vmario techblog » Komputer

Szybkie poskromienie SELinuksa

vmario — Thu, 11 Mar 2010 22:14:56 +0000

SELinux to nakładka na linuksowe jądro, kontrolująca przydzielanie zasobów dla różnych aplikacji. Początkujący administratorzy systemów redhatopodobnych, jak CentOS czy Fedora niejednokrotnie stają przed poważnym problemem: jak uporać się z restrykcyjną polityką SELinuksa, który niczym Hubert Urbański w „Milionerach” będzie się dwieście razy pytał, czy „ostatecznie i definitywnie” pozwolić Apache’owi na dostęp do takiego czy innego katalogu?

Sam jestem amatorem, który nieraz miał ochotę wpisać set enforce 0, by przełączyć SELinuksa w tryb pobłażliwy, albo w ogóle się tego wynalazku pozbyć. Wychodzę jednak z założenia, że SELinux służy jednak czemuś pożytecznemu i lepiej spróbować z nim po dobroci. Na szczęście na ogół wystarczy odnaleźć w /var/log/messages komunikat z kodem dla programu sealert, który podaje gotowe rozwiązania, np. jaką opcję należy przełączyć za pomocą setsebool.

Są jednak przypadki, gdy porady sealert są zbyt enigmatyczne. W takich wypadkach FAQ Fedory radzi skorzystać z programu audit2allow. Zasada jest bardzo prosta. Najpierw generujemy zestaw regułek, które pozwalają obejść ostatnio napotkane błędy:

# audit2allow -m local -l -i /var/log/messages > local.te

Jeżeli nasz system korzysta z pliku /var/log/audit/audit.log to w nim program znajdzie potrzebne mu informacje:

# audit2allow -m local -l -i /var/log/audit/audit.log > local.te

Teraz możemy przejrzeć local.te i usunąć regułki, które nas nie interesują, by nie odblokować w systemie zbyt wielu zabezpieczeń.

Następnie upewniamy się, że mamy zainstalowany pakiet checkpolicy i kompilujemy moduł z naszymi regułkami, po czym generujemy paczkę:

# checkmodule -M -m -o local.mod local.te
# semodule_package -o local.pp -m local.mod

Na koniec dodajemy ją do obowiązującej w systemie polityki bezpieczeństwa (może to chwilę potrwać):

# semodule -i local.pp

Należy przy tym pamiętać, że jeżeli w pamięci jest już moduł o nazwie local, to zostanie nadpisany przez swoją nową wersję!

Edytor heksadecymalny na Linuksa

vmario — Wed, 10 Mar 2010 21:17:53 +0000

Nie tylko crackerzy i miłośnicy inżynierii wstecznej potrzebują czasem zajrzeć do jakiejś binarki. Niejeden elektronik potwierdzi, że dobrze jest mieć możliwość odczytu czy nawet edycji tzw. „wsadów”, a sam nieraz podglądałem pliki wykonywalne, by sprawdzić, z jakich bibliotek korzystają, w szczególności, gdy programu nie dawało się uruchomić i nie było mowy o skorzystaniu z lsof.

Na ogół używałem do tego po prostu mojego ulubionego Vima i to w zwykłym trybie tekstowym. Uruchomienie trybu heksadecymalnego, zwłaszcza z możliwością edycji wymaga zaklęć tak długich i bezecnych, że do dziś boję się je wpisywać.

Zmuszony jednak przez los postanowiłem wyposażyć się w jakiś porządny edytor heksadecymalny, najlepiej działający w X-ach, żeby mieć pełną wygodę użytkowania.

Na pierwszy ogień poszedł GHex, ale odpadł w przedbiegach ze względu na stabilność i małe możliwości. Następnie trafiłem na Blessa. Szczęśliwie nie zauważyłem, że został napisany w Mono/Gtk# (nie lubię Mono) i dałem mu szansę. Program ma możliwości chyba niewiele większe niż GHex, ale działa całkiem sprawnie.

Z ciekawości sprawdziłem jeszcze, co zaoferuje produkt ze stajni KDE — Okteta. Pierwsze wrażenie było negatywne — ot, kobylasta aplikacja o przeładowanym interfejsie, która długo się uruchamia, a na dodatek zdarzyło się jej nawet wyłożyć.

Warto jednak dać temu programowi szansę, gdyż jest to prawdziwy kombajn. Nie nadaje się może do edycji dysków twardych, ale świetnie sprawdza się w pracy z plikami. Z ciekawszych opcji warto wymienić:

przeglądanie wielu plików w kartach,
dzielenie okna w pionie i poziomie,
obliczanie wielu rodzajów sum kontrolnych dla wskazanego obszaru,
zapełnianie obszaru wzorcami,
wykonywanie operacji bitowych,
wyszukiwanie łańcuchów znaków (program „wyłapuje” wewnątrz pliku binarnego całe fragmenty tekstu, pasujące do podanej frazy).

Ponadto wystarczy poświęcić chwilę na zagospodarowanie przestrzeni roboczej, by praca z programem stała się przyjemna i intuicyjna. O ile nie pojawią się problemy ze stabilnością, Okteta stanie się zatem moim podstawowym narzędziem do hackowania plików binarnych. A może Czytelnicy znają jakieś inne dobre hex edytory?

