Для начала надо определиться с зоной ДНС. Можно выбрать зону совершенно независимо от реальных. Назовём её, скажем, dynamics.lan

Теперь сгенерерируем ключи, необходимые серверу, для обновления зоны на DNS:
dnssec-keygen -a HMAC-MD5 -b 512 -n USER dyn
Мы получили 2 файла – *.key и *.private. По опыту могу сказать, что сразу надо проверить идентичность ключей (иногда вставляется лишний пробел).

Файл *.private положем на DNS-сервер в папку /etc/bind
и добавим в /etc/bind/named.conf описание зоны:


key dyn {
algorithm hmac-md5;
secret "ключ";
};
.........................
zone "dynamics.lan" {
type master;
file "/var/cache/bind/dynamics.lan.zone";
allow-update {
key dyn;
};

};


Дописываем зону :

$ORIGIN .
$TTL 86400 ; 1 day
dynamics.lan IN SOA localhost. vash.dns.server. (
7 ; serial
10800 ; refresh (3 hours)
3600 ; retry (1 hour)
6048 ; expire (1 hour 40 minutes 48 seconds)
600 ; minimum (10 minutes)
)
NS localhost.
NS vash.dns.server.
A 192.168.0.11
$ORIGIN dynamics.lan.
$TTL 600 ; 10 minutes
router1 A 192.168.0.10

Обновив Bind9, можно приступать к настройке на сервере для филиала:

создаём скрипт в /opt/update_ip:

#!/bin/bash
ip=`ifconfig eth0|awk '/inet addr/ {print($2)}'|awk -F\: '/addr/ {print($2)}'` && echo "server vash.dns.server. 53\n zone dynamics.lan.\n update delete router1.dynamics.lan. A\n update add router1.dynamics.lan. 600 A $ip\n show\n send \n"|/usr/bin/nsupdate -k /etc/bind/Kdyn.+157+55093.private -vv


Разберём немного код. В переменную ip в результате разбора текста попадает текущий адрес, полученный сервером на интерфейсе eth0. Далее генерится файлик, похожий на:

server vash.dns.server. 53
zone dynamics.lan.
update delete router1.dynamics.lan. A
update add router1.dynamics.lan. 600 A 192.168.0.10
show
send


Ну и последняя команда берет эти данные и файл с ключём /etc/bind/Kdyn.+157+55093.private и передаёт их на DNS-сервер.
DNS-сервер, получив такой запрос, удаляет запись со старым адресом и добавляет запись с новым.

Добавим в крон задание:

*/5 * * * * root /opt/update_ip >> /var/log/update_ip.log


Теперь мы автоматизировали процесс.
А на рабочей машине можно написать такой скрипт /opt/sshrt1:

ssh -l имя_юзера `host router1.dynamics.lan адрес_вашего_DNS |grep has|awk '/has/ {print($4)}'`


Теперь, лишь набрав /opt/sshrt1, мы попадём на приглашение ssh нашего сервера вне зависимости, от его текущего

Теперь появились устройства ttyUSB*:

ls /dev/ttyU*
/dev/ttyUSB0 /dev/ttyUSB1 /dev/ttyUSB2


Модемом является /dev/ttyUSB2. Его мы и будем использовать.

Так как модем, повторюсь, какой-то странный, я не смог настроить дисконнект – убиваю его командой killall pppd , то мы создадим 2 файла настройки pppd – первый с дозвоном и инициализацией устройства (первая попытка позвонить), второй – просто дозвон (считаем, что он инициирован) :
/etc/ppp/peers/people:

connect "/usr/sbin/chat -v -f /etc/ppp/chats/ppl-pcmcia"
usepeerdns
defaultroute
/dev/ttyUSB0
921600
noauth
user "80922000000@people.net.ua" # Ваш номер телефона
#password "X"
#disconnect "/usr/sbin/chat -f /etc/ppp/chats/ppl-pcmcia-disconnect"

и второй /etc/ppp/peers/people-noinit:

usepeerdns
defaultroute
/dev/ttyUSB0
921600
noauth
user "80922000000@people.net.ua" # Ваш номер телефона
#password "X"

И собственно сам скрипт дозвона /etc/ppp/chats/ppl-pcmcia:

