно, для Сибири это не так и лучше размещаться в 
Новосибирске,
но сам не проверял (пока).

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010/3/12 Alexey Pechnikov :
> Если сервер стоит _не у вас в офисе_, чем ему страшна проверка офиса?

Ну, проверять могут и хостера. И его аплинка/аплинков.
Вот не занесут кому-нибудь денег, и тут же выяснится что датацентр
СИЛЬНО ПОЖАРООПАСЕН.
Или заражён АДСКИМ ГРИБОМ. Или у хостера вскроются ФИНАНСОВЫЕ
МАХИНАЦИИ и УХОД ОТ НАЛОГОВ.

> А в москве такого
> беспредела сейчас не видно, чтобы у провайдеров с хостинговых площадок 
> сервера выносили.

Зато видно, например, такого беспредела: у людей тихо-мирно безо
всякого суда и следствия отбирают домен. До выяснения обстоятельств.
Вот захотела прокуратура выяснить обстоятельства - и остановила нафиг
контору. Кто застрахован от такого? Только сайт kremlin.ru, пожалуй.

>> Не говоря уже про цены, нормальный сервис и прочее - которые в среднем
>> тоже за бугром лучше.
>
> А что сервис? У нормальных хостеров телефоны поддержки отвечают, сотрудники в 
> аське и
> джаббере присутствуют, так что проблем с коммуникацией не наблюдается. Это 
> если
> средние по размеру конторы рассматривать, а крупные фирмы имхо все 
> неадекватны, в том
> числе и за рубежом.

Собственно, я не в курсе про сервис.
За четыре года ничего не сломалось.
Вообще ни разу.
Сервер работает, счета к оплате приходят.
Может быть это и есть "хороший сервис"?

> Доступ из регионов наиболее шустрый именно в Москву, т.к.
> каналы всех или почти всех провайдеров именно там сходятся.

"Я вам не скажу за всю Одессу", но из нашего конкретного региона
(Омск) от всех провайдеров, где я тестировал, самое быстрое зеркало
debian - не в Москве и не в Новосибирске, в почему-то в Финляндии.

Re: OpenVZ

Hello!

On Friday 12 March 2010 12:53:19 Artem Chuprina wrote:
>  >> "Ты пальцем покажи".  Вот у тебя есть уязвимость, позволяющая выполнить
>  >> на сервере шелловскую команду.  Любую.  Но - stdin/stdout у нее в
>  >> /dev/null (у PHP может быть хуже, да, а в случае с уязвимостью в модуле
>  >> у апача или у твоего любимого AOL, скорее всего, будет именно так, если
>  >> ошибка не в mod_cgi).  Вопрос.  Какую команду ты будешь выполнять?
>  >> 
>  >> 
>  AP> Нечто, что принимает на stdin залитый через веб-интерфейс файл
> 
> /dev/null у нее stdin.

sh /tmp/webserver_uploaded_file

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010-03-12 Пенетрантность Artem Chuprina

Alexey Pechnikov -> debian-russian@lists.debian.org  @ Fri, 12 Mar 2010 
12:22:18 +0300:

 >>  AP> Пока что я не вижу, что вы добились, закрывая порт 80. Если кого-то
 >>  AP> сломают через php, то через него же и зальют любые нужные файлы, то
 >>  AP> же самое с апачем.
 >> 
 >> "Ты пальцем покажи".  Вот у тебя есть уязвимость, позволяющая выполнить
 >> на сервере шелловскую команду.  Любую.  Но - stdin/stdout у нее в
 >> /dev/null (у PHP может быть хуже, да, а в случае с уязвимостью в модуле
 >> у апача или у твоего любимого AOL, скорее всего, будет именно так, если
 >> ошибка не в mod_cgi).  Вопрос.  Какую команду ты будешь выполнять?
 >> 
 >> 
 AP> Нечто, что принимает на stdin залитый через веб-интерфейс файл

/dev/null у нее stdin.

-- 
Кто первый встал, того и грабли
Д. Белявский


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/85018...@wizzle.ran.pp.ru

Re: OpenVZ

2010-03-12 Пенетрантность Artem Chuprina

Alexey Pechnikov -> debian-russian@lists.debian.org  @ Fri, 12 Mar 2010 
12:40:25 +0300:

 AP> Если сервер стоит _не у вас в офисе_, чем ему страшна проверка
 AP> офиса? А в москве такого беспредела сейчас не видно, чтобы у
 AP> провайдеров с хостинговых площадок сервера выносили.

