ClarkConnect (неофициальная поддержка от VPF)

[VPF]

VPF, впечатлен возможностями СС по управлению пользователями, очень удобно, главное что авторизация получается единой, предварительно решил ставить так: на маршрутизатор (P3) СС сервисы: firewall, DNCP,VPN,SSH,mail сервер, прозрачный proxy, ldap. на внутренний сервак CC (samba PDC, backup, cups, для внутренней программы apache и Mysql), в DMZ WEB и FTP сервак на fedora 6.

если получится соеденить внтурненний сервак к ldap на шлюзе то будет вообще замечательно.
только боюсь за производительность маршрутизатора на P3.
вопрос: антивирусный и антиспам модуль являются бесплатными и/или имеют какие то ограничения, их отдельно нужно ставить или уже в комплекте?

Как использовать единую аутентификацию двумя серверами СС - не могу сказать.
Будете первопроходцем...
Будем ждать репортажа с места событий.

Для шлюза желательно ОЗУ установить 1 Гб (но не менее 512 Мб).
Прокси всё же стоит использовать с авторизацией и фильтрацией (для безопасности), а не прозрачный. Этим достигается полный контроль доступа в интернет.

Антивирус и антиспам входят во все версии СС.

Примерно через месяц ожидается выход версии 4.2
Там ряд новшеств, но как я понял, не все из них будут доступны в бесплатной версии.
Пока ждём.

[apso]

Как использовать единую аутентификацию двумя серверами СС - не могу сказать.
Будете первопроходцем...
Будем ждать репортажа с места событий.

ну я так понял просто нужно указать на подчиненном сервере ip шлюза где основной ldap

Прокси всё же стоит использовать с авторизацией и фильтрацией (для безопасности), а не прозрачный. Этим достигается полный контроль доступа в интернет.

у нас как то принято по мак адресу карты, нужно пробовать если это будет удобно пользователям то так и сделаю, сейчас прозрачный

Для шлюза желательно ОЗУ установить 1 Гб (но не менее 512 Мб).

да я тоже думаю стоит поставить на шлюз P4 , а на web сервак пока P3, дальше видно будет

[VPF]

у нас как то принято по мак адресу карты, нужно пробовать если это будет удобно пользователям то так и сделаю, сейчас прозрачный

У нас наоборот отсутствует какая-либо привязка.
Пользователи могут использовать различные компьютеры.
В нашем случае это удобно.
За свободным ПК может работать любой авторизованный пользователь.

[bokr30]

Вот сталкнулся с такой проблемой :
в версии 4.1
почему при включении прозрачного прокси такие проблемы ?

Попробуй выполнить из консоли:

Код: Выделить всё

/etc/init.d/dansguardian stop
/etc/init.d/squid restart
/etc/init.d/dansguardian start

/etc/init.d/dansguardian stop [сбой ] сразу

[bokr30]

Вот сталкнулся с такой проблемой :
в версии 4.1
почему при включении прозрачного прокси такие проблемы ?

Попробуй выполнить из консоли:

Код: Выделить всё

/etc/init.d/dansguardian stop
/etc/init.d/squid restart
/etc/init.d/dansguardian start

root@192.168.1.1's password:
Last login: Wed Sep 12 08:19:19 2007 from 192.168.1.150
[root@cc ~]# /etc/init.d/dansguardian stop
Останавливается dansguardian: [ СБОЙ ]
[root@cc ~]# /etc/init.d/dansguardian start
Запускается dansguardian: Error connecting to parent proxy
[ СБОЙ ]
[root@cc ~]# /etc/init.d/squid restart
Останавливается squid: [ СБОЙ ]
init_cache_dir /var/spool/squid... /etc/init.d/squid: line 120: 6286 Aborted $SQUID -z -F -D >>/var/log/squid/squid.out 2>&1
Запускается squid: /etc/init.d/squid: line 118: 6301 Aborted $SQUID $SQUID_OPTS >>/var/log/squid/squid.out 2>&1
[ СБОЙ ]
[root@cc ~]#

[berDrug]

Вот сталкнулся с такой проблемой :
в версии 4.1

А система зарегестрирована? Обновления выполнены?

