Статья на habr'е

В конце 2017 года меня внезапно приняли на Habr. По-этому иногда хожу "налево" и пишу там всякие технические вещи которым, как мне кажется, здесь не место здесь.

На днях написал как быстро поднять связку nginx (веб сервер) + apache tomcat (сервлет контейнер) + под все это "выпросить" бесплатный (и не самоподписный!) https сертификат от let's encrypt'a + настроить https и переадресацию http->https в nginx + прикрыть это все firewall'ом и все это под Ubuntu 18.04 и на все про все нужно менее 5 минут.

P.S. Могу почти все то же самое сделать для Windows (nginx) + все прочее, НО там не будет certbot'а который сам конфигурирует nginx и обновляет сертификаты по расписанию, а все, что находится для Windows в первую очередь ориентировано на IIS. Может есть у кого опыт nginx + let's encrypt на Windows?

DSR-1000N с прошивкой 2.02 и мифические роутеры DSN-1000AC и DSR-500AC

Случайно наткнулся на новые прошивки для роутера DSR-1000N. Внезапно (после 4 лет продаж) DLink выпустил 2ую мажорную(!) версию прошивки (качал отсюда). Она стала более симпатичной, более очевидной (user friendly), менее глючной (впервые не обнаружил не работающих пунктов меню) и более тормознутой (в районе dashboard'а или статуса системы тормоза просто вымораживают).

Прошивка 2.02 рождалась в муках, так как их выпущено две редакции: 2.02 от 31.12.14 и 2.02_Updated от 3.08.15. В интерфейсе обе отображаются как 2.02 (по крайней мере моя 2.02_Updated говорит, что она 2.02). С другой стороны, проблемы данной прошивки глубоко понятны многим разработчикам - кто же в новогоднюю ночь релизит продукты!?

Убей в себе SPAM'ера или SPF, DKIM и прочий DMARC

 - «Spam, Spam, Spam, Spam... Любимый Spam! 

Замечательный Spam!»

-  Я не люблю SPAM!

Скетч «Монти Пайтон»

История рассылки SPAM'а стара как мир - когда-то он слался через т.н. open relay'и, затем это делали вирусы и вот ... третье пришествие - спамеры использующие Ваше доменное имя для своих грязных дел. Но обо всем по порядку ...

Годика эдак с 3 назад обратил я внимание, что периодически возвращается ко мне почта с сообщением о недоставке. И письма все сплошь какие-то странные: отправитель  несуществующий, адресат не найден и по тексту явный спам. Ладно думаю, сейчас мы их быстро... Почта у нас Google Apps - нашли статейку, что куда добавить (теперь я знаю, что это был SPF :). Добавили что-то в DNS, и вроде бы спам прекратился (ну или перестал бросаться в глаза).

Альтернативные прошивки для DIR-685 - миф?

А Вы знаете, о существовании альтернативных прошивок для Wi-Fi роутеров (т.е. не тех которые "от производителя")? 

А они есть:)

• Tomato
• DD-WRT
• OpenWRT
• И другие

Так, например, небезысвестный Jeff Atwood - автор блога Coding Horror, экс-тех.директор и совладелец проекта stackoverflow.com рекомендует "Помидор" - т.е. Tomato.

А вот еще более ранний обзор DD-WRT vs OpenWRT (на Англ.).

Интересно, а на мой DIR-685 что-то из этого можно "взгромоздить"? Зачем, спросите Вы, ну, например, для ssh/scp (см. мой предыдущий пост по недостаткам DIR-685).

DLink - прошивки, прошивки, прошивки ...

Под обе мои "железки" - DIR-685 и DSR-1000N вышли по две новые прошивки. 

Скачать их, как всегда, можно с тайваньского http сайта DLink'a или православного ftp.

D-Link DIR-685 - уже не роутер, но еще не NAS

Купился я на красивую картинку этого роутера года 3 назад и заказал его из USA (и 802.11n, и почти цифровая рамка, и даже 2,5" SATA в него можно установить). Все это время использовал его по прямому  назначению - для раздачи Wi-Fi, а на днях решил его приспособить и в качестве недо-NAS сервера.

