Кратко – это портированный из FreeBSD в Windows файрвол ipfw. Мне он сразу понравился: простой, понятный, с чётким синтаксисом (таким же, как и в FreeBSD). Со своими простыми задачами (ограничение доступа по ip-адресам, портам, протоколам) он справляется очень хорошо.

В последней версии появилась поддержка платформы x64, однако установка происходит с ошибкой:

install_driver: CreateService: 1073
Системная ошибка 2.
Не удается найти указанный файл.

Причина описана на официальном сайте и человеческим языком тут (приведу основную суть):

… иногда из 32-битных приложений нужно попасть в саму папку system32, а как не указывай, система всё равно будет редиректить в SysWoW64. Для обхода этой проблемы Microsoft выпустила специальное обновление для Windows Server 2003 x64. После установки этого обновления для 32-ух разрядных приложений становится доступна виртуальная папка %systemroot%\sysnative (правда она тоже не видна через функции Find…File).

На форуме проекта WIPFW есть информация о том, как всё-таки установить файрвол в x64-системе.

Я опишу понятным языком 3 конкретных действия, которые нужно выполнить, чтобы всё установилось и заработало как надо.

1. Скачать обновление от Microsoft.

Я впервые столкнулся с таким способом скачивания обновлений. Нужно выбрать языковые версии и указать адрес электронной почты, куда придут ссылки на сами обновления. Я скажу больше: придут ссылки на архивы с паролем Пароли, к счастью, в письме будут указаны

2. Установить переменные окружения.

После установки обновлений нужно, как и написано в официальной статье, установить переменные окружения.

В Свойствах системы – Дополнительно – Переменные окружения надо переменной PATH приписать в конец ;%SystemRoot%\Sysnative

После чего надо перезагрузиться.

3. Исправить установочные файлы WIPFW.

Осталось только подправить установочные файлы WIPFW.

В файлах install.cmd и install-deny.cmd надо в 3-й строчке изменить system32 на sysnative

В файле uninstall.cmd в строчках 10 и 11 надо сделать то же самое – изменить system32 на sysnative

Вот файлы, которые получились у меня: install.cmd, install-deny.cmd, uninstall.cmd (смените расширение на cmd)

Всё.

После этого всё должно корректно устанавливаться.

Есть одна фишка. Как и было указано в статье, через обычный просмотр файлов и папок каталог windows\sysnative не находится.
Если вставить его полный путь в проводник, тоже ничего не получается (думаю, это можно поправить, но мне было неохота заморачиваться). У меня получилось зайти в него через Total Commander, набрав в папке windows команду cd sysnative

Итак, всё довольно просто:

1. На компьютерах, использующих этот способ печати, ставим соответствующий компонент Windows:
   • Для Висты это Монитор LPR-портов и Служба печати LPD в Службах печати;
   • Для XP и 2003 это Службы печати для UNIX в разделе Другие способы доступа к файлам и принтерам в сети.
2. По умолчанию служба Сервер печати TCP/IP настроена на ручной запуск, поэтому в большинстве случаев на сервере необходимо установить автоматический запуск.
3. На сервере настраиваем общий доступ к принтеру и даём ему короткое и понятное сетевое имя, например, HPLJ2015.
4. На клиенте начинаем установку локального принтера; выбираем Создать новый порт и тип порта LPR Port.
5. Указываем IP-адрес сервера и сетевое имя принтера (из пункта 3). Подсовываем драйвер, и всё.

Это решение спасло в ситуации с Toshiba E166 при печати через сеть. В любых других конфигурациях печатать через сеть не получалось.

Прошу прощения, если присутствуют какие-то неточности, т.к. писал по памяти

Если что-то не получается, пишите в комментариях, разберёмся.

Проблема: найти свободный IP в сети предприятия для нового компьютера/принтера. Только давайте отвлечёмся от того, почему эта проблема существует – это сложный вопрос

Итак, решение основано на базе замечательной программы ARPWatch (FreeBSD port).

Результат выглядит в виде web-странички с перечисленными свободными IP-адресами в сети.

Суть безумно проста: в PHP-скрипте генерируется массив из всех IP-адресов сети, из которого извлекаются уже занятые адреса, т.е. присутствующие в файле arp.dat.

Скачать скрипт можно по этой ссылке.

Возникла необходимость использовать VLAN в tagged-режиме на одном из портов коммутатора.

Для этого необходимо перевести порт в режим trunk, например:

interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 3 4

В моём случае зачем-то добавилась vlan 1. Пришлось сделать ей:

undo port trunk permit vlan 1

Несмотря на то, что официально данный коммутатор фирмы Huawei-3Com, общего с настройкой 3Com (по крайней мере линейкой SS3) оказалось по-моему довольно мало. Больше всего мне было непонятно, как создать пользователя с правами администратора. Тем не менее, в конце концов процесс настройки выглядит довольно просто

Вот как это получилось у меня:

1. подсоединить коммутатор к COM-порту консольным проводом, идущим в комплекте, и подключиться к нему с помощью терминальной программы (HyperTerminal);
2. ввести system-view, чтобы войти в т.н. режим администрирования;
3. для задания ip-адреса необходимо зайти в режим interface, далее Vlan-interface 1
4. ввести ip address x.x.x.x n, где n – длина маски (по CIDR; в принципе можно и в виде 4-х октетов, но одним числом быстрее). Всё, теперь в VLAN 1 (по умолчанию) коммутатор будет откликаться на заданный ip-адрес; набрать quit
5. теперь самое интересное – управление пользователями. Из режима system-view необходимо набрать local-user admin
6. задать пароль командой password
7. чтобы от имени этого пользователя можно было работать через web-интерфейс, необходимо ввести service-type telnet level 3
8. также можно установить пароль на доступ через консоль: в system-view user-interface aux 0

После этого можно зайти через web-интерфейс и делать что угодно. Я первым делом настроил VLAN для Интернет-трафика и SNMP для слежения за ним (через web-интерфейс это гораздо проще делается). Также надо не забыть сохранить настройки: для этого в web-интерфейсе надо нажать Save Configuration или выполнить команду save safely.

