• Как ограничить доступ root?

    ValdikSS
    @ValdikSS
    Привилегии в Linux задаются с помощью capabilities. Отобрав все capabilities, можно сделать из root пользователя даже менее привилегированного, чем обычные.

    Для управления capabilities есть несколько программ. Можно воспользоваться стандартной capsh.
    Следующая команда запустит root-шелл без каких-либо capabilities:
    sudo capsh --drop=cap_chown,cap_dac_override,cap_dac_read_search,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_linux_immutable,cap_net_bind_service,cap_net_broadcast,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_ipc_owner,cap_sys_module,cap_sys_rawio,cap_sys_chroot,cap_sys_ptrace,cap_sys_pacct,cap_sys_admin,cap_sys_boot,cap_sys_nice,cap_sys_resource,cap_sys_time,cap_sys_tty_config,cap_mknod,cap_lease,cap_audit_write,cap_audit_control,cap_setfcap,cap_mac_override,cap_mac_admin,cap_syslog,cap_wake_alarm,cap_block_suspend,cap_audit_read -- -c bash

    Можно поместить её в скрипт и назначить shell'ом пользователя, если вы понимаете, что делаете, и к чему это приведёт.
    Ответ написан
    Комментировать
  • Какие есть современные IRC/XMPP клиенты под винду?

    ValdikSS
    @ValdikSS
    Вашим критериям не соответствует ни один из известных мне клиентов.
    Самый функциональный и приспособленный под реальное ежедневное использование — Gajim, он использует GTK.
    Второй подходящий под ежедневное использование — Psi+, у него нет тёмной темы.
    Ответ написан
    Комментировать
  • Hosting to Hosting Редирект. Уменьшить расходы?

    ValdikSS
    @ValdikSS
    P.S. У нас по закону хостинг должен находится в нашей стране, поэтому сразу перейти на евро чревато.
    Если закон нужно соблюдать исключительно формально, т.е. иметь на домене IP-адрес конкретной страны, а трафик на сервере безлимитный, то достаточно настроить простейшее перенаправление трафика с помощью NAT, средствами iptables/nftables, если речь о Linux.
    Минимальная нагрузка на сервер, не требуется устанавливать и настраивать ПО.
    Ответ написан
    Комментировать
  • Хочу получить ссылку .m3u8 на поток с сайта, как это сделать?

    ValdikSS
    @ValdikSS
    Откройте инструменты разработчика в браузере, перейдите во вкладку «сеть» (network), запустите видеопоток — среди разных запросов увидите и .m3u8.
    Ответ написан
    4 комментария
  • Как сделать загрузочную флешку не в fat32 для загрузки с нее ОС?

    ValdikSS
    @ValdikSS
    Есть специализированный минимальный загрузчик UEFI:NTFS для FAT32-раздела, который только и умеет, что подгружать драйвер NTFS, находить NTFS-раздел и загружать следующий загрузчик с NTFS-раздела.
    Ссылка на готовый образ раздела.

    Создайте GPT-разметку на флешке, создайте два раздела: первый на весь размер флешки без 1 МБ, второй — размером в 1 МБ и типом EF00. Первый отформатируйте в NTFS, на второй запишите образ по ссылке.
    Secure Boot при такой загрузке работать не будет: UEFI:NTFS не подписан.
    Ответ написан
    6 комментариев
  • Отваливается Bluetooth на Linux 5.4, как починить?

    ValdikSS
    @ValdikSS
    Перезапуск сервиса bluetooth не помогает, только перезагрузка.

    sudo modprobe -r btusb; sudo modprobe -r btintel; sudo modprobe btusb; sudo modprobe btintel
    Ответ написан
    5 комментариев
  • Роутер Huawei HG8245H сошел с ума... как его вылечить?

    ValdikSS
    @ValdikSS
    Зайдите на маршрутизатор под логином и паролем:
    telecomadmin / NWTF5x%RaK8mVbD
    И настройте VLAN'ы так, как вам необходимо.
    Ответ написан
    Комментировать
  • Нужно что-то вроде бесплатного VPS/VDS под Linux, где взять?