Как оказалось, он для этого не ахти. Сей "девайс" был собран в те далекие времена, когда 802.11n был еще "нестандарт". Может по этому, а может еще из-за чего-то, но "раскочегарить" его более чем на 150Мб мне не удалось (и то, благодаря подсказке с этого сайта - изменить шифрование с TKIP на AES, а до этого было и того меньше). Пока "копался" в этой теме нашел неплохую подборку рецептов как заставить вашу точку Wi-Fi отдавать честные 300Мб (Англ).

Wi-Fi Direct: все, что необходимо знать о новой технологии

Шикарная статья на itc.ua - Wi-Fi Direct: все, что необходимо знать о новой технологии. Respect автору - Андрею Белокриницкому.

И от него же еще одна хорошая статья по теме - 802.11ac: что необходимо знать о новом стандарте Wi-Fi.

Этот загадочный skype или кошачьи страдания на 80 порту

Прошла пора летних отпусков и время возвращаться к блогу.

Перед отпуском меня старый компьютер порадовал "вылетевшим" диском/контроллером и пришлось срочно переходить на новый (Asus он такой Asus, но об этом напишу как-то в другой раз).

Обновил все, что нужно, устанавливаю Java, Apache Tomcat (наше ПО Loan Workbench это т.н. трехзвенка, где на серверной стороне Servlet Container, а клиента мы "разворачиваем" через Java Web Start).

В общем, все как обычно запускаю и ... зависаю. Файл lw.jnlp скачивается (это descriptor Java Web Start - что запускать, зависимости и т.д.), а далее мне Java пишет, что этого файла на сервере нет. Других ошибок ни на сервере, ни на клиенте (даже в Java Console заглянул) - нет. Ну, думаю, глючная Java 7, ставлю Java 6 и ... то же самое.

"Лечим" skype на D-Link DSR-1000N

Не так давно писал о проблемах прошивки 1.04 на D-Link DSR-1000N/DSR-1000/DSR-500N/DSR-500. Проблема банальная, но для многих (и для меня в том числе) смертельная - по Wi-Fi не работает skype (а также, например, upload документов в gmail'e). 

После выхода прошивки 1.6 - проверил на ней. Проблема со skype осталась, но как оказалось уже есть workaround, для ее решения. Нужно в разделе Advanced, Website Filter включить "галочку" Enable Content Filtering (более ничего в этом разделе делать не нужно):

Content Filtering Configuration

Enable Content Filtering:

Web Components

Proxy:
Java:
ActiveX:
Cookies:

Работаем на прошивке 1.06B11_RU уже несколько недель - полет нормальный.

P.S. Выношу от лица клиентов D-Link персональную благодарность Юлии Самойленко из D-Link Украина за данный workaround. Будем ждать новых менее "глючных" прошивок от D-Link (:

Update 19.09.12
"Родное" решение данной проблемы от DLink.

Кое-что про Wi-Fi, мифических 300Мб и телевизорах

Случайно наткнулся на утилитку для диагностики Wi-Fi сетей (есть версия и для Mac'a).

Не знаю, что она делает, но графики строит красивые. Утверждается, что с ее помощью можно удостовериться, что вы не пересекаетесь с другими сетями по каналам (радио частотам).

Как я понимаю, Wi-Fi технология работает в основном на следующих частотах 2,4 ГГц (802.11 b/g/n) или 5ГГц (802.11n). Т.е. у большинства из нас, скорее всего, работа идет на частоте 2,4 ГГц. При этом роутер работает на одном из радиоканалов, который более точно задает частоту передачи данных.

Если верить Википедии, то частоты каналов следующие

802.11b/g/n

Канал[прим 1]	Центральная частота[прим 2] (ГГц)
1	2,412
2	2,417
3	2,422
4	2,427
5	2,432
6	2,437
7	2,442
8	2,447
9	2,452
10	2,457
11	2,462
12	2,467
13	2,472
14	2,484

1. ↑ 5 МГц между центральными частотами соседних каналов, исключая 14-й.
2. ↑ Каждый канал занимает полосу частот 20 МГц, поэтому в этом диапазоне невозможна одновременная работа более чем 3-х каналов без взаимного перекрытия

Т.е. непересекающихся каналов у нас только 3 (три!). При этом, канал, который вы указываете в настройках роутера - это середина реки: захватываются еще и по паре соседних каналов (см. картинку, где я с соседями пересекаюсь на 2 и 3 каналах).
Какой из этого вывод? Выбирайте для своего роутера канал либо непересекающийся с прочими Wi-Fi сетями, либо пересекающийся, но при условии, что уровень сигнала точек доступа с которыми происходит перекрытие по частотам будет минимален.

