SmEjDiL Blog

Remote scan on HP LaserJet 3390

2012-01-24T13:33:00.004+01:00

K užití se mi naskytla tiskárna HP LaserJet 3390, což je typ AllInOne. Kolega hlásil, že drivery k Vista a Win7 a výše 64bit pro scan prý nejsou a nebudou. A tak jsem pátral po možnosti pod Linuxem LMDE. Nápomocny mi byl help k Ubuntu.

https://help.ubuntu.com/community/HpAllInOne

Můj postup byl následující:

Nainstaluji SANE a ovladače hplip

apt-get install sane xsane
apt-get install hplip

hp-makeuri 192.168.10.42

HP Linux Imaging and Printing System (ver. 3.11.5)
Device URI Creation Utility ver. 5.0

Copyright (c) 2001-9 Hewlett-Packard Development Company, LP
This software comes with ABSOLUTELY NO WARRANTY.
This is free software, and you are welcome to distribute it
under certain conditions. See COPYING file for more details.

CUPS URI: hp:/net/HP_LaserJet_3390?ip=192.168.10.42
SANE URI: hpaio:/net/HP_LaserJet_3390?ip=192.168.10.42
HP Fax URI: hpfax:/net/HP_LaserJet_3390?ip=192.168.10.42

Pak už jen pustim xsane s URI

xsane hpaio:/net/HP_LaserJet_3390?ip=192.168.10.42

Jsem moc rád, když velcí vírobci Linux podporují. Hnedle je možnoříct že daný model je 100% kompatibilní s Linuxem. "Kuptesijej pro používání s Linuxem :-)"

HTC Desire S

2012-01-09T16:01:00.002+01:00

Tak jsem se konečně dočkal nějakého telefonu s Androidem. Je jím HTC Desire S. Od dob, kdy jsem Android testoval poprvé na HTC TyTN II uteklo již hodně vody. Dnes je na trhu mnoho telefonu a výběr je opravdu velký.

Po rozbalení a zapnutí mě velmi mile překvapilo, že import kontaktů ze stařičkého SE K790i pomocí Bluetooth proběhl bez naprostých problémů. A zvládl by ho asi netechnický uživatel.

Zatím se seznamuji, což bude chvíli trvat. Jinak výdrž baterek zatím bída :-) což je vlastnost.

LMDE wine

2012-01-09T11:01:00.002+01:00

Nevim proč, ale v repo LMDE není wine. Kompiluji tedy ručne dle wiki.

Doporučené baličky jsou popsány zde.

Building Wine on 64-bit Debian Testing

Doinstalovával jsem kupu dev baliků.

Tablet Yarvik TAB410 s Adndroid

2012-01-05T22:39:00.008+01:00

Dostal se mi do rukou asi na 14 dní tento tablet s OS Android 2.2 #4026. Na stránkách výrobce již model TAB410 není, tak uvádím odkaz na novější model TAB420. Nutno hnedle na zažátku dodat že na iPad tento kousek prostě nemá. Fakt, že nelze instalovat z klasického Android Marketu systém značně ochuzuje. Pro instalaci apikací je zde integrován portál Getjar. Pár známých aplikací jsem tam našel. Např. nasraný ptáci - Angry Birds, na 10" displeji se to hraje moc pěkně.

Tablet se ke mě dostal z důvodu nefunkce webové administrace automatu Tecomat. Přesněji stránka vyžaduje podporu XML v browseru. Integrovaný browser zobrazí jen bílou stránku. Důvodem je, že operační systém Android bohužel neobsahuje ve svém prohlížeči XSLT transformaci, takže pomocí něj nelze stránky zobrazit. Pokoušel jsem se instalovat Operu a Firefox pro Android z oficiálních zdrojů, ale vždy to po mě chtělo Google účet který již je spojen s nějakým Android mobilem. Zatím nejsem vlastníkem telefonu s androidem, ale to se asi brzo změní. Tak posléze doplním, zda se mi podařilo na Yarvik TAB410 doinstalovat nějaký klasický web browser.

Do tabletu se mi podařilo doinstalovat operu z tohoto zdroje. Vybral jsem soubor opera.v11.00.1103311355.apk a po stažení instalace dopadla dobře. Stránka automatu je již funkční.

Juniper SRX650 prvni kroky

2012-01-05T20:00:00.001+01:00

Hnedle drudý den v nové práci jsem byl s kolegou vyzvednou router Juniper SRX650, jako testovací kousek od DNS a.s. CITY EMPIRIA. Router jsem přivezl do kanclu a druhý den jsem se v něm již musel vrtat. Hodil se mi seriový kabel, který mám od nějakého Cisco routeru.

Routery Juniper mají v sobě systém JUNOS, což je v základu FreeBSD, které nám umožňuje pouštět klasické userland aplikace, netstat, ping, tcpdump atd. V systému je jediný balíček a to je junos. FreeBSD je patřičně modifikováno, ale je tam hodně cejtit.

ntb:$ ssh 192.168.10.42
--- JUNOS 10.4R4.5 built 2011-05-06 06:14:23 UTC
smejdil@juniper> start shell
% pwd
/cf/var/home/smejdil
% uname -a
JUNOS juniper 10.4R4.5 JUNOS 10.4R4.5 #0: 2011-05-06 06:14:23 UTC builder@warth.juniper.net:/volume/build/junos/10.4/release/10.4R4.5/obj-octeon/bsd/sys/compile/JSRXNLE octeon
% pkg_info
junos JUNOS Software Release [10.4R4.5]

Dostal jsem za úkol router nakonfigurovat tak, aby se dal umístit do serverovny s veřejným IP. Dále jsem přidal nějakého uživatele a nastavili patřičné politiky.

Pomocí sériové konzole a patřičného kabelu jsem se již přihlásil na daný box.

sudo screen /dev/ttyUSB0 9600

login: root
--- JUNOS 10.4R4.5 built 2011-05-06 06:14:23 UTC
root@%
root@% cli
root>

Prompt: root@% - FreeBSD
Prompt: root> - konfigurační režim
Prompt: root# - editační režim

Jakožto naprostý zčátečník jsem použil config-wizard, který mě provede základním nastavením.

root@% config-wizard
Enter host name: juniper
Please enter root password:
Retype root password:

Would you like to configure domain name? [yes,no] (no): y
Enter domain name: juniper.smejdil.cz

Would you like to configure name server? [yes, no] (no): y
Enter IP address for the name server: 195.113.144.194

Configure the following network interfaces

Identifier Interface Identifier Interface
1 ge-0/0/0 2 ge-0/0/1
3 ge-0/0/2 4 ge-0/0/3
...

Would you like to configure any of the above interfaces? [yes,no] (yes): no

Enter a new user name: smejdil
Please enter user password:
Retype user password:

Would you like to configure SNMP Network Management? [yes,no] (no): y
Enter a SNMP V2 read-only mode community string [public]:

Would you like to review configuration commands? [yes,no] (no): y
The following configuration command(s) were created:

set system host-name juniper
set system root-authentication encrypted-password-value "********"
set system name-server 195.113.144.194
set system services web-management http
set system services telnet
set system services ssh
set system domain-name smejdil.cz
set system login user smejdil class super-user authentication encrypted-password "********"
set system services web-management http
set system services telnet
set system services ssh
set snmp community "public" authorization read-only

Would you like to commit the initial configuration and exit? [yes,no]: yes

Building configuration ...
Finished.

Please type 'cli' to enter JUNOS CLI operation mode.

Další nastavení je prováděno např takto:

root@juniper> configure
Entering configuration mode
set interfaces ge-0/0/0 unit 0 family inet address 192.168.10.42/30
set routing-options static route 0.0.0.0/0 next-hop 192.168.10.41
set system ntp server 195.113.144.238
set system ntp server 195.113.144.201
set system time-zone Europe/Prague
commit

Toto pro seznámení zatím postačuje.

Kindle podpora medií

2011-12-28T10:53:00.007+01:00

Pro čtečku knih Amazone Kindle existuje již podpora několika periodik. Uvádím si zde seznam nalezených.

Služby

Storry of my GeoCoin TBVKG0

2011-12-22T22:19:00.000+01:00

První GeoCoin, který jsem si pořídíl v roce 2006 SmEjDiL's Czech GeoCoin jsem nechl zavést svým známým Houmr13 do Malaysie Kuala Lumpur City Center - GCVNR5, odkud nechtěně putoval na Australský kontinent. Kde nějakou dobu putoval. Dne 27.9.2008 byl vložen do cache Rocky Heights - GC18ACK, kde si mince počkala až do 27.5.2010, kdy jej vyzvedl syn mé kolegyně z práce ZuzlaN, který si do daných končin národního parku Namadgi naplánoval velmi náročnou a dobrodružnou cestu se svým holandským kamarádem.

Zde je pár videjí z jejich výletu.

UPDATE:
ZuzlaN sepisuje svůj blog, kde uvádí Kapitola 24 Mt Kelly, která podrobně popisuje co zažili.

Vodní nádrž Les Království v reklame

2011-12-22T16:51:00.010+01:00

Přehrada Tešnov neboli Vodní nádrž Les Království učinkuje v rekmamě na Jameson "Fire"

Tady je ještě ukecaná verze.

Díky Štěpáne za odkaz.

Last.FM web app

2011-12-21T09:02:00.003+01:00

Pokud někdo používá službu Last.FM hlavně s audioscrobblerem, tak existuje několik doprovodných aplikací, které umí načíst data o poslouchané hudbě.

http://lastgraph.aeracode.org/ Generování pěkných grafů
http://covers.nmstudio.pl/ Top album generátor
http://bandlogos.descentrecords.com/ Brand logos

END of my story - FG Forrest

2011-12-16T16:00:00.002+01:00

Dnes končím ve společnosti FG Forrest. A nastupuji na přijemnou 14ti denní dovolenou a od nového roku nastupiji jinde. V FG jsem se hodně naučil a určitě se mi zasteskne po fajn lidech.

Dnešní den byl ve zamení hraní Urban Terror, krásně jsem si užil Sniperování FG mělo vánoce a tak vetšina náchodské pobočky doslova pařila a z firmy se stala LAN párty.

Ať se Vám Forresti daří ...

Distribuční testy

2011-12-13T14:25:00.006+01:00

V listopadu jsem se rozhodl odstavit dlouhodobě stabilní distribuci Ubuntu 10.04.3 LTS. A rozhodl jsem se vyzkoušet Linux Mint Debian Edition, o čemž jsem se zde zmiňoval vypozoroval jsem jednu chybu v GTK, zatím neopravena.

Jelikož jsem si mohl dovolit znefunkčnit desktop, dále jsem chtěl vidět Linux Mint 12 Lisa v akci. Lisu momentálně používám.

Snažím se pracovat s Gnome 3 s extenzí MGSE. Gnome-shell se mi líbí více jak Unity, proto celé seznamování s novým prostředím při běžné práci. Ovšem musím konstatovat, že to chce ještě hodně práce na daném prostředí. Mnoho věcí je nedotažených. Né vše se dá nastavit snadno, tak jak byl člověk zviklý v Gnome2. Velmi nerad si zde též stěžuji, ale několikrát mi Gnome3 přestalo reagovat na cokoliv. Vše vyřešila až vražda Xorg. Ve fórech se zmiňuje tato chyba. Celkově mě odezvy prostčedí moc neuchvátili, vyvolání menu (Aktivity - klávesou) tad. Přepínáni ploch.

Dále jsem si pohodlně nainstaloval hru urbanterror-optimized z repository playdeb, který je v Mintu již přítomen a není jej třeba přidávat. V Gnome3 je hra nehradelná FPS klesne na 29. Hra je plně hratelná v Gnome2 kde je FPS na pohodových 80ti. Po příčinách jsem radši ani nepátral.

Zkrátka pro mě dlouhodobě použitelným OS momentálně je Ubuntu 10.04.3 LTS, který má podporu až do roku 2013-04. V té době již možná budou neduhy Gnome3 vyladěny a odstraněny.

AnyDATA ADU520L od U:fon v Ubuntu 10.04.3

2011-12-08T22:01:00.009+01:00

Již delší dobu jsem hledal nějaký mobilní internet za rozumnou cenu, pro použití na chatě, kde jsou možnosti internetu dosti špatné. Primárně je to pro rodiče, kteří maji notebook s OS Linux Ubuntu 10.04.3 LTS. Před samotným objednáním HW u U:fon jsem kontaktoval operátora, který nevěděl zda dané zařízení je funkční pod Linuxem. Ale ujišťoval mě, že výmena HW za jiný podporovaný model je možná, což mě lehce uspokojilo. Nechal jsem se též uchlácholit článkem, který vypadl z Googlu na první dotaz.

Z článku jsem použil jen některé pasáže. Uvedu zde relativně jednoduché kroky pro zprovoznění 3G internetu s tímto USB modemem.

sudo aptitude install usb-modeswitch
sudo /lib/udev/rules.d/61-option-modem-modeswitch.rules /etc/udev/rules.d
sudo vi /etc/udev/rules.d/61-option-modem-modeswitch.rules
zakomentujte (pomocí #) řádek ATTRS{idVendor}=="05c6", ATTRS{idProduct}=="1000", RUN+="modem-modeswitch
Odpojte a znovu připojte zařízení, měla by se objevit CD-ROM mechanika
Nastavíme NetworkManager přidáním U:fon v záložce "Mobilní širokopásmová"

Nastavení je uvedeno v dokumentaci.

jméno: ufon
heslo: ufon
tel. číslo: #777
IP: automaticky
ověřování: PAP/CHAP

Časem doplním obrazovky nastavení NetworkManageru. Je velmi příjemné, že používání tohoto modemu je integrováno do Gnome GUI a je plně klikací. Rychlost tohoto zařízení není nikterak valná, ale přečíst si email a kouknout na net se s tím dá. Je zarážející, že U:fon nedoplní své manuály i o Linux nastavení. A když né manuály tak aspoň web. Určitě by se pár Linuxových userů rozhodlo pro daný model.

UPDATE: 20111209

Dnes jsem si modem půjčil a chtěl jsem jej testnout v novějším systému. Aktuálně používám Linux Mint 12. Tato distribuce je postavená na Ubuntu, takže naprostá většina balíčků pochází z Ubuntu 11.10. Balík usb-modeswitch jsem v systému již měl. Kopírování udev rules není nutno, po připojení USB modemu, je detekce v pořádku.

Přihlášen jsem byl v Gnome-shell, kde je NetworkManager upraven. I přesto, že se modem v menu objevil, ale nepodařilo se mi nastavit uživatele a heslo ufon. Tak jsem se odlogoval a přilogoval do Gnome Clasic (Gnome2), kde je konfigurace plně možná. Po zpětném přihlášení je Gnome-shell je modem již funkční. Tlačítko nastavit je vyšedlé.

Narození druhého syna Jonáše

2011-12-04T10:41:00.002+01:00

Otec a druhorozený syn Jonáš
Originally uploaded by SmEjDiL

V sobotu jsme jeli do Jilemnice na kontrolu. Vše vypadalo, že se bude mimino asi loudat. Cestovaní vše zjevně změnilo. Ve 22:00 hod. praskla voda, tak jsme jeli tryskem do Jilemnické porodnice. A za dvě hodiny bylo po všem. Simona byla statečná a vše je snad v pořádku.

Jonáš Malý
4140g, 52cm, 4.12.2011 0:49

Netflow Analyzer and pfflowd pfSense

2011-12-01T23:00:00.001+01:00

UPDATE: 1.12.2011

Po nějaké době jsem chtěl opět použít NetFlow Analyzer a koukám, že tvůrci nezaháleli a maji novější verzi 9.5. Instalace probíhala obdobně jako u předchozí verze. V routeru se systémem pfSense je novější verze pfflowd, která podporuje i netflow protokol verze 9, ale pro funkční používání je třeba zapnout verzi 5. Při použití poslední verze se děje to, že se vytváří neskutečně mnoho nějakých zařízení. Po rozdílech mezi verzi 5 a 9 jsem moc nekoukal. Hlavní je že Analzer funguje jak má a umožňuje sledovat provoz protékající skrze router.

About NetFlow Analyzer
Version : 9.5
Build Number : 9500
License Info : Professional Plus - Unlimited Interfaces
License Type : Trial - Expires On 2011-12-31
Licensed to : Evaluation User
Database Used : MYSQL
Interfaces Managed : 3

Po čase provozování větší LAN např. o 50-100 stanicích, je již potřeba vědet co a jak kde v síti komunikuje. Né že by si někdo hrál na velkého bratra, ale je třeba mít možnost dohledat co se v síti dělo. K sledování stavových informací IP toku dat slouží protokol Netflow. Který přenáší stavové informace src, dst, srcport, dscport atd. Protokol podporuje velké množstvi síťových zařízení jako jsou Switche a Routery.

Jako firewall používám pfSence, na kterém je možno zprovoznit pfflowd, který posílá UDP Netflow datagramy na server, kde běží Netflow Analyzer, což Java je aplikace, která poslouchá na portu 9996 a datagramy analyzuje a výsledky ukládá do MySQL databáze. Na portu 8080 daná aplikace umožnuje přihlášení k webovému interface, který poskytuje nahlížení na zaznamenaná data.

Aplikaci pfflowd je možno nainstalovat např. na jakýkoliv FreeBSD server nebo router.

Instalace Netflow Analyzeru lze stáhnout zde ManageEngine_NetFlowAnalyzer_8500.bin. Instalace preferuje GUI, ale je možná i v negrafickém režimu. Je to placená aplikace. Ale pro vyzkoušení existuje 30 denní evauation verze. Testoval jsem Linuxovou verzi pod Ubuntu 10.04 LTS a na žádný probém jsem nenarazil. Instalace je typická tím, že si sebou nese JRE i samotnou databázi MySQL.

About NetFlow Analyzer

Version	: 8.5
Build Number	: 8500
License Info	: Professional Plus - Unlimited Interfaces
License Type	: Trial - Expires on 2010-9-9
Licensed to	: Evaluation User
Database Used	: MYSQL
Interfaces Managed	: 1

IP SMART BOARD vs Zabbix

2011-11-28T14:19:00.008+01:00

Starý domácí termostat ke kotli mám umístěn na velmi nevhodném místě za dveřmi a dráty pro signalizaci NO, CAM jsou vyvedeny právě zde a měnit jejich umístění je nemožné bez sekání. Rozhodl jsem se pořídit jiný termostat a volba padla na IP SMART BOARD od společnosti Mikrovlny s.r.o.

Se zařízením jsem měl menší problémy, které vyůstily k reklamaci daného kusu. Nespínalo relé při hlídané hodnotě. Ani výměna firmware nezabrala. Po výměně vadného kusu se s ním ještě učím :-), ale již hlídá plynový kotel a je příjemné si nastavovat doma topení po netu.