[bokr30]

Вот сталкнулся с такой проблемой :
в версии 4.1

А система зарегестрирована? Обновления выполнены?

и зарегистрированна и обнавления, это уже не первый мой СС

[VPF]

root@192.168.1.1's password:
Last login: Wed Sep 12 08:19:19 2007 from 192.168.1.150
[root@cc ~]# /etc/init.d/dansguardian stop
Останавливается dansguardian: [ СБОЙ ]
[root@cc ~]# /etc/init.d/dansguardian start
Запускается dansguardian: Error connecting to parent proxy
[ СБОЙ ]
[root@cc ~]# /etc/init.d/squid restart
Останавливается squid: [ СБОЙ ]
init_cache_dir /var/spool/squid... /etc/init.d/squid: line 120: 6286 Aborted $SQUID -z -F -D >>/var/log/squid/squid.out 2>&1
Запускается squid: /etc/init.d/squid: line 118: 6301 Aborted $SQUID $SQUID_OPTS >>/var/log/squid/squid.out 2>&1
[ СБОЙ ]
[root@cc ~]#

Поскольку случай сложный, то необходитмо разбираться с настройками всей системы.
Могу помочь удалёно. Пиши на
vpf@zavod-p.ru

[bokr30]

root@192.168.1.1's password:
Last login: Wed Sep 12 08:19:19 2007 from 192.168.1.150
[root@cc ~]# /etc/init.d/dansguardian stop
Останавливается dansguardian: [ СБОЙ ]
[root@cc ~]# /etc/init.d/dansguardian start
Запускается dansguardian: Error connecting to parent proxy
[ СБОЙ ]
[root@cc ~]# /etc/init.d/squid restart
Останавливается squid: [ СБОЙ ]
init_cache_dir /var/spool/squid... /etc/init.d/squid: line 120: 6286 Aborted $SQUID -z -F -D >>/var/log/squid/squid.out 2>&1
Запускается squid: /etc/init.d/squid: line 118: 6301 Aborted $SQUID $SQUID_OPTS >>/var/log/squid/squid.out 2>&1
[ СБОЙ ]
[root@cc ~]#

Поскольку случай сложный, то необходитмо разбираться с настройками всей системы.
Могу помочь удалёно. Пиши на
vpf@zavod-p.ru

проще снести и заново поставить так как с нуля . попробую

[mikeslivinsky]

Во-первых, спасибо VPF за массу полезной информации по CC :-)
По существу: мне пришлось решить одну проблему, возможно, опыт пригодится.

Мой CC является почтовым шлюзом, в задачу которго входит прием почты для нескольких доменов, антивирусная и антиспам-проверка и переадресация письма на Exchange, установленный в LAN. Я заметил, что иногда почта проходит через CC крайне медленно, задержки до нескольких часов (!). Проблема состояла в переполнении очереди спамом, адресованным несуществующим адресатам в наших доменах.
Решение: перед доставкой письма Exchang'у CC (Postfix) проверяет валидность адреса по списку актуальных публичных email-адресов.

Подробно решение описано на http://www.linwin.faq-cisco.ru/?p=13.
Официальный мануал по local_recipients: http://www.postfix.org/LOCAL_RECIPIENT_README.html

Вкратце:

1. Составить список действительных адресов, почта на которые должна поступать извне.
2. Сохранить этот список в текстовый файл вида:
vasya@domain.ru OK
petya@domain.ru OK
и т.п.
3. Добавить последней строкой в этот файл запись:
domain.ru REJECT
4. Если доменов несколько - все тоже самое, сначала записи для всех существующих адресов, затем в конце файла REJECT'ы для всех доменов.
5. Скопировать файл в /etc/postfix:
cp /home/shared/recipients /etc/postfix/recipients
6. Разрешить доступ к этому файлу.
7. "Скормить" этот файл postmap'у:
/usr/sbin/postmap /etc/postfix/recipients
8. Подправить файл etc/postfix/main.cf:
vi /etc/postfix/main.cf

