По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
В этой статье рассмотрим, как управлять учетными записями пользователей и групп в Linux. Также посмотрим различные базы данных, в которых хранится информация о пользователях и группах и что такое теневые пароли.
Изначально в Linux было 2 файла /etc/password и /etc/group. В первом файле хранилось:
Имя_пользователя : пароль : uid : gid : сведения (поле предназначено для персональных данных) : домашняя_папка : командная оболочк(которая запускается при входе пользователя в систему)
Во втором файле хранилось:
имя_группы : пароль : gid : члены_группы
У группы может быть пароль, но данную функцию очень редко, кто использует, в таком случае пароль будет запрашиваться при смене членства в группе. Данные файлы плохи тем, что у всех пользователей системы, по умолчанию, есть права на чтение. Такие права необходимы потому, что разные пользователи, разные демоны и сервисы обращаются к данным файлам, чтобы брать оттуда информацию. Соответственно в этих файлах хранился пароль пользователя, хотя и в зашифрованном виде, но с помощью различных методов криптографии подбора можно было воспользоваться данным паролем, потому что у всех пользователей был на эти файлы доступ.
Поэтому был создан механизм теневых паролей. Были созданы вот такие 2 файла: /etc/shadow и /etc/gshadow. И к этим двум файлам имеет полный доступ только пользователь root. Следовательно, теперь в файлах passwd и group указываются не пароли, а специальные символы, говорящие что пароли были перенесены в файлы shadow и gshadow.
В новом файле shadow хранится побольше информации о пароле пользователя. Это:
Логин
Пароль
Время после смены пароля – это если пароль сбрасывался после времени установки системы
Минимальный срок действия пароля - как часто можно менять пароль, если, например, стоит 5 дней, то пароль можно менять не чаще, чем раз в 5 дней.
Максимальный срок действия пароля – максимальное количество дней, по прошествии которых обязательно необходимо сменить пароль.
Срок предупреждения – за сколько дней до истечения пароля система предупредит о том, что необходимо сменить пароль.
Время работы с истекшим паролем – это параметр позволяет указанное число дней работать с истекшим паролем.
Срок для блокировки пароля – данный параметр отвечает за время жизни самого пароля, например, пароль будет работать 100 дней, после этого заблокируется.
Соответственно данные параметры можно при необходимости задавать при создании учетной записи пользователя и паролей. Если провести аналогию с операционной системой Windows, то подобные параметры в Windows мы можем задавать через GPO (Group Policy Object - набор правил или настроек, в соответствии с которыми производится настройка рабочей среды в операционных системах Windows). Отличие заключается в том, что в Windows эти параметры выставляются в абсолютных величинах числом, а в операционной системе Linux, относительно даты 1 января 1970 года.
Ну и соответственно gshadow имеет следующую структуру, разделенную символом :.
Имя группы
Пароль зашифрованный
Администраторы, те учетные записи, которые могут менять пароль группы или добавлять другие аккаунты
Члены групп
Следовательно, пароли могут хранится и в тех, и в тех файлах, отличие в том, что у пользователей есть доступ на чтение к файлам passwd и group, а к shadow и gshadow только у пользователя root. Данный механизм называется механизмом теневых паролей, и он присутствует во всех современных Linux системах.
Теперь, посмотрим, как это выглядит в операционной системе.
Заходим в файл passwd любым текстовым редактором, например, nano, без повышения привилегий.
Возьмем пользователя:
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
Логин - list, значок X говорит о том, что пароль хранится в теневом файле. Далее 38 – id пользователя, 38 - gid, прочая информация - Mailing List Manager, домашняя папка пользователя - /var/list и оболочка которая используется при входе - /usr/sbin/nologin.
Можно увидеть, что вместо оболочки у пользователя указан nologin – это означает, что пользователь не может войти, используя стандартный экран входа, используя стандартные средства. На картинке можно найти пользователя siadmin. Можно также увидеть все остальные параметры этого пользователя. У него совпадает uid и gid, это связанно с тем , что при создании пользователя создается одноименная группа. Можно, конечно, при создании указать, что пользователь будет входить в другую группу и не создавать одноименную, но по умолчанию она создается. В конце строчки мы можем увидеть /bin/bash, которая запускается при входе в систему. Можно обратить внимания на uid и gid все реальные пользователи их имеют числом выше 1000. Все пользователи, у которых число ниже – это служебные пользователи или созданные автоматически. В некоторых дистрибутивах Linux нумерация реальных пользователей начинается с 500.