Nedalo mi to a destičku sledují pomocí SNMP verze 1 v monitorovacím systému Zabbix. Na stránce s MIB hodnotami je popis jednitlivých hodnot.

snmpwalk -Os -c public -v 1 192.168.10.101 0.1.3.6.1.4.1.21287.16.1.0
ccitt.1.3.6.1.4.1.21287.16.1.0 = STRING: "20.5"

V Zabbixu, jsem vytvořit template Template_IP_SMART_BOARD.xml. Definuje 18 hodnot dle MIB definice a 4 grafy. Využívám 2 teplotní čidla s tím že další je na desce, ale to hlídá teplotu desky, která se někdy zahřeje, proto není vhodné pro měření. Desku napájím pomocí PoE. Zajimavé hodnoty jsou z čidel a pak výstupní stav, kde vidím, zda kotel topíl a díky zabbixu vidím i od kdy do kdy.

Dané zařízení má své webové rozhraní, kde je možno sledovat stav relé a hodnoty čidel včetně maxima a minima atd.

Aktuálně používám konfiguraci využívající "Programable output".
např.
Mo,Tu,We,Th,Fr,Sa,Su,6:30,20.5
Mo,Tu,We,Th,Fr,Sa,Su,21:00,18.5

Bohužel nikde v dokumentaci nepíšou, že stávající firmware pro fungovaní "Programable output" vyžaduje připojena obě teplotní čidla, což naštěsí je můj případ.

Podrobná dokumenraci IP SMART BOARD je na stránkách výrobce.

Zd e mám ke stažení oba distupné firmware. Do konce roku má prý vyjít opravný 1.0.3.

Template v Zabbixu definuje samotné Items, ale i vybrané čtyři grafy.

Zabbix 1.8.9

2011-11-28T13:42:00.003+01:00

Máme tu novu verzi monitorovacího systému Zabbix a tou je verze 1.8.9.

Releace Notes popisuje opravu mnoha chyb a taktéž přináší i nějaké novinky.

Aktualizoval jsem ze src dva servery. Zabbix server+frontend a Zabbix proxy + Agenty.

29709:20111128:125356.963 Starting Zabbix Server. Zabbix 1.8.9 (revision 23398).
29709:20111128:125356.964 ****** Enabled features ******
29709:20111128:125356.964 SNMP monitoring: YES
29709:20111128:125356.964 IPMI monitoring: YES
29709:20111128:125356.964 WEB monitoring: YES
29709:20111128:125356.964 Jabber notifications: YES
29709:20111128:125356.964 Ez Texting notifications: YES
29709:20111128:125356.964 ODBC: YES
29709:20111128:125356.964 SSH2 support: YES
29709:20111128:125356.964 IPv6 support: NO
29709:20111128:125356.964 ******************************

22517:20111128:131104.090 Zabbix Proxy stopped. Zabbix 1.8.9 (revision 23398).
22617:20111128:131104.100 Starting Zabbix Proxy (active) [proxy-zbx]. Zabbix 1.8.9 (rev
ision 23398).
22617:20111128:131104.100 **** Enabled features ****
22617:20111128:131104.100 SNMP monitoring: YES
22617:20111128:131104.100 IPMI monitoring: YES
22617:20111128:131104.100 ODBC: YES
22617:20111128:131104.100 SSH2 support: YES
22617:20111128:131104.100 IPv6 support: NO
22617:20111128:131104.100 **************************

winexe na Ubuntu nebo LMDE

2011-11-22T13:54:00.004+01:00

Projekt
http://sourceforge.net/projects/winexe/

wiki
http://en.wikipedia.org/wiki/WinExe

Help build on ubuntu or debian - tested compile on LMDE
http://mpov.timmorgan.org/winexe-on-ubuntu

sudo apt-get install build-essential autoconf checkinstall
svn co http://dev.zenoss.org/svn/trunk/wmi/Samba/source
cd source
wget https://gist.github.com/raw/843062/5bb87c4fa13688f65ca8b1e54fc42676aee42e5a/fix_winexe_service.diff
patch -p0 -i fix_winexe_service.diff
./autogen.sh
./configure
make proto bin/winexe
sudo cp bin/winexe /usr/local/bin/

ready for used :-)

OpenSSL library error follows - values mismatch

2011-11-21T13:35:00.004+01:00

Řešil jsem standartní výměnu SSL certifikátu u webserveru Apache. Po domluvě s osobou, co certifikační řízení řešil u CA Thawte jsem mu vytvořil nové CSR dle zvyklostí.

openssl genrsa -des3 -out www.domena.cz.key 2048
openssl req -new -key www.domena.cz.key -out www.domena.cz.csr
openssl rsa -in www.domena.cz.key -out www.domena.cz.key-decrypt

Posléze jsem certifikáty přenesl na webserver a restartoval jej a ejhle, Apache nenaběhl s hláškou:

[Mon Nov 21 12:36:16 2011] [error] mod_ssl: Init: (www.domena.cz:443) Unable to configure RSA server private key (OpenSSL library error follows)
[Mon Nov 21 12:36:16 2011] [error] OpenSSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch

Je vhodné vždy prověřit, zda je modulus stejny u klíče (key), certifikátu (crt) a požadavku (csr)!!!

openssl x509 -noout -text -in www.domena.cz.crt -modulus
openssl rsa -noout -text -in www.domena.cz.key -modulus
openssl req -noout -text -in www.domena.cz.csr -modulus

Muj problem byl v tom, že mi pán zaslal jiný cert, než bylo domluveno :-(

Feitian ePass PKI token

2011-11-16T22:30:00.005+01:00

Kolega nalezl tento USB token Feitian ePass PKI token na jednom francouském shopu. Již dříve jsem po obdobném HW toužil. Pátral jsem zda by jej nechtělo koupit více lidí, ale ve finále měl danej shop pouze dva kousky. Celkově dva USB tokeny s poštovným stály 78,53€.

K čemu taková USB fleška je :-) ? Vypadá sice jako fleška, ale uvnitř je čtečka Smard Card - Feitian R-310 a Feitian PKI smartcard (FTCOS / PK-01C). Na token je možno uložit certifikát nebo ssh klíč. Výhodou je, že se dá RSA klíč přímo generovat na daném zařízení s tím, že privátní klíč nikdy token neopustí, což je jedna z klíčových vlastností .

Spolu s tokenem bylo dodáno i malé 92M CD s dokumentací. Aktuální ISO obraz je dostupný zde.

Hnedle co jsem jej dostal do ruky, strčil jsem jej do USB.

Nov 14 13:35:44 ntb kernel: [19615.418112] usb 5-1: New USB device found, idVendor=096e, idProduct=0503
Nov 14 13:35:44 ntb kernel: [19615.418115] usb 5-1: New USB device strings: Mfr=1, Product=2, SerialNumber=0
Nov 14 13:35:44 ntb kernel: [19615.418117] usb 5-1: Product: SCR301
Nov 14 13:35:44 ntb kernel: [19615.418119] usb 5-1: Manufacturer: Feitian
Nov 14 13:35:44 ntb mtp-probe: checking bus 5, device 5: "/sys/devices/pci0000:00/0000:00:1d.0/usb5/5-1"
Nov 14 13:35:44 ntb mtp-probe: bus: 5, device: 5 was not an MTP device

Pro práci s tokenem budeme v Linux/UNIX systémech potřebovat free software OpenSC. Výrobcem tokenu je spolešnost Feitian. Ovladač FTCOS/PK-01C v OpenSC se jmenuje "entersafe", více je popsáno zde.

Nejprve jsem si instaloval tyto balíky v distribuci LMDE. K OpenSC je ječtě třeba ovladač čtečky atd. pcsc+ccid.

sudo aptitude install opensc
sudo aptitude install libccid
sudo aptitude install libacsccid1
sudo aptitude install pcsc-tools
sudo aptitude install pcscd

Kominikace s čtečkou mi nějak nefungovala, proto jsem si manuálně zkompiloval aktuální verzi. Popis instalace pěkně zdokumentován na GOOZE.

Ověření instlace je dokumentováno zde. LMDE verze.

opensc-tool --verbose --info
opensc 0.12.1 [gcc 4.6.1]
Enabled features: zlib openssl pcsc(libpcsclite.so.1)

Aktuální manuálně kompilovaná verze.

opensc 0.12.2 [gcc 4.6.1]
Enabled features: zlib readline openssl pcsc(libpcsclite.so.1)

Vypíšeme si čtečky --list-readers, -l Lists all configured readers

opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Feitian SCR301 00 00

Inicializace karty je opět pěkně zdokumentována zde.

Vypíšeme si ATR ma kartě --atr, -a Prints the ATR bytes of the card

opensc-tool --atr
Using reader with a card: Feitian SCR301 00 00
3b:9f:95:81:31:fe:9f:00:65:46:53:05:30:06:71:df:00:00:00:80:6a:82:5e

Vypíšeme si seriové číslo karty. --serial Prints the card serial number

opensc-tool --serial
Using reader with a card: Feitian SCR301 00 00
29 15 33 21 10 23 08 11 ).3!.#..

Preventivě smažeme kartu, na které od výrobve stejně nic není. Prověříme tím komunikaci čtečky s smart card.

pkcs15-init -vE
Using reader with a card: Feitian SCR301 00 00
Connecting to card in reader Feitian SCR301 00 00...
Using card driver entersafe.
About to erase card.

Dále si na kartě inicializujeme profil, nastavíme pin a puk

pkcs15-init --create-pkcs15 --profile pkcs15+onepin --use-default-transport-key --pin 1234 --puk 654321 --label "Jan Novak"

Pomocí dump si vypíšeme co Smard Card obsaduje.

pkcs15-tool --dump
Using reader with a card: Feitian SCR301 00 00
PKCS#15 Card [Jan Novak]:
Version : 0
Serial number : 2915332110230811
Manufacturer ID: EnterSafe
Last update : 20111115124249Z
Flags : EID compliant

PIN [User PIN]
Object Flags : [0x3], private, modifiable
ID : 01
Flags : [0x32], local, initialized, needs-padding
Length : min_len:4, max_len:16, stored_len:16
Pad char : 0x00
Reference : 1
Type : ascii-numeric
Path : 3f005015

Můžeme do karty importovat existující RSA klíč, který musíme nejprve dešifrovat.

openssl rsa -in ~/.ssh/id_rsa -outform pem > id_rsa.pem
Enter pass phrase for /home/novak/.ssh/id_rsa:
writing RSA key

Posléze jej uložíme na Smard Card.

pkcs15-init --store-private-key id_rsa.pem --auth-id 01 --pin 1234

Lepší možnost je si klíč generovat přímo na token.

pkcs15-init --generate-key 2048-rsa --auth-id 01 --pin 1234

Veřejný klíč si vygenerujeme následovně. Návod opět zde. Vypíšeme si nejprve informaci o veřejném klíčí na smard card.

pkcs15-tool --list-public-keys
Using reader with a card: Feitian SCR301 00 00
Public RSA Key [Public Key]
Object Flags : [0x2], modifiable
Usage : [0x4], sign
Access Flags : [0x0]
ModLength : 2048
Key ref : 0
Native : no
Path : 3f0050153000
ID : c70982******a14eb3

pkcs15-tool --read-ssh-key c70982******a14eb3

Using reader with a card: Feitian SCR301 00 00
2048 65537 259843******67908u
ssh-rsa AAAAB3Nz******Bw2Tfg

Pak se již můžeme přihašovat na vzdálený server pomocí Secure Shell.

ssh -v -I /usr/lib/opensc-pkcs11.so server.domena.cz

Provider tokenu je možno zavést do patřičného souboru.

vim ~/.ssh/ssh_config
PKCS11Provider /usr/lib/pkcs11/opensc-pkcs11.so

Alternativy USB tokenu, u kterých se o Linuxu moc nepíše, ale funkční pod OpenSC budou.

Tyto alternativy jsem si zde uvedl jen proto, že jsem na rychlo hledal, zda se da nějaký USB token koupit v čechach. Patrně nebudou fungovat pod Linuxem.

NetworkManager vs pfSense OpenVPN

2011-11-11T15:13:00.007+01:00

Doposud jsem se domů připojoval jen pomocí Secure Shell a když bylo třeba pomoci Wake on LAN jsem si zapnul domácí PC. Jelikož se občas potřebuji připopjit domů a dostat se na nějaké to domací HTTP je již potřeba VPN.

Oblíbený router pfSense založený na FreeBSD má podporu několika VPN implementací. Testnul jsem právě OpenVPN. Jako velký pomocník mi byl tento návod. Který mě navedl na použití velmi užitečné aplikace TinyCA, která mi výrazně usnadnila vytvoření všech certifikátů pro server i pro klienta.

Samotné certifikáty jsem si nastavil v oblíbené aplikaci NetworkManager, který je dnes již v mnoha distribucí a výrazně usnaddnuje práci s připojením kde kam :-)

SSI apache 1.3 vs apache 2.2

2011-11-09T13:11:00.004+01:00

Překlapěl jsem konfigurace Apache 1.3.x na Apache 2.2.x a narazil jsem na problem s SSI, přesněji na práci s DATE_LOCAL. SSI jako takové fungovalo, ale duplicitní directiva zapomenutá v common.conf a nová direktiva v mods-enable/mime.conf delala problémy.

Konfigurace Apache 1.3.x

AddType text/html .shtml
AddHandler server-parsed .shtml

Konfigurace Apache 2.2.x

AddType text/html .shtml
AddOutputFilter INCLUDES .shtml

Je zvláštní že apachectl configtest nehlídá i duplicitní záznamy v konfiguraci.

SyncML Nokia E72

2011-11-08T23:57:00.003+01:00

Chtěl jsem si udělat zálohu kontaktů z firemního telefonu Nokia E72. Nejprve jsem sázel na aplikaci Wammu, ale ta se s telefonem nespojila pomocí USB ani přez Blootooth.

Nakonec jsem použil textovou utilitu SyncML.

sudo aptitude install libsyncml-utils

Telefon jsem připojil přez mikro USB kabel
Vypsal jsem si nalezená zažízení
A pak už jen stáhnul kontakty

syncml-ds-tool -u
Superuser privileges are required to access complete USB information.
Found 4 USB OBEX interfaces
Interface 0:
Manufacturer:
Product:
Interface description:
Interface 1:
Manufacturer: Nokia
Product: E72-1
Interface description: SYNCML-SYNC
Interface 2:
Manufacturer: Nokia
Product: E72-1
Interface description: PC Suite Services
Interface 3:
Manufacturer: Nokia
Product: E72-1
Interface description: SYNCML-DM

syncml-ds-tool -u 0 --slow-sync text/x-vcard Contacts --wbxml --identifier "PC Suite" > Plocha/Nokia_E72.SyncML.txt

Výstup je následující:

-----BEGIN CHANGE-----
BEGIN:VCARD
VERSION:2.1
REV:20110629T050437Z
N:Jan;Novak;;;
TEL;CELL:+420603123456
EMAIL;INTERNET;ENCODING=QUOTED-PRINTABLE:jan.novak=40domena.cz
END:VCARD
-----END CHANGE-----

HP ProLiant MicroServer FreeNAS

2011-11-08T09:15:00.003+01:00

Včera po florbale jsem musel zajít k sousedovi omrknout HW co si velmi výhodně pořídil pro provozování domácího NAS.

HP ProLiant MicroServer (dostupný např v Alza). Blog s popisem HW i s fotkama je zde. Na youtube je video o daném HW.

V minulosti jsem si pořídil vlastní obdobný HW pro domácí NAS a provozuji na něm systém FreeNAS. Tento HW mi příjde mnohem lepší.

VMware Workstation 7.1.4 na LMDE

2011-11-06T21:31:00.010+01:00

Instalace samotného komerčního produktu VMware Workstation 7.1.4 projde bezproblémově, vše ala widle, klikací vizárd. Při prvním puštění se ovšem kompiluje patřičný modul jádra, což si VMW od jisté verze zajišťuje sama. Error log moc nenapoví, kontroloval jsem existenci kernel headeru atd. ale vše bylo v pořádku.

Chybu se spuštěním po instalci, jsem pozoroval jak u LMDE tak u Ubuntu 11.10. Problém je v tom, že kernel 3.0.x není v VMW 7.1.x zřejmě podporován. Moc jsem problém podrobně neanalyzoval. Našel jsem jeden blog, kde je k mání patch vmware2.6.39patchv3.tar.bz2 se scriptem, který udělá vše za Vás. Pozmění se zdrojáky a provede se kompilace modulu.

S aktuální sedmičkovou verzí VMware Workstation 7.1.5 patch nefunguje, ale to je asi jen kosmetický problém.

UPDATE: Úpravou patch scriptu je možno instalovat i 7.1.5. Jen je třeba smazat soubor .patched, ale na to každý příjde sam.

Tento neduh jsem řešil s jedním kolegou v HK a přičítal jsem jej LMDE, ale totéž jsem řešil včera s Ubuntu 11.10, kde je též kernel verze 3.x.

Ubuntu 11.10 > LMDE

2011-11-06T20:21:00.007+01:00

V pátek jsem se rozhodl, že na firemním noteboku vyzkouším Poslední verzi distribuce Ubuntu s označením Oneiric Ocelot 11.10. Tento release jsem testoval ve virtualizaci, takže jsem tušil o co se jedná. Doposud jsem používal Lucid Lynx 10.04.3 LTS a moc se mi jej nechtělo opouštět. Díky LTS bych jej mohl spokojeně používat až do 042013. Kolega v práci si 11.10 moc pochvaloval a na práci s Unity se prý dá zvyknout.

Instalace byla bez problémů, osobně mě překvapil instlátor, který umí používat i wifi bezdrátové spojení. Tato vlastnost se zřejmně časem objeví ve všech ostatních distribucích.

Co se Unity týče, moc se mi nelíbí a více jsem si sliboval od používání Gnome Shell neboli Gnome3. Již v minulosti jsem obě prostředí testoval. Koexistence obou prostředí v jednom systému je dobrá. V dřívějších dobách - distribucích tato možnost tuším nebyla možná. Před instalací jsem si udělal zálohu /etc a /home dále je dobré poznamenat si seznam instalovaných balíčků.

Po instalaci jsem si liboval, že to bude v pohodě, ale ejhle. Emailový klient Evolution, který byl z úvodní instalace odstraněn nefungoval jak by měl, přesněji přestal fungovat úplně, což bylo pro mě dosti fatální. Dále mě hodně zarazila neexistence balíčků seahorse-plugins, totem-plugins. Někde jsem vygooglil, že jsou plné chyb a že se asi objeví až ve 12.04, což je dosti nepochopitelné. Dále jsem se pokoušel Unity nějak umravnit a za nápomoc jsem povolal pěkně ucelený článek na rootu. V sobotu večer jsem Evolution neumravnil a pak už došla trpělivost. Doslova jsem se nasral a vzpálil si DVD linuxmint-201109-gnome-dvd-64bit.iso a bylo vymalováno.