добавить
local_recipient_maps =
smtpd_recipient_limit = 4

Добавить в smtpd_sender_restrictions = ....
запись check_recipient_access hash:/etc/postfix/recipients

Это запретит прием почты для несуществующих адресов и писем, адресованных более чем 4 получателям.
9. Перезагрузить postfix:
/usr/sbin/postfix reload

Некоторые полезные команды:

Проверка очереди
mailq

Принудительная отправка почты в очереди
service postfix flush

Очистка очереди
postsuper -d ALL

[mikeslivinsky]

Кстати, вдогонку - может сделать FAQ, структурированный по темам и т.п.?
Недавно просто нашел супер удобный скрипт (KBPublisher, php +mysql), использую для ведения личной базы знаний.

[VPF]

Во-первых, спасибо VPF за массу полезной информации по CC :-)
По существу: мне пришлось решить одну проблему, возможно, опыт пригодится.

Мой CC является почтовым шлюзом, в задачу которго входит прием почты для нескольких доменов, антивирусная и антиспам-проверка и переадресация письма на Exchange, установленный в LAN. Я заметил, что иногда почта проходит через CC крайне медленно, задержки до нескольких часов (!). Проблема состояла в переполнении очереди спамом, адресованным несуществующим адресатам в наших доменах.
Решение: перед доставкой письма Exchang'у CC (Postfix) проверяет валидность адреса по списку актуальных публичных email-адресов.

Подробно решение описано на http://www.linwin.faq-cisco.ru/?p=13.
Официальный мануал по local_recipients: http://www.postfix.org/LOCAL_RECIPIENT_README.html

У меня спам сыпется непрерывно, который отвергается, но задержек я не наблюдал.
Вот это не пробовали использовать?

Код:

smtpd_helo_restrictions = permit_mynetworks, reject_non_fqdn_hostname, reject_invalid_hostname, reject_unknown_hostname smtpd_sender_restrictions = permit_mynetworks, reject_non_fqdn_sender, reject_rbl_client sbl-xbl.spamhaus.org, reject_rbl_client cbl.abuseat.org, reject_rbl_client dnsbl.njabl.org, reject_rbl_client combined.njabl.org, reject_rbl_client korea.services.net, reject_rbl_client china.blackholes.us, reject_rbl_client list.dsbl.org, reject_rbl_client rhsbl.ahbl.org, reject_rbl_client relays.ordb.org, reject_rbl_client opm.blitzed.org, reject_rbl_client bl.spamcop.net, reject_invalid_hostname, reject_unknown_sender_domain, check_sender_access hash:/etc/postfix/filters/sa-blacklist smtpd_client_restrictions = permit_mynetworks, check_client_access hash:/etc/postfix/access, reject_non_fqdn_sender, reject_rbl_client sbl-xbl.spamhaus.org, reject_rbl_client cbl.abuseat.org, reject_rbl_client dnsbl.njabl.org, reject_rbl_client combined.njabl.org, reject_rbl_client korea.services.net, reject_rbl_client china.blackholes.us, reject_rbl_client list.dsbl.org, reject_rbl_client rhsbl.ahbl.org, reject_rbl_client relays.ordb.org, reject_rbl_client opm.blitzed.org, reject_rbl_client bl.spamcop.net, reject_invalid_hostname, reject_unknown_sender_domain, check_sender_access hash:/etc/postfix/filters/sa-blacklist strict_rfc821_envelopes = yes smtpd_reject_unlisted_sender = yes smtpd_reject_unlisted_recipient = yes unknown_address_reject_code = 554 unknown_hostname_reject_code = 554 unknown_client_reject_code = 554

[VPF]

Кстати, вдогонку - может сделать FAQ, структурированный по темам и т.п.?
Недавно просто нашел супер удобный скрипт (KBPublisher, php +mysql), использую для ведения личной базы знаний.