Если ты чего-то не видишь, это не значит, что его нет.  Внимательнее
надо быть.

-- 
Секретный ключ, известный более чем одной персоне, называется публичным.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/51098...@wizzle.ran.pp.ru

Re: OpenVZ

Hello!

On Friday 12 March 2010 07:27:53 Vladislav Naumov wrote:
> > Эдак все клиенты разбегутся, если вы их
> > заставите в забугорье лезть, как из-за возрастающих задержек, так и по 
> > соображениям
> > безопасности.
> 
> В ЭТОЙ СТРАНЕ зачастую в забугорье имеет смысл обслуживаться именно по
> соображениям безопасности.
> То есть главная угроза серверу - не иностранная разведка, а родная
> прокуратура/ФСБ/милиция/налоговая/СЭС/пожарники. Даже если контора не
> делает ничего противозакоонного.

Если сервер стоит _не у вас в офисе_, чем ему страшна проверка офиса? А в 
москве такого 
беспредела сейчас не видно, чтобы у провайдеров с хостинговых площадок сервера 
выносили.

> Не говоря уже про цены, нормальный сервис и прочее - которые в среднем
> тоже за бугром лучше.

А что сервис? У нормальных хостеров телефоны поддержки отвечают, сотрудники в 
аське и 
джаббере присутствуют, так что проблем с коммуникацией не наблюдается. Это если 
средние по размеру конторы рассматривать, а крупные фирмы имхо все неадекватны, 
в том 
числе и за рубежом. Единственная серьезная проблема, с которой за последние 
годы 
сталкивался,  - ночной суппорт не мог поднять "упавший" софтрэйд с lvm, 
пришлось всю ночь
по телефону и через джаббер разбираться, восстанавливая эдак удаленно через 
посредника.
Вот и вспомнилось мне, что гугл не использует ни рэйд, ни lvm, и стало очень 
понятно, почему.

> Понятное дело, у кого гостайна - тем выбора нету.
> Впрочем, там и вообще о публичных хостингах разговора не идёт, если
> правильно понимаю.

Зачем сразу "гостайна". Доступ из регионов наиболее шустрый именно в Москву, 
т.к. 
каналы всех или почти всех провайдеров именно там сходятся. Часть трафика 
маршрутизируется все равно через забугорье, но лишь часть ("стрим" вот начал 
одно
время из НН в Москву через заднее место ходить, в итоге пинг вчетверо возрос и 
вообще
все паршивенько стало, потом опомнились и снова настроили маршруты, правда, 
связь
паршивая по-прежнему, но маршрут нормальный).

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

Hello!

On Friday 12 March 2010 10:11:22 Artem Chuprina wrote:
> Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
> 19:39:36 +0300:
> 
>  >> На втором месте, скорее всего, какой-нибудь из левых модулей к апачу
>  >> (сам-то он с трудом ломается, а вот третьесторонние модули у него бывают
>  >> ужасны) или к тому подобной фигне.  
> 
>  AP> Раз речь о безопасности зашла, то уже почти наверняка апач не держим.
> 
> Отнюдь.  На остальное смотрел.  Либо еще хуже, либо функциональности
> недостаточно, а чаще - и то, и другое.

У апача _без модулей_ функциональности немного. А модули - они разные, и кривые
и совсем безобразные...

>  >> Дальше - bind.  
> 
>  AP> Не буду вспоминать про djbdns, просто поинтересуюсь - а что bind?
>  AP> Смотрим версию в ленни со всеми секьюрити апдейтами, как
>  AP> предлагаете его ломать?..
> 
> Ломают его периодически...

Вспоминая разговор про qmail, популярное решение _должно быть_ самым лучшим, 
по вашему мнению (в том числе и php, надо полагать), тогда с такой позиции 
идеал 
это exim,php,bind, а не qmail,tcl,djbdns (к примеру). Как говорится, за что 
боролись.

>  >> А через ssh - это
>  >> сложно...  Ну, разве что у тебя разрешен парольный вход и пароли легко
>  >> подбираемые.
> 
>  AP> Не слишком давно было дело с уязвимостью в сертификатах.
> 
> У ssh нет сертификатов.  Как класса.  То есть с чем и где было дело, я
> как раз помню.  Я не помню, чтобы кого-то успели через это сломать.

Пожалуй, это можно скорее казусом назвать, нежели эксплуатированной 
уязвимостью, слишком все привыкли к ssh, чтобы каждый день перепроверять.

