Метка: Linux

В данной статье я расскажу о настройке шлюза на Debian для раздачи интернета в небольшой локальной сети. Для получения доступа к интернет, на сервере используется OpenVPN подключение. Затем используя NAT, сервер отдает интернет для других компьютеров в локальной сети.

Настройка сетевого интерфейса

Для начала настроим сетевой интерфейс eth0:

auto eth0
iface eth0 inet static
address 10.0.1.2
netmask 255.255.255.0
post-up route add -net 10.0.2.0 netmask 255.255.255.0 eth0
post-up route add -net 10.0.3.0 netmask 255.255.255.0 eth0

При необходимости прописываем статические маршруты для локальной сети.

В содержимое файла:

# nano resolv.conf

Необходимо добавить адреса DNS-серверов:

nameserver 8.8.8.8
nameserver 8.8.4.4

Настройка подключения OpenVPN

Выполним установку и настройку клиента OpenVPN.

# apt-get install openvpn

Переходим в каталог указанный ниже, копируем в него сертификаты и ключи:

# cd /etc/openvpn

Создаем файл с настройками clent.conf, в моем случае я использовал следующие параметры:

client
dev tun
proto tcp
remote 90.90.90.90 1194
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
auth SHA512
tls-auth ta.key 1
cipher BF-CBC
comp-lzo adaptive
status /var/log/openvpn-status.log
log /var/log/openvpn.log
verb 3
mute 20
route 0.0.0.0 0.0.0.0

Несмотря на то, что на сервере прописан параметр:

push "redirect-gateway def1"

После подключения к серверу OpenVPN, никаких изменений в таблице маршрутизации не происходило. Для того чтобы после подключения клиента OpenVPN в Debian изменялся маршрут по умолчанию, необходимо добавит в clent.conf следующий параметр:

route 0.0.0.0 0.0.0.0

После того как в системе подымется интерфейс tun0, можно переходить к дальнейшей настройке.

Настройка NAT

Включаем на сервере поддержку IP forwarding, для этого откройте файл:

# nano /etc/sysctl.conf

И раскомментируйте в нем следующую строку:

#net.ipv4.ip_forward=1

Чтобы изменения вступили в силу, необходимо загрузим переменные ядра:

# sysctl -p

Далее настраиваем NAT в iptables. По очереди в консоли выполните следующие команды:

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.0.1.0/24 -j ACCEPT                        # Разрешить форвардинг для всей подсети
iptables -A FORWARD -m mac --mac-source 00:00:00:00:00:00 -j ACCEPT # Или ограничить по MAC
iptables -P FORWARD DROP
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Сохраняем правила в файл:

# iptables-save > /etc/iptables.conf

Чтобы правила автоматически применялись при загрузке Debian, необходимо их прописать в rc.local:

# nano /etc/rc.local

Добавьте в него команду ниже:

iptables-restore < /etc/iptables.conf

Теперь, если прописать адрес 10.0.1.2 в качестве шлюза, на компьютере должен появится интернет.

Настройка правил iptables

После того как мы настроили все основные параметры, добавим в iptables правила для безопасности сервера:

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -I INPUT 1 -i lo -j ACCEPT

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 6 -j ACCEPT
iptables -I INPUT -m mac --mac-source 3E:D7:88:A6:66:8E -j ACCEPT                   # Открыть все порты
iptables -I INPUT -p tcp --dport 22 -m mac --mac-source 48:5B:39:AE:6D:7D -j ACCEPT # Открыть порт SSH

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

Сохраняем правила в файл:

# iptables-save > /etc/iptables.conf

Чтобы сменить пароль root для операционной системы CentOS/Fedora/Debian, необходимо в терминале выполнить команду:

# passwd root

После чего дважды новый пароль.

В данной записи я расскажу как можно проверить время ответа сайта с помощью консольной утилиты curl. Используя curl мы отправим HTTP-запрос к нашему серверу, затем автоматически будет собрана статистика по каждому этапу подключения. Нам останется только вывести результат с помощью простой команды.