Я не против.
Поподробнее можно узнать об устройстве базы знаний?
Что за скрипт и как это используется?

[bokr30]

Кстати, вдогонку - может сделать FAQ, структурированный по темам и т.п.?
Недавно просто нашел супер удобный скрипт (KBPublisher, php +mysql), использую для ведения личной базы знаний.

Я не против.
Поподробнее можно узнать об устройстве базы знаний?
Что за скрипт и как это используется?

Да базу былобы не плохо сделать

[mikeslivinsky]

Кстати, вдогонку - может сделать FAQ, структурированный по темам и т.п.?
Недавно просто нашел супер удобный скрипт (KBPublisher, php +mysql), использую для ведения личной базы знаний.

Я не против.
Поподробнее можно узнать об устройстве базы знаний?
Что за скрипт и как это используется?

KBPublisher.
Есть демка.

На мой хостинг (siteground.com) встал без проблем за полчаса.
Есть локализация. Не слишком быстрый, правда, но очень удобный.

[mikeslivinsky]

У меня спам сыпется непрерывно, который отвергается, но задержек я не наблюдал.
Вот это не пробовали использовать?
...

Дело в том, что у меня сильно заспамленные домены. Один из доменов с 97 года существует и адреса плотно засвечены на форумах и досках
Это с одной стороны. С другой стороны - жуткое кол-во именно поддельных, сгенерированных адресов. Причем явлению этому пару-тройку месяцев от силы, раньше было нормально. Сейчас у меня очередь сообщений (по mailq) доходила до 5-6 тысяч, соответственно, СС тормозил кошмарно.

Относительно фильтрации спама я, честно говоря, полагался на spamassassin. Спасибо за готовое решение с фильтрацией непосредственно в postfix, попробую.

[VPF]

Дело в том, что у меня сильно заспамленные домены. Один из доменов с 97 года существует и адреса плотно засвечены на форумах и досках
Это с одной стороны. С другой стороны - жуткое кол-во именно поддельных, сгенерированных адресов. Причем явлению этому пару-тройку месяцев от силы, раньше было нормально. Сейчас у меня очередь сообщений (по mailq) доходила до 5-6 тысяч, соответственно, СС тормозил кошмарно.

Относительно фильтрации спама я, честно говоря, полагался на spamassassin. Спасибо за готовое решение с фильтрацией непосредственно в postfix, попробую.

Наш сайт и адреса активно рекламируются в интернете, поэтому нам приходиться выдерживать тоже сильный натиск спама. Поменьше пока чем у вас, но свыше 2 тысяч в день.
Как раз поддельные и по спискам RBL все отсеиваются этим кодом.
Проверено временем

[mikeslivinsky]

Как раз поддельные и по спискам RBL все отсеиваются этим кодом.
Проверено временем

Это хорошо :-)
А что насчет ложных срабатываний? Вы каким-то образом сохраняете сообщения, помеченные как спам?

Да, и насчет spamassassin - он у Вас отключен? Или и postfix'ом режете, и антиспамом?

[VPF]

Это хорошо :-)
А что насчет ложных срабатываний? Вы каким-то образом сохраняете сообщения, помеченные как спам?

Да, и насчет spamassassin - он у Вас отключен? Или и postfix'ом режете, и антиспамом?

Данный механизм проверяет соответствие ip адресов, имена хостов, доменов и юзеров. Кроме этого проверяет по базам RBL, в которые попадают все активные спамеры.
Письма не могут сохраняться, поскольку до писем не доходит дело. Всё решается на уровне запроса удалённого сервера и отлупа моим сервером. Таким образом не формируется паразитический трафик.