Minicom jako terminal szeregowy

vmario — Fri, 05 Mar 2010 21:21:24 +0000

Ostatnio dużo pracuję na porcie szeregowym RS-232, przez który obsługuję także linuksową powłokę. Niezbędny jest do tego emulator terminala szeregowego. Dotychczas korzystałem przede wszystkim z programu GTKTerm, znacznie rzadziej z CuteCom. Na dłuższą metę w GTKTermie doskwierają dwie niedogodności. Po pierwsze na moim systemie lubi on wstawiać od czasu puste linie, jest to jednak tylko pewien wizualny mankament. Po drugie GTKTerm nie radzi sobie z edycją już wydrukowanej linii tekstu, przez co przeglądanie historii poleceń powłoki owocuje ciągłym zadrukowywaniem ekranu, nie mówiąc już o różnej maści paskach postępu, które błyskawicznie zapełniają dostępną historię ekranu; w tych warunkach na vi w ogóle nie da się pracować. Po trzecie — aplikacja ma bardzo krótką historię ekranu, przez co zwykłego dmesg-a trudno obejrzeć w całości.

CuteCom w ogóle jest nieporozumieniem: nie obsługuje kolorów, wejście działa w trybie liniowym a nie znakowym, a jego log potrafi zapchać RAM, zwłaszcza jeżeli będzie monitorował port, na którym działa programator ISP (co ma miejsce w ATmedze128). W pewnych zastosowaniach mógłby się sprawdzić, ale na pewno nie jest to wygodny emulator terminala.

Oczywiście, oprócz tych dwóch programów, znałem też Minicoma, ale zawsze miałem go za program bardzo nieprzyjazny użytkownikowi i nadający się tylko do współpracy z modemami. Okazuje się jednak, że bardzo prosto jest zmusić go do pracy w roli pełnoprawnego terminala szeregowego. To tylko kwestia dodania kilku opcji w wierszu poleceń:

$ minicom -m -o -w -c on

lub krócej:

$ minicom -mowc on

Znaczenie poszczególnych opcji:

-m umożliwia korzystanie ze skrótów klawiaturowych z wykorzystaniem Alta (np. Alt+Q w celu wyjścia z programu),
-o wyłącza zupełnie w tym przypadku zbędną inicjalizację modemu,
-w zawija wiersze,
-c on włącza kolorki.

Jeżeli nie chcemy za każdym razem wpisywać wszystkich przełączników, wystarczy dopisać do ~/.bashrc:

export MINICOM="-m -o -w -c on"

i uruchamiać minicom bez ręcznego dopisywania tych opcji.

Po starcie pod Alt+Z zobaczymy wykaz komend, z których najbardziej będzie nas interesować Alt+O, czyli konfiguracja. Należy pamiętać, by w ustawieniach portu szeregowego wyłączyć kontrolę przepływu, a w ustawieniach ekranu dobrać odpowiedni dla nas schemat kolorów (czerwony pasek stanu to moim zdaniem przesada).

Zdaje mi się, że podczas zmiany konfiguracji portu program lubi zawiesić połączenie. Na szczęście rzadko muszę zmieniać parametry portu, zresztą wystarczy wtedy ponownie uruchomić Minicoma. Inny problem, który zauważyłem, to nieprawidłowe wyświetlanie polskich znaków. Znaki dwubajtowe wprawdzie wyświetlają się, ale są poprzedzone znakiem zapytania. Próbowałem korzystać z opcji -L, -l, -8 i zmieniać tablicę znaków, ale nie udało mi się z tym uporać. Brakuje mi też trybu szesnastkowego, dlatego nie mogę całkowicie zrezygnować z GTKTerma.

Niemniej Minicom okazał się całkiem niezłą aplikacją, a jego zaletą jest popularność (nie powinno być problemów ze znalezieniem go w repozytorium) i możliwość pracy bez środowiska graficznego.

PS Miłośnikom programu PuTTY warto przypomnieć, że radzi on sobie całkiem nieźle także z RS-232!

Instalacja AWStats na Debianie (z Apachem)

vmario — Thu, 24 Sep 2009 17:40:24 +0000

AWStats to narzędzie do analizy logów serwera WWW (a także FTP i e-mail, ale to mnie akurat nie interesowało), udostępniające bogate statystyki w całkiem przejrzystej, graficznej formie. Korzystam z Debiana w gałęzi stabilnej, który udostępnia AWStats w swoim repozytorium, liczyłem zatem, że wystarczy zainstalować paczkę i wszystko pójdzie z górki. Okazało się, że instalacja z paczki i tak kończy się ręczną konfiguracją, i to włącznie z wprowadzaniem poprawek w automatycznym (?) konfiguratorze. Dlatego w końcu postanowiłem wszystko zrobić sam. Cały proces jest trochę skomplikowany, ale warto spróbować.

Instalacja

Zaczynamy od pobrania AWStats. Rozpakowane archiwum umieszczamy w katalogu /usr/local/awstats. U mnie uprawnienia po rozpakowaniu były cokolwiek śmieszne (dziwne UID-y i GID-y), więc szybko wykonałem:

# chown root:root -R /usr/local/awstats

Dostępny jest automatyczny konfigurator awstats_configure.pl, jednak nauczony doświadczeniem, proponuję wykonać zadanie za niego.