Время ответа сайта с помощью Сurl

Чтобы просмотреть время ответа сайта с помощью curl, запустите команду ниже:

curl -s -w '\nLookup time:\t%{time_namelookup}\nConnect time:\t%{time_connect}\nAppCon time:\t%{time_appconnect}\nRedirect time:\t%{time_redirect}\nPreXfer time:\t%{time_pretransfer}\nStartXfer time:\t%{time_starttransfer}\nTotal time:\t%{time_total}\n' -o /dev/null https://codebeer.ru

Для более точных данных, замеры выполнялись непосредственно на стороне VPS. Время ответа сайта:

Lookup time:    0.061
Connect time:   0.061
AppCon time:    0.080
Redirect time:  0.000
PreXfer time:   0.081
StartXfer time: 0.095

Total time:     0.096

Описание параметров curl, используемых для расчета времени ответа сайта в данном примере:

• time_namelookup — время, затраченное на преобразование доменного имени в IP-адрес;
• time_connect — время, затраченное на подключение к серверу по протоколу TCP;
• time_appconnect — время, затраченное на подключение к серверу по протоколу SSL;
• time_redirect — время, затраченное на все редиректы;
• time_pretransfer — время, затраченное на  подготовку обмена данными;
• time_starttransfer — суммарное время, необходимое для выполнения всех действий, вплоть до начала передачи первого байта данных.

Вы наверняка сталкивались с ситуацией, когда необходимо часто работать с глубоко вложенным файлами или каталогами в Linux. Порой, даже самые простые действия превращаются в неудобный и утомительный процесс. В таком случае, если сделать этот файл или каталог доступным из корневого раздела, то можно немного облегчить себе жизнь.

С подобной задачей хорошо справляются ссылки. Которые часто используют в процессе администрирования Linux-систем. Ссылки по методу реализации можно разделить на два вида: жесткие и символические.

Жесткая ссылка – это запись, которая указывает на дескриптор inode. Жесткие ссылки можно создавать только для файлов и только в пределах одной файловой системы. Перемещение или изменении имени исходного файла, не оказывает влияния на работоспособность жесткой ссылки.

Символическая ссылка — запись, которая указывает на имя файла или директории. Символические ссылки можно создавать для каталогов и объектов, которые расположены в разных файловых системах. Если переименовать или переместить файл в другую директорию, символическая ссылка потеряет работоспособность.

Создание жесткой ссылки в Linux

Чтобы создать жесткую ссылку в Linux, используется команда ln:

# Синтаксис команды
ln -s <цель> <ссылка>
# Создать жесткую ссылку в Linux
ln /home/file /link

Если попытаться создать жесткую ссылку для каталога и файла за пределами одной файловой системы, то вы получите ошибку.

Создание символической ссылки в Linux

Чтобы создать символическую ссылку в Linux, вместе с командой ln, необходимо использовать параметр -s:

# Синтаксис команды
ln -s <цель> <ссылка>
# Создать символическую ссылку в Linux
ln -s /home/file /link
ln -s /home/dir /home/link

При создании символических ссылок, имена файлов могут быть как абсолютными, так и относительными.

На сегодняшний день большинство дистрибутивов Linux имеют мощный GUI. Тем не менее, как и 20 лет назад, с помощью одного лишь терминала, вы получаете неограниченные возможности для управления системой в Linux.

• История команд Linux
• Очистить историю команд Linux

Каков бы ни был ваш опыт, порой вспомнить ту или иную команду бывает достаточно сложно. Но благодаря функциям командного процессора Bash, история команд Linux превращает использование консоли в невероятно комфортный процесс.

В Bash история команд позволяет существенно сэкономить время и делает процесс работы в командной строке более эффективной. Вам не нужно постоянно вводить одни и те же команды. Нажимая клавиши управления курсором, Bash будет поочередно выводить набранные ранее команды.