'' 'ATZ'
SAY "ATZ sent\n"
'OK' 'ATE0V1&F&D&D2&C1&C2S0=0'
SAY "Init 1 sent\n"
'OK' 'ATE0V1'
SAY "Init 2 sent\n"
'OK' 'ATS7=60'
SAY "Init 3 sent\n"
'OK' 'ATD#777'
SAY "Dialing\n"
'CONNECT' ''
SAY "\n connected"


Теперь можно подключаться с помощью команды

# pppd call people


Если соединение оборвалось (pppd упал, интерфейс ppp0 исчез), а лампочка на модеме продолжает мигать (обычное для zte-my39 поведение) – подключаться нужно другой командой:

# pppd call people-noinit

Позже, когда разберусь с корректным дисконнектом, напишу

и ставим:


sudo dpkg -i epson-alc1100-filter_1.2-1_i386.deb
sudo dpkg -i epson-alc1100-filter-cups_1.2-1_i386.deb


Теперь можно смело настраивать принтер стандартным средством в Ubuntu (Система -> Администрирование -> Печать)
и выбираем ppd файл при установке:

/usr/share/cups/model/Epson-AL-C1100-fm3.ppd

Также этот файл можно найти в сети по адресу:
Epson-AL-C1100-fm3.ppd
Теперь принтер вполне печатает. И даже вполне недурно.

Файлы 201.tar и 201.conf (который был в /etc/vz/conf) теперь можно залить на другие сервера, дабы они там хранились для пущей надёжности.
Разумеется такое можно делать в скрипте по крону.

Конфиг bind9 просто скопировал в соответствующее место на контейнере. Файлы зон, так как он был secondary, зашли сами.

Теперь ДНС-сервер работает в отдельном контейнере OpenVZ, а хост, освобождён от лишнего сервиса. В дальнейшем можно сохранить состояние контейнера и перенести на другой сервер.

Для начала ставим ядро версии 2.6.24 с ovz патчем. Например у меня сейчас такое:

uname -r
2.6.24-24-openvz

После загрузки с этого ядра, продолжаем установку:

sudo apt-get install vzctl vzquota

Затем необходимо отредактировать файл /etc/sysctl.conf следующим образом:

net.ipv4.conf.all.rp_filter=1
net.ipv4.icmp_echo_ignore_broadcasts=1
net.ipv4.conf.default.forwarding=1
net.ipv4.conf.default.proxy_arp = 0
net.ipv4.ip_forward=1
kernel.sysrq = 1
net.ipv4.conf.default.send_redirects = 1
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.eth0.proxy_arp=1

В /etc/vz/vz.conf добавим строчку

NEIGHBOUR_DEVS=all

Эта опция необходима, если IP адреса на виртуальных машинах будут из другой подсети, нежели IP хост-системы.
Теперь осталось разобраться с виртуальными машинами. Тут есть, как минимум, 2 разных метода: либо загрузить готовый шаблон машины, либо создать шаблон «на лету». Лично я выберу первый вариант:

cd /var/lib/vz/template/cache
wget http://download.openvz.org/template/precreated/ubuntu-8.04-x86.tar.gz


Взял за основу 8.04 LTS из-за её «длинной» поддержки.
Теперь о создании самих виртуальных машин.

vzctl create 201 --ostemplate ubuntu-8.04-x86 --config vps.basic
vzctl set 201 --onboot yes --save
vzctl set 201 --hostname mordsith --save
vzctl set 201 --ipadd 192.168.200.11 --save
vzctl set 201 --numothersock 120 --save
vzctl set 201 --vmguarpages 65536 --save
vzctl set 201 --privvmpages 131072 --save
vzctl set 201 --nameserver 1.1.1.1 --nameserver 2.2.2.2 --save


После настройки можно теперь запустить:
vzctl start 201
и войти внутрь

root@office:/# vzctl enter 201
entered into VE 201
root@mordsith:/#
root@mordsith:/# exit
logout
exited from VE 201
root@office:/#

Иногда возникает ситуация, когда в ve нет сети или выхода в инет. Это лечится добавлением правил

-A INPUT -s 192.168.0.0/255.255.0.0 -i venet0 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -i eth0 -o venet0 -j ACCEPT
-A FORWARD -i ppp0 -o venet0 -j ACCEPT
-A FORWARD -i venet0 -o ppp0 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -i venet0 -o eth0 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.0.0 -i venet0 -o venet0 -j ACCEPT
-A OUTPUT -d 192.168.0.0/255.255.0.0 -o venet0 -j ACCEPT