Distribuci Linux Mint neznám moc dlouho, ale na domácí plečce na přehrávání pohádek jsem si jí ochmatal a přišla mi jako vcelku dobrá a použitelná. Mint distribuce je postavená na Ubuntu nebo Debinu. Ubuntí verzi jsem testil již dříve. Zato LMDE neboli Linux Mint Debian Edition je takzvaná "rolling distribution". To má malou nevýhodu, že se využívají Debian Testing balíky. To by mohlo mít za následek nestabilitu. I přes to jsem se jej rozhodl používat.

Instalátor je více ořezaný, než ten Ubuntí, ale to na funkcni nemělo vliv. Po instalaci se aktualizovalo asi 400 balíků. Dále jsem obnovil data ze zálohy a vše funguje jak bych si představoval. Problém nastal jen s VMware Workstation 7.1.x, která si nechtěla porozumět s kernelem 3.0.x. Tento identický problém jsem ovšem řešil i na Ubuntu 11.10. Postup na řešení bude v dalším příspěvku.

Pevně věřím, že budu s LMDE spokojen a nebudu neustále utloukán nefunkčními novinkami. Jsem smířen s tím, že komunitní podpora není stejná jako ta od Canonicalu. Ubuntu jsem používal od verze 6.06 LTS. Distribuci Ubuntu dlouhodobě vnímám jako inovátorskou distribuci, u níž má cenu používat jen LTS verze. Ty ostatní často nefungují. Taktéž věřím že LTS nestratí své dřívější kvality.

AllowOverride nepatří do Location

2011-10-27T11:50:00.005+02:00

Při překlápění webu z apache 1.3.x na apache 2.2.x jsem narazil na pár zajímavostí. Jistou konfigurační chybou bylo použití direktivy AllowOverride v Location. Starší verze tuto chybu připouští.

Options Includes Indexes
AllowOverride None
AuthType Basic
AuthName "Mas heslo ?"
AuthUserFile /data/www/etc/htpasswd
Require valid-user
Allow from 127.0.0.1/0.0.0.0

Novější Apache již varuje před nadbýtečným užitím direktivy AllowOverride.

root@server:$ ./apachectl configtest
[Thu Oct 27 13:22:40 2011] [warn] Useless use of AllowOverride in line 3.
Syntax OK

Takže ještě jednou AllowOverride nepatří do Location :-)

ESET NOD32 Antivirus pro Linux Desktop

2011-10-24T13:57:00.007+02:00

Antivir pro Linux Desktop není zrovna mou oblíbenou tematikou. Obecně je to asi zbytečnost. Ovšem, pokud se ve firemním prostředí používa centrální správa antiviru ESET - ERA, je žádoucí mít pod kontrolou i Linuxové Desktopy. ESET NOD32 Antivirus 4 Business Edition pro Linux Desktop je právě ten kus uzavřeného SW, který jsem byl nucen na firemní Notebook nainstalovat. Ještě malá poznámka k ERA server. Pokud používáme na Desktopu firewall, tak stačí povolená odchozí komunikace. Antivir, pokud je tak nastaven sám kontaktuje ERA server.

Instalaci jsem prováděl a testoval na dvouch obdobných OS distribucích Linux Ubuntu 10.04.3 LTS 64bit a Linux Mint Debian Edition 32bit, dále jen LMDE.

Instalace je vesměs triviální. Stáhneme si instalační archív. Je třeba se rozhodnout jakou verzi použijeme. Buť pro Domácí užití nebo pro Firemní s přívlastkem "be" (Business Edition). Tato be verze umožňuje napojení na ERA. Instalace se skládá z dvou částí esets_daemon a esets_gui. Grafický klient je startován po zalogování. Najdeme jej v Gnome: Aplikace / Systemové nástroje / ESET NOD32 Antivirus. Startování je nastaveno v Systém / Předvolby / Aplikace spouštěné při přihlášení.

Seznam stažených verzi:

../Eset_Nod/v4.0.66.0
ls -1
ueavbe.i386.cs.linux
ueavbe.i386.en.linux
ueavbe.x86_64.cs.linux
ueavbe.x86_64.en.linux

Nastavíme práva pro zpuštění instalačního archivu. V případě, že používáte Linux Mint Debian - (LMDE) je třeba provést jeden link, testovano na 32bitove verzi. Na 64bitove může být jiná cesta. Ubuntu 10.04.3 64bit problémy nepsalo.

LMDE

sudo mkdir /usr/lib/gconv
sudo ln -s /usr/lib/i386-linux-gnu/gconv/UTF-16.so /usr/lib/gconv/UTF-16.so

chmod 700 ueavbe.i386.cs.linux
sudo ./ueavbe.i386.cs.linux

Klikací instalace ala windows. Možné nastavení.

Vzdalena sprava: era.domena.cz
port 2222
Heslo: eset32era

BEAST attack on TLS

2011-10-24T11:40:00.004+02:00

Již dříve jsem si sem poznamenával něco o SSL Tunningu na serverech, jako reakce na clánek na root.cz. Nově jsem na SSL Labs narazil na BEAST attack.

Zde je doporučené nastaveni OpenSSL - mod_ssl. Ukázkové video o útoku.

SSLProtocol -all +SSLv3 +TLSv1
SSLCipherSuite RC4-SHA:ALL:!NULL:!aNULL:!eNULL:!ADH:!LOW:!EXP:!MD5
SSLHonorCipherOrder On

Test Linux Desktop

2011-09-22T15:31:00.002+02:00

Test Linux Desktop, a set on Flickr.

Via Flickr:
Nastal čas, čistě uživatelsky instalovat a letmo otestovat pár známých Linux distribucí platformy x86_64. Preferováno Gnome.

Testováno na zapůjčeném HW - Lenovo ThinkPad T61

Linux Mint 11 Katya base Ubuntu Natty
Gnome3 Live DVD (F15)
Fedora 15 Lovelock
Ubuntu 11.04 Natty
Debian 6.0.2 Squeeze
openSUSE 11.4 Caladon

Apache Tomcat - Remove version string

2011-09-21T15:41:00.003+02:00

Pokud někde na produkci provozujeme Apache Tomcat, je vhodné kvůli penetračním testům a potencionálním útočníkům nesdělovat verzi tomcatu. Vypnout tuto volbu někde v konfiguraci jsem nenašel. Je třeba vybalit z catalina.jar soubor ServerInfo.properties a v něm upravit - umazat verzi serveru a posleze zase soubor zabalit do jar.

Tomcat 5.x

cd CATALINA_HOME/server/lib
jar xf catalina.jar org/apache/catalina/util/ServerInfo.properties

joe org/apache/catalina/util/ServerInfo.properties
server.info=Apache Tomcat/5.5.33
na
server.info=Apache Tomcat

jar uf catalina.jar org/apache/catalina/util/ServerInfo.properties
rm -rf org

Tomcat 6.x

cd CATALINA_HOME/lib

Další bezpečnostní konfigurace jsou sepsané např. https://www.owasp.org/index.php/Securing_tomcat

P.S. u PHP se daná volba vypíná pomocí volby v php.ini

expose_php = Off

ESXi 5.0 + FreeBSD 8.2 + VMware Tools 8.6.0 build-425873

2011-09-19T16:58:00.006+02:00

Kolega v práci instaloval nedávno zveřejněný ESXi 5.0 A tak jsem hnedle koukal jaká verze FreeBSD je podporovaná. Potěšilo mě, že je podporováno aktualní FreeBSD 8.2. Rychle jsem nainstaloval amd64 port.

Doposud FreeBSD a vmware tools provozuji s portem open-vm-tools, přesněji tento port. Nyní jsem chtěl vyzkoušet vmware tools, které jsou součástí ESXi 5.0.

Pro funkčně fungujjící instalacní script bylo třeba doinstalovat perl a compat6x, což ukazuje na poněkud postarší binárky.

cd /usr/ports/lang/perl5.12/
make install clean

cd /usr/ports/misc/compat6x
make install clean

mount /cdrom
cp /cdrom/vmware-freebsd-tools.tar.gz /usr/tmp/

tar xvyf vmware-freebsd-tools.tar.gz
cd vmware-tools-distrib
./vmware-install.pl -d

...
Making sure services for VMware Tools are stopped.

Stopping VMware Tools services in the virtual machine:
Guest operating system daemon: done

No X install found.

Starting VMware Tools services in the virtual machine:
Switching to guest configuration: done
Guest memory manager: done
Guest operating system daemon: done
The configuration of VMware Tools 8.6.0 build-425873 for FreeBSD for this
running kernel completed successfully.

You must restart your X session before any mouse or graphics changes take
effect.

You can now run VMware Tools by invoking "/usr/local/bin/vmware-toolbox-cmd"
from the command line or by invoking "/usr/local/bin/vmware-toolbox" from the
command line during an X server session.

Please remember to configure your network by adding:
ifconfig_vxn0="dhcp"
to the /etc/rc.conf file and start the network with:
/etc/netstart
to use the vmxnet interface using DHCP.

Enjoy,

--the VMware team

Found VMware Tools CDROM mounted at /cdrom. Ejecting device /dev/acd0 ...

Již dříve jsem si poznamenal něco málo o status VMWare. S tím, že open-vm-tools vytváří status Unmanaged. Moc jsem toho o těchto stavech nedohledal.

Dnes jsem si ověřil, instalci vmware tools, které jsou součástí ESXi 5.0. A ty mají tento stav Running (Current) což je zase novinka.

Dle mého soudu je vhodnější používat port open-vm-tools-nox11, protože systém o daném SW ví a je možno jej snadno aktualizovat např. pomocí portupgrade.

pfSense CARP Cluster

2011-09-02T13:30:00.007+02:00

V práci jsem dostal za úkol otestovat funkcionalitu firewalu pfSense verze 1.2.3 a zejména jeho Hardware Redundancy (CARP) a to ještě IPSec tunnel mezi router A a B. Tento firewal hojně používám, ale CARP jsem ještě nekonfiguroval. Stanovil jsem si cíl a tím bylo postavit za pomoci virtualizace celkem 4 routery, vždy dva a dva, které jsem umístil do jednotlivých DMZ rozsahů s veřejnými IP adresami.

Nejprve poznamenám, co že je to ten CARP. Ze zakoupené knihy jsem vyčel historii protokolu CARP - Common Address Redundanc y Protocol, který vznikl jako svobodné řešení failover, jež vzniklo díky projektu OpenBSD. Společnost Cisco má svůj protokol VRRP a HSRP. Bohužel patenty znemožňují jejích implementaci ve svobodných otevřený systémech. CARP je tedy znám hlavně v *BSD systémech.

Mé kroky k zprovoznění pfSense Hardware Redundancy (CARP) vedly logicky na dokumentaci projektu pfSense. Zde je stručný popis failover firewallu. Dále je tu klikací tutorial, který objasní dané řešení. Zprovoznil jsem již zmíněné routery v ESXi 4.1, ktré vyžaduji 3 IP od ISP (veřejné adresy), dále pak potřebujeme 3 IP z LAN. Vždy dvě IP jsou přiřazeny jednotlivým routerům a jedna IP tvoří onen CARP interface, který zajišťuje přehození provozu z MASTER na BACKUP a případně naopak. Jednou z důležitých součástí tohoto řešení je pfsync, kterým si firewaly předávají informace jako FW Rule, NAT, IPSec, Virtual IP atd. Vše je patrné v tutorialu. Po zprovoznění funkční synchronizace, vytvoříme CARP interface, které přiřadíme do oddělených VHID Group. Na konzoli firewalu se nám objeví carpX device.

# ifconfig carp0
carp0: flags=49 metric 0 mtu 1500
inet 80.250.16.10 netmask 0xffffff80
carp: MASTER vhid 1 advbase 1 advskew 0
# ifconfig carp1
carp1: flags=49 metric 0 mtu 1500
inet 192.168.0.1 netmask 0xffffff00
carp: MASTER vhid 2 advbase 1 advskew 0

Po vytvoření CARP device na FW A se do pár sekund konfigurace přenese na FW B. Vše zajiťuje pfsync mechanizmus. Popisovat jednotlivé kroky není třeba, vše je jasně vidět v tutoriálu.

Dalším úkolem bylo nastavení IPSec tunelu mezi dvěma faiover firewall clustery (úžasná věta). Nastavením VPN / IPSec se nám zapne podpora IPSec, tím mám hlavně na mysli aktivace programu Racoon, který je soužástí ditribuce pfSense. Podpora IPSec je v *BSD díky implementaci KAME.net. Racoon zajišťuje výměnu klíčů mezi routery pomocí protokolu ISAKMP.

Nastavení VPN IPSec politik se opět přenese na druhý firewall v clusteru. Obdobná konfigurace proběhne i na druhé straně tunelu. A ejhle již např. ping ICMP jde z LAN A do DMZ A, kde se zabalí do ESP a předá na druhou stranu tunelu, kde se opět ESP otevře a vydá svůj poklad z LAN A na druhém konci tunelu.

Ohledně ESXi bylo nutno vytvořit a povolit v port groups nastavení, dle doporučení. Pozor, je to jistý bezpežnostní ústupek.

Pro otestování průchodů tunelu jsem si zprovoznil dva Ubuntu servery, které jsem posadil do LAN za failover routery. Mám oblíbený nástroj nesoucí jméno TTCP, který změří rychlost přenosu tunelem.

nasloucháme:

ubu-a:root:~> ttcp -v -r -s -f M -l 25600
ttcp-r: buflen=25600, nbuf=2048, align=16384/0, port=5001 tcp
ttcp-r: socket
ttcp-r: accept from 192.168.2.10
ttcp-r: 52428800 bytes in 68.72 real seconds = 0.73 MB/sec +++
ttcp-r: 52428800 bytes in 0.57 CPU seconds = 87.72 MB/cpu sec
ttcp-r: 8981 I/O calls, msec/call = 7.84, calls/sec = 130.68
ttcp-r: 0.0user 0.5sys 1:08real 0% 0i+0d 416maxrss 0+6pf 8662+13csw
ttcp-r: buffer address 0xd94000

spojíme se s nasluchačem:

ubu-b:root:~> ttcp -v -t -s -f m -l 25600 192.168.1.10
ttcp-t: buflen=25600, nbuf=2048, align=16384/0, port=5001 tcp -> 192.168.10.100
ttcp-t: socket
ttcp-t: connect
ttcp-t: 52428800 bytes in 68.45 real seconds = 5.84 Mbit/sec +++
ttcp-t: 52428800 bytes in 0.03 CPU seconds = 13333.33 Mbit/cpu sec
ttcp-t: 2048 I/O calls, msec/call = 34.22, calls/sec = 29.92
ttcp-t: 0.0user 0.0sys 1:08real 0% 0i+0d 414maxrss 0+8pf 455+0csw
ttcp-t: buffer address 0x2468000

na routeru pfhaA je možno sledovat ESP šifrovaný provoz:

tcpdump -i em1 host 80.250.16.10 and host 193.179.144.106
13:11:04.453352 IP 193.179.144.106 > 80.250.16.10: ESP(spi=0x07d761dc,seq=0x1aaf8), length 116
13:11:04.453696 IP 80.250.16.10 > 193.179.144.106: ESP(spi=0x06061ce4,seq=0xd580), length 116
13:11:04.468895 IP 193.179.144.106 > 80.250.16.10: ESP(spi=0x07d761dc,seq=0x1aaf9), length 116
13:11:04.469151 IP 80.250.16.10 > 193.179.144.106: ESP(spi=0x06061ce4,seq=0xd581), length 116

Zde je právě probíhající vyměna klíčů o kterou se stará Racoon

13:12:31.622854 IP 193.179.144.106.isakmp > 80.250.16.10.isakmp: isakmp: phase 1 I agg
13:12:31.638247 IP 80.250.16.10.isakmp > 193.179.144.106.isakmp: isakmp: phase 1 R agg
13:12:40.712942 IP 193.179.144.106.isakmp > 80.250.16.10.isakmp: isakmp: phase 1 I agg
13:12:40.713083 IP 80.250.16.10.isakmp > 193.179.144.106.isakmp: isakmp: phase 1 R agg

Zabbix 1.8.6 vs Upstart

2011-08-12T09:59:00.003+02:00

Řešil jsem upgrade monitorovacího systému Zabbix z verze 1.8.5 na aktuální verzi 1.8.6. Jelikož je v mnou používaném Ubuntu serveru balík zabbix-server 1.8.1 poněkud zasmrádlý (neaktualizovaný = starý) a používat PPA repolitory se mi moc nechce. Kompiluju si Zabbix ze zdrojových kódů. Kompilace není nikterak složítá, stačí doinstalovat pár devel balíčků pro podporované součásti serveru, jako je SNMP, OpenIMPI, Jabber - iksemel, LDAP, iODBC, cURL atd.

Problém nastal, při opětovném zpuštění nové verze serveru. Autoři Zabbixu mysli i na to, že po manuální kompilaci budeme chtít zabbix_server pustit a připravili sadu init.d scriptů pro jednotlivé systémy.

zabbix-1.8.6/misc/init.d> ls -1
aix
debian
fedora
freebsd
gentoo
redhat
suse
tru64
ubuntu

V Ubuntu je již nějakou dobu přítomen Upstart, což je init daemon od spol. Canonical. Konfigurace je jednoduchá. Dané soubory umístíme do adresáře /etc/init/ a v /etc/init.d/ vytvoříme linky na upstart-job. Dále používám sysv-rc-conf, kterým nastavuji runlevely. Ruční linkování je zhovadilost.

cd /etc/init.d/
ln -s zabbix-agent /lib/init/upstart-job
ln -s zabbix-server > /lib/init/upstart-job

Konfiguraci jsem si ještě upravil bez závislosti na běhu MySQL, protože tu provozuji na jiném serveru. A exec mám upraven o cesty a o parametr -c kde říkám kde je konfigurák pro zabbix_server.

cat zabbix-server.conf
# zabbix-server - Start zabbix server
description "Zabbix Server"
author "S. CANCHON"
start on (runlevel [2345]
and started mysql)
stop on runlevel [016]
respawn
expect daemon
exec /usr/sbin/zabbix_server

# zabbix-agent - Start zabbix agent
description "Zabbix Agent"
author "S. CANCHON"
start on runlevel [2345]
stop on runlevel [016]
respawn
expect daemon
exec /usr/sbin/zabbix_agentd

Můj probém spočíval v tom, že při zadání /etc/init.d/zabbix-server start server nenastartoval a vystup hlasil že již běži. Pátral jsem v systému po utrobách Upstaru a nakonec zabral příkaz service zabbix-server start Posléze jiz /etc/init.d/zabbix-server start|restart zase fungoval. Upstart je událostně orientován, ale nenašel jsem v systému kam si co poznamenává. Hlavně že to funguje.