    ValdikSS
    @ValdikSS
    На Android-планшет можете поставить termux, если не требуется никакого ПО, требующего root-доступ, либо полноценный дистрибутив, через Linux Deploy.
    Также существуют так называемые тильды — шелл-серверы для обучения linux-консоли. Они, однако, тоже не позволят производить действия, требующие root-доступа.
    https://medium.com/@steven_ovadia/learning-linux-w...
    https://tilde.wiki/other-tildes
    Ответ написан
    Комментировать
  • Статический IP от мегафона. Как заставить работать проброс портов?

    ValdikSS
    @ValdikSS
    Заказал статический ip у Мегафона
    Статический IP не означает то, что он не за NAT, и что вы на него сможете принимать соединение. Статический — неизменный. Узнавайте у оператора, является ли он маршрутизируемым («белым», «реальным»).
    Ответ написан
  • Существует ли стабильный vncserver для Linux?

    ValdikSS
    @ValdikSS
    Используйте отдельную сессию для VNC, а не подключайтесь к физическому монитору, и все будет работать быстро.
    Ответ написан
    1 комментарий
  • ПОЧЕМУ Интерфейс VPN переходит в спящий режим?

    ValdikSS
    @ValdikSS
    Проблема, с большой вероятностью, во времени таймаута UDP-соединения на вашем домашнем роутере. Нужно либо увеличить его, либо каким-либо образом настроить keep-alive в VPN.
    Ответ написан
    Комментировать
  • Ноутбук для новичка?

    ValdikSS
    @ValdikSS
    За 30000₽ можно купить Б/У Thinkpad T460, в приличной конфигурации.
    Ответ написан
  • Почему периодически отваливается linux-сервер?

    ValdikSS
    @ValdikSS
    Смотрите журнал ядра (dmesg). Возможно, что переполняется таблица conntrack или что-то подобное.
    Ответ написан
    2 комментария
  • Как изменить исходящий порт IPSec mikrotik?

    ValdikSS
    @ValdikSS
    Стандарт IPsec регламентирует UDP-порты 500 и 4500, в случае использования UDP-инкапсуляции. Сменить их, в общем случае, нельзя, только некоторое ПО это позволяет (strongswan, например).

    Невозможность подключения может быть вызвана блокировкой фрагментированных IP-пакетов на стороне провайдера. Не каждый клиент поддерживает фрагментацию средствами протокола IPsec, а длинные сертификаты, вроде RSA 2048, не влазят в один пакет, заставляя клиент фрагментировать пакет на уровне IP. Можно попробовать использовать ECDSA-сертификаты или RSA 1024, он влазит в один пакет при MTU 1350+.

    Последний раз когда это проверял он использовал 50105 порт (вместо 4500).

    Очень сомневаюсь. Скорее всего, вы что-то не то смотрели.
    Ответ написан
    4 комментария
  • Как сделать максимально автономный сервер?

    ValdikSS
    @ValdikSS
    1. Никаких «вечных серверов». Даже как-то неловко разъяснять такое. «Вечный сервер» — маркетинговый ход, фактически мошенничество, который закончится, как только компания изменит условия/реорганизуется/закроется. Следует читать как «ну, проработает года три, а далее — неизвестно».

    2. Непонятно, какого рода у вас информация, и что именно вы понимаете под словом «захостить», также непонятен критерий автономности. Разместить информацию в публичный доступ? Должна ли она индексироваться? Нужен ли для неё контроль доступа? По какому протоколу она должна быть доступна? Она будет нужна только вам через 10 лет, или кому-то еще? Это лицензированный контент, который могут удалить по DMCA (фильмы, сериалы, музыка)? Это персональные данные (сливы баз данных)? Информация популярна и/или востребована на данный момент? Есть вероятность, что она будет сравнительно востребована через 10 лет? Информация каталогизирована? Информация тематическая (например, архив, посвященный конкретной теме, области науки и т.п.)? Важно ли удобство и скорость доступа к информации?
    Технологий много, но они все разные, с разными назначениями. Ответы на перечисленные вопросы необходимы, чтобы отбросить неподходящие и подробно рассмотреть подходящие.

