turns left, looks right

Selle kuu kahekümnendal päeval, kui tähtede seis on sobiv, näeb ilmavalgust Debian Lenny järjekordne hooldusväljalase. Ideepoolest peaks teine saama endale külge numbri 5.0.2 või 5.0r2, kuidas keegi soovib. Aga mitte sellest pisiasjast ei taha ma täna kirjutada.  Vaid sellest, kuidas veenduda, et serverist tiritud debiani isod on ikka need õiged, mitte kurja kreekeri poolt täisussitatud botnetihakatis :)

Lihtsuse mõttes kasutame ainult isot nimega debian-501-i386-businesscard.iso. See tuleb kõigepealt alla laadida. Kiirem koht on vast Eesti kohalik peegel, mis asub estpaki serveris. Ilukirjandust harrastama ei viitsi hakata, seega järgnev jutt puiste punktidena.

1. Tiri alla failid SHA1SUMS ja SHA1SUMS.sign või vastavad MD5 analoogid. SHA1SUMS sisaldab endas iso kontrollsummat, SHA1SUMS.sign on eelmise faili “allkiri”, tõestamaks, et kontrollsummasid pole muudetud.

2. Kontrolli gpg-ga üle, et ega neid kontrollsummasid kompromiteeritud pole:

$ gpg --verify SHA1SUMS.sign SHA1SUMS
gpg: Signature made T 14 apr      2009 21:16:21 EEST using DSA key ID 88C7C1F7
gpg: Allkirja ei saa kontrollida: ei leia avalikku võtit

Nagu näha ei leita vastavat avalikku võtit, millega failide õigsust kontrollida.

3. Impordime vastava võtme (ID 88C7C1F7). Võtmeserveriks on antud juhul igati paslik kasutada debiani enda serverit – keyring.debian.org

$ gpg --keyserver keyring.debian.org --recv-keys 88C7C1F7

4. Laseme uuesti gpg-ga SHA1SUMS* failid üle:

$ gpg --verify SHA1SUMS.sign SHA1SUMS
gpg: Signature made T 14 apr      2009 21:16:21 EEST using DSA key ID 88C7C1F7
gpg: Good signature from "Steve McIntyre <steve@einval.com>"
gpg:            aka "Steve McIntyre    <stevem@chiark.greenend.org.uk>"
gpg:            aka "Steve McIntyre    <93sam@debian.org>"
gpg: HOIATUS: Seda võtit ei ole sertifitseeritud usaldatava allkirjaga!
gpg:         Ei ole midagi, mis näitaks, et allkiri kuulub omanikule.
Primaarse võtme sõrmejälg: AC65 6D79 E362 32CF 77BB B0E8 7C3B 7970 88C7 C1F7

Õnnestus!!! Kuvatakse küll üks hoiatus, aga selle kohta loe juba siit:

http://www.cryptnet.net/fdp/crypto/keysigning_party/en/keysigning_party.html

5. Kontrollime ka tiritud iso üle:

$ sha1sum -c SHA1SUMS

Aga võib ka kasutada käsku “shasum”. See saab ise aru, kui pika räsiga tegu on.

$ shasum -c SHA1SUMS

Ja vastus

...
sha1sum: debian-501-i386-CD-9.iso: No such file or directory
debian-501-i386-CD-9.iso: avamine või lugemine ebaõnnestus
debian-501-i386-businesscard.iso: OK
sha1sum: debian-501-i386-kde-CD-1.iso: No such file or directory
debian-501-i386-kde-CD-1.iso: avamine või lugemine ebaõnnestus
...

Loomulikult neid isosid ei suudetud kontrollida, mida me alla ei laadinud, aga oluline on rida:

debian-501-i386-businesscard.iso: OK

6. Nüüd võib südamerahuga iso plaadile kõrvetada ning rõõmsat debiani elu elada. Paranoiavajadused rahuldatud.

Protsess näeb analoogne välja ka kõikide teiste distrode ning muude failide kontrollimisel. Kokkuvõtvalt – et olla 100% faili terviklikkuses ja autentsuses kindel, tuleb ta tervikklikkust kontrollida kontrollsummade abil (abiks failid md5sum, SHA1SUM vms), aga veendumaks, et kontrollfail ise karvase käe poolt puudutatud pole, tuleks teine omakorda avaliku võtme poolt kinnitada. Avalik võti saadakse võtmeserverist, võti ise on aga allkirjastatud mõne “tähtsa isiku” poolt.

Muide, samal põhimõttel kontrollitakse üle ka iga pakk, mis pakivaramust tuleb. Niiet jutud, mis pajatavad, kuidas mõni paha inimene võib sokutada ametlikku pakivaramusse “nakatunud” koodi, ei pea paika. Vähemalt debiani ja debianipõhiste distrode puhul, sh. ubuntu. Ametlik termin on secure apt.