Najważniejsze jest dodanie wpisów do konfiguracji Apache, by ten mógł serwować wyniki. Tworzymy plik /etc/apache2/awstats.conf:

Alias /awstatsclasses "/usr/local/awstats/wwwroot/classes/"
Alias /awstatscss "/usr/local/awstats/wwwroot/css/"
Alias /awstatsicons "/usr/local/awstats/wwwroot/icon/"
ScriptAlias /awstats/ "/usr/local/awstats/wwwroot/cgi-bin/"


Options None
AllowOverride None
Order allow,deny
Allow from all

Plik ten dołączamy do konfiguracji serwera, dopisują w /etc/apache2/apache2.conf:

Include /etc/apache2/awstats.conf

Konfiguracja hostów

Teraz przystępujemy do konfiguracji ustawień poszczególnych witryn. Tworzymy katalog /etc/awstats i umieszczamy tam szablon:

# cp /usr/local/awstats/wwwroot/cgi-bin/awstats.model.conf /etc/awstats/awstats.conf
# chmod u+w /etc/awstats/awstats.conf

Plik /etc/awstats/awstats.conf posłuży nam za szablon dla konfiguracji poszczególnych wirtualnych serwerów. Najważniejsze, by poniższe opcje miały odpowiednią wartość:

LogFile="/var/log/apache2/access.log"
LogType=W
LogFormat=1
DirIcons="/awstatsicons"

Teraz kopiujemy konfigurację dla naszego hosta. Przyjmijmy, że strona dostępna jest w domenie example.org i example.com.

# cp /etc/awstats/awstats.conf /etc/awstats/awstats.example.org.conf

W awstats.example.org.conf ustawiamy:

SiteDomain="example.org"
HostAliases="example.com"

Na koniec odświeżamy konfigurację:

# /etc/init.d/apache2 restart
# /usr/local/awstats/wwwroot/cgi-bin/awstats.pl -config=example.com -update

Wyniki odwiedzin powinny być widoczne pod adresem example.org/awstats/awstats.pl. Oczywiście, wyświetlenie statystyk jest liczone jak każde inne wejście na stronę, dlatego warto dopisać w konfiguracji AWStats:

SkipFiles="REGEX[^\/awstats]"

Kłopoty ze wspólnym logiem

Jeżeli wszystkie wirtualne hosty logują do tego samego pliku, możliwe, że AWStats nie będzie potrafił przyporządkować ruchu do odpowiednich domen. W takim przypadku należy sprawdzić, jaki format logu stosują poszczególne hosty. U mnie było to:

CustomLog /var/log/apache2/access.log combined

W konfiguracji Apache'a (/etc/apache2/apache2.conf) należy zatem znaleźć opis tego formatu:

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

i zamienić na:

LogFormat "%V %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

Teraz trzeba jeszcze zrestartować serwer i wyczyścić log /var/log/apache2/access.log (usunięcie tego pliku może skutkować wyłączeniem logowania). Jeżeli nie wyczyścimy logu, AWStats nie będzie chciał go czytać, bo nie będzie zgadzał mu się format.

W konfiguracjach hostów AWStats należy zmienić opcję LogFormat:

LogFormat="%virtualname %host %other %logname %time1 %methodurl %code %bytesd %refererquot %uaquot"

Przy okazji warto zauważyć, że pustą opcję HostAliases AWStats dopełnia m.in. wartościami localhost 127.0.0.1. Podejrzewam, że to również może fałszować wyniki, warto zatem, mając pustą opcję HostAliases, skopiować tam wartość SiteDomain.

Teraz można odświeżyć dane w AWStats. Jeżeli chcemy usunąć stare, błędne dane, wystarczy usunąć odpowiedni plik *.txt w /usr/local/awstats/wwwroot/cgi-bin/.

Automatyczne odświeżanie statystyk

Aby statystyki aktualizowały się automatycznie co np. 15 minut, dodajemy zadanie do crona:

*/15 * * * * /usr/local/awstats/wwwroot/cgi-bin/awstats.pl -config=example.org -update >/dev/null

Ponieważ podczas rotacji logów, możemy zgubić część danych, trzeba wcześniej wywoływać aktualizację. W tym celu edytujemy /etc/logrotate.d/apache2, dopisując odpowiednią opcję (tu wyróżnioną pogrubieniem):

/var/log/apache2/*.log {
        weekly
        missingok
        rotate 52
        compress
        delaycompress
        notifempty
        create 640 root adm
        sharedscripts
        prerotate
                /usr/local/awstats/wwwroot/cgi-bin/awstats.pl -update -config=example.org
        endscript
        postrotate
                if [ -f "`. /etc/apache2/envvars ; echo ${APACHE_PID_FILE:-/var/run/apache2.pid}`" ]; then
                        /etc/init.d/apache2 reload > /dev/null
                fi
        endscript
}

By żyło się lepiej

W celu uproszczenia dostępu do statystyk, możemy dodać przekierowanie, dopisując w pliku /etc/apache2/awstats.conf np.:

RedirectMatch ^/statystyki[/]?$ /awstats/awstats.pl

Z kolei w celu utrudnienia dostępu osobom niepowołanym (statystyki zawiera pokaźną ilość informacji), możemy zabezpieczyć AWStats hasłem. Najpierw tworzymy plik z loginem i hasłem:

# htpasswd -c /usr/local/awstats/wwwroot/cgi-bin/.htpasswd nasz_login

Następnie edytujemy fragment /etc/apache2/awstats.conf:


Options None
AllowOverride None
Order allow,deny
Allow from all
AuthName "Prosze o login i haslo :P"
AuthType Basic
AuthUserFile /usr/local/awstats/wwwroot/cgi-bin/.htpasswd
require valid-user

Teraz pod adresem example.org/statystyki będziemy mogli obejrzeć logi, ale dopiero po podaniu hasła.