Посмотрим файл с группами, вводим команду nano /etc/group
Данная база очень простая. Указано наименование группы, знак X говорит, о том, что пароль хранится в теневой базе, идентификатор группы и список пользователей в данной группе. Единственный нюанс - если пользователь входит в свою же группу, то после знака двоеточие пользователь не отображается.
Далее файлы /etc/shadow и /etc/gshadow, данные файлы не редактируются с помощью текстовых редакторов, а через специальные команды. Данные файлы — это просто хранилище информации. Эти утилиты будут рассмотрены в следующем уроке.
Зайти в эти файлы могут только пользователи имеющие права root или с помощью команды повышающей привилегии sudo.
sudo nano /etc/shadow
Теперь мы видим в данном файле через двоеточие:
Имя пользователя
* или зашифрованный пароль
Срок с последнего изменения пароля в днях
Минимальный срок изменения пароля, если 0, то сменить пароль можно сразу
99999 - срок действия пароля, 7 - количество дней за которое до истечения пароля придет предупреждение
Символ * говорит о том, что под данным пользователем нельзя зайти стандартным способом, обычно это применяется для служебных аккаунтов, т.е вход вообще заблокирован под данным аккаунтом.
Вот так вот реализуется механизм теневых паролей.
Для захвата трафика можно использовать маршрутизаторы Cisco, при помощи утилиты Cisco Embedded Packet Capture, которая доступна, начиная с версии IOS 12.4.20T. В этой статье мы расскажем, как настроить EPC для захвата пакетов на роутере, сохранять их на flash памяти или экспортировать на ftp/tftp сервер для будущего анализа, при помощи анализатора пакетов, например, такого как Wireshark.
Давайте рассмотрим некоторые из основных функций, которые предлагает нам Embedded Packet Capture:
Экспорт пакетов в формате PCAP, обеспечивающий анализ с помощью внешних инструментов
Возможность задать различные параметры буфера захвата
Отображение буфера захвата
Захват IPv4 и IPv6 пакетов в пути Cisco Express Forwarding
Прежде чем начать конфигурацию Cisco EPC необходимо разобраться с двумя терминами, которые будут использоваться в процессе – Capture Buffer(буфер захвата) и Capture Point (точка захвата)
Capture buffer – это зона в памяти для хранения пакетных данных. Существует два типа буферов захвата Linear (линейный) и Circular (кольцевой):
Linear Capture Buffer – когда буфер захвата заполнен, он перестает захватывать данные
Circular Capture Buffer – когда буфер заполнен, он продолжает захватывать данные, перезаписывая старые данные
Capture Point – это точка транзита трафика, в которой фиксируется пакет. Тут определяется следующее:
IPv4 или IPv6
CEF (Cisco Express Forwarding) или Process-Switched
Интерфейс (например Fast Ethernet 0/0, Gigabit Ethernet 1/0)
Направление трафика: входящий (in), исходящий (out) или оба
Настройка Cisco Embedded Packet Capture
Рассмотрим настройку на примере нашей схемы, где мы хотим захватить входящие и исходящие пакеты на интерфейсе FastEthernet 0/0 от ПК с адресом 192.168.1.5 до веб-сервера wiki.merionet.ru с адресом 212.193.249.136
Первым делом мы создадим буфер, который будет хранить захваченные пакеты. Для этого используем команду monitor capture buffer [имя] size[размер] [тип] . Создадим буфер merionet_cap, размером 1024 килобайта (1 мегабайт, стандартный размер) и сделаем его линейным.
Router#monitor capture buffer merionet_cap size 1024 linear
Далее мы можем настроить захват определенного трафика. В нашем случае нужно захватить трафик между 192.168.1.5 и 212.193.249.136. Это достигается при помощи списков контроля доступа ACL. Мы можем использовать стандартные или расширенные списки доступа в зависимости от требуемой детализации. Если список доступа не настроен, то захвачен будет весь трафик.
Router(config)#ip access-list extended web-traffic
Router(config-ext-nacl)#permit ip host 192.168.1.5 host 212.193.249.136
Router(config-ext-nacl)#permit ip host 212.192.249.136 host 192.168.1.5
Наш список доступа включает трафик, исходящий от обоих хостов, потому что мы хотим захватить двунаправленный трафик. Если бы мы включили только один оператор ACL, тогда был бы зафиксирован только односторонний трафик. Теперь свяжем наш буфер с access-list’ом, при помощи команды monitor capture buffer [название_буфера] filter access-list [название_ACL]
Router#monitor capture buffer merionet_cap filter access-list web-traffic
Затем следующем шагом мы определяем, какой интерфейс будет точкой захвата. В нашем случае это FastEthernet 0/0, и мы будем захватывать как входящие, так и исходящие пакеты. Во время этой фазы конфигурации нам нужно предоставить имя для точки захвата.