на хн (хост-ноде)
Теперь трафик из/в контейнеров ходит и в сеть и в инет.
Виртуальный сервер можно ребутнуть:

vzctl restart 201

или выключить

vzctl stop 201


Сейчас можно работать с сервером средствами vzctl. Но можно задать пароль root и использовать его как обычный сервер.

vzctl exec 201 passwd

Теперь можно заходить по ssh или управлять через сертификаты.
Список настроенных виртуальных серверов:

root@office:/# vzlist -a
VEID NPROC STATUS IP_ADDR HOSTNAME
101 8 running 192.168.0.101 kelen
111 4 running 192.168.0.211 etch
201 12 running 192.168.200.11 mordsith
root@office:/#


Список используемых сервером ресурсов:

vzctl exec 201 cat /proc/user_beancounters
Version: 2.5

Если в колонке failcnt не только нули, то это означает, что виртуальному серверу необходимо больше ресурсов, нежели сейчас выделено. В дальнейшем опишу миграцию с хн в ve днс, mysql, вэб-сервера…

В качестве виртуальной сети выберем сеть 192.168.100.0/24

2.Установка.

Установка зависит от операционной системы, потому приведу лишь несколько примеров.

Для систем на основе Debian, а также ALT Linux установка  OpenVPN производится командой:
sudo apt-get install openvpn

Кроме этого, надо проверить имеет ли ядро поддержку TUN/TAP устройств. Если нет – необходимо скомпилировать модуль. Во всех современных дистрибутивах это уже есть в коробке.

Для ОС Windows, необходимо в первую очередь получить инсталляционный файл. Скачать его можно с помощью ссылки. На момент написания статьи, текущая версия OpenVPN – 2.0.9. Затем необходимо проинсталлироваеть полученное програмное обеспечение обычным вызовом .exe файла. Во время инсталляции оставьте все значения по умолчанию.

3.Генерация сертификатов и ключей
Тут и тут подробно описано, как создаются сертификаты и ключи в POSIX-системах, а тут – как в не POSIX:

4. Конфиг
Конфигурационный файл сервера (конфиг с “боевого” сервера пример POSIX-систем)

cat server.conf
#указываем порт, на котором будет работать наш сервер
port 1194
# протокол будет использоваться udp (обычно он работает быстрее чем tcp)
proto udp
# используемый тип устройства и номер
dev tun
;dev tap0
;dev-node tap0
#указываем файл CA (Certificate Authority)
ca /etc/openvpn/ca.crt
#указываем файл с сертификатом сервера
cert /etc/openvpn/server.crt
#указываем файл с ключем сервера
key /etc/openvpn/server.key
#указываем файл Диффи Хельман
dh /etc/openvpn/dh1024.pem
#задаем виртуальный IP-адрес сервера и маску подсети, которые будут использоваться в нашем туннеле между сервером и удаленными клиентами
server 192.168.100.0 255.255.255.0
#в какой файл будем записывать выданные для VPN адреса
ifconfig-pool-persist ipp.txt
#указываем клиенту маршрут к серверу по виртуальному интерфейсу
push "route 192.168.100.0 255.255.255.0"
#указываем клиенту маршрут во внутреннюю сеть по виртуальному интерфейсу
push "route 192.168.0.0 255.255.255.0"
#указывем каждые 10 секунд пинговать удаленный хост и, в случае если в течении 120 секунд не будет ответа, разрывать соединение
keepalive 10 120
# сжатие трафика
comp-lzo
# так можно указать максимально количество клиентов
;max-clients 100
#Подключение модуля аутентификации openvpn-auth-pam.so и использование программы login для аутентификации пользователей во время установки соединения. Увеличивает безопасность за счёт доплнительной проверки пары логин/пароля
plugin /usr/lib/openvpn/openvpn-auth-pam.so login
# пользователь и группа от лица которы будет работать OpenVPN – выбираем самых бесправных
user nobody
group nogroup
# Не перечитывать ключи после получения  SIGUSR1 или ping-restart
persist-key
# Не закрывать и переоткрывать TUN\TAP устройство, после получения SIGUSR1 или ping-restart
persist-tun
;status openvpn-status.log
log-append  openvpn.log
# Уровень отладочной информации
verb 4
mute 20
#Разрешить пересылку пакетов между клиентами:
client-to-client
#Автоматически прописать машрут на сервере до клиента
client-config-dir /etc/openvpn/ccd