>  AP> Пока что я не вижу, что вы добились, закрывая порт 80. Если кого-то
>  AP> сломают через php, то через него же и зальют любые нужные файлы, то
>  AP> же самое с апачем.
> 
> "Ты пальцем покажи".  Вот у тебя есть уязвимость, позволяющая выполнить
> на сервере шелловскую команду.  Любую.  Но - stdin/stdout у нее в
> /dev/null (у PHP может быть хуже, да, а в случае с уязвимостью в модуле
> у апача или у твоего любимого AOL, скорее всего, будет именно так, если
> ошибка не в mod_cgi).  Вопрос.  Какую команду ты будешь выполнять?
> 
> 
Нечто, что принимает на stdin залитый через веб-интерфейс файл и создает
новые файлы, которые потом можно скачать через тот же веб-интерфейс.
Лезть в сеть напрямую надобности не вижу.

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010-03-12 Пенетрантность Victor Wagner

On 2010.03.12 at 10:11:22 +0300, Artem Chuprina wrote:

>  AP> Не слишком давно было дело с уязвимостью в сертификатах.
> 
> У ssh нет сертификатов.  Как класса.  То есть с чем и где было дело, я
> как раз помню.  Я не помню, чтобы кого-то успели через это сломать.

Уже есть. Начиная с вышедшего на днях openssh 5.4. Только за новизной и
ограниченной применимостью этой фичи через них еще не ломали.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20100312081458.ga9...@wagner.pp.ru

Re: OpenVZ

Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
19:39:36 +0300:

 >> На втором месте, скорее всего, какой-нибудь из левых модулей к апачу
 >> (сам-то он с трудом ломается, а вот третьесторонние модули у него бывают
 >> ужасны) или к тому подобной фигне.  

 AP> Раз речь о безопасности зашла, то уже почти наверняка апач не держим.

Отнюдь.  На остальное смотрел.  Либо еще хуже, либо функциональности
недостаточно, а чаще - и то, и другое.

 >> Дальше - bind.  

 AP> Не буду вспоминать про djbdns, просто поинтересуюсь - а что bind?
 AP> Смотрим версию в ленни со всеми секьюрити апдейтами, как
 AP> предлагаете его ломать?..

Ломают его периодически...

 >> А через ssh - это
 >> сложно...  Ну, разве что у тебя разрешен парольный вход и пароли легко
 >> подбираемые.

 AP> Не слишком давно было дело с уязвимостью в сертификатах.

У ssh нет сертификатов.  Как класса.  То есть с чем и где было дело, я
как раз помню.  Я не помню, чтобы кого-то успели через это сломать.

 AP> Пока что я не вижу, что вы добились, закрывая порт 80. Если кого-то
 AP> сломают через php, то через него же и зальют любые нужные файлы, то
 AP> же самое с апачем.

"Ты пальцем покажи".  Вот у тебя есть уязвимость, позволяющая выполнить
на сервере шелловскую команду.  Любую.  Но - stdin/stdout у нее в
/dev/null (у PHP может быть хуже, да, а в случае с уязвимостью в модуле
у апача или у твоего любимого AOL, скорее всего, будет именно так, если
ошибка не в mod_cgi).  Вопрос.  Какую команду ты будешь выполнять?

-- 
Тормоз - тоже механизм, только медленный совсем.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/88548...@wizzle.ran.pp.ru

Re: OpenVZ

2010/3/11 Alexey Pechnikov :
> Пока что я не вижу, что вы добились, закрывая порт 80.

Он, собственно, не "закрывает".
Он "держит закрытым".
Понадобится - откроет, насколько оно будет соразмерно задаче.

То есть общая идея не "закрывать что не надо" (этот список огромен и
постоянно пополняется), а "открывать то что надо" (этот список состоит
изобозримого количества позиций и меняется редко).

Если доступ наружу нужен на пять минут в месяц (скачать обновления и
отвалиться) - я просто запускаю на гейтвее  на те самые пять минут
прокси-сервер и останавливаю потом. Руками. Потому что соразмерно
задаче.

Re: OpenVZ

2010/3/11 Alexey Pechnikov :
> Hello!
>
> On Thursday 11 March 2010 18:31:16 Vladislav Naumov wrote:
>> 2010/3/11 Alexey Pechnikov :
>> > Хм. Наименования хостеров, предоставляющих в своих датацентрах миррор 
>> > дебиана,
>> > назовите.
>>
>> vpsvillage.com
>
> Подразумевались все же российские хостинги.

В вопросе не было.