Также очень важно ввести команду ip cef для обеспечения минимального влияния на процессор маршрутизатора, при помощи Cisco Express Forwarding. Если ip cef не включен, то появится сообщение IPv4 CEF is not enabled.
Используем команду monitor capture point ip cef [имя_точки] [интерфейс] [направление] .
Router#monitor capture point ip cef MNpoint FastEthernet0/0 both
Теперь мы связываем сконфигурированную точку захвата с буфером захвата командой monitor capture point associate [название_точки][название_буфера] . На этом этапе мы готовы начать сбор пакетов.
Router#monitor capture point associate MNpoint merionet_cap
Чтобы начать сбор пакетов используем команду monitor capture point start [название_интерфейса] .
Router# monitor capture point start MNpoint
Чтобы остановить процесс захвата используется команда monitor capture point stop [название_интерфейса] .
Router# monitor capture point stop MNpoint
Полезные команды проверки:
show monitor capture buffer – показывает состояние буфера захвата
show monitor capture point – показывает состояние точки захвата
show monitor capture buffer [название_буфера] – показывает информацию о захваченных пакетах
show monitor capture buffer [название_буфера] dump – показывает содержание буфера
Экспорт данных
В большинстве случаев захваченные данные необходимо будет экспортировать в сетевой анализатор трафика (например, WireShark) для дополнительного анализа в удобном для пользователя интерфейсе. Захваченный буфер можно экспортировать в несколько местоположений, включая: flash: (на маршрутизаторе), ftp, tftp, http, https, scp и другие.
Для экспорта буфера используется команда monitor capture buffer[имя_буфера] export [адрес] .
Router#monitor capture buffer merionet_cap export tftp://192.168.1.10/capture.pcap
После этого файл capture.pcap появится на нашем TFTP сервере, и мы можем открыть его в сетевом анализаторе.
Cisco Unified Communications Manager (CUCM) поддерживает множество дополнительных телефонных функций, таких как Call Forward, Shared Lines, Call Pickup, Call Haunting и Call Park, которые объединены одним термином Call Coverage.
В этой статье мы рассмотрим Call Pickup или перехват вызова. В группу перехвата (Call Pickup Group) включаются номера (Directory Number) и самой группе присваивается номер.
Может быть сконфигурировано три типа перехвата вызова:
Call Pickup: Если несколько номеров находятся в одной группе и один из них звонит, то на другом телефоне можно нажать на кнопку для перехвата этого звонка.
Group Call Pickup: Если два телефона находятся в разных группах перехвата и один из них звонит, то на другом телефоне можно нажать на кнопку для перехвата группового вызова и набрать номер группы, в который находится звонящий телефон. После этого звонок будет перехвачен. Есть вариант этой функции под названием Directed Call Pickup, в котором для перехвата нужно набрать номер телефона, на который приходит звонок.
Other Group Pickup: Этот тип позволяет перехватывать звонки из связанной группы, не вводя ее номер.
Настройка Call Pickup
Переходим во вкладку Call Routing → Call Pickup Group и нажимаем Add New. Тут указываем название и уникальный номер группы в полях Call Pickup Group Name и Call Pickup Group Number. Также выбирает тип уведомлений в поле Call Pickup Group Notification Policy и какая информация будет отображаться на дисплее в поле Calling Information Display For Call Pickup Group Notification.
Для использования функции перехвата, необходимо добавить телефоны в группу. Для этого переходим во вкладку Device → Phone, затем выбираем необходимый телефон и на странице его настроек в левой части нажимаем на Line [1] . В этом окне в разделе Call Forward and Call Pickup Settings в поле Call Pickup Group выбираем созданную нам группу. Таким же способом настраиваем другие телефоны, которые будут состоять в группе перехвата.
Затем настроим Softkey клавишу для перехвата звонка на телефоне. Переходим в меню Device → Device Settings → Softkey Template. Здесь выбираем либо уже существующий шаблон, либо нажимаем Add New и добавляем новый. В этом случае выбираем шаблон который будет браться за основу и сохраняем его.
В правом верхнем углу в меню Related Tasks выбираем Configure Softkey Layout и нажимаем Go.
Далее добавляем из правого меню клавиши Pickup, Group Pickup или Other Group Pickup (каждая клавиша может быть выбрана для Off Hook и On Hook состояния). После выбора нажимаем Save и сохраняем.
Теперь эту настройку нужно применить на телефоне. Переходим в меню Device → Phone, выбираем нужный телефон , и на странице его настроек в разделе Device Information в поле Softkey Template указываем созданный нами шаблон, и применяем настройки нажатием кнопок Save и Apply Config.