Ještě malá poznámka, že Upstart konfiguráky byly přidány do Zabbixu ve verzi 1.8.5.

Splunk

2011-08-04T09:15:00.003+02:00

V loni okolo 30.7.2010 jsem si na doporučení kolegy poslech CZ Podcast 39 - Operations a Devops. Povídání to je zajímavé. Hodně mě zaujala zmiňovaná aplikace Splunk, kterou jsem se rozhodl vyzkoušet. Je to komerční aplikace, která analyzuje a reportuje informace, které produkují aplikace skrze své logy. Vstupních cest je ovšem více. Tyto data aplikace indexuje a posléze můžeme velmi rychle pozorovat stav aplikace při vytížení a tím odhalovat slabá místa. Aplikace se skádá z části splunkd, která je napsána v C++, dále se hojně využívá jazyka Python. Do aplikace existuje spousta rozšíření pro sledování *NIX (Unix serverů) dále pak např. IBM WAS, JMX, F5, Cisco atd. Tvorba vlastních Apps je též možná. Rozšížení neboli Apps jsou k nahlédnutí na Splunkbase. Pro vyzkoušení jsem si stáhnul verzi pro FreeBSD a pro Linux. Samozřejmě, že jsem se musel registrovat.

splunk-4.2.2-101277-freebsd-7.3-amd64.tgz
splunk-4.2.2-101277-linux-2.6-amd64.deb

Instalace je velmi dobře zdokumentována pro jednotlivé systémy a nenarazil jsem při ní na nějaký velký problém. Systém je to velmi robusní a s jeho konfigurací a vyladěním se dá strávit spousta času. Přínos pro sledování aplikací určitě má. V mém krátičkém testu zprovoznění a konfigurace jsem si jej nainstaloval na dva servery. Na FreeBSD běžela hlavní část, která indexuje a na jeden vývojový server na Linuxu jsem zprovoznil druhou instanci. Která koukala na logy z Tomcatu a MySQL. Dle dokumentace jsem Linuxovou verzi nutil logy prenášet na server s FreeBSD. Vše konfigurováno dle dokumentace a výsledek se dostavil, na FreeBSD jsem ve webovém rozhraní sledoval stav Tomcatu na Linuxu. Apps JMX jsem bohužel neotestoval.

Pokud někdy bude více času a bude požadavek na LogManagement se sledováním co se kde právě děje určitě se o Splunk budu více zajímat. Osobně vítám, že tvurci aplikaci připravují pro široké spektrum operačních systémů a neomezují se např. na jednu platformu.

IE vs Apache SSL virtual a binarni data

2011-08-02T10:32:00.005+02:00

Jelikož již po několikáte dohledávám jistý problém s jedním skutečně nepovedeným prohlížečem. Musim si to sem již zapsat.

Problem spočívá v tom, že pokud máme někde na Apache virtual s SSL a chceme aby web poskytoval např. nějaké swf soubory, IE je stáhne, ale nabízí k uložení. Dle mě je to dlouholetá a neopravená chyba, někdo tvrdí, že vlastnost. Podotýkám, že ve všech prohlížečích se to chová správně.

Je třeba u daného apache virtuálu nastavit např. následující.

SetEnvIf User-Agent ".*MSIE.*" IE_browser=yes
Header set Pragma public env=IE_browser
Header set Cache-control max-age=0 env=IE_browser *

Jelikož hojně používám mod_macro je záhodno danou definici uložit např. do macro.conf a posléze jen na správném míste použít Use M_IESSL

Teď už si to snad budu pamatovat a preventivně nastavovat všude tam, kde je SSL.

Test jabber klientů

2011-07-29T16:36:00.002+02:00

Test jabber klientů, a set on Flickr.

Ověřil jsem funkčnost 5ti Jabber/XMPP klientů na jednom firemním serveru.

Testováno na jabber.milcomdk.cz

Via Flickr:
psi-0.14-win-setup.exe
pidgin-2.9.0.exe
miranda-im-v0.9.25-unicode.exe
jabbim-win32-0.5.1.exe
spark_2_6_3.exe

Aplikace Nokia E72

2011-07-28T14:20:00.003+02:00

Jsem uživatelem telefonu Nokia E72, který jsem vyfasoval v práci. Co potřebuji k práci to umí. Cisco VPNka ve spojeni s Putty je skutečně mocný nástroj. Již jsem ze zahradní párty kolegini rekonfiguroval Apache. Chvíli je člověk ve společnosti za autistu, ale dílo na serveru někde v tramtárii se povede. Osobně bych preferoval spíše telefon s Androidem, líbil se mi HTC Desire Z, dnes bych ale radši Samsung Nexus S. Ikdyž na Querty klavesnici jsem si již navykl.

Poznamenám si zde jaké aplikace hojně používám.

Waze - GPS Navigation
Google maps
Putty
Handy Geocaching
OpenWIG - Wherigo
UpCode - Čtečka QR kódů
Slick - Jabber klient
Snaptu - hlavně Facebook
Endomondo - Sports Tracker
Shazam

Na telefon někdy hodně zanadávám. Více puštěných aplikací telefon značně zpomalí. Někdy jsou reakce Symbianu, i s minimem aplikaci v paměti tak pomalé, že okamžitě dávám restart. Někdy telefon ne a ne komunikovat datově, opět až po restartu. Ale to se mi dlouho nestalo, takže to asi opravil poslední update. Jinak takovou aplikační a uživatelskou perlou je, že po posledním updatu telefonu prostě zahodil veškeré vazby na kontakty. Tím mám na mysli fotky u kontaktů, rychlou volbu vytáření atd.

GPSBabel

2011-07-21T13:57:00.008+02:00

Kdo používá GPS tak povětčinou bude znát i aplikaci GPSBabel, která toho umí skutečně hodně. Podporuje nepřeberné množství GPS formátů a zařízení. Aplikace je hojně využívána pod Linux/Unix operačnímamy systémy, ale je portována pod kde co jiného. Jelikož si rád z cest na kole i z pěších tůr poznamenávam trasy, tato aplikace mi umožňuje stahovat track logy.

Pro stažení track logu používám následující příkaz:

gpsbabel -t -i garmin -f /dev/ttyUSB0 -o gpx -F DKnL_NA-20110719.gpx

Kde -f ukazuje na zařízení kernel modulu garmin_gps pokud modul nepoužíváme, můžeme použít volbu -f usb: Kolega RSA007 dohledal velmi pěkný příkaz, kterým můžeme z GPS získat tracklog jen z daného dne a hodiny. Přesněji řečeno, pokud máme v ACTIVELOGu zaznamenány data např. z dovolené, kde jsme jezdili na kole, můžeme si takto zpětně vytáhnout jen dané datumové intervaly.

gpsbabel -t -i garmin -f /dev/ttyUSB0 -x track,pack,split,move=+2h,title="DKnL > Nachod # %Y%m%d",start=2011071907,stop=2011071908 -o gpx -F DKnL_NA-20110719-07-08.gpx.gpx

Další variantou, kterou používám je script, který volám pro ulození GPX do GPS při stažení souboru např. z Geocaching.com

cat bin/gpx2gps
#!/bin/bash
FILE=$1
gpsbabel -i gpx -f $FILE -o garmin,power_off=0 -F /dev/ttyUSB0

Někdo možná bude mít dotaz k čemu takový track log je dobrý. Máme možnost si jej nahrát do aplikací jako je GoogleEarth nebo Viking či QLandkarte. Které nám ukáží mapu a pžez ní vidíme naši trasu. Dále můžeme např. získaný GPX soubor importovat do webové aplikace Endomondo nebo jí podobné. Toto občas dělám, když mi selže mobilní aplikace Endomondo. Pokud se extra nudíte, můžeme data z cesty zapsat do pořízených fotografii, pomocí aplikace GPSCorrelate. Po umístění takové fotky do inteligentních galerií se ukazuje fotka na mapě, kde byla pořízena. Ukázka např. na Flickru.

Jakožto vlastník GPS značky Garmin GPSMap 60CSx, musím si zde poznamenat tento odkaz.

Test Archiva proxy

2011-07-15T15:17:00.004+02:00

Jak otestovat funkčnost archiva proxy ? Toť moje otázka. Vzpoměl jsem si, že jsem kdysi v minulosti kompiloval projekt OpenNMS. A tak jsem oprášil starou dokumentaci, tak tetuji.

Aby Maven věděl, že má používat Archiva proxy, je třeba mu to říct a to v konfiguračním souboru ~/.m2/settings.xml

Pomocí gitu si stáhnu zdrojáky.

mkdir /tmp/test
cd /tmp/test
git clone git://opennms.git.sourceforge.net/gitroot/opennms/opennms
cd opennms
./run-tests.pl
[fbsd /tmp/test/opennms]$ ./run-tests.pl
[INFO] JAVA_HOME = /usr/local/diablo-jdk1.6.0/
[INFO] MVN = /tmp/test/opennms/maven/bin/mvn
[INFO] MAVEN_OPTS = -XX:PermSize=512m -XX:MaxPermSize=1g -Xmx1g -XX:ReservedCodeCacheSize=512m
[INFO] MAVEN_VERSION = 3.0.3
[INFO] running: /usr/local/bin/git clean -fdx .
[INFO] finished successfully
[INFO] running: /tmp/test/opennms/maven/bin/mvn -P!jspc install
[INFO] Scanning for projects......
....
Downloading: http://archiva.smejdil.cz/srv/archiva/repository/releases/dnsjava/dnsjava/2.1.1/dnsjava-2.1.1.jar
...

Vybral jsem jednu z mnoha knihoven dnsjava-2.1.1.jar pro dohledání v logách.

log archiva
2011-07-15 15:03:36 releases smejdil 80.250.16.10 "dnsjava/dnsjava/2.1.1/dnsjava-2.1.1.jar" "Modified File (proxied)"

log apache
80.250.16.10 - - [15/Jul/2011:15:03:36 +0200] "GET /srv/archiva/repository/releases/dnsjava/dnsjava/2.1.1/dnsjava-2.1.1.jar HTTP/1.1" 200 438761 "-" "Apache-Maven/3.0.3 (Java 1.6.0_07; FreeBSD 8.2-RELEASE)"

log tomcat
80.250.16.10 - - [15/Jul/2011:15:03:36 +0200] "GET /srv/archiva/repository/releases/dnsjava/dnsjava/2.1.1/dnsjava-2.1.1.jar HTTP/1.1" 200 438400

Po testu, kdy se stáhnou všechny závislosti ma repo mavenu 52M

Zase po sobe uklidim
rm -rf /tmp/test/

Archiva - Artifact Repository Manager

2011-07-14T16:45:00.012+02:00

V práci na mě padlo provést aktualizaci Archiva - Artifact Repository Manager http://archiva.apache.org/, což je java aplikace. Něco jako repository pro Linux distribuce, ale Archiva slouží pro Java vývojáře. Aplikace má více rolí a jednou z nich je i Proxy. Jednoduše řečeno vývojáři nemusí ručně stahovat kamsi jednotlivé knihovny. O vše se postará Maven a Archiva. Doposud jsme používali verzi 1.2.2 a nově jsme přešli na aktuální verzi 1.3.5.

Popis prostředí

Jako server pro běh aplikace jsem zvolil Linux Ubunru 10.0.4 LTS 64bit. Aplikace Archiva vyžaduje ke svému běhu web server Apache, Java, Tomcat, Maven a databázi MySQL. Ikdyž existuje i verze Standalone s vlastnim web serverem Jetty. Použíl jsem veryi WAR, která běží pod se deployne v tomcatu.

Apache 2.2.14 - ubuntu package + moduly libapache2-mod-jk a libapache2-mod-macro
Java 1.6.0_26 64bit - instalována manuálně
Tomcat 6.0.26 - instalován manuálně
Maven 2.2.1 - instalována manuálně
MySQL 5.1.41 - ubuntu package
Archiva 1.3.5 - instalována manuálně

Konfigurace

Apache

Nastavení webserveru apache2 jsem řešil dle balíčkové konfigurace.

apt-get install cronolog
apt-get install apache2 libapache2-mod-macro libapache2-mod-jk

joe /etc/apache2/envvars
export APACHE_RUN_USER=www-data
export APACHE_RUN_GROUP=www-data
export APACHE_PID_FILE=/var/run/apache2.pid
export APACHE_ARGUMENTS="-Don -Dtrue -Dyes"
export APACHE_FG_INSTANCE_NAME="apache01"

joe /etc/apache2/ports.conf
NameVirtualHost 80.250.16.10:80
Listen 80.250.16.10:80

cd /etc/apache2/mods-enabled
ln -s ../mods-available/rewrite.load ./
ln -s ../mods-available/headers.load ./
ln -s ../mods-available/include.load ./
ln -s ../mods-available/info.conf ./
ln -s ../mods-available/info.load ./
ln -s ../mods-available/macro.load ./
ln -s ../mods-available/macro.conf ./

joe info.conf
joe status.conf
joe jk.conf
joe macro.conf

cd /etc/apache2/sites-
joe default
joe archiva

cd /www/
mkdir -p server_log/apache01/log/

/etc/init.d/apache2 restart

Tomcat

Tomcat byl instalován dle zvyklostí.

ubuntu:~/install/tomcat-6.0.26&gt ./install-tomcat.sh
Instaled 1 Tomcast's
Install tomcat01 ...
patching file catalina.sh
patching file setclasspath.sh
patching file server.xml
patching file tomcat-users.xml

Důležité nastavení je v těchto souborech.

cd /www/server/tomcat01/apache-tomcat
joe bin/setclasspath.sh
...
## Archiva
export CATALINA_OPTS="-Dappserver.home=/www/java/archiva-home -Dappserver.base=/www/java/archiva-home"

joe conf/server.xml

Archiva vyžaduje doinstalovat pár knihoven do tomcat lib

ubuntu:/www/server/tomcat01/apache-tomcat> cat lib/readme-lml.txt
Pridal jsem soubory (jsou potreba pro aplikaci Archiva):
activation-1.1.jar
derby-10.1.3.1.jar
derbytools-10.1.3.1.jar
mail-1.4.jar
mysql-connector-java-5.1.5.jar

Archiva

Je umístěna v adresáři

ubuntu:/www/java/> ls -1
archiva # link na aktualni verzi
archiva-1.2.2 # stara verze
archiva-1.3.5 # aktualni verze
archiva-home # repo conf log atd.

Další konfigurák je v conf adresáři Maven .m2

ubuntu:~/.m2> ls -1
archiva
archiva.xml
repository
settings.xml

Tyto záznamy jsou vesměs pro mě. Podrobně je vše zdokumentováno na tránkách projektu. Pokud bude zájem ještě mám v plánu archivu dokonfigurovat, aby se autentizovala oproti LDAPu.

Ještě malá poznámka na závěr. Verze 1.3.5 nevyžadovala žádné úpravy MySQL tabulek. Udělal jsem dump a ten nalil na nový server, kam jsem aplikaci stěhoval i s archiva-home a vše běží jak má. Na stěhování repo jsem užil rsync.

grub2 Ubuntu and FreeBSD

2011-07-11T09:14:00.006+02:00

Na jednom počítači, který dříve okupoval nějaký grafik jsem si již v minulosti instaloval Ubuntu 10.04.2 LTS. Vyhledem k tomu, že tato stanice má 3 disky, rozhodl jsem si po nějaké době opět vyzkoušet FreeBSD 8.2 RELEASE amd64 jako Desktop s Gnome2.

Použil jsem grub jako zavaděč, což je v Ubuntu defaultní zavaděč. Bohužel stávající verze 1.98 zvaná jako grub2 se výrazně změnila co se konfigurování týže. Po instalaci FreeBSD jsem bootnul do Ubuntu a přidal následující.

sudo joe /etc/grub.d/40_custom
#!/bin/sh
exec tail -n +3 $0
# This file provides an easy way to add custom menu entries. Simply type the
# menu entries you want to add after this comment. Be careful not to change
# the 'exec tail' line above.

menuentry "FreeBSD 8.2 RELEASE amd64" {
insmod ufs2
set root=(hd1,1,a)
search --no-floppy --fs-uuid --set 4a86db44195cac47
kfreebsd /boot/kernel/kernel
kfreebsd_loadenv /boot/device.hints
set kFreeBSD.vfs.root.mountfrom=ufs:/dev/ad8s1a
set kFreeBSD.vfs.root.mountfrom.options=rw
}

Pak už nechat jen vzgenerovat grub.cfg

sudo update-grub

Ten poslední disk jsem se rozhodl použít jako disk pro výměnu dat mezi systémy. Současné ubuntu používá ext4. Namontovat jde, ale FreeBSD naruší journal a je vždy třeba dělat fsck. Proto jsem daný disk naformátoval na ext2, který je ve FreeBSD plně podporován. Je třeba mít podporu v kernelu ext2fs.ko

/dev/ad10s1 on /media/disk (ext2fs, local, nosuid)

[root@lmlpc-bsd ~]# atacontrol list
ATA channel 0:
Master: ad0 ATA/ATAPI revision 5
Slave: acd0 ATA/ATAPI revision 5
ATA channel 2:
Master: no device present
Slave: no device present
ATA channel 3:
Master: no device present
Slave: no device present
ATA channel 4:
Master: ad8 SATA revision 2.x
Slave: no device present
ATA channel 5:
Master: ad10 SATA revision 2.x
Slave: no device present
ATA channel 6:
Master: no device present
Slave: no device present
ATA channel 7:
Master: no device present
Slave: no device present

Zabbix monitoruje sám sebe

2011-07-07T13:37:00.005+02:00

Právě jsem si do Zabbix serveru přidal Template template_zabbix_server.xml , který se dá stáhnout z blogu autorů "monitoring how busy zabbix processes are" Blog popisuje jednotlivé typy procesů a spoustu dalších podrobností, které Zabbix interně používá. Template je možné použít v současné poslední verzi 1.8.5, využívá hlavně Itemu type Zabbix internal, což je novinka. Na grafech hnedle vidím který typ monitorovacího procesu Zabbixu je přetížen atd.

UPS NetVision vs Zabbix

2011-06-30T16:34:00.008+02:00

Dostal jsem se k UPS od společnosti Socomec Sicon UPSIDENTMODEL = DIGYS 3/3 10 kVA UPSIDENTAGENTSWVERSION = Net Vision v5.01. Rozhodl jsem se danou UPS sledovat pomocí monitorovacího systému Zabbix. Hledal jsem u výrobce nějaký SNMP MIB, ale marně. Nakonec jsem našel SW pro monitoring UPSsek s názvem Nut (Network UPS Tool) v jednom ze zdrojových souborů netvision-mib.c jsem hodledal potřebné SNMP OID.