> Эдак все клиенты разбегутся, если вы их
> заставите в забугорье лезть, как из-за возрастающих задержек, так и по 
> соображениям
> безопасности.

В ЭТОЙ СТРАНЕ зачастую в забугорье имеет смысл обслуживаться именно по
соображениям безопасности.
То есть главная угроза серверу - не иностранная разведка, а родная
прокуратура/ФСБ/милиция/налоговая/СЭС/пожарники. Даже если контора не
делает ничего противозакоонного.
Не говоря уже про цены, нормальный сервис и прочее - которые в среднем
тоже за бугром лучше.

Понятное дело, у кого гостайна - тем выбора нету.
Впрочем, там и вообще о публичных хостингах разговора не идёт, если
правильно понимаю.

Re: OpenVZ

Hello!

On Thursday 11 March 2010 18:29:57 Artem Chuprina wrote:
>  AP> Прочитать было занимательно, не скрою. А вот что это у нас за
>  AP> червяки такие _под дебиан_? Думается мне, что вы опять пытаетесь
>  AP> защищаться от _виндовых_ проблем. Если дебиан ломают, так через
>  AP> ssh.
> 
> Ну, твой, может, настолько дыряв, что и через ssh ломается, а типичный -
> через phpbb или аналогичную хрень.  Неважно, известную или самописную.
> Важно, ловится она на что-нибудь стандартное, или нет.

Вот ведь знаю, что не используете вы php. Но до кучи вспомнили и про него.

> На втором месте, скорее всего, какой-нибудь из левых модулей к апачу
> (сам-то он с трудом ломается, а вот третьесторонние модули у него бывают
> ужасны) или к тому подобной фигне.  

Раз речь о безопасности зашла, то уже почти наверняка апач не держим.

> Дальше - bind.  

Не буду вспоминать про djbdns, просто поинтересуюсь - а что bind? Смотрим
версию в ленни со всеми секьюрити апдейтами, как предлагаете его ломать?..

> А через ssh - это
> сложно...  Ну, разве что у тебя разрешен парольный вход и пароли легко
> подбираемые.

Не слишком давно было дело с уязвимостью в сертификатах.

Пока что я не вижу, что вы добились, закрывая порт 80. Если кого-то сломают 
через php, то через него же и зальют любые нужные файлы, то же самое с 
апачем. А на нормальной системе без вышеназванных упырей чего бояться?

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

Hello!

On Thursday 11 March 2010 18:31:16 Vladislav Naumov wrote:
> 2010/3/11 Alexey Pechnikov :
> > Хм. Наименования хостеров, предоставляющих в своих датацентрах миррор 
> > дебиана,
> > назовите.
> 
> vpsvillage.com

Подразумевались все же российские хостинги. Эдак все клиенты разбегутся, если 
вы их 
заставите в забугорье лезть, как из-за возрастающих задержек, так и по 
соображениям
безопасности.

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010/3/11 Alexey Pechnikov :
> Можно и штаны через голову надевать :-) Ставить openvz, чтобы был повод
> установить app-proxy?

Не надо выворачивать.
openvz - для решения каких-то своих задач (которые openvz удобно решаются).
прокси - для того чтобы в этом openvz удобно пользоваться
репозитариями и прочими благами цивилизации.
Это надо не всем vz-шкам, и не всегда.
На моей домашней машине они ходят через обычный squid (который и так
стоит с целью кэширования).

> А если использовать обычный чрут, то в него можно просто
> замонтировать сами знаете какую директорию с пакетами.

В vz-шный "чрут" тоже можно. По крайней мере, я не знаю ничего что бы помешало.

Re: OpenVZ

2010/3/11 Alexey Pechnikov :
> Хм. Наименования хостеров, предоставляющих в своих датацентрах миррор дебиана,
> назовите.

vpsvillage.com

Re: OpenVZ

Alexey Pechnikov -> debian-russian@lists.debian.org @ Thu, 11 Mar 2010
18:17:27 +0300:

AP> Прочитать было занимательно, не скрою. А вот что это у нас за
AP> червяки такие _под дебиан_? Думается мне, что вы опять пытаетесь
AP> защищаться от _виндовых_ проблем. Если дебиан ломают, так через
AP> ssh.

Ну, твой, может, настолько дыряв, что и через ssh ломается, а типичный -
через phpbb или аналогичную хрень. Неважно, известную или самописную.
Важно, ловится она на что-нибудь стандартное, или нет.

