[devel] radlinux updates

[devel] radlinux updates

[Peter V. Saveliev]

...

Поскольку обновление довольно крупное, анонсирую и сюда.

* Документация.

Новая документация доступна online по адресу http://www.radlinux.org/parts/docs/ . Если кто может помочь с переводом на русский и/или редактированием английского варианта -- буду благодарен и готов туда же повесить docbook-исходники. Сразу по русски не пишу из того соображения, что тогда на английский это не будет переведено at all :)

Особое внимание хочу обратить на документы про хостинг и ppp-сервисы. То migor: system-wide бэкап на подходе :) будет в следующей сборке.

* Из последнего

Нормальная поддержка PPPoE и PPTP (может быть как клиентом, так и сервером) вместе с MPPE/MPPC, для чего используется несизифовский pppd. Есть возможность вешать шейперы и access-lists на динамические интерфейсы. На тест-стенде машинка с 256Мб и ~1GHz держала около трёхсот PPPoE-сессий со сжатием и криптованием, зашейпленных до 128Кбит. Легла в итоге по памяти, точное число сессий не скажу, но около 400. В целом, я удовлетворился.

Забавная фишка в управлении сервисами: теперь нет union с корнем после старта системы, зато есть свой union с /etc и /var для каждого сервиса; каждый сервис работает в своём namespace со своим набором mount'ов. Это значит, что если кто-то и сломает pptp, dhcp или подобное, то а) он не увидит дальше своего контекста б) не сможет подменить, например, backup, т.к. в его namespace этот маунт отсутствует, а примонтировать нельзя :). Также это значит, что сколько бы сервисов не запускалось разом, у каждого dhcp будет свой /etc/udhcpd.conf, у каждого ppp-related будет свой файл options и т.п. -- всё это 
 будет отличаться от дефолтных в случае необходимости (union).

Ну, и там другого по малости.

* Собранные образы

ftp://ftp.radlinux.org/public/images/0.2.7/

Система сборки с хотфиксами будет выложена вечером. Также должен заметить, что начиная с 0.2.7 идёт подготовка к выпуску 0.3.0, который будет идти с пометкой "stable" и по результатом тестов будет (или не будет) рекомендован в production.

--
Peter V. Saveliev

Re: [devel] radlinux updates

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 438 bytes --]

On Mon, Nov 14, 2005 at 11:40:54AM +0300, Peter V. Saveliev wrote:
> Поскольку обновление довольно крупное, анонсирую и сюда.

Заглянул в ftp://radlinux.org/public/distributions/*/SRPMS.main/,
обнаружил там несколько пакетов, которые мне как минимум не безразличны.
Однако ни багрепортов, ни просто писем про эти пакеты я не припоминаю.
Стало быть, в тех пакетах нет изменений, которые бы вы хотели видеть
в Сизифе?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] radlinux updates

[Peter V. Saveliev]

On Saturday 19 November 2005 00:59, Dmitry V. Levin wrote:
> On Mon, Nov 14, 2005 at 11:40:54AM +0300, Peter V. Saveliev wrote:
> > Поскольку обновление довольно крупное, анонсирую и сюда.
> 
> Заглянул в ftp://radlinux.org/public/distributions/*/SRPMS.main/,
> обнаружил там несколько пакетов, которые мне как минимум не безразличны.
> Однако ни багрепортов, ни просто писем про эти пакеты я не припоминаю.
> Стало быть, в тех пакетах нет изменений, которые бы вы хотели видеть
> в Сизифе?

Дело в том, что изначально у меня несколько неправильно организован
подход к сборке: на данном этапе мне очень важна скорость сборки при
добавлении поддержки нового пакета, а впоследствии важен факт
наличия функциональности в дальнейших версиях.

Поэтому мне было проще кое-что просто пересобрать руками и залить
к себе в репозитарий (из Сизифовских пакетов), чем организовывать
митинги на тему feature-requests. (хотя письма, например, про iproute
были, не помню, дошло ли дело до бага, но, видимо, не дошло). Каюсь,
порочный подход.