История команд Linux

Для просмотра всей истории команд Linux удобнее использовать утилиту history. После выполнения, на экране будет выведена вся история команд Linux. Мы можем ограничить количество выводимых строк. Для примера, команда ниже отобразит список из последних 25 команд:

# показать всю историю команд
history
# вывести 25 последних команд
history 25
# выполнить команду по номеру из списка
!20

История команд Linux хранится в файле ~/.bash_history. Размер файла ограничен списком из 500 выполненных команд, которые затираются по мере заполнения файла.

Чтобы увеличить количество команд в истории, необходимо добавить в файл ~/.bashrc следующие настройки:

HISTSIZE=1000
HISTFILESIZE=1000

Как вы уже успели заметить, история команд Linux не учитывает дату и время выполнения команды. Чтобы добавить дату к списку команд, добавьте в конец ~/.bashrc следующую строку:

export HISTTIMEFORMAT='%d.%m.%Y %H:%M:%S '

Применить настройки без перезапуска:

bash

Очистить историю команд Linux

Случаются ситуации, когда необходимо очистить историю команд Linux. Например, некоторые команды могут содержать пароли в открытом для просмотра виде. Выполните одну из команд ниже для полного или частичного удаления истории Bash:

# очистить всю историю команд
history -cw
# удалить строку из истории команд
history -dw 25
# очистить историю команд для текущей сессии
history -r
# не сохранять команду в истории <пробел><команда>
root@debian:~$ wget --user user --password pass http://codebeer.ru/

По умолчанию, история команд Linux включена, и все команды, которые вы выполняете в командной строке, можно использовать повторно без особых затрат времени на их набор. При желании эту функцию можно отключить. В bash история команд отключается с помощью команды ниже:

set +o history

Если вы передумаете, история команд Linux включается также легко, просто выполните команду:

set -o history

В данном материале пойдет речь о оптимизации SSD в системе Linux. Все настройки выполнялись на стороне VPS сервера, но за исключением некоторых нюансов, данную инструкцию можно использовать для настройки десктопных систем. Как правило, большинство серверов используют системы резервного питания, поэтому в отличии от рабочей станции, мы можем всегда быть уверены, что в результате отключения питания потери данных не произойдет.

• Паравиртуальный драйвер Virtio для SSD
• Редактирование fstab
• Отключить время доступа к файлам и каталогам
• Отключить барьеры
• Настройка параметров ядра Linux для SSD

Паравиртуальный драйвер Virtio для SSD

Драйвера Virtio реализованы для блочных, сетевых и других устройств. В общем случае использование паравиртуальных драйверов позволяет достичь большей производительности и отзывчивости в работе виртуальных окружений.

Если ваша панель управления KVM VPS позволяет изменять драйвер виртуализации диска, то для улучшения быстродействия дисковой системы, рекомендуется переключить режим работы диска с IDE на Virtio.

Редактирование fstab

Начнем с параметров монтирования разделов в Linux. Для этого необходимо отредактировать файл /etc/fstab, который состоит из набора файловых систем. Для монтирования каждого раздела или диска в файле используется отдельная строка.

Структура файла fstab выглядит следующим образом:

• filesystem — физическое размещения файловой системы, можно указать имя файла устройства, его метку или UUID.
• dir — точка монтирования файловой системы.
• type — тип файловой системы.
• options — параметры монтирования файловой системы.
• dump — используется утилитой dump для управления процессом создания резервных копий. Возможные значения: 0 или 1. Если указано число 1, dump создаст резервную копию.
• pass — используется программой fsck для проверки целостности файловой системы. Возможные значения: 0, 1 или 2. Значение 1 используют для корневой файловой системы. Значение 2 имеет меньший приоритет, его используют для других разделов. Значение 0 отключает проверку fsck.

По умолчанию файл fstab в Debian выглядит следующим образом:

# <file system>                              <dir>    <type>    <options>           <dump>    <pass>
UUID=ed47f65f-2336-41e7-ad06-a03d75c4c503    /        ext4      errors=remount-ro   0         1

Где UUID это идентификатор нашего SSD, который смонтирован в корень и отформатирован в файловой системе EXT4. В качестве параметра используется опция errors=remount-ro.