Nierozwiązane problemy

Tak naprawdę brakuje mi w AWStats jednej funkcji. Chciałbym mieć możliwość ustawienia opcji HostAliases na wartość w stylu example.net/org/, bowiem zdarza mi się, że podkatalog jednego z wirtualnych hostów, staje się później oddzielnym wirtualnym hostem i chciałbym śledzić wszystkie odwiedziny w jednym miejscu.

LanguageTool dla Writera

vmario — Wed, 19 Aug 2009 14:00:54 +0000

W ramach wakacyjnego sezonu ogórkowego chcę przedstawić narzędzie, które sprawia, że mimo zafascynowania LaTeX-em, wciąż chętnie sięgam po Writera z pakietu OpenOffice.org. Narzędziem tym jest LanguageTool. Zapewne nie wszyscy wiedzą, że poza kontrolowaniem ortografii, Writer może też sprawdzać reguły gramatyczne i wyłapywać błędy językowe.

Aby cieszyć się dodatkową funkcjonalnością wystarczy tylko ściągnąć stosowne rozszerzenie i otworzyć plik za pomocą Writera lub wskazać go w Menedżerze rozszerzeń. Ponieważ LanguageTool wymaga Javy, musimy mieć ją zainstalowaną. Jeżeli podczas dodawania rozszerzenia straszy nas wielki komunikat z błędem Javy, prawdopodobnie brakuje jej obsługi w OOo. Problem ten występuje np. w standardowej instalacji Ubuntu, a jego rozwiązanie wymaga doinstalowania pakietu openoffice.org-java-common.

Po dodaniu, LanguageTool podkreśla wykryte błędy niebieskim wężykiem, a podczas ręcznego sprawdzania pisowni, podaje odpowiednie wyjaśnienia (po wskazaniu kursorem przycisku Wytłumacz) i sugestie poprawienia. Wyłapywane są m.in. błędy fonetyczne, frazeologiczne, interpunkcyjne i składniowe. LanguageTool zdaje się być czasem nieco nadgorliwy, np. jeżeli chodzi o wskazywanie nadużywanych słów, ale jego walory praktyczne i edukacyjne są niezaprzeczalne.

Laptop z WiFi, czyli router na szybko

vmario — Tue, 23 Jun 2009 18:18:14 +0000

Czasem zachodzi potrzeba, by zmienić laptopa z WiFi w router, który mógłby udostępnić połączenie z Internetem np. innemu komputerowi. Wydawałoby się, że na Linuksie nie ma nic prostszego, a w najgorszym razie wystarczy chwilę poszukać rozwiązania w Sieci. W praktyce może okazać się, że łatwo wpaść w konsternację, widząc mnogość rozwiązań.

Ponieważ dziś na własnej skórze doświadczyłem, jak dużo czasu może zająć konfiguracja tak banalnej rzeczy, postanowiłem podzielić się swoim doświadczeniem. Nie jestem specjalistą od sieci komputerowych, dlatego chętnie przyjmę krytykę i poprawię błędy, jeżeli dostrzeżecie takowe w poniższej instrukcji.

Zatem do dzieła! Zakładamy, że mamy laptopa z WiFi na interfejsie wlan0, który ma udostępnić połączenie internetowe drugiemu komputerowi, podłączonemu na interfejsie eth0 w podsieci 192.168.42.0/24 (tj. 192.168.42.0 z maską 255.255.255.0). Nasz laptop pracuje pod kontrolą Arch Linuksa.

Przygotowanie interfejsów sieciowych.

Tu napotkałem na pierwszy problem w postaci NetworkManagera. Jest to program, którego z przyjemnością używam na co dzień, ale który doprowadza mnie do białej gorączki, gdy chcę użyć bardziej wymyślnej konfiguracji. Oczywiście, można by go wyłączyć:
```
# /etc/rc.d/networkmanager stop
```
ale co nam wtedy skonfiguruje automatycznie połączenie? Zostawiamy więc NetworkManagera, licząc się z tym, że przy każdej możliwej okazji będzie nam bruździł, wyłączając eth0. Ja to zaakceptowałem, bo połączenie miało pracować tylko kilka minut. W innym przypadku, wziąłbym się za ręczną konfigurację WiFi.

Pozostałem jednak przy najprymitywniejszym rozwiązaniu: w konfiguracji NetworkManagera odznaczyłem opcję Łączenie automatyczne we wszystkich połączeniach przewodowych. Bez tego wetknięcie kabla do gniazda wyłączało połączenie radiowe.

eth0 konfigurujemy ręcznie:
```
# ifconfig eth0 up 192.168.42.1 netmask 255.255.255.0
```
Włączenie serwera DHCP i DNS.

Wbrew pozorom, jest to bardzo prosta czynność. Instalujemy dnsmasq, a w /etc/dnsmasq.conf wpisujemy dwie opcje:
```
interface=eth0
dhcp-range=192.168.42.2,192.168.42.41,12h
```
W razie potrzeby możemy też przypisać sztywne IP wskazanemu MAC-owi lub w ogóle wyłączyć DHCP (co jest mniej wygodne) — osoby zainteresowane znajdą stosowne informacje i przykłady w dokumentacji.

Teraz musimy tylko uruchomić serwer:
```
# /etc/rc.d/dnsmasq start
```
Uruchomienie routingu.