Nüüdseks olen ipv6 teemal oma otsingutega nii kaugele jõudnud, et otsustasin masinale juba käivitamisel anda võimalus uues internetis liikuda. Kuna pea ei ole prügikasti, siis panen ka siia lühidalt kirja, mida selleks vaja teha on. Taustaks nii palju, et interneti teenust pakub Elion, paketiks Kodulahendus avatud portidega, millega anti kaasa Speedtouchi ruuter nr 716v5. Ruuteri taga Debian Testing.

1. Registreerida tunnel lehel www.ipv6.estpak.ee. See ei tohiks raske olla :)

Kui tunnel registreeritud, siis kliki oma tunneli nimel, kus näed elioni ipv6-e ja ipv4 aadressi ning enda ipv6 aadressi.

2. Ava /etc/network/interfaces fail ja lisa sinna lõppu:

#ipv6 jaoks (kommentaarid on alati kasulikud)
auto 6in4
       iface 6in4 inet6 v4tunnel
       address [sinu_ipv6_aadress]
       netmask 16
       endpoint [estpaki ipv4 aadress]
       ttl 64
       up ip link set mtu 1280 dev 6in4
       up ip route add default via [estpaki_ipv6_aadress] dev 6in4

Loomulikult tuleb seda faili muuta juurkasutaja õigustes.
Muudatuste tööle rakendamiseks, tuleb võrguteenus taaskäivitada:

/etc/init.d/networking restart

Nojaa valmis ta ongi. Kontrolliks võib pingida näiteks google ipv6 aadressi

ping6 ipv6.google.com

Paranoilised või lihtsalt uudishimulikud inimesed loovad ka tulemüüri. Linuxi all on selleks ip6tables, nagu ma eelmises sissekandes mainisin. Nüüdseks olen teada saanud, et päris nii lihtsalt ipv4 müüri konvertimine ipv6 müüriks pole, kui ennist sai välja käidud. Näiteks icmp protokoll kannab ip6tables-is nime ipv6-icmp. Silmas peab pidama ka seda, et liideseks ei ole enam eth0 vaid tunneldamiseks loodud liides. Minu näite puhul 6in4.

Müüri saab masina käivitamisel sisse lugeda samamoodi, nagu ipv4 müürgi (interfaces faili: pre-up ip6tables-restore < /etc/iptables/basic_firewall_ipv6). Mingisugune skriptijupi toon siin ka ära… et oleks lihtsam järjepeale saada, kes veel ei oska. Ja kui keegi jääb hätta tulemüüri üles seadmisega, siis tasuks lugeda minu kirjutist nimega “Elementaare tulemüür iptablesi abiga”.

#!/bin/sh

#Kustutame ära kõik olemasolevad reeglid ja ahelad
ip6tables -F
ip6tables -X

# Määrame vaikereeglistiku. Kui edaspidi ei ole reegleid,
# mis väidaksid vastupidist, siis lubatakse ainult väljaminevad
# paketid.
ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP
ip6tables -P OUTPUT ACCEPT

# Ignoreerime pakke, mis on mingil põhjusel vigased ja logime need
ip6tables -A INPUT -m state --state INVALID -j LOG --log-prefix " IPv6 INPUT invalid: "
ip6tables -A INPUT -m state --state INVALID -j DROP

# Lubame kohalikud sissetulevad paketid
ip6tables -A INPUT -i lo -j ACCEPT

# Kui sissetulev pakett eksisteerib, kui me tulemüüri käivitame või
# on seotud olemasolevaga, siis lubame ühenduse.
ip6tables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# Avame pordi 55666
# -i eth0 võib asendada mingi muu liidesega või üldse ära jätta.
ip6tables -A INPUT -p tcp -i 6in4 --dport 55566 -j ACCEPT

# Esimene reegel lubab esimese 5 ICMP paketti olenemata nende saabumise
# kiirusest, pärast seda ainult pakett per sekund.
# Teine reegel ütleb, et kõik, mis ei mahu esimese kahe reegli alla, tuleb
# maha lüüa.
ip6tables -A INPUT -p ipv6-icmp -m limit --limit 1/second --limit-burst 5 -j ACCEPT
ip6tables -A INPUT -p ipv6-icmp -j DROP

# Logime juhud, mis ei mahu eelnevate reeglite alla
# Logi kirjutatakse /var/log/messages faili
ip6tables -A INPUT -j LOG --log-prefix " IPv6 INPUT DROP "