Pomocí snmpwalk jsem prověřil, zda UPS vrací korektní hodnoty.

snmpwalk -Os -c public -v 1 ups .1.3.6.1.4.1.4555.1.1.1.1.1.1.0
enterprises.4555.1.1.1.1.1.1.0 = STRING: "DIGYS 3/3 10 kVA"

Posléze jsem vytvořil Template_Netvision_5.01.xml, který stačí jen importovat do Zabbixu a posléze přiřadit sledovanému Hostu. U hodnot Battery status a Output source jsem v Zabbixu přidal hodnoty Value Maping, dle zdrojového souboru z Nut. V Template jsem vytvořil i Trigger pro případné zaslání Notifikací u hraničních hodnot. Dále jsem udělal pár grafů. Časem možná ještě budu Template vylaďovat. Je škoda, že SNMP neumí zjistit teplotu baterii :-(.

Greylisting - kladivo na SPAM

2011-06-30T11:02:00.003+02:00

Již několik let je Greylisting známá a hlavně účinná metoda jak snížit příjem SPAMu. Po dlouhé době jsem se rozhodl nasadit postgrey na servery s MTA Postfix. Zprovoznění je velmi snadné a je pěkně posané např. zde, ale zakousl jsem se na mé původní konfiguraci postfixu. Postgrey je perlový script, který se pouští jako daemon a naslouchá na nastaveném portu TCP nebo na UNIX socketu. Postfix při kontrolách emailu předá email k prověření Postgrey. Ten pozdrží doručení emailu a tím nám sice email dorazí později, ale pleva se nedoručí. Doposud jsem SPAM označoval SpamAssasinem a filtroval do složky. Po nasazeni Graylistingu skutečně 98% spamu nedorazí do mého mailboxu.

Instalace Ubuntu:

aptitude install postgrey

Adding system user `postgrey' (UID 109) ...
Adding new group `postgrey' (GID 117) ...
Adding new user `postgrey' (UID 109) with group `postgrey' ...
Not creating home directory `/var/lib/postgrey'.

Creating config file /etc/postgrey/whitelist_clients with new version
Creating config file /etc/postgrey/whitelist_recipients with new version
Creating config file /etc/default/postgrey with new version
Starting postfix greylisting daemon: postgrey.

joe /etc/default/postgrey
POSTGREY_OPTS="--inet=127.0.0.1:10023 --delay=120 --max-age=20"

joe postfix/main.cf
smtpd_recipient_restrictions = permit_mynetworks,
reject_unauth_destination,
check_policy_service inet:127.0.0.1:10023

Narazil jsem na problém s mou původní konfiguraci postfixu, do které jsem jen přidal check_policy_service .... Ale s níže uvedenou konfiguraci postfix nic nepředáva postgrey.

smtpd_recipient_restrictions = permit_mynetworks,
reject_unauth_destination,
check_relay_domains,
check_policy_service inet:127.0.0.1:10023
permit

Patráním po problému jsem strávil spoustu času. Zkousel jsem i UNIX Socket, ale problém byl v check_relay_domains.

Alespoň jsem si dle rad zkušenějších vyzkoušel strace -r při bezradném pátrání po problému.

Instalace FreeBSD:
cd /usr/ports/mail/postgrey/
make install clean

joe /etc/rc.conf
postgrey_enable="YES"

/usr/local/etc/rc.d/postgrey start

Opět je v portech FreeBSD aktuálnější verze než v Ubuntu 8.04.4 LST :-)

Ubuntu
postgrey 1.31-2 greylisting implementation for Postfix

FreeBSD
postgrey-1.33_1 Greylisting policy server for Postfix

Zabbix API

2011-06-21T22:19:00.003+02:00

Monitorovací systém ZABBIX poskytuje API pro získávání dat ze systému. Zabbix komunikuje mezi serverem a agentama pomocí svého protokolu ZBX a ten uvnitř používá JSON a API používá JSON-RPC. Frondend Zabbixu je napsán v jazyce PHP, proto je na snadě použít PHP pro komunikaci s Zabbix API. Existuje tato implementace zabbix 1.8 api-php-class. Máme tedy možnost získat data o sledovaných systémech atd.

Dalším zajimavým systémem využívajícím API je MoZBX, což je mobilní nástroj na nahlížení na grafy v Zabbixu. Zdrojové kódy jsou dostupné na GIThubu.

První Wherigo

2011-06-19T18:31:00.006+02:00

Rozhodl jsem se vydat zdolat tuto novou cache Zvicinsky vyslap! - GC2T61J
Včera večer jsem si prvně instaloval java aplikaci OpenWIG, která je funkční pod firemním telefonem Nokia E72. Bohužel nemám GPS s podporou Wherigo, tak to řeším touto berličkou. Dorazil jsem na místo, které velmi dobře znám. Záznam z endomonda mam zde. Cartridge jsem stahoval ze stránek wherigo.com. Výjezd po turistický sjezdovce byl hustej a zvládl jsem to v jednom zátahu (žádná chůze) můj čas byl 12:47 min.

GIOM 3000 - ETHERNET ANEMO vs Zabbix

2011-06-17T00:19:00.010+02:00

Nedávno se mi dostalo do browseru webové rozhraní od meteostanice GIOM 3000 od společnosti Mikrovlny s.r.o. Poblíž na síti se nacházel monitorovaci systém Zabbix. Když jsem uviděl stránku s MIB hodnotama neváhal jsem a hnedle jsem provětral snmpwalk a fungovalo to pěkně.

snmpwalk -Os -c public -v 1 giom 0.1.3.6.1.4.1.21287.15.14.0
ccitt.1.3.6.1.4.1.21287.15.14.0 = STRING: "17.6"

V rámci učení se s Zabbixem, musel jsem vytvořit Template Template_GIOM_3000. Definuje 18 hodnot dle MIB definice a 8 grafů. Toto zařízení si budu muset časem pořídit. Po chvíli googlování zjišťuji, že dané zařízení je hojně využíváno v projektu meteo4u.cz. Z tohoto projektu jsem odvodil grafy v template, ale ještě budou chtít doladit.

autofs

2011-06-08T18:43:00.007+02:00

Již dlouho jsem chtěl používat autofs pro rychlé a snadné připojování síťových disků. Ale nikdy nějak nebyl čas. Předeběhl mě kolega, který si jej poladil na Arch linuxu. Používám všude Ubuntu, tak jsem se prokousával zde, používám jej pro SMB/CIFS i pro NFS.

Pro zprovoznení musíme provést tyto kroky.

Nainstalujeme potřebné Ubuntu balíčky:

sudo aptitude install smbfs
sudo aptitude install autofs

Do tohoto souboru přidáme na konec definici, kde se mají prohledavat nastavení.

sudo joe /etc/nsswitch.conf
...
automount: files

Vytvoříme potřebné adresáře. Distribuce ubuntu má konfiguraci v /etc, ale my chceme mít konfiguraci oddělenou v patřičném adresáři.

sudo mkdir /media/nfsshares
sudo mkdir /media/smbshares
sudo mkdir /etc/autofs

Nastavení služby autofs přenastavíme např takto. První direktiva mění umístění hlavního souboru, poslední volba zajistí podrobnější logování.

sudo joe /etc/default/autofs
MASTER_MAP_NAME="/etc/autofs/auto.master"
NEGATIVE_TIMEOUT=60
UMOUNT_WAIT=12
BROWSE_MODE="yes"
MOUNT_NFS_DEFAULT_PROTOCOL=3
LOGGING="verbose"

cat auto.master
/media/nfsshares /etc/autofs/auto.nfs --timeout=60
/media/smbshares /etc/autofs/auto.smb --timeout=60

Heslo do Windows je uloženo zde, bohužel nešifrovaně, proto je vhodné upravit práva pro čtení jen pro roota:

cat /etc/autofs/credentials
username=malyl
password=123456
domain=LMNET

Definice montování je zde s tím že je třeba pozměnit napr UID pokud používáte jiné.

cat /etc/autofs/auto.smb
data1 -fstype=cifs,ip=192.168.1.3,file_mode=0644,dir_mode=0755,uid=1000,gid=1000,credentials=/etc/autofs/credentials,rw,iocharset=utf8 ://samba/malyl\$

cat /etc/autofs/auto.nfs
data2 -fstype=nfs,rw 192.168.1.2:/mnt/tank/data

Nakonec provedeme restart autofs

sudo /etc/init.d/autofs restart

Po restartu můžeme v logu vidět následující:

Jun 8 14:04:42 bubu automount[10335]: Starting automounter version 5.0.4, master map /etc/autofs/auto.master
Jun 8 14:04:42 bubu automount[10335]: using kernel protocol version 5.01
Jun 8 14:04:42 bubu automount[10335]: mounted indirect on /media/nfsshares/data1 with timeout 60, freq 15 seconds
Jun 8 14:04:42 bubu automount[10335]: ghosting enabled
Jun 8 14:04:42 lmlnb automount[10335]: mounted indirect on /media/smbshares/data2 with timeout 60, freq 15 seconds
Jun 8 14:04:42 bubu automount[10335]: ghosting enabled

Dále se sem loguje přimontování a odmontování, které vyvoláme vstupem do adresářů. Tato konfigurace bude fungovat i v jiných Linuxových distribucích, jen může být jiné umístění konfiguračních souborů atd. Konfiguraci je možno vyladit i na Vaše domáci NASy či jiná sdílená datová prostředí.

Linuxu na desktopu zdar.

Endeavour STS-134

2011-05-17T14:09:00.003+02:00

Nad Evropou STS-134 Google Earth
Originally uploaded by SmEjDiL

Raketoplán Endeavour mise STS-134 sledován v Google Earth, stačí stahnout jeden live track LiveSpaceShuttle.kmz

http://www.nasa.gov/mission_pages/shuttle/shuttlemissions/shuttle_google_earth.html

První dvorský CITO Event

2011-05-14T13:56:00.002+02:00

První dvorský CITO Event
Originally uploaded by SmEjDiL

Dnes proběhl CITO Event ve Dvoře Králové nad Labem, jsem rád, že se účastnilo tolik lidí, dík za pomoc při úklidu.

První kroky s IPv6 skrze SixXS

2011-05-13T21:47:00.003+02:00

Během absolvování konference EurOpen jsem se rozhodl zprovoznit si IPv6 tunel SixXS, který má PoP - své vyůstění i v čechách. Na rootu jsem již v minulosti četl zajimavý článek, ale nějak jsem se tomu nevěnoval. Další pěkný popis je zde. Kde je i popis procesu přidělení účtu a posléze i žádosti o samotný tunel. Chvíli to trvá, než nám dorazí všechny emaily obsahujcí data pro funkční tunel.

Instalovat je třeba tunel klient:

sudo apt-get install aiccu

Instalace se nás přeptá na username a password, to se pak zapíše do souboru /etc/aiccu.conf V souboru je třeba ověřit zda máme nastaveno správné ID přiděleného tunelu. Pokud nám nefunguje konektivita nebo ji měnéme, např. jdeme z wifi na gprs. Je třeba restartovat službu aiccu, nebo aspoň já mam takovou zkušenost.Aiccu je klient, který je portovaný snad pod všechny platformy. Provozuji jej pod Ubuntu a testnu ho i na FreeBSD.

Po rozběhnutí tunelu budeme chtít ověřit IPv6 konektivitu. Webových testovacích stránek je celá řada, me se zalibily dva testy. První je http://ipv6-test.com/ a druhým je http://test-ipv6.cz/, který je provozován CZ.NICem.

sudo ping6 -i 0.01 -c 200 root.cz
PING root.cz(2001:67c:68::18) 56 data bytes
64 bytes from 2001:67c:68::18: icmp_seq=1 ttl=60 time=6.75 ms
64 bytes from 2001:67c:68::18: icmp_seq=2 ttl=60 time=5.37 ms
...
64 bytes from 2001:67c:68::18: icmp_seq=199 ttl=60 time=6.77 ms
64 bytes from 2001:67c:68::18: icmp_seq=200 ttl=60 time=5.72 ms

--- root.cz ping statistics ---
200 packets transmitted, 200 received, 0% packet loss, time 2128ms
rtt min/avg/max/mdev = 5.157/7.386/27.731/4.014 ms, pipe 2

Do browseru firefox jsem si přidal rozšíření showIP, které mě na stavové liště informuje zda mnou navštívený web kontaktuji po IPv4 nebo IPv6.

Tunelovacím protokolem je AYIYA, který dle tcpudmpu používá UDP. Pěkně graficky je to vidět za pomocí programu etherape.

Percona - upravená MySQL

2011-05-04T11:39:00.005+02:00

Již dříve jsem o databázi Percona něco málo slyšel. Konečně dozrál čas a tak jsem ji nainstaloval na jeden server s OS Ubuntbu Server 10.04.2 LTS 64bit. Instalace je velmi jednoduchá. Je příjemné, že tvůrci udržují všechny možné balíčkovací verze i platformy. Verzi pro FreeBSD budu muset též někde vyzkoušet.

http://www.percona.com/docs/wiki/repositories:apt

Nejprve je řeba si přidat klíč repository

gpg --keyserver hkp://keys.gnupg.net --recv-keys 1C4CBDCDCD2EFD2A
gpg -a --export CD2EFD2A | apt-key add -

Posléze si ručně přidám zdroje repository

joe /etc/apt/sources.list.d/percona.list
deb http://repo.percona.com/apt lucid main
deb-src http://repo.percona.com/apt lucid main

Provedeme update balíčkovacího systému a nainstalujeme server.

aptitude update
aptitude install percona-server-server

...
* Stopping MySQL (Percona Server) mysqld [ OK ]
110503 10:22:30 [Note] Flashcache bypass: disabled
110503 10:22:30 [Note] Flashcache setup error is : ioctl failed

110503 10:22:30 [Note] Plugin 'FEDERATED' is disabled.
110503 10:22:30 InnoDB: The InnoDB memory heap is disabled
110503 10:22:30 InnoDB: Mutexes and rw_locks use GCC atomic builtins
110503 10:22:30 InnoDB: Compressed tables use zlib 1.2.3
110503 10:22:30 InnoDB: Using Linux native AIO
110503 10:22:30 InnoDB: Initializing buffer pool, size = 128.0M
110503 10:22:30 InnoDB: Completed initialization of buffer pool
110503 10:22:30 InnoDB: highest supported file format is Barracuda.
110503 10:22:30 InnoDB: Waiting for the background threads to start
110503 10:22:31 Percona XtraDB (http://www.percona.com) 1.1.6-20.1 started; log sequence number 1597945
110503 10:22:31 InnoDB: Starting shutdown...
110503 10:22:35 InnoDB: Shutdown completed; log sequence number 1597945
* Starting MySQL (Percona Server) database server mysqld [ OK ]
* Checking for corrupt, not cleanly closed and upgrade needing tables.

Setting up percona-server-server (5.5.11-rel20.2-115.lucid) ...
Processing triggers for libc-bin ...
ldconfig deferred processing now taking place
Reading package lists... Done
Building dependency tree
Reading state information... Done
Reading extended state information
Initializing package states... Done
Writing extended state information... Done

Ověříme funkčnost

mysql -u root -p
Enter password:
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 42
Server version: 5.5.11-55 Percona Server (GPL), Release 20.2

Copyright (c) 2000, 2010, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql> \q

Seznam instalovaných balíků

percona-server-client-5.5
percona-server-common-5.5
percona-server-server
percona-server-server-5.5

Instalace používá defaultní hodnoty, takže, pokud chceme něco změnit, tak si musíme zkopírovat my.cnf

cp /usr/share/mysql/my-huge.cnf /etc/mysql/my.cnf
joe my.cnf

ja měnil zatím jen

bind-address = 192.168.0.42
datadir = /disk1/db/mysql

Vše se jeví jako klasická MySQL, i datové soubory. Není třeba používat ani Percona client pro připojení do databáze, protokol je stejný. Změna je hlavně v útrobách InnoDB > XtraDB

Další potřebné balíčky.

aptitude install xtrabackup
aptitude install mytop

Javorka - březen 2011

2011-03-31T21:33:00.001+02:00

Javorka - březen 2011, a set on Flickr.

Jarní javorka se povedla.
Via Flickr:
Sníh stál za prd, tak jsem lyže ani nebral. A radši se vydal na tůru po břebenech s ušel krásných 22Km.

Po ceste jsem našel 3 cache

Celkove vyvedená akce.

Když NAS tak FreeNAS

2011-03-31T16:25:00.007+02:00

Již dlouho jsem chtěl doma mít nějaké rozumné úložiště dat. Dnes je termín NAS - Network attached storage hodně diskutován a spousta lidí si daný typ HW pořizuje i domů. Měl jsem možnosi si otestovat produkty od Synology a QNAP. Zařízení se liší HW výbavou, ale systémy v daných NASech jsou postavené na Linuxu a jiných doprovodných aplikací.

Volil ljsem levnější variantu a tou je FreeNAS, který jsem si již dříve testoval na starší desce s několika postaršími disky. Test mě přesvědčil o tom, že mi FreeNAS bude vyhovovat, svou funkcionalitou a hlavně i nulovou cenou. FreeNAS je postaven na základech OS FreeBSD, ke kterému mám též vřelý vstah. Vyhodou je i možnost použití ZFS. Tuto konfiguraci právě používám.

  pool: tank
state: ONLINE
scrub none requested
config:

NAME        STATE     READ WRITE CKSUM
tank        ONLINE       0     0     0
mirror    ONLINE       0     0     0
ad0     ONLINE       0     0     0
ad2     ONLINE       0     0     0

errors: No known data errors

Rozhodl jsem se tedy pořídit HW potřebný pro sestavení domácího NASu. Volba HW může být naprosto libovolná. Systém je instalován na CF a data jsou na ZFS mirroru.

Case: CFI A8989 150W černá
MB: GIGABYTE D525TUD
RAM: 2GB DDR2-800MHz Kingston CL5 kit 2x1GB
HDD: 2x HDD 1TB WD10EARS 64MB SATAII/300 IntelliPower 3RZ
QCP redukce z Compact Flash na 40-pin IDE konektor

Embedded Boards

2011-03-10T09:45:00.004+01:00

Pokukoval jsem na netu po nejakých embedded základních deskách. Na webu LinuxDevices.com se velmi šasto objeví zajímavá zaříyení. Např. pro realizaci domácího FreeNASu jsem tam našel pěknou Mini ITX desku Habey's MITX-6852. Samotná firma Habey produkuje spoustu pěkných desek. Ovšem sehnat Habey desky v naší kotlině je tak trošku problém :-(.