    3. Если информация публична и востребована, и будет востребована через 10 лет, то следует использовать DC++, BitTorrent + веб-хранилища с прямыми ссылками на файл, добавив ссылки в .torrent-файл, в виде webseed.
    Bittorrent существует с 2006 года, популярен, клиенты есть под все ОС, совместимость и надёжность отличные.
    DC++ всё еще имеет популярность. Основное преимущество перед Bittorrent: возможность поиска файла по его имени или названию директории, возможность лёгкого обновления и дополнения информации (нет привязки к «каталогу» в виде .torrent-файла)

    Если информация конфиденциальна или требует контроля доступа, и у вас и кого-либо другого не будет возможности как-либо поддерживать её в течение 10 лет (я не знаю вашу ситуацию, поэтому предположим, что вам грозит 10-летний тюремный срок), то, возможно, есть смысл оплатить облачное хранилище от крупных компаний (Google, Yandex, Microsoft, Apple) на 10 лет вперед. Это не даёт никаких гарантий, но считаю такой вариант более надёжным, нежели хостинг общего плана (и особенно VPS).

    Если информации немного, она не защищена авторскими правами, каталогизирована и полезна, можно банально разместить её на давно существующих бесплатных хостингах, вроде Ucoz, Google Sites, Neocities, загрузить на Bitbucket, Github, Sourceforge (последний поддерживает хранение больших файлов, которые можно скачать по прямой ссылке, вполне подойдёт в качестве webseed для торрента, к слову).

    Если не боитесь попробовать развивающиеся, но еще не устоявшиеся технологии, присмотритесь к IPFS. Он работает по принципу Bittorrent, но позволяет получать доступ к информации через HTTP, а также поддерживается крупными игроками в лице Cloudflare, у которой есть шлюз из интернета в IPFS: https://cloudflare-ipfs.com/
    Я держу несколько статичных сайтов с собственными доменами в IPFS, на домашнем компьютере, за шлюзом Cloudflare. Преимущества: все плюсы BitTorrent, возможность доступа как к сайту (в т.ч. на своём домене), индексация поисковиками, есть сервисы по долгосрочному платному хранению файлов (eternum.io, pinata.cloud), возможность лёгкого обновления информации. Недостатки: работает всё ещё достаточно медленно и нестабильно, только статичные сайты.

    4. Судя по вашему комментарию выше, у вас всего 100 ГБ медиафайлов. Это вообще ерунда. Если они публичны и представляют ценность хотя бы для узкого круга людей, можете захостить их у меня, через проект Schare: https://valdikss.org.ru/schare/
    Мой критерий автономности — максимальная независимость от сторонней инфраструктуры, поэтому файлы хостятся на домашнем сервере, а раздаются в сетях децентрализованного файлообмена.
    Ответ написан
    Комментировать
  • Как сделать круглосуточное воспроизведение видео файлов на сайте?

    ValdikSS
    @ValdikSS
    Как сделать, чтобы воспроизведение продолжалось непрерывно, даже если закрыть страницу с видео?
    Сделайте глобальный «плейлист» и переходите на текущий файл и время воспроизведения при заходе на сайт.
    Ответ написан
    Комментировать
  • Как подключиться к серверу через VPN с одинаковыми подсетями?

    ValdikSS
    @ValdikSS
    Если речь об OpenVPN, то у него есть встроенный NAT для таких целей:
    --client-nat snat|dnat network netmask alias
    This pushable client option sets up a stateless one-to-one NAT rule on packet addresses (not ports), and is useful in cases where routes or ifconfig settings pushed to the client would create an IP numbering conflict.


    Если о других протоколах — можно добавлять конкретные /32-маршруты через конкретный интерфейс.
    Ответ написан
    Комментировать
  • Как правильно хостить и проигрывать видео в 2020?