Под мясорубку может попасть и нужный запрос, если сисадмин с той стороны криво настроил свой почтовый сервер.
Если нам сообщают, что письма уже отправляли неоднократно, а мы их не получаем, то я проверяю адресат и смотрю причину.
Основная причина - это обнаружение вируса и, как следствие уничтожение письма.
Эти случаи довольно редкие.

Надо сказать, что я не использую Greylist, который можно запустить в СС. Тогда уж точно ни одно спамовое письмо не пройдёт. Но проблема в том, что все новые адресаты не принимаются первый раз и приходиться несколько раз дублировать письмо. Поскольку к нам обращаются многие впервые, то их письма не доходят, а клиент ничего не знает об этом механизме.
Поэтому мне пришлось его отключить.
Просто этот механизм наносит ущерб нашему бизнесу.
Всё зависит от специфики.

А на долю Spamassassin и DSpam уже почти ничего не остаётся.

[mikeslivinsky]

Поэтому мне пришлось его отключить.
Просто этот механизм наносит ущерб нашему бизнесу.
Всё зависит от специфики.

А на долю Spamassin и DSpam уже почти ничего не остаётся.

ок, понятно, спасибо.
greylist я тоже отключил сразу :-)

[berDrug]

и зарегистрированна и обнавления, это уже не первый мой СС

Была похожая проблема, причина - неустойчивая связь с провайдером...
Нужно проверить настройки внешнего сетевого интерфейса...
Может барахлить сетевая карта...

[apso]

поставил CC в локальную сеть (не в режиме firewall), зарегистрировал, запустил samba как PDC. Такая проблема: рабочие станции которые физически подключены к одному хабу входят в домен, но те которые подключены на других этажах здания у них свой хаб и они не видят контроллер домена, подсеть одна.
еще проблема видимо с версией php, программа писалась под PHP 5, в CC наверное PHP 4 и вылетает такая ошибка: Parse error: parse error, unexpected '&', expecting T_VARIABLE or '$' in /srv/www/proizvodstvo/include.php on line 239

[VPF]

поставил CC в локальную сеть (не в режиме firewall), зарегистрировал, запустил samba как PDC. Такая проблема: рабочие станции которые физически подключены к одному хабу входят в домен, но те которые подключены на других этажах здания у них свой хаб и они не видят контроллер домена, подсеть одна.
еще проблема видимо с версией php, программа писалась под PHP 5, в CC наверное PHP 4 и вылетает такая ошибка: Parse error: parse error, unexpected '&', expecting T_VARIABLE or ' in /srv/www/proizvodstvo/include.php on line 239

Вот, что нашёл на сайте по установке более новых версий PHP и MySQL

MySQL 5.0.x and PHP 5.1.x
You can install a more up-to-date version of PHP and MySQL with the following two commands:

Код: Выделить всё

echo "rpm [pcn] [url="ftp://rhel-4:hiptop@rh.apt.clarkconnect.com"]ftp://rhel-4:hiptop@rh.apt.clarkconnect.com[/url] System extras" > \
  /etc/apt/sources.list.d/extras.list
apt-get update

If you already have PHP/MySQL installed, then run apt-get dist-upgrade. If you do not have PHP/MySQL installed, run apt-get install cc-php cc-mysql

А проблемы взаимодействия ПК и сервера через хабы скорее всего и возникла из-за этих хабов.

Я СС пока не использовал в роли PDC.
Мне и самому интересно.
Если не затруднит, то хотелось бы увидеть конфиг Samba и узнать порядок действий, включая ввод клиентских ПК в домен.

[apso]

А проблемы взаимодействия ПК и сервера через хабы скорее всего и возникла из-за этих хабов.

Я СС пока не использовал в роли PDC.
Мне и самому интересно.
Если не затруднит, то хотелось бы увидеть конфиг Samba и узнать порядок действий, включая ввод клиентских ПК в домен.