Např. realizaci routerů používám desky od společnosti PCengines konkrétně modelové řady ALIX, které se u nás dají sehnat snadno.

ACER Aspire Revo R3610 + XBMC

2011-03-06T14:05:00.008+01:00

V pátek večer jsem byl u známého a pomáhal jsem mu s instalací Ubuntu 10.04.2 na mini PC ACER Aspire Revo R3610 pro jeho potřeby funkcionality HTPC. Na daném HW měl usídlené Win 7 a jak se dalo čekat výrobce má dvě servisní parcely. On si vytvořil další dvě. Jednu pro systém a druhou pro data. Fakt, že pátá primary partition již přidat nepůjde jsem zjistil až po dlouhém zmenšování a přesouvaní parcel pomoci Gparted, který je součástí Ubuntu Live CD.

Po zbytečném parcelování jsem se uchýlil k testovací instalaci do Windows pomoci Wubi, sice neefektivní, ale plně funkční. Onen známý požadoval do Ubuntu nainstalovat XBMC. Původně byl tento systém jen pro Xbox, ale projekt se stal natolik úspěšným a daný produkt je možno provozovat na několika platformách.

Acer Revo je malý PC s CPU Atom. Nemá CD-ROM, tak jsem instalaci realizoval z USB flash disku. Popisovat instalaci Ubuntu Desktop asi není třeba. Pro instalaci XBMC jsem volil patřičný PPA repozitář, který je popisován na projektu v sekci Wiki. Samotná instalace už byla hračkou. Velmi mě daná aplikace překvapila hlavně popisem všech funkcionalit.

deb http://ppa.launchpad.net/team-xbmc/ppa/ubuntu lucid main
deb-src http://ppa.launchpad.net/team-xbmc/ppa/ubuntu lucid main

Popis instalace zde.

Problém, který jsme intenzívně řešili spočíval v nefunkčnosti zvuku přez HDMI. Kolega Google dodal jeden návod a drobná konfigurace ALSA sound systému zvuk umravnila. Ještě snad jen poznámka, že pro funkci HDMI musí byt instalován nVidia driver.

GC stat 500 kesi

2011-03-03T13:14:00.005+01:00

Tak jsem po 5ti letech nalezl 500 keší. Mám pocit, že hledám čím dál tim míň.

http://geocaching.smejdil.cz/500.html

netdisco - mod_perl

2011-03-01T21:37:00.005+01:00

Hledal jsem nějaký SW na správu síťových přepínačů. Našel jsem netdisco. Jedná se o aplikaci psanou v Perlu, kde web gui je provozováno díky mod_perl a hlavně HTML::Mason (tento FrameWork znám z Request Trackeru), data se ukládají do databáze PostreSQL.

Testovací instalaci jsem snadno zprovoznil na OS FreeBSD-8.2 RELEASE. Díky portu je instalace velmi snadná. Používá se zhruba 52 p5-* perlových modulů. Pokud si nejprve nainstalujeme Apache22 a PostreSQL9.x, port to zohlední i přesto, že jeho závislost je na Apache1.3.x a PostreSQL 8.x.

Instalace přídá potřebné direktivy do httpd.conf jako include. Netdisco se pomocí protokolu SNMP přihlašuje na Switche nebo Routery a na nich pomocí private komunit umožňuje přenastavovat porty, VLAN a jiné. Seznam vlastností aplikace je zde.

Postinstalační postup:

Netdisco has been installed.

In order to get up and running, there are a few more steps to complete:

1) fetch http://standards.ieee.org/regauth/oui/oui.txt
and copy the file oui.txt to /usr/local/share/netdisco

2) Run the following to create and initialise the netdisco database:

perl /usr/local/share/netdisco/sql/pg --init

3) Examine all the configuration files in /usr/local/etc/netdisco,
and modify them to suit your needs.

4) Add an initial admin user by running 'netdisco -u'

5) Import the OUI database: netdisco -o

6) Edit /usr/local/etc/netdisco/netdisco.crontab and change
center_network_device to one of your core routers/switches. Then
install the crontab:

crontab -u netdisco /usr/local/etc/netdisco/netdisco.crontab

7) Add netdisco_enable="YES" to /etc/rc.conf, and then run
/usr/local/etc/rc.d/netdisco to start the admin daemon.

8) Apache must be stopped/started (a graceful restart won't work)

Z časových důvodů seznamování s danou aplikací odkládam na neurčito :-(

pfSense a URL Table Aliases - CZ IP Range

2011-03-01T21:00:00.004+01:00

Pokud chceme omezit na našem Firewalu dostupnost nějaké služby jen z České kotliny. Je možno do pfSense doinstalovat balíček URL Table Aliases, pomocí kterého můžeme snadno načíst do Packet Filter tabulky seznam všech českých IP adres.

Daný Alias neboli Tabulku můžeme nechat naplnit tímto odkazem: https://www.countryipblocks.net/e_country_data/CZ_cidr.txt

# Country: CZECH REPUBLIC
# ISO Code: CZ
# Total Networks: 1,435
# Total Subnets:  8,233,088

pfSense si stáhne tento seznam a naplní námi definovanou Tabulku.

Pro ověření se můžeme přihlásit do pfSense console a po zadání 8) Shell můžeme zadat následující příkaz na vzpsání všech IP.

pfctl -t ip_CZ_Range -T show | wc -l

Na zmíněné adrese existuje několik formátů stejných IP rozsahů, které se dají použít např. ve web serveru Apache.

CZ_allow.txt
CZ_cidr.txt
CZ_cisco_acl.txt
CZ_decimal.txt
CZ_deny.txt
CZ_hex_cidr.txt
CZ_netmask.txt
CZ_pg2.txt
CZ_range.txt

Všechny soubory jsou i v komprimované tgz verzi.

RewriteCond mod_rewrite

2011-02-24T10:26:00.002+01:00

Modul do web serveru apache mod_rewrite je velmi mocný nástroj, kterým se dá řešit spousta přesmerování, ale i podmínek. Tento modul je běžnou součástí webserveru, tím mám na mysli, že se nemusí do webserveru doinstalovávat nebo takněco. Stačí jen nakonfigurovat a začít používat.

Řešil jsem přesměrování , pokud v URI je nějaký váskyt řetězce. Pravidla používám v kombinaci s mod_macro.

Pokud je v URI xyz
http://www.domena.cz/neco/jako/xyz/data.html
přesměruj na http://www.domina.cz

RewriteCond %{REQUEST_URI} ^.*xyz.*
RewriteRule ^/(.*)$ http://www.domina.cz [L]

Dané makro M_test je přiřazeno k apache virtuálu www.domena.cz.

Pár odkazů:

Stříhač

2011-02-21T12:55:00.002+01:00

Stříhač ...
Originally uploaded by SmEjDiL

Vojta má právě období, kdy stále stříhá a vystřihuje. Zatím jen do papíru atd. Moc ho to baví.

CCcam a DM-500S

2011-02-19T20:15:00.005+01:00

Můj stařičkej Dreambox DM-500S mám umístěn na chatě. Nějako se odporoučel zdroj, tak jsem ho měl u známého servisáka. Ulevilo se mi, když jsem zjistil, že to je jen zdroj. Serviceman si přenastavil satelity a DM důkladně prověřil. Po zapojení na chatě jsem si říkal, že jen zpět přenastavím mnou používaný satelit a jedeme dál. Ale bylo to komplikovanější.

Po nastavení satelitů ASTRA 23,5°E a EuroBird1 28.2E°, hledání programu nedělalo vubec nic. Po několika hodinovém laborování jsem se uchýlil k Factory Reset. Jelikož jsem DM kupoval na Aukru a předchozí majitel mi tam stěžejní aplikaci CCcam zprovoznil, nevěděl jsem, že není součástí default nastavení. Byl jsem nucen se na chatě připojit přez mobil stáhnout nějakou verzi, která mi bude fungovat.

Zpětně jsem se dopátral, že jsem dříve používal CCcam_2.0.11, ale stáhnul jsem si z URL http://www.dreamboxtool.com/CCcam/ novější verzi CCcam 2.1.1 - The Gemini Project, která zafungovala. Novější jsem už nezkoušel. V Blue menu se dá vybrat automatické stažení, ale na chatě jsem internet (mobil - bluetooth - notebook) až k DM na rychlo nerealizoval. Všiml jsem si že se DM odkazuje někam sem http://blue-panel.com/ ale daná cesta na soubor getXML.php stejně nefungovala a tak jsem se vydal cestou manuální instalace.

Po stažení souboru e1-CCcam_2.1.1_090503.tar.gz jsem jej nakopíroval na DM pomoci scp.

scp e1-CCcam_2.1.1_090503.tar.gz root@192.168.0.42:/tmp

Pak už jen stačilo v patřičném menu vybrat manuální instalaci. Menu načetlo mnou kopírovaný soubor. DM si soubor rozbalil a pustil patřičné shell scripty, které nakopírovaly samotnou binárku na své místo v systému.

file CCcam_2.1.1
CCcam_2.1.1: ELF 32-bit MSB executable, PowerPC or cisco 4500, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.9, stripped

No a už jen přepnout používání CCcam a restartovat službu. Programy SkyLink opět začaly fungovat :-)

FreeNAS vs WESTERN DIGITAL TV Live

2011-02-15T23:07:00.010+01:00

Právě jsem se vrátil od souseda, který si nedávno pořídil takovou tu další domácí krabičku, která se jemnuje WESTERN DIGITAL TV Live. Dané zařízení má síťovou kartu a výstupy, propojitelné s televizí.

Hnedle jsem k němu naklusal a vzal sebou testovací domácí FreeNAS rozběhnutý na starém HW. Systém mi běží z CF a pro data testuji 3 x 120GB HDD. Moc mě zajímalo, zda bude fungovat DLNA, o kterém se u prodejců (Alza, CZC) nepíše ani čárka. Ve FreeNAS jsem povolil Sambu SMB/CIFS a přidal jeden share. Dále jsem povolil službu UPnP server FUPPES, který jsem směřoval do stejného adresáře. Server si posléze vytvoří databázi všech mediálních souborů.

Na téma DLNA vs UPnP by se dal napsat další příspěvek ;-) Špatnou vlastností DLNA je, že jej každý výrobce implementuje po svém a pak nejsou NASy a např. TV plně kompatibilní.

Mile mě překvapilo, že WD TV Live umí spolupracovat s UPnP serverem FUPPES. Jediné co nezafungovalo jsou titulky. Řešením je nahližet na avi video soubory přez samba sdílenou složku, kde se titulky načítaji jak mají.

Do budoucna vážně zvažuji pořízení WD TV Live :-)

Kde koupit ETQW

2011-01-27T21:49:00.006+01:00

Když jsem před pár roky kupoval svoji druhou hru, netušil jsem, že ji budu darovat známým, aby jsme vytvořili malý klan a hráli a tlachali přez TeamSpeak :-) Připomínám, že tuto komerční hru hraji pod Linux Ubuntu s patřičným nVidia driverem k mé GeForce 9600 GT.

Obojetnik - SuperGamer
Ksavier, Dalmacko - BestGames
SmEjDiL, Kocourek - XZone
Kdo bude další ?

Na Zboží.cz je též výběr :-)

Enemy Territory: QUAKE Wars Login Server Currently Offline

2011-01-27T21:15:00.002+01:00

Si chci zahrát s Negrama ETQW a on nefunguje login server :-( Opravit co nejrychleji !!! nebo vrátit peníze.

http://www.splashdamage.com/content/enemy-territory-quake-wars-login-server-currently-offline

Podle Global statistic asi fakt nikdo negraje :-(

FreeBSD 8.1 pro Sparc64 a Sun Enterprice 420R

2011-01-25T13:15:00.007+01:00

Dostal jsem se k danému HW, který dnes již patří do starého železa. Ale dostat se k plně funkčnímu serveru, který má hodně naběháno, ale spolehlivě stále šlape, zahřeje u srdce. Po novém roce jsem dostal zelenou na něm řádit. Prvím oživením byl boot do LiveCD SystemRescueCD sparc edition, které provedl kolega a zajistil tak pomocí aplikace shred několikanásobné bezpečné přepsání disku. Server je po letech služby k vyřazení.

shred -v /dev/sda

Jakožto příznivce OS FreeBSD jsem doslova toužil na daném železe rozběhat port pro sparc64. Daný server s označením Sun Enterprise 420R je na seznamu podporovaných. A tak jsem si stáhnul potřebné médium FreeBSD-8.1-RELEASE-sparc64-disc1.iso a pustil se do instalace. Ovšem nečekal jsem, jak urputná práce to bude.

Instalátor FreeBSD pro Sparc64 má nějaký problem s frame bufferem a je tedy třeba instalovat pomocí serial konzole. Zde je popsána instalace pomoci serial cable, ne vše je tam ale popsáno. Zde nastal problem s null modem serial cable, který se mi nedařilo posestavovat z redukcí na široký serial konektor, kabelu a USB redukce na serial kvuli notebooku, který již serák nemá. Naštěstí mě bývalý kolega z nejmenované společnosti zapůjčil prověřený a otestovaný kabel, který skutečně na A portu zafungoval.

Takto to zhruba vypadalo:

Sun Enterprise 420R (2 X UltraSPARC-II 450MHz), Keyboard Present
OpenBoot 3.31, 2048 MB memory installed, Serial #16581345.
Ethernet address 8:0:20:fd:2:e1, Host ID: 80fd02e1.

STOP-a # touto kombinací se dostaneme do OpenBootu (BIOS ala i386)

set-defaults # mi nastaví všechny hodnoty na default
printenv # vypíše proměnné
setenv output-device ttya # nastaví výstup na serial A
setenv input-device ttya # nastaví vstup na serial A

Ukázka kde mi končil boot:

STOP-a
{1} ok boot cdrom
Boot device: /pci@1f,4000/scsi@3/disk@6,0:f File and args:

>> FreeBSD/sparc64 boot block
Boot path: /pci@1f,4000/scsi@3/disk@6,0:f
Boot loader: /boot/loader
Consoles: Open Firmware console

Booting with sun4u support.
Boot path set to /pci@1f,4000/scsi@3/disk@6,0:a

FreeBSD/sparc64 bootstrap loader, Revision 1.0
(root@araz.cse.buffalo.edu, Mon Jul 19 03:00:30 UTC 2010)
bootpath="/pci@1f,4000/scsi@3/disk@6,0:a"
Loading /boot/defaults/loader.conf
/boot/kernel/kernel data=0x9b0648+0x75ca8 syms=[0x8+0xa7190+0x8+0x99725]
/
Hit [Enter] to boot immediately, or any other key for command prompt.
Booting [/boot/kernel/kernel]...
jumping to kernel entry at 0xc0088000.

Jelikož jsem neměl kabel moje instalace s nastavenim output-device screen a input-device keyboard, končila právé touto hláškou. Instalátor posléze přepne svuj výstup na ttya. s Kabelem to již začalo fungovat.

Nejprve jsem použil USB kabel jako redukce na seriak, který se mi v ubuntu detekuje takto.

usb 5-2: new full speed USB device using uhci_hcd and address 2
usb 5-2: configuration #1 chosen from 1 choice
USB Serial support registered for pl2303
pl2303 5-2:1.0: pl2303 converter detected
usb 5-2: pl2303 converter now attached to ttyUSB0
usbcore: registered new interface driver pl2303
pl2303: Prolific PL2303 USB to serial adaptor driver

Kabely se mi dostaly do ruky dva, ale chip v sobe měly obdobný.

Pro pripojení se k seriové konzoli jsem užil screen.

screen /dev/ttyUSB0 9600

Posléze jsem již nechtěl pobíhat po serverovně s kabelem a notebookem a seriak jem zapojil na jeden FreeBSD server, kde jsem užil jiný device pro komunikaci.

screen /dev/ttyu0 9600

V tento moment jsem musel řešit situaci, jak zaslat OpenBootu kombinaci kláves STOP-a, což je zaslání příkazu BREAK, který se ve screenu odešle kombinací kláves Ctrl-ab viz man screen. Velmi užitečný je seznam popsaných příkazů zde.

Též jsem se dostal do situace, kdy mi na ttya ani na screen ani na keyboard nešel žádný výstup. Opět radil kolega od Sun serverů Libor B. zaklínadlo STOP-n + press power ON a danou kombinaci stale držet!. Touto volbou se OpenBoot resetuje stejne jako zadáním set-defaults.

Toto laborovaní bylo časově náročné, taky jsem si 3 dny přivstal, abych daný čas získal. FreeBSD 8.1 pro sparc64 na serveru již tepe a vesele kompiluje porty. Uvidím kdy narazím na nějaké omezení portu, který je na stupni 2 = Tier 2 .

Obrazová dokumentace je na Flickru.

SoundServer PulseAudio v domaci LAN

2011-01-04T08:42:00.008+01:00

Co je zvukový server zde popisovat nebudu. Jen se krátce zmíním o PulseAudio a o jeho možném využití v domácí síti. PulseAudio je zvukový subsystém, který je dnes součástí většiny Linuxových distribucí. V Ubuntu je od verze 8.04. V základu je instalován tak, aby plnil hlavně funkci obsluhy zvukového HW. Ubuntů má v sobě vlastní ovládání hlasitosti atd. Ale můžeme si doinstalovat baličky.

padevchooser - PulseAudio Device Chooser
paman - PulseAudio Manager
paprefs - PulseAudio Preferences
pavucontrol - PulseAudio - Volume Control
pavumeter - PulseAudio Volume Meter

Které nám umožní Pulse Audio více konfigurovat. Podrobnosti jsou např. zde.

Jednou z možností jak využívat Sound Server je, že jej povolíme pro přístup z LAN. Pak máme např. PC stanici která je zapojena svým výstupem do domácí HiFi sestavy. Pokud do dané sítě příjdu s Notebookem na kterém chci něco pustit (Hudbu, Film) a zvukový výstup nechám přehrávat skrze LAN síť na domácím PC s Pulse Audio, který má dozajista kvalitnější zvukový výstup než chrchlátka na NoteBooku.

K snadné detekci Sound Serveru v LAN doporučuji nainstalovat Gnome Applet Zeroconf Service Discovery, který přehledně zobrazí, jaká zvuková zařízení se v síti nacházejí.

Zajimavý prográmek je např. pactl, kterým můžeme na vzdálených serverech ověřovat jaký zvukový HW je přítomen, jaké moduly PulseAudio používá a spoustu dalších informací.