    ValdikSS
    @ValdikSS
    То есть получается, что отдача одним файлом и браузерный декод, вышли намного эффективнее чем то, что мы делали через HLS. ¯\_( ツ)_/¯
    Разумеется.
    HLS для VoD используют в двух случаях:
    1. Если нужно, прямо необходимо, автоматически подстраивать качество видео, не выбирая его руками;
    2. Если нужно шифровать куски видео для каждого клиента индивидуально (DRM).

    В остальных случаях, особого резона использовать HLS/DASH нет, т.к. для воспроизведения в браузере он требует media source и javascript-плеер, а обычное HTML5-видео — нет.

    Мы посмотрели кучу стриминговых сервисов, большая часть из них отдавала все свои стримы в формате m3u8, и никаких проблем при этом люди не испытывали. Соответственно назрела куча вопросов о том, как таки стоит делать и в чем могла быть ошибка и как это исправить на будущее.

    Чтобы понять, в чём могла быть ошибка, нужно хотя бы получить какой-то отладочный вывод, или повторить ошибку.
    Во-первых, стандарта HLS «два»: ранний допускает использование контейнера MPEG-TS (.ts), более поздний добавляет поддержку .mp4. MPEG-TS поддерживается лучше, и проще в использовании и на этапе нарезки.

    У меня однажды были точно такие же симптомы, что у вас. Оказалось, что на домене осталась старая DNS A-запись, указывающая на неработающий IP-адрес уже несуществующего сервера. И всё, на удивление, работало, и работало достаточно стабильно, но периодически поток прерывался с ошибками.

    Сложно делать предположения без отладочных данных.

    1) Как правильно хостить файлы на сервере? Нужна ли разбивка при помощи HLS\DASH? Где-то видел что эти технологии нужно использовать в паре, так как каждая из них имеет свою браузерную поддержку.
    Для видеофайлов не требуется какой-то особый подход к размещению на диске. HLS поддерживается только мобильными браузерами (многими, но не всеми), а DASH не поддерживается никакими современными браузерами. Вам в любом случае придётся использовать javascript-плеер, который самостоятельно будет собирать поток из HLS/DASH и воспроизводить через media source, поэтому принципиальной разницы нет. Использовать и HLS, и DASH одновременно точно ни к чему.

    2) Должны ли быть на сервере какие-то специфичные настройки, для эффективной отдачи статического медиа-контента?
    Да не особо. Так как у вас многогигабитный канал, можно попробовать настроить сетевую подсистему (если речь о Linux), а именно увеличить TCP-буферы, буферы отправки и получения, количество conntrack-соединений (может, ошибки соединения возникают по причине лимита conntrack? В dmesg заглядывали?).

    3) Медиа-плеер. Возможно, причина ошибок связана с плеером, который использовали на клиенте?
    Может, безусловно. Плееры содержат достаточно сложный код: парсеры и демуксеры контейнеров, работа с HLS, media source, совместимость с разными браузерами.

    Например, в этом проекте, люди заходили с телевизора, а на tizen flowplayer не работал, от слова совсем.
    Рекомендую попробовать clappr.io — один из немногих, корректно работающих на устаревшем браузере Blackberry.

    4) Шифрование\защита файлов. Как по мне отдача чистых mp4 файлов, небезопасна от слова совсем.
    Зачем нужно защищать ваши файлы, если вы и так их проигрываете? Может, следует подумать о людях и об удобстве просмотра, и предоставить ссылку, которую можно открыть в нормальном видеоплеере, или скачать фильм в виде файла? Не понимаю эту дурацкую тенденцию.
    Ответ написан
    2 комментария
  • Что необходимо сделать что бы клиенты увидели сервер?

    ValdikSS
    @ValdikSS
    Добавьте на pptp-клиенте маршрут до openvpn-сервера, и наоборот.
    Ответ написан
    Комментировать
  • Есть ли гайд по азам консоли Linux?

    ValdikSS
    @ValdikSS
    Если по совсем азам — https://tilde.team/wiki/cli-for-beginners
    Чуть серьезней — https://p1k3.com/userland-book/
    Ответ написан
    Комментировать