Routing można włączyć jednym poleceniem:
```
# echo 1 > /proc/sys/net/ipv4/ip_forward
```
Niektórzy zalecają jeszcze dodanie linijki
```
net.ipv4.ip_forward = 1
```
do /etc/sysctl.conf, jest to chyba jednak potrzebne tylko do automatycznego startu routingu po powtórnym uruchomieniu systemu. Nas to nie interesuje, bo na co dzień nie będziemy nic routować.

NAT, czyli maskarada IP.

Jest to najbardziej skomplikowany krok, wymagający grzebania się w iptables, a niezbędny do tego, by pakiety z Internetu mogły trafiać na odpowiednie IP i porty wewnątrz naszej miniaturowej sieci.

Tutaj skorzystałem z dokumentacji Gentoo i proponuję poniższe regułki:

# iptables -F
# iptables -t nat -F
# iptables -I FORWARD -i eth0 -d 192.168.42.0/255.255.255.0 -j DROP
# iptables -A FORWARD -i eth0 -s 192.168.42.0/255.255.255.0 -j ACCEPT
# iptables -A FORWARD -i eth0 -d 192.168.42.0/255.255.255.0 -j ACCEPT
# iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE

To wszystko, czego potrzebujemy. Oczywiście, ręczne kopiowanie i wklejanie komend w terminalu jest niewygodne, proponuję zatem skorzystać z poniższego skryptu, okraszonego paroma dodatkowymi instrukcjami, zapożyczonymi ze wspomnianej dokumentacji Gentoo. Przyznaję się bez bicia, że rozumiem tylko część z nich, ale ufam, że zwiększają one uniwersalność i bezpieczeństwo naszego routingu.

#!/bin/bash
 
# Włączenie DHCP, DNS, NAT, routingu.
 
# Iptables i routing na podstawie dokumentacji Gentoo.
# http://www.gentoo.org/doc/pl/home-router-howto.xml
 
# Zmienne konfiguracyjne.
LAN="eth0"
WAN="wlan0"
SIEC="192.168.42.0"
MASKA="255.255.255.0"
NASZEIP="192.168.42.1"
 
# Podniesienie interfejsu.
ifconfig ${LAN} up ${NASZEIP} netmask ${MASKA}
 
# Na początek czyścimy regułki:
iptables -F
iptables -t nat -F
 
# Domyślne zasady dla pakietów nie pasujących do żadnej regułki.
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
 
# Potem blokujemy usługi tak, aby były dostępne tylko dla sieci LAN:
iptables -I INPUT 1 -i ${LAN} -j ACCEPT
iptables -I INPUT 1 -i lo -j ACCEPT
iptables -A INPUT -p UDP --dport bootps ! -i ${LAN} -j REJECT
iptables -A INPUT -p UDP --dport domain ! -i ${LAN} -j REJECT
 
# (Opcjonalnie) pozwalamy na dostęp do naszego serwera SSH z Internetu:
#iptables -A INPUT -p TCP --dport ssh -i ${WAN} -j ACCEPT
 
# Upuszczamy pakiety TCP/UDP dla uprzywilejowanych portów:
iptables -A INPUT -p TCP ! -i ${LAN} -d 0/0 --dport 0:1023 -j DROP
iptables -A INPUT -p UDP ! -i ${LAN} -d 0/0 --dport 0:1023 -j DROP
 
# Ostatecznie dodajemy regułki dla NAT (to są najważniejsze regułki!):
iptables -I FORWARD -i ${LAN} -d ${SIEC}/${MASKA} -j DROP
iptables -A FORWARD -i ${LAN} -s ${SIEC}/${MASKA} -j ACCEPT
iptables -A FORWARD -i ${WAN} -d ${SIEC}/${MASKA} -j ACCEPT
iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE
 
# Informujemy jądro o chęci przekazywania IP:
echo 1 > /proc/sys/net/ipv4/ip_forward
for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done
 
# Uruchomienie DHCP i DNS.
# W /etc/dnsmasq.conf wystarczy:
# interface=eth0 (nasz interfejs lan)
# dhcp-range=192.168.42.2,192.168.42.41,12h (zakres IP dla DHCP)
/etc/rc.d/dnsmasq start

Mam nadzieję, że mój bardzo nieprofesjonalny poradnik mimo wszystko komuś się przyda. Jeżeli nie, to trudno, będzie przynajmniej stanowił rozwiązanie, do którego będę mógł w razie potrzeby wrócić.

Sage policzy to za Ciebie

vmario — Thu, 21 May 2009 18:07:57 +0000

Z pewnym żalem obserwuję czasem wśród moich kolegów z uczelni prawie że kompletny brak umiejętności posługiwania się oprogramowaniem matematycznym. Rozumiem jednak niechęć do MATLAB-a, a nawet do samej matematyki; ze wstydem przyznaję też, że sam, po blisko czterech latach na politechnice, posiadam wciąż bardzo ubogi aparat matematyczny i z trudem udaje mi się zmusić komputer do tego, do czego został stworzony, czyli do… liczenia.

Chcąc nie chcąc, uczyłem się w ramach zajęć na ETI wykorzystywać MATLAB-a, a więc przy okazji i Octave’a, do podstawowych obliczeń, szybko jednak zapominałem pokręconą składnię tego środowiska. Brakowało mi też wsparcia dla obliczeń analitycznych i możliwości pisania programów z użyciem wygodnej składni. Potrzebowałem czegoś, co pozwoli mi zarówno policzyć analitycznie całkę, z którą nie poradzi sobie mój kalkulator (Casio Algebra FX 2.0 Plus), wykreślić przebieg dowolnej funkcji, wyznaczyć DFT sygnału, jak i szybko zaimplementować jakiś własny algorytm.