А теперь поговорим про 300Мб по Wi-Fi в городской квартире. Как Вы знаете, технология 802.11n позволяет теоретически достигать пропускной способности 300Мб. Зачем это нужно, ну например, чтобы "стримать" фильм на телевизор по Wi-Fi или даже использовать телек в качестве второго монитора и там ребенку мультики запускать. Была бы возможность - как ее применить мы уже найдем.

Но чем больше я читаю про все эти MIMO и прочие штуки, тем больше мне кажется, что 300Мб в городской квартире это сферический конь в вакууме и проще будет поставить рядом с телеком "коробочку" типа Попкорна и смотреть видео через нее.

Например, этот самый inSSIDer показывает, что вокруг меня в данный момент "бегают" 57 (пятьдесят семь) Wi-Fi сетей. Много, я сам немного в шоке от их числа. Из них мои всего две. Остальные провайдеры и соседи. Для сравнения в офисе сетей "всего лишь" 30 (может стоит переселиться в офис? Подумаю на досуге).

У кого есть опыт подключения TV по Wi-Fi 802.11n - поделитесь. Оно того стоит? Для тех кто не в курсе, 802.11g (т.е. теоретических 54Мб для нормальной работы видео попросту не хватает). Для тех кто уже купил Samsung и не знает как его подключить, вот ветка форума на 50 страниц как это сделать быстро (:

"Лечим" D-Link DIR-685 от зависания и рестарта

Неделю назад написал статью о том как настроил в офисе роутер D-Link DSR-1000N для работы с двумя интернет провайдерами. Статья вызвала интерес (реально много заходов по ней) и я решил немного продолжить тему роутеров.

Стоит у меня дома уже пару лет вот такой вот "зверь" - D-Link DIR-685 (Hardware Version : A1 Firmware Version : 2.00NA). И все бы с ним было более-менее, если бы он периодически не перезапускался. "Вылечил" я эту болезнь абсолютно случайно - обратил внимание, что меня постоянно сканят и flood'ят какие-то нехорошие люди (смотреть статистику в разделе Status, Log):

Feb 25 06:29:32	ATTACK Detected: 002[PING-FLOODING] attack from WAN (ip:96.242.232.31) detected. Packet dropped.
Feb 25 06:24:57	ATTACK Detected: 002[PING-FLOODING] attack from WAN (ip:77.109.0.58) detected. Packet dropped.
Feb 25 06:24:54	ATTACK Detected: 002[PING-FLOODING] attack from WAN (ip:94.154.212.241) detected. Packet dropped.
Feb 25 06:24:53	ATTACK Detected: 002[PING-FLOODING] attack from WAN (ip:77.109.0.58) detected. Packet dropped.
Feb 25 06:24:51	ATTACK Detected: 002[PING-FLOODING] attack from WAN (ip:83.228.10.61) detected. Packet dropped.

И закралась у меня мысль, что в этой "железке" (а точнее в ее софте), что-то не так  с буфером входящих пакетов (т.е. он, конечно, пишет, что пакеты dropped, но скорее всего все таки происходит переполнение буфера и, как следствие, зависание и reboot роутера).

Собрался я уже firmware перепрошивать на какой-то очень custom'ный (например, с ftp.dlink.ru), но как-то было боязно, так как аппарат приехал ко мне из USA. Вдруг у него там внутренность другая, с нашими прошивками не особо совместимая.

В общем, обновлять firmware я не решился и на всякий случай отключил ответы на ping'и по WAN порту: Advanced, Advanced Network 

Enable WAN Ping Response :

и сазу аппарату моему полегчало.

Полет уже более 5 дней и проблема зависаний и reboot'ов, надеюсь, решена :)

Connection Type :	Static IP
Cable Status :	100 Full
Network Status :	Connected
Connection Up Time :	5 Days, 18:04:14

Так что статистику у меня по D-Link'у стала еще лучше стала. Из 5 "коробочек", которые держал в руках 4 "пахали" и одна сгорела ;(

UPDATE: Превращаем D-Link DIR-685 в почти NAS сервер.

Интернет!? Дайте два... или два канала интернет в офисе на D-Link DSR-1000N (за 300$)

Для многих интернет давно стал не роскошью, а средством. Средством коммуникации, поиска информации, развлечения и общения. Сложно сформулировать, чем для современного человека является интернет. Он ... как электричество, воздух или лифт - когда интернет есть, ты его не замечаешь, а когда его нет - становится достаточно сложно.