все очень просто, и делается через веб интерфейс, просто нужно включить опцию 'PDC' и опцию 'wins server', установить администратора из списка пользователей, перезагрузить самбу, на машинах при вводе в домен используется имя и пароль администратора, после перезагрузки машины входим в домен использую имя и пароль любого пользователя CC, на CC при этом будет создан профиль винды.
В файле \etc\password при этом автоматически создаются машинные пользователи со знаком $ на конце
Целый день сегодня тестировал багов не заметил все четко сохраняется при выходе из windows. До этого был домен на Fedora 6 при выходе иногда изменения не сохранялись, кстати машины подключенные через два хаба просто нужно было повторно ввести в новый домен, хотя название тоже а ip сервака сменился поэтому его и не видели машинки...
в конфиге менял только путь к шарам т.к. они должны быть на отдельном диске, который был успешно смонтирован в CC как hdb, в понедельник могу выложить конфиг.

по поводу PHP спасибо попробую обновить.

[berDrug]

VPF, Вы используете коммерческую версию CC. Имеются ли в коммерческой версии дополнительные настройки кеш в web-интерфейсе? Типы файлов, например, срок их нахождения в кеш, поведение при клиентском запросе...
Как Вы боретесь с баннерами, счетчиками, флэш?

[berDrug]

Да ладно уже...

В общем, форсируем кэширование:
В файле /etc/squid/squid.conf находим строку 'refresh_pattern ^gopher: 1440 0% 1440'
вставляем после неё код:
refresh_pattern -i .gif$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .png$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .jpg$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .jpeg$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .pdf$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .zip$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .tar$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .gz$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .tgz$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .exe$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .prz$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .ppt$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .inf$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .swf$ 43200 100% 43200 ignore-reload override-lastmod override-expire
refresh_pattern -i .mid$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .wav$ 43200 100% 43200 override-lastmod override-expire
refresh_pattern -i .mp3$ 43200 100% 43200 override-lastmod override-expire

Перезапускаем squid.
Это самый простой способ. Мы кэшируем редкоизменяемые файлы на 43200 минут, т.е. 30 суток.
Можно проанализировать самые посещаемые сайты и указать, какие именно объекты как долго хранить в кэш. Вот, например:
# Windows Update
refresh_pattern windowsupdate.com/.*\.(cab|exe|zip|psf)$ 43200 100% 43200
refresh_pattern download.microsoft.com/.*\.(cab|exe|zip|psf)$ 43200 100% 43200

У меня эффективность использования кэш возрасло с 7% до 24% за пару дней.

Надоедливую рекламу, счетчики, флэш можно убрать, добавив в /usr/sbin/adzapper_core соответствующие адреса. Например,
ADSWF http://r.e1.ru/images/**.swf?** - сносит флэш с главной страницы e1.ru

[sash-kan]

обсуждение свободности вынес в отдельную тему — отрезано от ClarkConnect

[ArtemSirota]

Добрый день!

Сегодня столкнулся с проблемой - СС отобразил мне полную (100%) загрузку оперативной памяти. А через 10 мин закончилось место отведенное под Swap. Соответственно сервер упал. После перезагрузки работает некоторое время, примерно 10 мин и опять та же история. Всего оперативки 256. Добавил еще 512 мегабайт и все равно загрузка держится в районе 98-99 процентов. При помощи команды top увидел что больше всех в процентном соотношении съедает процес clamav. после его отключения загрузка упала до 73 процентов но буквально через 3 минуты выросла до 90. подскажите как решить проблему....

[berDrug]

Сегодня столкнулся с проблемой - СС отобразил мне полную (100%) загрузку оперативной памяти.

Загрузка оперативы под 100% есть норма для CC... Юзание свопа - аномалия...
Если дистрибутив 4.2 Beta, смиритесь, ждите окончательного релиза...
Если 4.1 - смотрите логи /var/log/maillog и /var/log/messages...
Не забываем РЕГЕСТРИРОВАТЬ дистр и обновляться...
Удачи...

[VPF]

Поддержку по дистрибутиву ClarkConnect, а также ответы на вопросы теперь можно получить на ресурсе

www.clarkconnect.ru