Создаём файл для каждого клиента в папке:  /etc/openvpn/ccd
следующего содержания:

cat  /etc/openvpn/ccd/client1
# маршрут для клиента client1, чтобы видеть сеть за сервером
push "route 192.168.0.0 255.255.255.0"

Тут же можно описать какую сеть за клиентом должен видеть  сервер (это например может понадобится при настройки связи нескольких удаленных офисов) строкой:

# маршрут для сервера, чтобы видеть сеть за клиентом  client1
iroute 192.168.200.0 255.255.255.0

Дополнительное описание параметров можно найти, например, в статье

Пример для не-POSIX системы можно найти в 1 и 2

5.Настройка клиента
конфиг POSIX-клиента:

remote 89.89.89.89 1194
client
dev tun
proto udp
resolv-retry infinite # необходимо для DynDNS
nobind
#Если есть прокси – указываем.
;proxy 12.23.34.45:3128
user nobody
group nogroup
persist-key
persist-tun
ca /etc/openvpn/ca.crt
cert /etc/openvpn/client1.crt
key /etc/openvpn/client1.key
comp-lzo
# включаем вместе с pam-аутентификацией
auth-user-pass
verb 4
mute 20

для не-POSIX клиентов конфиг таков:
remote 89.89.89.89 1194
client
dev tun
proto udp
resolv-retry infinite #  необходимо для DynDNS
nobind
#Если есть прокси – указываем.
;proxy 12.23.34.45:3128
persist-key
persist-tun
ca ca.crt
cert pavel.crt
key pavel.key
# включаем вместе с pam-аутентификацией
auth-user-pass
comp-lzo
#Эту строчку надо добавить в операционных системах MS Windows Vista и MS Windows 7 – для изменения приоритетов маршрутов
;redirect-gateway def1
verb 4
mute 20

6. Необходимо настроить iptables на работу с VPN. В статье расказывается о настройке iptables.

Запускаем сервис OpenVPN командой

# /etc/init.d/openvpn start

Процесс создания OpenVPN-сервера на других системах (Gentoo, Slackware, *BSD) будет аналогичен данному.

Достал диск загрузочный с акронисом, загрузился…. Без проблем уменьшил раздел – благо частенько с акронисам сталкиваюсь и даже резервную копию MBR не делал. На всякий случай ребутнулся поверить – работает ли все по-прежнему и – о ужас! – груб не загрузился показав мне error 17. Не долго думая вновь звгрузился с того же акрониса и назад все поставил…. Ребут – error 17. Мистика…

Теперь думаю уже не о Web-сервере, а о том, чтоб система загружалась… Решил восстановить. Под рукой оказался диск старой убунты Xubuntu 7.04. Загрузился с него, ну и начал по инструкции ставить – а он хоть тресни ругается на нечитаемость stage1. Попробовал современное средство – grub-install, но в общем-то с тем же результатом… Начал читать http://www.gentoo.org/doc/ru/grub-error-guide.xml , выискивая что-то похожее…

Не знаю сколько бы так возился, если б не одна мысль, подсказанная знакомым – быть может версии grub очень разные…
С этого времени отчет пошел на минуты:
Примонтировал раздел:

$mount /dev/sda6 /media


Примонтировал служебные фс к той папке:


$mount --bind /dev/ /media/dev
$mount -t proc none /media/proc


И сменил корневую систему:

chroot /media


С этого момента начала работать система 8.10, которая стояла на ноутбуке. И разумеется запустив sudo grub я вполне смог поставитьна место grub:


grub> find /boot/grub/stage2
(hd0,5)
grub>root (hd0,5)
grub>setup (hd0)


И вот после очередного ребута все встало на свои места! Ура? Как-бы не так! Ведь поставленная задача не выполена: начал думать о других решениях. и в голову пришла мысль ntfsresize+fdisk…. Уменьшив раздел:

ntfsresize -i 20480M /dev/sda5

затем пересоздаю его с помощью fdisk, учитывая новый размер ФС.

После ребута вновь наблюдаю картину error 17 – но тут все ясно, вместо /dev/sda6 корневой раздел стал /dev/sda5. Попровив Grub я смог приступить к взгромождению Web-сервера. Но это совсем другая история…