Хотелось бы отметить, что в коммутаторе просто море разных функций… Раньше я такого не видел

И ещё отмечу, что интерфейс командной строки очень-очень похож на Cisco IOS: такое ощущение, что просто в исходных текстах поменяли show на display, running-config на current-configuration,…

На шлюзе установлена FreeBSD 6.1, настроен pf с обычным NAT’ом.

Все примеры, касающиеся настройки Squid с pf, которые удалось найти в Интернет, относились к версии 2.5. В то время как в версии 2.6, которая на данный момент находится в портах, основная часть работы делается немного проще и удобнее.

Итак, процесс установки и настройки.

SQUID 

При установке из опций необходимо выбрать Enable transparent proxying with PF (WITH_SQUID_PF). Я на перспективу также выбрал Enable delay pools (WITH_SQUID_DELAY_POOLS), Enable SNMP support (WITH_SQUID_SNMP) и Enable ACLs based on ethernet address (WITH_SQUID_ARP_ACL). После этого выполняется непосредственно установка.

Что касается настройки, то я поменял в файле конфигурации следующие опции:

http_port 127.0.0.1:3128 transparent (это теперь вместо всяких httpd_accel_* в предыдущих версиях)
acl our_network src x.x.x.0/24
http_access deny to_localhost
http_access allow our_network (перед http_access deny all)
httpd_suppress_version_string on
visible_hostname your.server.name
via off
forwarded_for off

И ещё в формат лог-файлов squid добавил пунктик %tl, чтобы удобнее было смотреть время записи.

Перед первым стартом необходимо сделать squid -z, чтобы инициализировать директории для кешируемых объектов, а также добавить в /etc/rc.conf опцию squid_enable=”YES” (это для тех, кто вообще в первый раз). И ещё лучше вставить в /etc/crontab строчку /usr/local/sbin/squid -k rotate для выполнения каждые сутки.

PF

Настройка pf также не должна вызвать трудностей. Всё зависит от сложности набора правил, используемого вами.

Итак, необходимо добавить в /etc/pf.conf следующую строчку:

rdr on $if_lan inet proto tcp from $ip_lan to any port www -> 127.0.0.1 port 3128

Эту строчку нельзя добавить куда попало: в pf.conf соблюдается строгий порядок (об этом написано в man pf.conf прямо в самом начале); её надо вставить перед следующей, или подобной, строкой:

nat pass on $if_ext from $ip_lan to any -> $if_ext

Здесь $if_lan - это имя сетевого интерфейса локальной сети; $if_ext – имя внешнего сетевого интерфейса; $ip_lan – это адрес локальной сети (т.е. чьи адреса передавать прокси-серверу), например, “192.168.0.0/24″.

Далее, это можно немного усложнить.

Допустим, доступ в Интернет получают IP-адреса, указанные в таблице <nat_users>. Тогда в обоих правилах необходимо вместо $ip_lan указать <nat_users>.

Для большей наглядности можно ввести список портов, которые будут перехватываться Squid’ом:

ports_transp = “{ 80, 8080 }”

И последнее: не все обращения следует перехватывать, а именно  – обращения к локальным ресурсам. Предположим, у вас есть таблица <wan>,  которая содержит все сети или адреса вашей локальной сети. Тогда вместо to any следует указать ! <wan>.

В итоге, правила выглядят следующим образом:

rdr on $if_lan inet proto tcp from <nat_users> to ! <wan> port $ports_transp -> 127.0.0.1 port 3128

nat pass on $if_ext from <nat_users> to any -> $if_ext

Вот по-моему и всё, что касается основных моментов настройки. Готов выслушать комментарии и поправки.

Я наконец-то “запитал” коммутатор нашей домашней сети по витой паре!

Сделал я это следующим образом:

• обжимал по стандарту: БО О БЗ С БС З БК К;
• использовал две пары (синюю для минуса и коричневую для плюса), т.к. решил не рисковать, потому что необходимо было подать ток 7,5V и 1A;
• пришлось разрезать кабель от блока питания коммутатора, т.к. нужные разъёмы на рынке найти не удалось..
• сделал надрез скальпелем на витой паре с обеих сторон (моего компьютера и коммутатора; решил пока не переобжимать), разрезал “пары” и соединил необходимые “плюсы” и “минусы”.

В торжественный момент, пока папа дома включал блок питания в розетку, мы с друзьями наблюдали за тем, когда же загорятся светодиоды Наконец-то они загорелись, коммутатор (кстати, D-Link DES-1008D) загрузился и даже показал линк с моего компьютера!

Пошли отмечать