Плюс ко всему, ряд пакетов содержит изменения, не согласующиеся
со мнением текущих мэйнтейнеров. Это, например, pppd, который у
меня собран с другим (рабочим) патчем -- Сизифовский у меня не
заработал с MPPE, и это, как я понял, принципиальная позиция. Это
vserver, который у меня живёт очень особой жизнью: у меня на него
завязана вся система, я не могу доверить этот пакет Сизифовскому
workflow.

Также есть пакеты, принципиально не подходящие в Сизиф из-за 
системоспецифичности (fakesystem etc.)

...

Итого: всё, что есть у меня и можно иметь в Сизифе, я могу помочь по
мере сил пересобрать в Сизиф или предоставить всю нужную информацию,
которая потребуется -- обоснования тех или иных патчей и т.п.

Всё, что у меня и нельзя собрать в Сизиф из-за позиции сборщика --
я отказываться от архитектуры не буду, мне проще самому пересобрать
под данное решение.

А последняя категория, очевидно, никому просто не пригодится, кроме
как в сборке rad и всего что из него может вырасти.

-- 
Peter V. Saveliev

Re: [devel] radlinux updates

[Sergey Y. Afonin]

On Monday 14 November 2005 12:40, Peter V. Saveliev wrote:

> Нормальная поддержка PPPoE и PPTP (может быть как клиентом, так и сервером)

А там pppoe демон может как-то показывать список активных пользователей ?

-- 
С уважением, Сергей Афонин
asy@altlinux.ru

Re: [devel] radlinux updates

[Peter V. Saveliev]

On Saturday 19 November 2005 11:00, Sergey Y. Afonin wrote:
> On Monday 14 November 2005 12:40, Peter V. Saveliev wrote:
> 
> > Нормальная поддержка PPPoE и PPTP (может быть как клиентом, так и сервером)
> 
> А там pppoe демон может как-то показывать список активных пользователей ?
> 

команда show ppp users показывает список пользователей всех активных соединений
всех определённых в системе pptp и pppoe серверов. То есть, показывает не сервер :)
просто pppd при соединении пишет имя пользователя в файл, а команда показывает
содержимое. Грубо говоря, так.

-- 
Peter V. Saveliev

Re: [devel] radlinux updates

[Sergey Y. Afonin]

On Sunday 20 November 2005 00:21, Peter V. Saveliev wrote:

> То есть, показывает не сервер :) просто pppd при соединении пишет 
> имя пользователя в файл, а команда показывает содержимое. Грубо 
> говоря, так. 

Теоретически - способ значения не имеет, практически - а pppd этот
файл корректирует, или только в момент соединения добавляет/убирает ?
Скажем, если pppd пристрелить или файл на какое-то время r/o сделать
или, вообще удалить, список станет корректным сам собой ? 

Почему спрашиваю - это, вообще-то, достаточно критичный момент с
точки зрения работы, скажем, radius-сервера, работающего с ограничением
количества соединений на один логин. Ему необходимо иметь возможность 
в любой момент проверить пользователя в онлайне.

Можно, кстати, URL того pppd/pppoe ?

-- 
С уважением, Сергей Афонин
asy@altlinux.ru

Re: [devel] radlinux updates

[Peter V. Saveliev]

> On Sunday 20 November 2005 00:21, Peter V. Saveliev wrote:
> 
>> То есть, показывает не сервер :) просто pppd при соединении пишет
>> имя пользователя в файл, а команда показывает содержимое. Грубо
>> говоря, так.
> 
> Теоретически - способ значения не имеет, практически - а pppd этот
> файл корректирует, или только в момент соединения добавляет/убирает ?
> Скажем, если pppd пристрелить или файл на какое-то время r/o сделать
> или, вообще удалить, список станет корректным сам собой ?

В данный момент -- не станет. Файл создаётся с поднятием сессии и убирается при её опускании. Если заводится новая сессия, а остался файл от убитой по kill -9 предыдущей, то он перезапишется.

На самом деле, база данных пользователей ppp -- отдельный вопрос на повестке дня. Если будут идеи, как это реализовать, делитесь, я всегда готов подумать над дизайном. В конце концев, для пользователей и делается.