Иными словами многим хочется иметь надежный канал выхода в интернет за разумные деньги. Как показывает практика, у любого, даже самого надежного интернет провайдера случаются аварии и два канала доступа в интернет становятся обязательными для очень многих (быстрый - основной и подешевле - резервный). 

Для локальных (домашних) целей обеспечить резервный канал элементарно - мобильный интернет через телефон или любое другое GPRS устройство.

Другое дело когда у вас компьютеров несколько (скажем, небольшой офис на 5-10 рабочих станций плюс пара серверов): иметь на каждого потребителя резервный мобильный канал дорого и не эффективно (переключение каналов будет, скорее всего, происходить вручную, что не добавляет здоровья ни сотрудникам, ни системным администраторам).

Конечно, можно подключить мобильный интернет на маршрутизатор (если он это позволяет) и автоматически или полуручным способом их переключать. Но для меня это не альтернатива по многим причинам: 

1. ширины (т.е. пропускной способности) канала мобильного интернета на всех не хватает,
2. маршрутизатор зачастую стоит в зонах с плохим покрытием мобильных операторов (например, те же серверные :)
3. требуется ручное переключение доступа, что также не всегда возможно.

Итак, решено - берем два интернет канала, роутер с двумя WAN портами и двух независимых интернет провайдеров.

В качестве роутера я себе выбрал D-Link DSR-1000N (есть еще его "младший брат" D-Link DSR-500N - такой же, но на 50$ дешевле и без чего-то там неважного :). Для тех, кто "в танке" - N означает Wi-Fi 802.11N. Если Wi-Fi не нужен - есть модельки подешевле и без N.

Верить ли в D-Link или нет - каждый решает сам. Я с ними "живу" уже около 10 лет. Было 5 "коробочек": 3 удачные, 2 нет (одна сгорела, одна "глючит" и не перепрошивается). Был опыт с Linksys'ом с еще худшей статистикой: 2 "коробочки" и обе неудачно глючные.

Конечно, если Ваш бюджет позволяет выбрать решение от "дорогих производителей" (т.е. CISCO), то брать китайско-российские поделки смысла нет, но на мой бюджет D-Link - это самое то.

Как его правильно "готовить" - опять же вопрос вкуса. Я сделал в офисе следующее:

I. Создал резервный вариант маршрутизатора:

1. Мой "быстрый" провайдер прописывает у себя mac адреса подлключаемых к нему устройств. По-этому прописал в один из WAN портов  DSR-1000N  mac адрес WAN порта старого маршрутизатора и задал соответствующие настройки.
2. Проинструктировал пользователей, что если новый маршрутизатор выйдет из строя, то достать из стола старый, включить в розетку и подключить два кабеля: WAN и дальше на LAN и сделать вид, что так и было :).

II. Подключил два WAN порта:

1. Ethernet в первый от провайдера (как было описано в I.)
2. Ethernet через DSL во второй (здесь пришлось немного "повозиться" PPPoE, DSL роутер в режим "маршрутизатора").

III. Убедился, что оба WAN'а "подняты" и настроил балансировку нагрузки:

1. Состояние обоих WAN'ов видно в web консоли на закладке Status.
2. Балансировка позволяла делать разное, но для меня наиболее удачным стал вариант Round-robin.
3. В качестве критерия выбора - время ping'а DNS сервера провайдера. Здесь есть маленькая тонкость: у моего основного провайдера очень эээ .... плохой DNS сервер (даже когда канал есть, DNS сервер периодически недоступен). По-этому я прописал в качестве основного DNS сервера основного провайдера 8.8.8.8 (бесплатный DNS от Google).

IV. Тесты:

1. Тестировал я через  http://www.speedtest.net Так как "ширина" каналов разная - сразу видно на каком из WAN каналов идет работа.
2. Выдернул кабель из WAN1 - убедился, что работа не прервалась и что тест (и trace :) показал работу на DSL канале.
3. Подключил WAN1 и убедился, что все восстановилось "само" :)

V. На практике:

1. Схема пока живет "аж" второй день. Но вчера уже все было ОК - когда основной провайдер в пятницу вечером начал "лагать" (т.е. ping 8.8.8.8 ухудшился) - роутер перешел на второй канал, а спустя минут 40 вернул все "как было".
2. Опрос работающих пользователей никаких нареканий не вызвал :)
3. Реально D-Link DSR-1000N мы используем уже четвертый месяц. Нарекания на него есть и об этом ниже.