На втором месте, скорее всего, какой-нибудь из левых модулей к апачу
(сам-то он с трудом ломается, а вот третьесторонние модули у него бывают
ужасны) или к тому подобной фигне. Дальше - bind. А через ssh - это
сложно... Ну, разве что у тебя разрешен парольный вход и пароли легко
подбираемые.

--
Пифагоровы штаны Лобачевскому смешны
--

--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/29661...@tigger.lan.cryptocom.ru

Re: OpenVZ

Hello!

On Thursday 11 March 2010 17:48:03 Artem Chuprina wrote:
> Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
> 17:17:38 +0300:
> 
>  >> Не все держат по одному серверу у сотни хостеров.  Некоторые - по
>  >> десятку у одного.  И кстати, поинтересуйся у своего хостера, нету ли у
>  >> него часом оного миррора.  Если у него это на сайте не написано, это еще
>  >> не значит, что нет.
> 
>  AP> Там виндоус и фря, так что им без надобности.
> 
> Ты точно спросил, или это так, эротические фантазии?

Не только спросил, но уже и ответ выше написал :-)

> Типичный ботнет - это отношение "многие ко многим".  Поэтому на
> отправляющем конце машина, участвующая в ботнете, как раз нормально
> ловится.

Типичный ботнет - он на винде, а не на дебиане. Так что у нас ситуация другая.

>  >> Ну, явно четыре.  А на сервер взломщика за payload'ом его червяка-то
>  >> зачем ходить?
> 
>  AP> Взломщик - это лицо, имеющее шелл-доступ?
> 
> Еще не имеющее.  Находящееся в процессе получения.  Автоматическим
> червяком.  Он влезть-то влез, а чтобы пользу из этого извлечь, ему надо
> втащить собственно то, что будет работать (оно и будет в данном случае
> payload), запустить его, и его еще должны выпустить, чтобы он эту работу
> сделал.
> 
> Если нихрена не блокировать, то он все это успешно проделает.  А если
> блокировать - то очень как повезет.
> 
> Всунуть же payload прямо в момент взлома часто от "тяжело" до
> "невозможно", и так в норме не делают.  Всовывают код, который все
> остальное может вытянуть из сети.  Если она открыта.  А если нет - не
> беда, найдем другого, у которого все открыто, "потому что много другой
> функциональности".  Вон, у Печникова в соседней стойке сервер...
> 
> Через него, правда, уже кто-то спам релеит через механизм отлупов от
> мейлер-демона, ибо там qmail, который сперва принимает, а потом думает,
> ну да не беда, уживемся...
> 
> Да, защиту обычно пробивают в самом узком месте.  Но если в самом узком
> месте три заслона один за другим - пробить придется все три.  Это
> сложнее, чем один.  Может не получиться.

Прочитать было занимательно, не скрою. А вот что это у нас за червяки такие
_под дебиан_? Думается мне, что вы опять пытаетесь защищаться от 
_виндовых_ проблем. Если дебиан ломают, так через ssh. Потенциально можно
создать деб-пакет с вирусом и заставить админа его установить, но зачем
тогда еще куда-то лезть и что-то скачивать, когда можно ключик нападающего
в доверенные добавить и обеспечить ему тот же ssh?


Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
17:17:38 +0300:

 >> Не все держат по одному серверу у сотни хостеров.  Некоторые - по
 >> десятку у одного.  И кстати, поинтересуйся у своего хостера, нету ли у
 >> него часом оного миррора.  Если у него это на сайте не написано, это еще
 >> не значит, что нет.

 AP> Там виндоус и фря, так что им без надобности.

Ты точно спросил, или это так, эротические фантазии?

 AP> Отклонюсь от темы: можно ли "криво" поставить дебиан? Обратитесь в
 AP> агаву, узнаете :-)

Спасибо, мы и так в курсе.  И про агаву тоже.

 >>  >> Причем с шансами раздаваемый по NFS (r/o, естественно), чтобы кэшей не
 >>  >> плодить.
 >> 
 >>  AP> С локалками не работаю, посему позвольте не разделять горячую
 >>  AP> любовь к NFS.
 >> 
 >> Ты, опять же, не поверишь, оно не только по локалке умеет.  Оно
 >> вообще-то по IP работает...

 AP> То есть открыть доступ на удаленный порт 80 несекьюрно, а светить
 AP> голым, простите, NFS в инет - нормально?

r/o-то?  Абсолютно.  Впрочем, опять же, торчать им для _всех_ никто не
заставляет.  Файрволу нонеча не только порт, но и адрес можно рассказать.