Cóż więc mi pozostawało? SciPy, Maxima, Scilab? A może coś jeszcze innego? W końcu trafiłem na środowisko Sage.

Powiedzieć, że Sage jest programem matematycznym, to nieścisłość. Określić go jako zgrabne środowisko do wszelkiego rodzaju obliczeń to nadużycie, przynajmniej jeżeli chodzi o mój pogląd na piękno. Uważam, że tutaj najbardziej pasuje określenie „duct tape”. Jeżeli jesteś matematykiem lub cenisz eleganckie rozwiązania programistyczne (albo miejsce na twardym dysku…), Sage może nie wzbudzić Twojego zachwytu. Jeżeli jednak masz w sobie ducha MacGyveryzmu, Sage może okazać się świetnym rozwiązaniem wielu problemów.

Sage jest zbiorem programów i bibliotek matematycznych, takich jak Maxima, SciPy czy GSL, powiązanych Pythonem i okraszonych interfejsem CLI i dziwacznym GUI w postaci… strony WWW. Jego niewątpliwą zaletą jest darmowość i otwartość (możemy więc poznać sposób, w jaki przeprowadzane są obliczenia).

Korzystam z Arch Linuksa, gdzie Sage dostępny jest w repozytorium AUR jako sage-mathematics i sage-mathematics-bin. Pierwszy pakiet chyba nie chciał mi się kompilować, a w każdym razie miałem z nim jakiś problem, ściągnąłem więc źródła bezpośrednio ze strony programu i próbowałem sam go zbudować. Niestety, udało mi się rozwiązać tylko część problemów i w końcu zakończyłem na błędzie po dwóch czy trzech godzinach kompilacji. Zrezygnowany sięgnąłem po binarkę. Pomijając fakt, że pobrałem bodaj 400MB, instalacja przebiegła bezboleśnie. Co prawda z dysku zniknęło mi 1,2GB, ale nie byłem zdziwiony — o ile dobrze zauważyłem, Sage zawiera w sobie wszystkie niezbędne biblioteki i programy, więc mam teraz zdublowanego Pythona, Maximę, SciPy i pewnie sporo innych rzeczy…

Przejdźmy jednak do meritum. Po uruchomieniu program może krzyczeć o odpowiednie uprawnienia do katalogu konfiguracyjnego. Poniższa komenda powinna rozwiązać problem:

# chmod +x ~/.sage/ipython

Teraz odpalamy powłokę Sage’a i możemy przystępować do liczenia. Jednak od interfejsu linii poleceń znacznie wygodniejszy jest interfejs webowy, uruchamiany poleceniem notebook(). Jego działanie polega na wystartowaniu serwera WWW i przeglądarki z aplikacją webową. Jest to rozwiązanie w takim samym stopniu dziwne, co wygodne. Zgodnie z nazwą, serwuje nam ono coś w rodzaju notesów, w których możemy zapisywać obliczenia i ich wyniki. Przyznaję, że jest to bardzo intuicyjne rozwiązanie. Niestety, jesteśmy pozbawieni jakiegoś zgrabnego IDE, pozwalającego wykorzystać możliwości Sage’a do pisania dłuższych skryptów czy programów. Może to i lepiej…

Odłóżmy jednak na bok ironiczne uwagi i przyjrzyjmy się bliżej notebookowi. Screencasty pokazują bogate możliwości tego interfejsu. W szczególności należy zwrócić uwagę na tryb interaktywny — możliwość szybkiego napisania skryptu, który na bieżąco wizualizuje parametry ustawiane suwakiem, zrobiła na mnie wrażenie. To aż się prosi o wykorzystanie w szkołach czy na uczelniach!

Wykresy są całkiem estetyczne, do wypisywania wzorów można wykorzystać składnię LaTeX-a, a możliwość zapisania stanu pracy i powrotu w każdej chwili do obliczeń jest bardzo wygodna. Brakuje mi tylko skrótu klawiaturowego, który obliczałby wyrażenie bez przenoszenia do kolejnego wiersza (a tak działa Shift + Enter). Może jednak to tylko mój brak znajomości klawiszologii.

Jako podsumowanie cisną mi się na usta słowa: „To jest naprawdę świetne narzędzie, ale…”. Owych „ale” jest, niestety, sporo: od samej idei zlepienia różnych programów matematycznych, przez duże rozmiary aplikacji po dziwny interfejs. W zamian jednak otrzymujemy ogromne możliwości, pomysłowy tryb interaktywny i w sumie niegłupią ideę notebooków. Warto zatem instalować? Szczerze mówiąc, gdyby projekt Wolfram|Alpha wystartował trochę wcześniej, to pewnie nie sięgnąłbym po Sega’a, w każdym razie nie po to, by policzyć analitycznie kilka całek czy wykreślić przebieg funkcji. Myślę jednak, że warto spróbować przygody z tą aplikacją czy to przez LiveCD, czy przez instalację binarki. W mojej krótkiej recenzji nie zabrakło złośliwości, ale nie mam zamiaru usuwać w najbliższym czasie programu z dysku — czas pokaże, czy to narzędzie rzeczywiście okaże się niezastąpione.