Pulse Audio je multiplatformní aplikace, která je dostupná pro většinu Linux distribucí, dále existuje jako port pro FreeBSD a existuje i pro Windows, ale to jsem nezkoušel, jen mi Qbik ověřil že je to bez GUI a pod Win 7 to nefunguje, což mě osobně nikterak netyrápi :-)

Vánoce 2010

2010-12-24T18:00:00.000+01:00

Štědrý den
Originally uploaded by SmEjDiL

Vojta má velmi oblíbeného McQeena a Buráka

ESXi 4.1 status Unmanaged

2010-12-10T11:27:00.005+01:00

Na serveru s VMware ESXi 4.1.0, 260247 provozuji podporovaný OS FreeBSD-7.3-RELEASE. Mám instalované tooly z portů open-vm-tools-nox11. V vSphere klientovi vidím
status toolů Unmanaged. Pátral jsem po tom čím to a proč tento nový status.

open-vm-tools-nox11-313025_1 Open VMware tools for FreeBSD VMware guests

Zde je odpověď:
http://communities.vmware.com/thread/281949

Stávající mnou známé statusy:

OK
Not instaled
Not running
Out of date
Unmanaged
Running (Current)

Zabbix a snmpbuilder

2010-12-03T15:09:00.004+01:00

Pokud se člověk nějakou dobu hrabe v monitorovacím nástroji ZABBIX, brzo dojde do stadia, že SNMP je fajn protokol pro získání monitorovacích údajů, ale pokud k zařízení nemám patřičný Template v Zabbixu tak je to hodně práce s laděním. Aplikace snmpwalk mi předá hodně, ale sestavit XML soubor s template je obtížnější.

Nástrojů pro vytvoženích vlastních Template je více, snmpbuilder mi přišel jako nejlepší. Bohužel je to zatím neoficiální rošíření, které napsal někdo s nicname giapnguyen. Je to kus php kódu, který se po drobných zásazích dá integrovat do zabbix-frontend.

SNMP Builder dělá to, že si načítá námi předložené MIB soubory a kontaktuje server nebo zařízení pomocí protokolu SNMP a dané entity porovnává s MIB souborem. Pokud hodnota existuje, máme možnost si ji přidat do námi vytvořeného Template.

Pro funkční použití je třeba mít od výrobce HW potřebné a přesné MIB soubory a hlavně SNMP na straně zařízení musí dané hodnoty korektně poskytovat.

Osobně jsem k tomuto nástroji došel při potřebě monitorovat RSA - Remote Supervisor Adapter nebo IMM karty u IBM serverů. Bohužel SNMP poskytuje málo hodnot a MIB soubory nemám asi ty správné.

Každopádně, za předpokladu že máme přesné MIB soubory a plně funkční SNMP službu, máme při monitorování vyhráno.

Pevně věřím že se časem tento nástroj dostane do oficiální verze ZABBIX serveru.

syslinux - pxeboot

2010-12-03T14:56:00.000+01:00

Nedávno mi kolega ukazova, jak zprovoznil bootování po firemní sítí realizované na Windows serveru s bootováním do WinPE a do instalace driverů. Danou problematiku ladil i v testovacím prostředí ve VMware Workstation s linuxovým bootováním pomocí syslinux a pxeboot.

Bootování ze sítě jsem chtěl mít doma už dávno. A tak jsem pátral, zda syslinux je i pro muj sklepní kartón PC. Port existuje a tím se odstartovala realizace v domácí síti.

Potřebné nástroje:
dhcp
Domácí DHCP server provozuji na FreeBSD s tím, že jeho konfiguraci mám uloženou v LDAP. Využívám experimentální podpory. Na dané téma jsem si již něco poznamenával. Nyní jsem jen daný port povýšil na novější verzi.

isc-dhcp41-server-4.1.2,1 The ISC Dynamic Host Configuration Protocol server

cat /var/db/ports/isc-dhcp41-server/options
# This file is auto-generated by 'make config'.
# No user-servicable parts inside!
# Options for isc-dhcp41-server-4.1.2,1
_OPTIONS_READ=isc-dhcp41-server-4.1.2,1
WITH_DHCP_PARANOIA=true
WITH_DHCP_LDAP=true
WITH_DHCP_LDAP_SSL=true

Pro bootování ze sítě jsem přidal jen v dokumentaci popisované volby. Vše editováno v phpLDAPadmin :-)

filename "pxelinux.0";
next-server 192.168.0.1;

tftp
Trivial FTP server je součástí systému FreeBSD 8.x, pouštím pomocí inetd.

rc.conf
inetd_enable="YES" # Run the network daemon dispatcher (YES/NO).
inetd_program="/usr/sbin/inetd" # path to inetd, if you want a different one.
inetd_flags="-wW -C 60" # Optional flags to inetd

inetd.conf
tftp dgram udp wait root /usr/libexec/tftpd tftpd -l -s /tftpboot

syslinux
Syslinux je instalován z portů. Soubory potřebné pro fungování je nutné ručně vykopírovat do kořene tftp serveru a tím je /tftpboot

cd /usr/ports/sysutils/syslinux/
make install clean

syslinux-4.03 Syslinux for FreeBSD

Konfigurace syslinux a pxeboot je vcelku jednoduchá a je velmi dobře zdokumentována na stránkách projektu. Vyladit svou konfiguraci pro jednotlivé boot volby chvilku dá, ale není to nic složitého. Zajimavé jsou volby s podmínkami, kdy se nám dle architektury CPU zavede buť i386 nebo i64 systém. Bohužel nevyzkoušeno.

[root@sklep ~]# cat /tftpboot/pxelinux.cfg/default
#
# Default
#
DEFAULT menu.c32
PROMPT 0
MENU WIDTH 80
MENU MARGIN 10
MENU PASSWORDMARGIN 3
MENU ROWS 12
MENU TABMSGROW 18
MENU CMDLINEROW 18
MENU ENDROW 24
MENU PASSWORDROW 11
MENU TIMEOUTROW 20
MENU TITLE Main Menu
LABEL local
MENU LABEL Local ^Boot
localboot 0
LABEL memtest86+
MENU LABEL ^Memtest86+
kernel memtest86+.bin.foo
LABEL systemrescuecd
MENU LABEL ^SystemRescueCD x86 1.6.3
kernel rescuecd
append initrd=initram.igz dodhcp netboot=http://192.168.0.1:80/sysrcd.dat
LABEL freebsd
MENU LABEL ^FreeBSD 8.1 RELEASE
kernel memdisk
append initrd=FreeBSD-8.1-RELEASE-i386-bootonly.img harddisk
LABEL hdt
MENU LABEL ^Hardware Detect Tool
LINUX memdisk
INITRD hdt.img
# EOF

U SystemRescueCD je popis zavádění systému popsán zde. Velké soubory není vhodné servírovat pomocí tftp, proto se používá buť http, což je zrovna můj případ nebo nfs. Pro FreeBSD se musí vytvořit *.img soubor z malého boot.iso obrazu, návod pro starší systém je zde. Je třeba vytvořit větší soubor, protože od verze FreeBSD-6.2 se iso sobor pro FreeBSD-8.1 poněkud zvětšil. Návod je jasný a plně funkční. Snad jen na domácím ntb mi boot po nahrání kernelu vytuhne :-(. Ale na obouch stolních PC to funguje vše jak ma.

Dále si budu zprovozňovat dalši systémy, které chci bootovat ze sítě. Např. u Ubuntu je mechanismus verze od verze jiny. Vodítkem je tato nebo tato dokumentace, která není úplně aktuální.

Pro testování HW je vhodné použít např. Memtest86+ nebo Hardware Detection Tool (HDT).

Je mi jasné, že bootování ze sítě má vhodné nasazení a použití hlavně ve velkých sítích, ale našlo si cestu i ke mě domu :-)

zabbix bind9

2010-12-01T14:09:00.002+01:00

Již dříve jsem se rozepsal o bind95. Tato verze podporuje konfiguraci, která nám na webovém rozhraní prezentuje stav DNS serveru, jeho cache počty dotazů za sekundu atd.

Protože jsem chtěl tyto hodnoty sledovat, inspiroval jsem se tímto příspěvkem do fora ZABBIX, kde je stručný popis, jak bind95 monitorovat.

Důležitá je tato volba v /etc/bind/named.conf.option

statistics-channels {
inet 127.0.0.1 port 8053 allow { 127.0.0.1; };
inet 192.168.1.10 port 8058 allow { 192.168.1.42/32; };
};

Pro stažení scriptů z repository použijeme svn

cd /usr/local && svn co http://svn.fisher.hu/bind9getstats

Na DNS serveru nastavíme v /etc/zabbix/zabbix_agentd.conf sledované hodnoty, které nám předají dané scripty.

UserParameter=bind9.queries,/usr/local/bind9getstats/bin/bind9getqueries.sh
UserParameter=bind9.memuse,/usr/local/bind9getstats/bin/bind9memuse.sh

Pak už jen stačí jen importovat template z fora zabbix_export.xml, který můžeme dále modifikovat a přidávat další sledované hodnoty.

vSphere Command-Line Interface

2010-11-22T12:45:00.005+01:00

Na adrese http://communities.vmware.com/community/developer se náchází spousta vývojářských nástrojů pro práci s VMware produkty. Již delší dobu jsem si chtěl zprovoznit Command-Line Interface Díky tomuto nástroji se dá spousta věcí zautomatizovat. Potřebné balíky do Ubuntu pro instalaci.

sudo apt-get install libssl-dev perl-doc liburi-perl libxml-libxml-perl libcrypt-ssleay-perl

tar -zxvf VMware-vSphere-CLI-4.1.0-254719.x86_64.tar.gz
cd vmware-vsphere-cli-distrib/
sudo ./vmware-install.pl
...
version 0.78 or newer
UUID 0.03 or newer

Pár ukázek:

esxcfg-nas -l --server esxi.domena.cz --username root
Enter password:
VMNFS is /data from 192.168.10.42 mounted

esxcfg-cfgbackup --save --encoding utf8 --server esxi.domena.cz --username root esxi.cfg
Enter password:
Saving firmware configuration to esxi.cfg ...

esxcli --encoding utf8 --server esxi.domena.cz --username root vms vm list
Enter password:
TestFBSD81
World ID: 123002
Process ID: 0
VMX Cartel ID: 123001
UUID: 56 4d fc 69 14 5f 06 16-00 e6 09 ee 47 5e b9 9b
Display Name: TestFBSD81
Config File: /vmfs/volumes/4cdbbaaa-3d6f9e43-6d05-0030483274d9/TestFBSD81/TestFBSD81.vmx

vicfg-hostops --server esxi.domena.cz --username root -password "*****" --operation info

Host Name : esxi.domena.cz
Manufacturer : Supermicro
Model : X7DB8
Processor Type : Intel(R) Xeon(R) CPU 5160 @ 3.00GHz
CPU Cores : 4 CPUs x 2999 GHz
Memory Capacity : 8190.71484375 MB
VMotion Enabled : no
In Maintenance Mode : yes
Last Boot Time : 2010-11-22T11:31:51.737555Z

resxtop --server esxi.domena.cz --username root -a

esxcli --server esxi.domena.cz --username root network connection list
esxcli --server esxi.domena.cz --username root network neighbor list
esxcli --server esxi.domena.cz --username root nmp device list

Např. zde je velmi pěkná ukázka využití CLI pro instalaci driveru. Doporučuji nastudovat tento dokument vsp4_41_vcli_inst_script.pdf

WebLogic Server Version: 10.3.2.0 na CentOS 5.5

2010-11-10T10:44:00.006+01:00

Před týdnem jsem seděl v pražským pubu "U Balbínu" a dva typani mě lakovali, jak je ten WebLogic molochoidní atd. To on je. No a instalace jsem se zákonitě obával. Jako naprosto nepolíbenej daným aplikáčem jsem se pustil do jeho zprovoznění.

Popisovat instalaci Linux Distribuce CentOS 5.5 zde nebudu. Jen malá poznámka. Pokud přejmenuju v LVM, LV musím si pozměnit na dalších místech, jinak nenabootujeme. Mé doporučení je instalovat na Jeden PV disk a po instalaci přidat druhý PV do např. nové GV atd. Úžasný zkratky, ale někteří určitě vědí. Podotýkam že jsem instaloval do ESX, kde mě potěšilo funkční RPM s toolama VMwareTools-3.5.0-283373.i386.rpm. Nebylo třeba nic kompilovat. Uvidíme do budoucna.

lvm> lvs
LV VG Attr LSize Origin Snap% Move Log Copy% Convert
Root VolGroup01 -wi-ao 7,88G
Swap VolGroup01 -wi-ao 2,00G
Data VolGroup02 -wi-ao 29,00G
lvm> pvs
PV VG Fmt Attr PSize PFree
/dev/sda2 VolGroup01 lvm2 a- 9,88G 0
/dev/sdb VolGroup02 lvm2 a- 30,00G 1020,00M
lvm> vgs
VG #PV #LV #SN Attr VSize VFree
VolGroup01 1 2 0 wz--n- 9,88G 0
VolGroup02 1 1 0 wz--n- 30,00G 1020,00M

Po přejmenování LV je třeba upravit grub.conf a fstab, jinak kernel panik. Je otázkou zda by LVM neměl při přejmenování systémové LV provést nebo aspoň informovat a potřebných změnách.

grub.conf root= !!!
title CentOS (2.6.18-194.17.4.el5)
root (hd0,0)
kernel /vmlinuz-2.6.18-194.17.4.el5 ro root=/dev/VolGroup01/Root
initrd /initrd-2.6.18-194.17.4.el5.img

Zeměna LV na Root
/dev/VolGroup01/Root / ext3 defaults 1 1
/dev/VolGroup02/Data /data ext3 defaults 1 1

Kdo s LVM moc neumí jako já, vřele doporučuju dva články na root.cz zde a např. zde.

Instalace si žádá zprovoznění alespoň X Forwardingu. Proto jem do systému nahrnul par balíků.
yum install xorg
yum install xorg-x11-xauth.i386
yum install xorg-x11-server-Xorg.i386
yum install xorg-x11-utils.i386
yum install xorg-x11-server-utils.i386
yum install xorg-x11-xinit.i386

test
ssh -X user@wbl.domena.cz
xlogo xlogo xeyes

Vodítkem pro instalaci mi byl tento návod. Instalace WebLogic Server Version: 10.3.2.0 jsem prováděl ze souboru oepe111130_wls1032_linux32.bin stazeného z www.oracle.com.

chmod +x oepe111130_wls1032_linux32.bin
./oepe111130_wls1032_linux32.bin
Extracting 0%....................100%

Nyní se mi otevřel grafický wizard a už jsem jen klikal, jak ve widlích. Pevně věřím, že to jde i bez X s nějakou volbou -console, ale to až někdy příště.

Instalace vytvořila tento startovací script, který nelze pustit na background. To jestě budu pátrat jak na to. Jeden :-) Suchar mi poslal odkaz na tento rc script. Dik moc ...

/data/Oracle/Middleware/user_projects/domains/TEST/startWebLogic.sh

http://wbl.domena.cz:7001/
http://wbl.domena.cz:7001/console # vstup do webgui admin konzole

Zavedl jsem nového usera pod kterým bude WBL běžet.

groupadd wbl
adduser wbl -d /data/Oracle/ -G wbl
chown -R wbl:wbl /data/Oracle/
chmod 750 /etc/init.d/WebLogic # daný script jsem si vytvořil, proč není něco použitelného součástí instalace
chkconfig –-add WebLogic –-level 0356

SSHd StrictModes

2010-11-01T22:10:00.002+01:00

Dnes jsem narazil na takový zajímavý problém. U jednoho systémového uživatele jsem změnil práva na jeho domacím adresáři. Tak aby do daného adresáže mohla zapisovat skupina ve které je chmod g+w /home/tester/ Po nastavení práv přestalo fungovat oveřování pomocí ssh klíče.

Tuto funkcionalitu má na svědomí defaultní bezpečnostní volba SSHD daemona a tou je StrictModes yes. Bezpečnost vždy na prvním místě. Ale někdy je třeba ustoupit.

v logu se objevovalo Authentication refused: bad ownership or modes for directory /home/tester/

vim /etc/ssh/sshd_config
StrictModes no

root:> /etc/init.d/ssh restart
* Restarting OpenBSD Secure Shell server sshd [ OK ]

Popis jednotlivých voleb je např. zde.

PFX - PKCS and Apache

2010-10-21T14:24:00.005+02:00

Dostal se mi pod ruce certifikat v souboru s priponou .pfx. Pátral jsem a vyplivla ho zjevně nějaká M$ CA a tak jsem hledal jak to překonvertit pro Apache.

How do I export or import a PKCS#12 certificate?

openssl pkcs12 -in cert.pfx -out cert.pem -nodes

Soubor cert.pfx je zaheslován, takže potřebujeme i heslo pro úspěčnou konverzi. Konverzí získáme soubor cert.pem, který obsahuje balast řádky typu.

Bag Attributes
1.3.6.1.4.1.311.17.2:
localKeyID: 01 00 00 00
Microsoft CSP Name: Microsoft Software Key Storage Provider
friendlyName: le-LMCZWebServer-aee00472-b103-45d9-a25c-b0da2fb35820
Key Attributes:

a

Bag Attributes
localKeyID: 01 00 00 00
friendlyName: LukasMaly.NET
subject=/CN=test.smejdil.cz
issuer=/DC=cz/DC=smejdil/CN=Test

Nás budou zajímat jen sekce

-----BEGIN RSA PRIVATE KEY-----
...
-----END RSA PRIVATE KEY-----

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

Které si vykopírujeme např. do souborů test.smejdil.cz.crt a test.smejdil.cz.key. Dané soubory můžeme přidat do konfigurace Webserveru Apache např. s modulem mod_ssl.

PKCS#12 je standard z rodiny PKCS a PFX Tento formát se již nepoužívá, je to starší implementace, kterou Microsoftu stale používá. Dle české wiki je PFX předchůdcem standardu PKCS#12.

Zde je ještě zajímavé povídání s nadpisem "PFX - How Not to Design a Crypto Protocol/Standard"

ODS nevolit

2010-10-14T11:00:00.001+02:00

Mr. Bém
Originally uploaded by SmEjDiL

Aspoň né v mém rodném městě. Je to sebranka!

Podzim včera ráno

2010-10-14T08:03:00.002+02:00

Pohled na Dvůr Králové nad Labem od vlakového nádraží, včera ráno v 8:00 hod. Těsně před odjezdem rychlíku R 983 směr Pardubice. Foceno z mobilu Sony Ericsson 790i, blogováno též z mobilu.

P.S. Proč takové počasí nebylo i v Roháčích?

Sonar - manage code quality

2010-10-12T13:21:00.004+02:00

Dnes jsem byl požádán o zprovoznění aplikace Sonar, což je Java aplikace pro správu kvality kódu. Nejsem vývojář, ale jako správce systému jsem nucen danou aplikaci nainstalovat a provozovat v nějakém rozumném stavu (zalohy konfigurace, db atd.). Sonar jsem konfiguroval s MySQL databází. Instalace je vcelku snadná.