Будьте предельно внимательны, редактирование fstab может стать причиной невозможности загрузки системы. Создайте резервную копию файла перед внесением каких-либо изменений.

Отключить время доступа к файлам и каталогам

Чтобы снизить нагрузку по записи, можно полностью отключить время последнего доступа к файлам и каталогам. Для этого в параметры монтирования fstab необходимо добавить опции монтирования noatime и nodiratime.

Отключить барьеры

Барьеры гарантируют целостность журнала файловой системы. К их недостаткам можно отнести снижение производительности. Отключив использование барьеров barrier=0, мы ускоряем операции записи на разделы EXT4.

В итоге файл fstab должен выглядеть следующим образом:

# <file system>                              <dir>    <type>    <options>                                         <dump>    <pass>
UUID=ed47f65f-2336-41e7-ad06-a03d75c4c503    /        ext4      noatime,nodiratime,barrier=0,errors=remount-ro    0         1

Чтобы принять изменения необходимо выполнить команду ниже:

mount -o remount rw,errors=remount-ro,noatime,nodiratime,barrier=0 /

Настройка параметров ядра Linux для SSD

Для улучшения производительности системы, рекомендуется снизить интенсивность обращения к SWAP. Чтобы снизить минимальный процент свободной памяти, при которой будет происходить запись страниц в SWAP, необходимо установить значение параметра vm.swappiness=10.

echo 'vm.swappiness=5' >> /etc/sysctl.conf
# Применить настройки
sysctl -p

Параметр vfs_cache_pressure отвечает за уровень выделяемой памяти под использование дискового кэша. В зависимости от величины, параметр увеличивает или уменьшает активность выгрузки неиспользуемых страниц памяти из кэша. Для SSD рекомендуется установить значение параметра vfs_cache_pressure равным 50.

echo 'vm.vfs_cache_pressure=50' >> /etc/sysctl.conf
# Применить настройки
sysctl -p

Для того чтобы проверить, что система правильно определила ваш SSD, необходимо выполнить команду:

cat /sys/block/vda/queue/rotational
0

Где vda имя вашего диска в системе. Для просмотра списка устройств используйте команду df. Значение равное 0, служит подтверждением того, что система определила тип используемого диска как SSD. В противном случае, необходимо установить значение вручную:

echo 0 > /sys/block/sda/queue/rotational
echo "echo 0 > /sys/block/sda/queue/rotational" >> /etc/rc.local

В ядре Linux имеется несколько типов планировщиков, которые выполняют функции управления дисковым пространством, расстановки приоритетов и обработки запросов в реальном времени. Рекомендуемым планировщиком для работы с SSD является Noop. Он хорошо подходит для работы с флеш-памятью благодаря использованию минимальных задержек для запросов к дисковому пространству.

echo noop > /sys/block/vda/queue/scheduler
echo "echo noop > /sys/block/vda/queue/scheduler" >> /etc/rc.local

Связи с тем, что SSD накопители не используют вращающиеся пластины в отличие от традиционных жестких дисков. Нулевое значение отключает использование алгоритмов снижения времени поиска данных, так как SSD и виртуальные диски в этом не нуждаются.

echo 0 > /sys/block/vda/queue/rotational
echo "echo 0 > /sys/block/vda/queue/rotational" >> /etc/rc.local

Последняя параметр rq_affinity. Может принимать значение равное 1 принуждает обработку операций на том же процессоре, где они были сгенерированы. Это может повысить эффективность кэширования данных. Для гостевых систем KVM рекомендуется установить значение равное 0, чтобы разрешить обработку операций на любом процессоре.

echo 0 > /sys/block/sda/queue/rq_affinity
echo "echo 0 > /sys/block/sda/queue/rq_affinity" >> /etc/rc.local