Nut/OS na Linuksie i MMnet104

vmario — Wed, 06 May 2009 19:29:57 +0000

Tydzień temu pisałem o przywróceniu do życia modułu MMnet104. Dziś opiszę krótko instalację i uruchomienie środowiska, które pozwoli oprogramować ten moduł pod Linuksem z użyciem systemu operacyjnego Nut/OS.

Nut/OS jest modularnym systemem operacyjnym czasu rzeczywistego (RTOS) opracowanym w ramach projektu Ethernut. Ethernut jest projektem typu „open source hardware”, mającym na celu udostępnienie systemów wbudowanych obsługujących Ethernet.

Nas w tej chwili interesuje jednak tylko część software’owa tego projektu, czyli Nut/OS, udostępniający gotowy stos TCP/IP i obsługę protokołów takich jak DHCP, DNS, SMTP, a nawet HTTP czy FTP. Nut/OS bardzo dobrze wspiera kompilator AVR-GCC, a poza tym autorzy projektu przewidzieli możliwość pracy na Linuksie, więc czas przystąpić do dzieła.

Zaczynamy od ściągnięcia źródeł, rozpakowania i uruchomienia konfiguracji:

$ tar jxvf ethernut-4.8.2.tar.bz2
$ cd ethernut-4.8.2
$ ./configure

Powinniśmy zobaczyć m.in.:

configure: nutconfgui is enabled

co oznacza, że będziemy mogli skorzystać z konfiguratora graficznego. W innym wypadku zapewne będziemy musieli doinstalować wxWidgets lub inną bibliotekę, której brak wskaże nam konfigurator.

Ja napotkałem inny problem, związany ze specjalną biblioteką wxPropertyGrid, wymaganą przez narzędzie nutdisc, czyli Discoverera:

configure: WARNING: wxpropgrid not found
[…]
configure: nutdisc requires propgrid

Discoverer nie jest na szczęście niezbędny, jest to dodatkowy program, umożliwiający odnalezienie w sieci Ethernet nie do końca skonfigurowanych hostów, pracujących pod kontrolą Nut/OS-a.

Niestety, u mnie Ethernut najpierw nie widział skompilowanej biblioteki, a po wprowadzeniu zmian w configure i tak kończył kompilację z błędem. Koniec końców zignorowałem więc brak Discoverera i odpaliłem:

$ make
$ make check
$ su -c "make install"

Podczas kompilacji może nas jednak spotkać kolejna przykra niespodzianka: proces przerwie się niespodziewanie, sypiąc błędami, zapoczątkowanymi przez komunikat

error: wx/setup.h: Nie ma takiego pliku ani katalogu

Na szczęście i na to jest prosta rada:

# ln -s /usr/lib/wx/include/gtk2-unicode-release-2.8/wx/setup.h /usr/include/wx-2.8/wx/setup.h

Teraz make clean i jazda od nowa z kompilacją!

Po zainstalowaniu nie zmieniamy katalogu, tylko uruchamiamy nutconf i wybieramy plik konfiguracyjny MMnet104.conf.

Następnie klikamy Edit -> Settings. W zakładce Build Source Directory powinien wskazywać na katalog, do którego rozpakowaliśmy źródła, zaś Platform powinien mieć wartość avr-gcc. Jako Build Directory podałem katalog ~/test/build, zaś jako Install Directory — ~/test/build/lib. W zakładce Samples wskazałem ~/test/samples.

Teraz klikamy Build -> Build Nut/OS i Build -> Create Sample Directory. W efekcie uzyskujemy gotowe środowisko pracy: jądro RTOS, liczne biblioteki i przykładowe aplikacje. Możemy zacząć np. od serwera HTTP — po wydaniu komendy make w katalogu samples/httpd powinniśmy otrzymać HEX-a gotowego do wgrania do naszego mikrokontrolera.

Przy okazji wspomnę, iż warto skorzystać z debugowania za pomocą interfejsu RS232. Interfejs ten coraz rzadziej spotyka się w komputerach, jeżeli jednak korzystamy z płytki wyposażonej w konwerter RS232<->USB na bazie układu scalonego FTDI, Linux powinien nam automatycznie wykryć port i przypisać go do urządzenia /dev/ttyUSB0. Na PC-cie wystarczy uruchomić terminal RS232, np. GTKTerm czy CuteCom (baudrate odczytamy z kodu źródłowego; w moim przypadku parametry transmisji wynosiły 115200, 8N1), a w kodzie programu mikrokontrolera umieścić wywołania printf() czy puts(), raportujące stan urządzenia.

Jedyną niedogodnością jest fakt, iż po odłączeniu kabla lub zasilania płytki oba terminale zawieszają się, zajmując przy okazji całą moc CPU PC-ta. Dlatego w takich sytuacjach warto pamiętać o wcześniejszym rozłączeniu połączenia w terminalu.

Uruchamianie programu Java z użyciem Pythona

vmario — Sat, 25 Apr 2009 11:26:08 +0000

Na potrzeby jednego z projektów na uczelni chciałem sprawdzić, jakie możliwości udostępnia GUI pakietu JDMP. Nie lubię jednak Javy i nie chciało mi się w niej pisać nawet króciutkiego programiku. Postanowiłem, że zamiast tego po raz pierwszy spróbuję Jythona.

Jython, następca JPythona, jest implementacją Pythona w Javie i, co w tym przypadku najważniejsze, pozwala posługiwać się klasami Javy przez skrypty Pythona (a także z użyciem trybu interaktywnego!).