# Logime FORWARD INVALID paketid ja DROPime need
ip6tables -A FORWARD -m state --state INVALID -j LOG --log-prefix " IPv6 FORWARD invalid: "
ip6tables -A FORWARD -m state --state INVALID -j DROP

# Logime FORWARD DROP juhud
ip6tables -A FORWARD -j LOG --log-prefix " IPv6 FORWARD DROP "

# Logime OUTPUT INVALID paketid ja DROPime need
# ip6tables -A OUTPUT -m state --state INVALID -j LOG --log-prefix " OUTPUT invalid: "
ip6tables -A OUTPUT -m state --state INVALID -j DROP

#FIN

Siin ongi lõpp… praeguseks :P

Oh seda elu-elukest küll. Ei suuda millestki enne puudust tunda, kui see miski kadunud pole. See miski, mis ajendas mind järjekordset sissekannet tegema, on minu olematud failid kodukataloogis. Täiesti süüdimatult toksisin terminali rm * ja tagatipuks ka enter :) … aga mis siin enam halada. Ega mõistus pole enda teha. Igatahes nüüd tekkis kange kihk hakata regulaarselt oma andmeid varuma, et järgmise vaimupuhangu järel oleks hea võtta. Ei hakka pikalt seletama miks, aga varude meisterdamiseks otsustasin kasutada rsync-i nimelist vidinat ning ega ma kade pole, jagan teile ka. Võib olla kulub kellelgi marjaks ära.
Tegemist on lihtsa shell skriptiga, mida peab käivitama käsurealt. Kuna koopiad tehakse ainult kodukataloogist, siis käivitamiseks ei ole vaja administraatori õigusi. Tööpõhimõte on lihtne:
Kõigepealt on exclude nimekiri, kus on kirjas kõik kataloogid, millest koopiat ei soovita. Näiteks erinevad ajutised puhvrid (cache), .thumbnails kataloog .Trash ja teised, milles sisalduv info ei ole eluliselt tähtis või vahetub liiga kiiresti. Oma skripti olen koostanud nii, et minu kodu kataloogist kopeeritakse kõik vajalik kataloogi /mnt/vanaketas/tagavara. Muidugi oleks hea kopeerida hoopis teise masinasse üle ssh, aga hetkel pole sellist looma kuskilt võtta. Füüsiliselt teine ketas on ka enam-vähem hea valik. Kindlasti ei ole arukas kopeerida oma andmeid samale partitsioonile, millest andmeid varundatakse.
Ära vajaks märkimist ka asjaolu, et “tagavara” kataloogi luuakse iga kord 1:1 koopia. Kui midagi kodu kataloogist ära kustutada, siis kustutakse ka “tagavara” kataloogist. Niiet üleliigselt kettaruumi ei raisata. Kasutatud lipukeste kohta on kommentaar olemas – sellel ma ei peatu. Nüüd pole muud üle jäänud, kui järgnev jupp oma tekstitoimetisse kopeerida ja salvestada mingi meeldejääva nimega nähtavale kohale, anda käivitamise õigus

chmod +x varundaja.sh

ning käivitada

./varundaja.sh

Olenevalt sellest, kui kiire on masin ja kui palju on andmeid, mida kopeerida, võtab skripti jooksutamine mõned minutid aega – tuleb ära kannatada. Järgmised käivitamised on juba vähem aega nõudvad, kuna kopeeritakse ainult neid faile, mida on vahepeal muudetud.

#!/bin/sh

EXCLUDE=" --exclude Mängud
--exclude Torrentid
--exclude google-earth
--exclude azureus
--exclude Muusika
--exclude */cache
--exclude .azureus
--exclude */Cache
--exclude .googleearth
--exclude */temp
--exclude */tmp
--exclude .thumbnails
--exclude .macromedia
--exclude .Trash
"

# a - arhiveeri
# v - verbose ehk antakse teada, mida tehakse
# --max-size=300M - ei kopeerita faile, mis on suuremad, kui 300 mega
# --delete-excluded - kustuta ka backup kataloogist failid, mis
#		                 on source kataloomast kustutatud ja on excluded nimekirjas

rsync -av --stats --max-size=300M --delete-excluded $EXCLUDE /home/mihkel /mnt/vanaketas/tagavara

echo "Valmis!"

Muidugi korralik arvutikasutaja teeb koopiaid regulaarselt, lisades skripti cron-i tööde hulka, aga kirjutaja näol ei ole tegemist korraliku arvutikasutajaga. Küll elu õpetab. Kui kunagi tulevikus suudan jälle oma dokuskid kodu kataloomast kaotada ja koopia on nii kolm-neli kuud vana, eks siis lisan ka mina selle jupi näiteks cron.daily tööde hulka :P