> 
> Почему спрашиваю - это, вообще-то, достаточно критичный момент с
> точки зрения работы, скажем, radius-сервера, работающего с ограничением
> количества соединений на один логин. Ему необходимо иметь возможность
> в любой момент проверить пользователя в онлайне.

Если не ошибаюсь, radius-сервера типа freeradius ведут utmp-like базу по логинам, которая доступна через radwho. На неё же они опираются при размышлении о допуске или не допуске параллельных сессий одного пользователя. Иначе говоря, моя система не предусматривается в качестве источника этой информации :) 

Встраивать radius или tacacs+ в систему особого желания нет, также как это было бы бессмысленно -- встраивать radius-server в cisco, например, 5350. А как standalone (или в пределах виртуального контекста, как решение) тот же freeradius обходится без show ppp users.

> 
> Можно, кстати, URL того pppd/pppoe ?

pppd из Сизифа + патч с http://mppe-mppc.alphacron.de/, pppoe -- roaring penguin.

<skip />

--
Peter V. Saveliev

Re: [devel] radlinux updates

[Sergey Y. Afonin]

On Monday 21 November 2005 15:17, Peter V. Saveliev wrote:

> > Теоретически - способ значения не имеет, практически - а pppd этот
> > файл корректирует, или только в момент соединения добавляет/убирает ?
> > Скажем, если pppd пристрелить или файл на какое-то время r/o сделать
> > или, вообще удалить, список станет корректным сам собой ?
> 
> В данный момент -- не станет. Файл создаётся с поднятием сессии и 
> убирается при её опускании. Если заводится новая сессия, а остался 
> файл от убитой по kill -9 предыдущей, то он перезапишется. 

Так, там один файл на сессию ? Или один файл на все сессии ? Это для более
полного понимания пока.

И вопрос, который, наверное, от количества файлов мало зависит. 
Перезаписывается по какому признаку ? Как, при заведении новой сессии, 
проверяется, что старой уже нет ?

> Если не ошибаюсь, radius-сервера типа freeradius ведут utmp-like базу 
> по логинам, которая доступна через radwho. На неё же они опираются при 
> размышлении о допуске или не допуске параллельных сессий одного пользователя.

Это не очень правильный момент. В этой базе может быть недостоверная 
информация, которая приведет к тому, что пользователя просто не пустят.

> Иначе говоря, моя система не предусматривается в качестве источника этой 
> информации :)

Зря, ввиду вышеописанного. :-) У нас эксплуатируется RADIATOR радиус-сервер.
В его базе пользователей в онлайне присутствует несколько параметров (порт
и сервер доступа фактически), по которым он производит проверку наличия
пользователя перед тем, как принять решение не пустить (snmp/finger/разное). 
То есть, есть пользователь в базе есть, но на указанном порту соответствующего 
аксес-сервера не он, запись в таблице пользователей не учитывается.

> Встраивать radius или tacacs+ в систему особого желания нет, 

Правильное мнение, не спорю.

> freeradius обходится без show ppp users.  

Надо бы посмотреть как, что ли... Или просто никто на проблему не наступает, 
когда оно не сильно активно используется...

-- 
С уважением, Сергей Афонин
asy@altlinux.ru

Re: [devel] radlinux updates

[Peter V. Saveliev]

> On Monday 21 November 2005 15:17, Peter V. Saveliev wrote:
> 
<skip /> 
> Так, там один файл на сессию ? Или один файл на все сессии ? Это для более
> полного понимания пока.

По файлу на сессию.

> 
> И вопрос, который, наверное, от количества файлов мало зависит.
> Перезаписывается по какому признаку ? Как, при заведении новой сессии,
> проверяется, что старой уже нет ?

Очевидно, что если поднимается сессия для ppp32, старый файл ppp32.user можно перезаписывать, не глядя. Двух ppp32 в системе быть не может, это уж наверняка.