 >> Ну да.  Через smarthost.  Который таки да, занимается ровно пересылкой
 >> почты и на котором приняты некоторые меры по блокировке потоков с
 >> затрояненных машин.
 >> 
 >> Или тут тебе уже UNIX way не нужен?

 AP> А если немного посчитать? К примеру, типичный ботнет это порядка 10
 AP> - 100 тысяч машин. Ежели они одновременно отправят по письму одному
 AP> и тому же получателю, последний загнется. А отправка одного письма
 AP> явно не может автоматически блокироваться как рассылка спама. И где
 AP> профит?

Типичный ботнет - это отношение "многие ко многим".  Поэтому на
отправляющем конце машина, участвующая в ботнете, как раз нормально
ловится.

 >> Именно.  А равно и многое не нужно.  Тоже в зависимости от задачи.  И
 >> вот то и другое и подкреплено файрволом для пущей безопасности.
 >> 
 >>  >> Ему вполне достаточно HTTP на 1
 >>  >> (один) адрес.
 >> 
 >>  AP> У меня только своих репозиториев 2 используется - публичный и
 >>  AP> приватный. Плюс где как - где бэкпорты нужны, где debian-multimedia
 >>  AP> и проч. Явно один адрес вопроса не решает.
 >> 
 >> Ну, явно четыре.  А на сервер взломщика за payload'ом его червяка-то
 >> зачем ходить?

 AP> Взломщик - это лицо, имеющее шелл-доступ?

Еще не имеющее.  Находящееся в процессе получения.  Автоматическим
червяком.  Он влезть-то влез, а чтобы пользу из этого извлечь, ему надо
втащить собственно то, что будет работать (оно и будет в данном случае
payload), запустить его, и его еще должны выпустить, чтобы он эту работу
сделал.

Если нихрена не блокировать, то он все это успешно проделает.  А если
блокировать - то очень как повезет.

Всунуть же payload прямо в момент взлома часто от "тяжело" до
"невозможно", и так в норме не делают.  Всовывают код, который все
остальное может вытянуть из сети.  Если она открыта.  А если нет - не
беда, найдем другого, у которого все открыто, "потому что много другой
функциональности".  Вон, у Печникова в соседней стойке сервер...

Через него, правда, уже кто-то спам релеит через механизм отлупов от
мейлер-демона, ибо там qmail, который сперва принимает, а потом думает,
ну да не беда, уживемся...

Да, защиту обычно пробивают в самом узком месте.  Но если в самом узком
месте три заслона один за другим - пробить придется все три.  Это
сложнее, чем один.  Может не получиться.

-- 
Пришел в гости математик, почитать новую рукопись. Вычитал из нее трех
героев напрочь, и ушел.
Gimli on #arda


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/77829...@tigger.lan.cryptocom.ru

Re: OpenVZ

Hello!

On Thursday 11 March 2010 16:22:21 San_Sanych wrote:
> > Хм. Наименования хостеров, предоставляющих в своих датацентрах миррор 
> > дебиана,
> > назовите. Или предлагаете ставить у каждого хостера, где стоит наш 
> > один-единственный
> > сервер еще дополнительный сервер в качестве миррора дебиана? Гениально, 
> > блин.
> >
> >
> можно поставить approx в один из контейнеров и ходить на него :) не 
> думаю что на каком-либо сервере может понадобиться все зеркало
> к тому-же оно умеет на несколько разных репозитариев ходить и структуру 
> репозитария сохраняет

Можно и штаны через голову надевать :-) Ставить openvz, чтобы был повод
установить app-proxy? А если использовать обычный чрут, то в него можно просто 
замонтировать сами знаете какую директорию с пакетами. А, тогда ведь у нас не 
будет повода поставить даже NFS, скучно станет :-)

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

Hello!

On Thursday 11 March 2010 16:13:06 Artem Chuprina wrote:
> Не все держат по одному серверу у сотни хостеров.  Некоторые - по
> десятку у одного.  И кстати, поинтересуйся у своего хостера, нету ли у
> него часом оного миррора.  Если у него это на сайте не написано, это еще
> не значит, что нет.

Там виндоус и фря, так что им без надобности. Зато могут на колок поставить
дебиан, в отличие от многих других. Но дело не в этом, а в том, что за МКАдом 
жизнь все-таки есть. А вот хороших интернет-каналов - не наблюдается, плюс
провайдеры требуют погигабайтную плату за трафик, да еще какую. Посему 
держать сервера в офисе невозможно и нужно размещать их на удаленных 
хостингах. И это накладывает свою специфику. У нас ведь не рассылка
debian-russian-moscow?