Živá ukázka
http://nemo.sonarsource.org/

Startovaci script umisten do init.d.

root@sonar:/etc/init.d# cat sonar
#!/bin/sh

sudo -u sonar /data/app/sonar/bin/linux-x86-32/sonar.sh $1

Prvotní inicializace aplikace je pěkně viditelná v logu.

tail -f logs/sonar.log
2010.10.12 13:02:22 INFO org.sonar.INFO loading the profile Sonar way with Findbugs/java from checkstyle
2010.10.12 13:02:22 INFO org.sonar.INFO loading the profile Sun checks/java from checkstyle
2010.10.12 13:02:24 INFO org.sonar.INFO loading findbugs profiles...
2010.10.12 13:02:24 INFO org.sonar.INFO loading the profile Sonar way with Findbugs/java from findbugs
2010.10.12 13:02:39 INFO org.sonar.INFO activating java default profile...
2010.10.12 13:02:39 INFO org.sonar.INFO Load profiles done: 21394 ms
2010.10.12 13:02:39 INFO org.sonar.INFO Start services done: 30238 ms
2010.10.12 13:02:39 INFO org.sonar.INFO Loading web services...
2010.10.12 13:02:39 INFO org.sonar.INFO Loading web services...
2010.10.12 13:02:39 INFO org.sonar.INFO Sonar started: http://0.0.0.0:9000/

V budoucnu se o dané aplikaci dozvím více od vývojářů.

Panasonic pouziva am-linux

2010-10-10T21:23:00.006+02:00

Nedávno jsem se dostal k LCD TV Panasonic TX-L32C10. Ladil jsem nově puštěný Multiplex 2 z Černé Hory a v menu jsem objevil GPL licenci s odkazem na projekt am-linux. Stránky projektu nejsou moc upovídané, ale tak jako tak je přijemné vědět že se Linux dostáva i do TV masově známe značky.

Trošku jsem googloval a našel pár informací Panasonic Viera Series LCD TV a Open Source Software (OSS) stránky projektu http://www.am-linux.jp/

Roháče - souřadnice vrcholů

2010-09-20T14:54:00.003+02:00

Ne internetu jsem našel tento soubor obsahující souřadnice vrcholů Západních Tater a jejich nadmořskou výškku. Pro vlastní potřeby jsem si pár vrcholků ručně přepsal do formátu GPX.

http://geocaching.smejdil.cz/Rohace2010-WPT.gpx

Pro editaci souborů jsem použil šikovný program EasyGPS.

CiscoVPN a Ubuntu 10.04.1

2010-09-20T11:34:00.008+02:00

Pro připojení do práce jsem doposud používal VPNC, které je pěkně integrované v Gnome do NetworkManager. Ale zhruba po hodině připojení spojení zamrzne. Patrně se po nějaké době reinicializuje spojení a to klient nějak neustojí. Na rychlé úkony se to použít dál Ale pokud má být spojení realizováno celý den, je to nepoužitelne :-(

Proto jsem se rozhodl používat klienta od společnosti Cisco, který je i pro Linux.

#
# CiscoVPN on Ubuntu 10.04
#
wget -q vpnclient-linux-x86_64-4.8.02.0030-k9.tar.gz

1. Rozbalíme VPN Client
tar xzf vpnclient-linux-x86_64-4.8.02.0030-k9.tar.gz

2. Download patch
wget -q fixes.patch

3. Vstoupíme do adresáře vpnclient
cd vpnclient

4. Aplikujeme patch
patch < ../fixes.patch patching file frag.c patching file interceptor.c patching file IPSecDrvOS_linux.c patching file linuxcniapi.c patching file linuxkernelapi.c patching file Makefile 5. Nainstalujeme klienta pomoci scriptu sudo ./vpn_install 6. VPN client vyžaduje nahrát patřičný modul kernelu sudo /etc/init.d/vpnclient_init start 7. Upravíme si konfigurační soubor a umístíme jej do adresáře Profile sudo cp myVPN.pcf /etc/opt/cisco-vpnclient/Profiles/ 8. Vytvoříme VPN spojení dle profilu sudo vpnclient connect myVPN

V konfiguračním souboru je třeba nastavit username heslo a group heslo, případně i další volby. Zde je nástroj na dešifrování group hesla, pokud jej neznáte.

20100922 Na ntb s 64bitovym Ubuntu 10.04.1 a s kernelem 2.6.32-24-generic mi návod sice funguje, ale již dvakrát mi celej system vythnul pri navázaném VPN spojení. Modul v kernelu dělá zjevně paseku. Našel jsem návod, ale zatím mi to šlo zkompilovat, a uvidim doma zda se to bude chovat lépe při navázaném spojení.

Tomcat SSL

2010-09-16T14:15:00.004+02:00

Dnes jsem řešil pěkně vypečenej zadrhel. Před dvouma měsícema se spoustela aplikace, běžící na tomcatu, která vyžadovala užití SSL certifikátu, který app. používala pro komunikaci s jiným serverem. Vývojář vytvořil KEYSTORE a do nej uložil dodaný certifikát.

Úprava nastavení tomcatu byla následující

KEYSTORE=$CATALINA_HOME/conf/keystore
JAVA_OPTS=" ... -Djavax.net.ssl.trustStore=$KEYSTORE/mycert.truststore -Djavax.net.ssl.trustStorePassword=changeit"

Vše fungovalo. Až do doby, než se řešil problém ostatních aplikací, které dle vyjádření Java programátora nevidí Root CA certifikáty. Blesklo mi hlavou, že se to tou předchozí volbou přenastavilo.

Pátral jsem, kde má tomcat nejaké definice o keystore a nic jsem nenašel. Tak jsem hledal níže a kořenové certifikátý jsem našel v JDK.

find jdk1.6.0_21/ -name '*cert*'
jdk1.6.0_21/jre/lib/security/cacerts

Daný soubor obsahuje kořenové certifikáty certifikačních autorit, obdobně jako tomu je u prohlížečů. Pro řešení problému jsem vyexportoval certifikát z lokálního uložiště a importoval do cacert JVM, který zjevně užíva tomcat i v něm deployované aplikace (bez nutnosti nějaké konfigurace). Pro manipulaci s certifikátama java používá aplikaci keytool.

keytool -keystore mycert.truststore -list
keytool -keystore mycert.truststore -exportcert -file exportkey.crt

keytool -keystore cacerts -list
chmod 666 cacerts
keytool -keystore cacerts -importcert -file exportkey.crt
chmod 444 cacerts

Po restartu tomcatu a odstranění nevhodné konfigurace lokálního keystore z JAVA_OPTS, vše opět zařalo fungovat.

Doporučení: Po každé instalaci JVM (jre nebo jdk) je velmi vhodné změnit defaultní heslo "changeit" na nějaké bezpečnější.

Samba + LDAP Password does not expire

2010-09-14T08:55:00.003+02:00

Pokud používáte Sambu s LDAPem, po čase budete potřebovat měnit některé údaje uložené v LDAPu u jednotlivých uživatelů. Osobně jsem musel řešit malý ústupek v pezpečnosti a tím je zrušení expirace hesla.

Tato hodnota říká, jaké příznaky jsou nastavené.

sambaAcctFlags: [U]

Jak jení nastavení změnit ? Jednoduše, pomocí smbldap tools. Tabulka se Samba SAM Account Control Block Flags je zde.

smbldap-usermod -H [UX] novak

URL redirect

2010-09-13T11:21:00.002+02:00

Způsobů, jak provést redirect URL je hnedle několik. V mnou poznamenaném odkaze je popsáno několik způsobu. Mnou nejpoužívanějsi mod_rewrite, Meta Refresh URL Redirect, PHP URL Redirect, ASP URL Redirect, Coldfusion URL Redirect, JavaScript URL Redirect a v neposlední řadě SSI Include URL Redirect.

http://www.seocompany.ca/seo/url-redirect.html

Packet filter - příkazy

2010-09-11T13:52:00.005+02:00

Občas se může stát, že ve firewallu pfSense nemáme povoloenou patřičnou IP a i přesto se např. potřebujeme dostat na webovou konfiguraci. Pokud se dostaneme např. skrze SSH z nějakého povoleného místa na konzoli, můžeme si manualně přidat další IP do nějake tabulky a tím si otevřreme vrátka. Malá ukázka jak na to.

pfctl -sT # vypis vsech tabulek
pfctl -t ip_MYTABLE -T show # vypis obsahu tabulky
pfctl -t ip_MYTABLE -T add 213.168.187.15 # pridani IP do tabulky

Oficiální stránka o firewallu Packet Filter je přeložená do češtiny.

Java Thread Dump

2010-08-25T15:28:00.002+02:00

Dnes za mnou přišel kolega s označením JNO a požadoval test zaslání signalu QUIT na bežící proces. Dle tohoto návodu.

ps axf | grep java
kill -QUIT process_id

Do logu catalina.out se zapíše Thread Dump, ze kterého něco vyčte skušený Java Programátor. Nápomocná může být manuálová stránka p příkazu kill.

APOD

2010-08-23T09:04:00.002+02:00

APOD je zkratka z Astronomy Picture of the Day (Archív astronomických snímků dne)
Sem tam si rád stáhnu nějaké to pěkné pozadí z http://apod.nasa.gov/apod/ česká verze http://www.astro.cz/apod/. Dnes jsem nalezl pěkný script, který stáhne a přenastaví pozadí. Script je pro všechny platformy. Přesněji existuji verze pro jednotlivé OS platformy. Já samozřejmě užil tu v Bash fetchapod.sh

http://www.scibuff.com/2009/05/14/download-apod-and-set-it-as-the-wallpaper-batch-script/

SCHWAIGER SAT-Finder SF9000

2010-08-15T20:24:00.006+02:00

Dnes jsem se konečně dokopal ke správnému nastavení mé satelitní paraboly Triax. Cílem bylo nasměrovat parabolu pro užití příjmu přez Skylink. Cílem mého nastavování byla AST RA 23,5°E. Od společnosti CE Progress jsem si zapůjčil SCHWAIGER SAT-Finder SF9000 a pustil se do ladění. Prvním problémem bylo to, že koax od příjmače DM 500S byl moc dlouhý a měřák neudržel stabilní napajení. Proto jsem užil adaptér z kufříku a ten problém s napájením vyřešil. Druhý LNB jsem směroval na EuroBird1 28.2E°. Teď už jen koupit kartu Skylink.

Last FM

2010-08-12T13:02:00.001+02:00

Brand Ambassadors 05
Originally uploaded by last.fm

Kdo poslouchá používá Audioscrobbler podporuje Social Music :-)

susestudio.com

2010-08-05T15:36:00.006+02:00

Je webová služba, která umožňuje si vytvořit vlastní instalační CD/DVD .iso např. s OpenSuSe. Možností, jak si poladit vlastní instalaci je vskutku hodně. Může me si vybrat mezi Desktopem nebo Serverem, Gnome nebo KDE, i386 nebo amd64. Dale si naši instalaci vyladíme, tak že bude obsahovat všechny aplikace, které požadujeme a tím nám odpadne veškerá poinstalační nastavení a doinstalace atd. Nutno dodat, že mě tato služba od společnosti Novell mile překvapila.

Za pár let bude asi naprosto běžné, že si pro velké distribuce vyladíme svá instalační media pomocí obdobných nástrojů.

Apache gzip deflate

2010-08-04T14:09:00.004+02:00

Při sprovoznění jednoho nového webu mě kolega nasměroval na užití mod_gzip pro apache 1.3.x nebo mod_deflate pro Apache 2.x. Daný modul zajistí komprimaci stránek, pokud si to browser vyžádá a danou funkcionalitu umí. Zpovozňoval jsem mod_deflate na Apache22. Nutno podotknout, že jistým vodítkem je rozžířeni YSlow v pluginu Firebug v browseru Firefox. YSlow radí jak daný web server potunit, aby fungoval lépe a rychleji.

Existuje řada online testovacích nástroju, které ukazují zda web server podporuje gzip nebo ne.

SSL Tunning

2010-07-21T09:04:00.006+02:00

Po přečtení článku na rootu jsem musel přenastavit často používané defaultní nastaveni SSL u několika webserveru s Apache. Defaultní nastavení je ve prospěch mnoha starších browseru. Ale bezpečnosti nenní nikdy dost a zombie sw má prostě smůlu. Ve článku je zmíněn velmi povedený online nástroj na proveření konfigurace SSL (HTTPS).

https://www.ssllabs.com/ssldb/index.html

Drobným doporučením pro konfiguraci Apache je. Konfiguraci SSL hodně ovlivňují tyto dvě direktivy SSLCipherSuite a SSLProtocol

SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:-MEDIUM
SSLProtocol -all +SSLv3 +TLSv1

Díky RSA007 za nakopnutí v daném tématu.

Pergola

2010-07-08T21:39:00.002+02:00

Podílel jsem se na montáži této pergoly. Byla to zábava.

UPDATE:
Během stavby nás vyfotili z letadla.

Veké akvarium, ne Obří!

2010-06-29T13:45:00.001+02:00

Veké akvarium, ne Obří!
Originally uploaded by SmEjDiL

Při plánované víkendové návštěvě akvária jsem měl poněkud jine představy. Marketingově to jistě přitáhne více lidí, ale "Obří" to akvarium určitě není.

802.1X v Ubuntu 10.04 LTS a FreeRADIUS

2010-06-25T09:47:00.004+02:00

Zdroj SmEjDiL Blog

Nastavení zabezpečení pomocí 802.1X je v Ubuntu velmi jednoduché. Potřebujeme certifikát, který máme uveden u radius serveru. Dále uživatele a heslo, které se v mém případě ověřuje pomocí ntlm_auth a Active Directory.

Nastavení ověřování na portu switche číslo 42. V případě HP ProCurve switche jsem nastavoval.

ssh sw1
configure
radius-server host 192.168.0.10
radius-server key Pie8phi5
radius-server host 192.168.0.10 key rahN8oow
show radius
aaa authorization commands radius
aaa authentication port-access eap-radius
aaa port-access authenticator 42 unauth-vid 1
aaa port-access authenticator 42 auth-vid 10
aaa port-access authenticator 42 control authorized
aaa port-access authenticator 42 initialize

show port-access authenticator 42
show port-access authenticator 42 statistics
show port-access authenticator vlan

Pokud si FreeRADIUS nastavime aby nám logoval, v logu se po úspěšném ověření objeví např. následující záznam.

Thu Jun 24 16:12:16 2010 : Auth: Login OK: [RADIUS/] (from client 192.168.10.159 port 42 cli 00-26-9e-80-b0-5c)

EV Certifikát od Thawte

2010-06-22T09:00:00.013+02:00

Již v minulosti jsem zprovozňoval Extended Validation Certificate na web serveru Apache. Ale to bylo u jiné certifikační autority. Popsané to mám zde.

Postupy pro jednotlivé instalace pro jednotlivé programy jsou zde na stránce Install SSL certificate.

Návod na instalaci na serveru Apache je zde Install Extended Validation Certificate on Apache

Zajimavostí je, že u Thawte musíme vyplnit stahovací formulář a potvrdit pravidla užití kořenových certifikátů, které stáhneme zde. Což se tuším u VeriSign nemuselo.

Nastavení Apache je již obdobné jako u puvodního příspěvku. Důležité jsou opět direktivy SSLCACertificateFile a SSLPassPhraseDialog.

Kontrolu certifikatu na serveru můžeme proveřit pomoci Browseru, nebo z příkazové řádky, pomocí prikazu. Velmi pekný a ucelený návod na OpenSSL je zde.

openssl s_client -connect www.google.com:443

První geo cache

2010-06-21T09:09:00.003+02:00

Poznamenávám si sem pár odkazů o prvních českých keškách.

Cílem letního ryze pánského GeoVýletu bude Tex-Czech - GCE50

FreeRADIUS - Active Directory - HP ProCurve Switch - 802.1X

2010-06-18T14:16:00.008+02:00

Bezpečnosti není nikdy dost a tak i omezení přístupu k interní LAN nebo WLAN je vždy vítano. Aby switch mohl ověřit supplicant = žadatele o přístup do sítě, musí být nakonfigurován tak, aby se zeptal FreeRADIUS serveru, který se přeptá Active directory, zda-li daný uřivatel může být připojen k danému portu switche. Takto je to velmi jednoduše popsáno, ale tak to zjednodušeně je. Zaklínadlem je standard 802.1X, který je implementovan ve většině síťových zařízeních, jako jsou switche a wi-fi acess point.

Dobře popsaný návod se nachází na wiki freeradiusu. Radius server vyžaduje bezplatnou instalaci FreeRADIUS serveru a Samby.

Ubuntu:
apt-get install freeradius
apt-get install winbind

FreeBSD:
portinstall freeradius2
portinstall samba34

U samby postačí winbind, smbd a nmbd není třeba. Samba se musí přihlásit do Win domény.

Pokud máme vše správně nastavené, ověříme, zda nám samba ověží uživatele.

ntlm_auth --request-nt-key --domain=WINDOM --username=smejdil
password:
NT_STATUS_OK: Success (0x0)

V návodu je popsána konfigurace kerberosu, kterou jsem nedělal a ntlm_auth mi ověřuje, tak asi není třeba.

Pokud máme poladěný freeradius, můžeme testovat funkčnost ověřování.

radtest smejdil 123456abcd server-radius 1813 testing123
Sending Access-Request of id 14 to 192.168.0.10 port 1812
User-Name = „smejdil”
User-Password = „123456abcd”
NAS-IP-Address = 192.168.0.20
NAS-Port = 1813
rad_recv: Access-Accept packet from host 192.168.0.10 port 1812, id=14, length=20

Dále jsem nastavil radius server v HP ProCurve switchi, ale jen nastavil. Nastavení portů atd prozatím musí počkat.

hp-sw# configure
hp-sw(config)# radius-server host 192.168.0.10
hp-sw(config)# radius-server key 123456abcd
hp-sw(config)# show radius
hp-sw(config)# write memory

Status and Counters - General RADIUS Information

Deadtime(min) : 0
Timeout(secs) : 5
Retransmit Attempts : 3
Global Encryption Key : 123456abcd

Auth Acct
Server IP Addr Port Port Encryption Key
--------------- ----- ----- --------------------------------
192.168.0.10 1812 1813

Dále bude následovat. Ale to až zase jindy. Dále musím vyzkoušet FreeRADIUS s OpenLDAPem.

hp-sw(config)# aaa port-access

SmEjDiL's Czech GeoCoin

2010-06-15T21:08:00.001+02:00

SmEjDiL's Czech GeoCoin
Originally uploaded by SmEjDiL

Zde je log mojí mince co se mi vrátila až z Austrálie, kde byla skoro dva roky v jedné jedine cache.