> 
>> Если не ошибаюсь, radius-сервера типа freeradius ведут utmp-like базу
>> по логинам, которая доступна через radwho. На неё же они опираются при
>> размышлении о допуске или не допуске параллельных сессий одного
>> пользователя.
> 
> Это не очень правильный момент. В этой базе может быть недостоверная
> информация, которая приведет к тому, что пользователя просто не пустят.
> 

Это так и есть, и я с этим сталкивался не раз, пока занимался радиусом. Пример: разрыв сессии без стоповой записи. Клиент как-бы "подвисает", хотя его как-бы и нет.

>> Иначе говоря, моя система не предусматривается в качестве источника этой
>> информации :)
> 
> Зря, ввиду вышеописанного. :-)

Если подскажете, как это будет удобнеее реализовать -- подумаю, не прикрутить ли. Как вариант - rsh через защищённый туннель, или ещё что-н.ть.

<skip /> 
>> freeradius обходится без show ppp users.
> 
> Надо бы посмотреть как, что ли... Или просто никто на проблему не
> наступает, когда оно не сильно активно используется...

Да всё так же -- ведёт базу активных сессий. Эта база не всегда актуальна :) Поэтому случаются казусы.

<skip />

Наступает. Но каждый разгребается по-разному. Например, есть такая штука как idle timeout. Или можно можно автоскидывать сессии каждые k часов. Так сделано в одном из знакомых провайдеров: из-за доступа через PPPoE, никто не считает время, но считает траффик. А сессии подвисшие киляются из базы каждые сутки. Как быть с dialup -- не скажу. Например, можно использовать одноразовые логины с привязкой к клиентскому id.

ЗЫ: не перелезть ли в isp@ ?
--
Peter V. Saveliev

Re: [devel] radlinux updates

[Sergey Y. Afonin]

On Monday 21 November 2005 18:29, Peter V. Saveliev wrote:

> > И вопрос, который, наверное, от количества файлов мало зависит.
> > Перезаписывается по какому признаку ? Как, при заведении новой сессии,
> > проверяется, что старой уже нет ?
> 
> Очевидно, что если поднимается сессия для ppp32, старый файл ppp32.user 
> можно перезаписывать, не глядя. Двух ppp32 в системе быть не может, это 
> уж наверняка.  

Тогда, наверное, с обратной проверкой тоже все должно быть нормально.
Если есть ppp32.user, проверяется, есть ли ppp32 на самом деле. Можно
еще IP проверить, если она есть, хотя это лишнее, если оно перезаписывается.

> >> Иначе говоря, моя система не предусматривается в качестве источника этой
> >> информации :)
> > 
> > Зря, ввиду вышеописанного. :-)
> 
> Если подскажете, как это будет удобнеее реализовать -- подумаю, не прикрутить
> ли. Как вариант - rsh через защищённый туннель, или ещё что-н.ть. 

Смысла большого нет в тонеле - 99% за то, что radius-сервер находится в 
доверенной сети и шифровать там особо нечего. А с моей меркантильной точки
зрения лучше snmp-демон соответствующий: к Радиатору проще прикрутить. :-)

> Да всё так же -- ведёт базу активных сессий. Эта база не всегда актуальна :)
> Поэтому случаются казусы. 

Понятно, значит, ничего нового.

> ЗЫ: не перелезть ли в isp@ ?

Что-то я на www.altlinux.ru в списках такого не нашел. Оно местное или где ?

-- 
С уважением, Сергей Афонин
asy@altlinux.ru

Re: [devel] radlinux updates

[Vladimir V. Kamarzin]

>>>>> On 22 Nov 2005 at 00:45 "SYA" == Sergey Y Afonin writes:

>> ЗЫ: не перелезть ли в isp@ ?
 SYA> Что-то я на www.altlinux.ru в списках такого не нашел. Оно местное или где ?

http://lists.osdn.org.ua/wws/info/isp-list

-- 
WBR, Vladimir V. Kamarzin.

Re: [devel] radlinux updates

[Michael Shigorin]

On Mon, Nov 21, 2005 at 05:29:02PM +0300, Peter V. Saveliev wrote:
> ЗЫ: не перелезть ли в isp@ ?

welcome :-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/