Отклонюсь от темы: можно ли "криво" поставить дебиан? Обратитесь в агаву,
узнаете :-) Для начала вам запросто еще и не тот дистриб поставят, скажем,
красную шапку, а в ответ на претензии флегматично скажут, что это, мол,
тоже линукс ;-)

>  >> Причем с шансами раздаваемый по NFS (r/o, естественно), чтобы кэшей не
>  >> плодить.
> 
>  AP> С локалками не работаю, посему позвольте не разделять горячую
>  AP> любовь к NFS.
> 
> Ты, опять же, не поверишь, оно не только по локалке умеет.  Оно
> вообще-то по IP работает...

То есть открыть доступ на удаленный порт 80 несекьюрно, а светить голым, 
простите, NFS в инет - нормально? Наверняка сами-то только в локалке доступ
делаете, а вот рекомендуете нечто иное...

> Ну да.  Через smarthost.  Который таки да, занимается ровно пересылкой
> почты и на котором приняты некоторые меры по блокировке потоков с
> затрояненных машин.
> 
> Или тут тебе уже UNIX way не нужен?

А если немного посчитать? К примеру, типичный ботнет это порядка 10 - 100
тысяч машин. Ежели они одновременно отправят по письму одному и тому же 
получателю, последний загнется. А отправка одного письма явно не может 
автоматически блокироваться как рассылка спама. И где профит?

> Именно.  А равно и многое не нужно.  Тоже в зависимости от задачи.  И
> вот то и другое и подкреплено файрволом для пущей безопасности.
> 
>  >> Ему вполне достаточно HTTP на 1
>  >> (один) адрес.
> 
>  AP> У меня только своих репозиториев 2 используется - публичный и
>  AP> приватный. Плюс где как - где бэкпорты нужны, где debian-multimedia
>  AP> и проч. Явно один адрес вопроса не решает.
> 
> Ну, явно четыре.  А на сервер взломщика за payload'ом его червяка-то
> зачем ходить?

Взломщик - это лицо, имеющее шелл-доступ? Тогда чем спасет блокирование 
любых других портов? Имеющий шелл может любой порт пробросить. Имхо
вы предлагаете запирать конюшню, когда коня увели.

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

2010-03-11 Пенетрантность San_Sanych


11.03.2010 15:30, Alexey Pechnikov пишет:


Хм. Наименования хостеров, предоставляющих в своих датацентрах миррор дебиана,
назовите. Или предлагаете ставить у каждого хостера, где стоит наш 
один-единственный
сервер еще дополнительный сервер в качестве миррора дебиана? Гениально, блин.

   
можно поставить approx в один из контейнеров и ходить на него :) не 
думаю что на каком-либо сервере может понадобиться все зеркало
к тому-же оно умеет на несколько разных репозитариев ходить и структуру 
репозитария сохраняет


--
Александр Вайтехович
www: http://sanych.nnov.ru
jabber: sanych{a}sanych.nnov.ru


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4b98ee8d.8090...@gmail.com

Re: OpenVZ

Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
15:30:19 +0300:

 >>  >>  AP> И что, даже aptitude update не работает? Сомнительное достижение.
 >>  >> 
 >>  >> Работает.  С локального миррора.
 >> 
 >>  AP> Предлагается на каждом сервере локальный миррор держать?
 >> 
 >> Ты правда тормоз или прикидываешься?  Один на серверную, разумеется.

 AP> Хм. Наименования хостеров, предоставляющих в своих датацентрах
 AP> миррор дебиана, назовите. Или предлагаете ставить у каждого
 AP> хостера, где стоит наш один-единственный сервер еще дополнительный
 AP> сервер в качестве миррора дебиана? Гениально, блин.

Не все держат по одному серверу у сотни хостеров.  Некоторые - по
десятку у одного.  И кстати, поинтересуйся у своего хостера, нету ли у
него часом оного миррора.  Если у него это на сайте не написано, это еще
не значит, что нет.

 >> Причем с шансами раздаваемый по NFS (r/o, естественно), чтобы кэшей не
 >> плодить.

 AP> С локалками не работаю, посему позвольте не разделять горячую
 AP> любовь к NFS.

Ты, опять же, не поверишь, оно не только по локалке умеет.  Оно
вообще-то по IP работает...