Po zainstalowaniu Jythona warto nadać odpowiednie uprawnienia dla katalogu cache’a. W moim przypadku było to:

# /opt/jython/jython
# chmod -R a+rw /opt/jython/cachedir/

Dzięki temu unikniemy komunikatów takich jak poniższy:

*sys-package-mgr*: can't write index file

Poza tym cache powinien odrobinę przyspieszyć pracę Jythona, a przynajmniej tak mi się wydaje ;)

Wracając do meritum: skrypt wywołujący funkcję main() interesującej mnie klasy wygląda bardzo prosto. Wystarczy dodać do ścieżki systemowej plik JAR i zaimportować klasę.

W moim przypadku funkcja main() wywołana bez argumentów zgłosiła błąd, więc szybko dopisałem coś, co powinno z grubsza symulować wywołanie z konsoli.

#!/usr/bin/env /opt/jython/jython
 
import sys
sys.path.append("jdmp.jar")
import org.jdmp.gui.JDMP
 
org.jdmp.gui.JDMP.main(["test","-g"])

PS Domyślam się, że pewnie jest prosty sposób na uruchomienie tej funkcji za pomocą Javy, ale znalezienie takiego rozwiązania zajęłoby mi pewnie tyle samo, co napisanie powyższego skryptu.

Walka z RandR w GNOME

vmario — Thu, 16 Apr 2009 20:37:23 +0000

RandR to rozszerzenie X-ów, które pozwala m.in. na dynamiczną zmianę rozdzielczości ekranu i zarządzanie monitorami. Bardzo rzadko z niego korzystam, bo na ogół albo pracuję na wbudowanej matrycy laptopa, albo podłączam zewnętrzny monitor jeszcze przed uruchomieniem systemu, a wtedy X-y same go wykryją. Oczywiście, w razie czego zawsze można skorzystać z

$ xrandr --auto

i wszystkie podłączone monitory automatycznie się skonfigurują. Z użyciem tego konsolowego programu można też pobawić się w tworzenie bardziej złożonych ustawień, typu jeden monitor nad drugim, jeden obok drugiego itp.

Żeby było nam wygodniej, przyjemniej i cieplej w plecy GNOME udostępnia GUI dla RandR. Wynalazek ten figuruje w moim menu jako Ekran i uruchamia program gnome-display-properties. Jest to narzędzie, które teoretycznie może i ułatwia życie, ale w praktyce przynosi więcej szkody niż pożytku, przynajmniej w moim wypadku.

Po uruchomieniu wspomnianej aplikacji pobawiłem się trochę ustawieniami, pochwaliłem w duchu dobry pomysł, wykrzaczyłem X-y i w końcu stwierdziłem, że mi to do szczęścia potrzebne nie jest. Niestety, w międzyczasie zdążyłem coś zmienić i cały pulpit przesunął się kilka pikseli poza obszar ekranu. Po restarcie X-y podnosiły się poprawnie, ale po zalogowaniu do GNOME-a wszystko znów się przesuwało. Była to przypadłość tylko i wyłącznie GNOME-a, więc doszedłem do wniosku, że środowisko to musi przy włączaniu ładować jakieś dziwne ustawienia. Ponieważ w autostarcie nie znalazłem nic podejrzanego, zacząłem męczyć gnome-display-properties i w końcu znalazłem przyczynę kłopotów: złą częstotliwość odświeżania. Po jej zmianie ekran przesunął się na dawne miejsce, ale… tapetę miałem rozciągniętą strasznie w dół. Podniesienie pokrywy laptopa ukazało istotę problemu: miałem ustawione dwa monitory, połączone w pionie. Niestety, ustawienia tego nie mogłem anulować, bo próba wyłączenia wbudowanego wyświetlacza kończyła się restartem X-ów.

Ponieważ tapeta jest w komputerze najważniejsza (a ponadto piekielnie niewygodny jest kursor myszy, który nie zatrzymuje się na dole ekranu, ale jedzie sobie śmiało poniżej paska zadań; że o dziwnie maksymalizujących się niektórych oknach już nie wspomnę), zabrałem się za poszukiwania tego-czegoś-co-trzeba-wyłączyć.

Na pierwszy ogień poszedł autostart. Wyłączenie Usługi ustawień środowiska GNOME pomogło, ale przecież trudno używać GNOME bez gnome-settings-daemon. Musiałem więc znaleźć miejsce, w którym nieopatrznie zmieniłem jakieś ustawienie. Oszczędzę Wam szczegółów tych poszukiwań, dość powiedzieć, że w końcu sięgnąłem nawet po hexedytor i przeglądając jedną z bibliotek GNOME-a w końcu znalazłem to, czego szukałem.

Otóż GNOME używa wątpliwej proweniencji (czyżby inspiracja rejestrem Windows?) wynalazku jakim jest GConf. Po uruchomieniu edytora gconf-editor można użyć wyszukiwarki, by znaleźć pozycję /apps/gnome_settings_daemon/plugins/xrandr. Teraz wystarczy odznaczyć opcję active i po sprawie.

Proste, prawda? Oczywiście, można by tę opcję umieścić w gnome-display-properties, ale wtedy byłoby aż za łatwo…

Na przyszłość radzę wspomnianej aplikacji nie dotykać, a w systemie przypisać jakiś łatwy skrót klawiaturowy (np. Win + x) do komendy

$ xrandr --auto

Tak na wszelki wypadek, gdyby nam kiedyś X-y oszalały po podłączeniu nowego monitora.

PS O GConf możecie poczytać u Grzglo.