VI. Нарекания на D-Link DSR-1000N:

1. Долго включается. Раза в 2-3 медленнее любого остального оборудования того же класса с которым я имел дело. Иногда, уже начинаешь нервничать, что "все пропало" (например, после перепрошивки), а это он еще "не поднялся".
2. Прошивка, которая из коробки, она слегка "глючная" в web интерфейсе (не открываются некоторые страницы - например, dashboard).
3. Прошивка, которая из коробки, как-то странно себя ведет с шифрованием Wi-Fi. По сути есть только WEP (WPA 2 - почему-то нет). Есть новые прошивки на сайте, но об этом ниже.
4. Web интерфейс заставил зарегистрироваться иначе не хотел "сам" проверять прошивку. Первый раз у меня такие сюрпризы с маршрутизиторами. Чай не iPhone, чтоб активироваться ;). После регистрации ничего не нашел, хотя на ftp.dlink.ru новые стабильные прошивки были ;(
5. Не опознал мой USB CDMA модем (может и не должен). Вообще, тема, что к нему что-то еще третье можно воткнуть через USB как-то странно раскрыта в документации (или это я такой тупой :). Как я понял, нужно определиться - или WAN 2, или USB модем. Перечня совместимых модемов я не нашел. В общем, если кто-то из Украины заведет его с МТС модемом и поделится инфой как его "правильно готовить" - с меня пиво.
6. Есть новые прошивки на ftp.dink.ru. Они даже ставятся. И, о чудо! С них даже можно откатиться!!! В них даже решены проблемы из пунктов 2., 3 и частично 5. (вроде бы разделили WAN 2 и USB модем можно на WAN 3 "повесить"). Вот только одна проблема - не работает Wi-Fi. Причем именно не работает :) Проверяли в офисе на 3 ноутах разных производителей - эффект такой: коннект с Wi-Fi есть и не пропадает, а вот соединения по tcp/ip (или ниже) рвутся. Что видят пользователи: постоянно переноннективающийся skype, при попытке открыть часть страниц - не открываются, но помогает refresh, попытка скачать файл - пытка, присоединить документы в gmail не получилось ни у кого.  Экспериментировал с разным шифрованием трафика Wi-Fi (и даже без шифрования) - проблема остается при любом из вариантов. В общем если кто-то еще отважится на эксперимент по обновлению прошивки и у него останутся работать основные функции и "вылечатся" часть из описанных мной багов - дайте знать. 

Итог

На рынке появился класс недорогих маршрутизаторов с двумя WAN портами и поддержкой Wi-Fi. При бюджете в 300$ на них можно перейти и решить вопрос с недоступностью интернета, при этом обеспечив как резервирование канала связи, так и резервирование самого маршрутизатора.

Update от 16.03.12
Мне тут написали, что уже вышла де новая прошивка 1.04B58_RU и что в ней решены все описанные мной проблемы. Враки! Все кроме одной - по прежнему не работает skype  (чудом в него два раза входил, но это было ненадолго и не считается :). Документы как-то в gmail'e upload'ятся, но я бы сказал, что медленнее чем на текущей прошивке  1.03B43_RU. Что-то существенное докрутили в поддержке PPPoE, работе с несколькими WAN'ами (определение "упавшего" и "подняти" нужного) ну и WAN3 (только для моделей DSR-*N) с WPA2 (всего исправлено 59 bug'ов и добавлено 11 новых features - прямой линк на changelog).

Update от 09.04.12
Существует простой workaround, решающий проблему неработоспособности skype по Wi-Fi для прошивок версии 1.04 и 1.06. Подробности в отдельном посте. "Родное" решение от DLink.

Update от 29.08.12
Ссылка на австрийский pdf файл (на Английском) как "завести эту балалайку" на 300Мб. У меня он взлетал до 156, а потом падал до 56 снова. Вкратце: Channel spacing = 20/40 Mhz, Security  = WPA+WPA2, Encryption = TKIP+CCMP и Authentication = PSK.

Update 19.09.12
Часть ответов на вопросы по совместимости 3G модемов и родном решении по skype дана в отдельном посте.