 >>  AP> В том смысле слова сервер, который подразумевает удаленную машину,
 >>  AP> стоящую за тридевять земель.
 >> 
 >> И даже в этом случае ему совершенно не надо шляться по HTTP, FTP и SMTP
 >> по всему интернету без ограничений.  

 AP> Даже если говорить об администрировании системы, как минимум,
 AP> сервер должен уметь отсылать оповещения по email, причем на два
 AP> адреса или более.

Ну да.  Через smarthost.  Который таки да, занимается ровно пересылкой
почты и на котором приняты некоторые меры по блокировке потоков с
затрояненных машин.

Или тут тебе уже UNIX way не нужен?

 AP> А если вспомнить, что сервера обычно ставят для того, чтобы они
 AP> полезную работу выполняли, а не ради удовольствия их
 AP> администрировать, то еще много чего бывает нужно, в зависимости от
 AP> задачи.

Именно.  А равно и многое не нужно.  Тоже в зависимости от задачи.  И
вот то и другое и подкреплено файрволом для пущей безопасности.

 >> Ему вполне достаточно HTTP на 1
 >> (один) адрес.

 AP> У меня только своих репозиториев 2 используется - публичный и
 AP> приватный. Плюс где как - где бэкпорты нужны, где debian-multimedia
 AP> и проч. Явно один адрес вопроса не решает.

Ну, явно четыре.  А на сервер взломщика за payload'ом его червяка-то
зачем ходить?

-- 
Феаноринги думают руками, арфинги - сердцем, а нолфинги - головой. (С)энта


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/31439...@tigger.lan.cryptocom.ru

Re: OpenVZ

Hello!

On Thursday 11 March 2010 13:30:55 Artem Chuprina wrote:
> Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
> 12:38:04 +0300:
> 
>  >>  AP> И что, даже aptitude update не работает? Сомнительное достижение.
>  >> 
>  >> Работает.  С локального миррора.
> 
>  AP> Предлагается на каждом сервере локальный миррор держать?
> 
> Ты правда тормоз или прикидываешься?  Один на серверную, разумеется.

Хм. Наименования хостеров, предоставляющих в своих датацентрах миррор дебиана, 
назовите. Или предлагаете ставить у каждого хостера, где стоит наш 
один-единственный 
сервер еще дополнительный сервер в качестве миррора дебиана? Гениально, блин.

> Причем с шансами раздаваемый по NFS (r/o, естественно), чтобы кэшей не
> плодить.

С локалками не работаю, посему позвольте не разделять горячую любовь к NFS.

>  AP> В том смысле слова сервер, который подразумевает удаленную машину,
>  AP> стоящую за тридевять земель.
> 
> И даже в этом случае ему совершенно не надо шляться по HTTP, FTP и SMTP
> по всему интернету без ограничений.  

Даже если говорить об администрировании системы, как минимум, сервер должен 
уметь 
отсылать оповещения по email, причем на два адреса или более. А если вспомнить, 
что
сервера обычно ставят для того, чтобы они полезную работу выполняли, а не ради 
удовольствия их администрировать, то еще много чего бывает нужно, в зависимости 
от 
задачи.

> Ему вполне достаточно HTTP на 1
> (один) адрес.

У меня только своих репозиториев 2 используется - публичный и приватный. Плюс 
где как - 
где бэкпорты нужны, где debian-multimedia и проч. Явно один адрес вопроса не 
решает.

Best regards, Alexey Pechnikov.
http://pechnikov.tel/

Re: OpenVZ

Alexey Pechnikov -> debian-russian@lists.debian.org  @ Thu, 11 Mar 2010 
12:38:04 +0300:

 >>  AP> И что, даже aptitude update не работает? Сомнительное достижение.
 >> 
 >> Работает.  С локального миррора.

 AP> Предлагается на каждом сервере локальный миррор держать?

Ты правда тормоз или прикидываешься?  Один на серверную, разумеется.
Причем с шансами раздаваемый по NFS (r/o, естественно), чтобы кэшей не
плодить.

 AP> В том смысле слова сервер, который подразумевает удаленную машину,
 AP> стоящую за тридевять земель.

И даже в этом случае ему совершенно не надо шляться по HTTP, FTP и SMTP
по всему интернету без ограничений.  Ему вполне достаточно HTTP на 1
(один) адрес.

-- 
Win-юзеры - это типа Win-модемов и Win-принтеров: такие же юзеры, но попроще,
без мозгов и памяти на борту.
http://www.livejournal.com/~dottedmag/158509.html


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/88555...@tigger.lan.cryptocom.ru

Re: OpenVZ