Введение
Протокол TCP, в отличие от UDP, осуществляет доставку дейтаграмм, называемых сегментами, в виде байтовых потоков с установлением соединения. TCP применяется в тех случаях, когда требуется гарантированная доставка сообщений. Он использует контрольные суммы пакетов для проверки их целостности, контролирует последовательность передаваемых данных и избавляет программиста от многих рутинных задач. В качестве примеров прикладных протоколов, использующих TCP, можно назвать протокол FTP, HTTP, SMTP и многие другие.
|
ПРИМЕЧАНИЕ
В данной статье речь будет идти о реализациях стека TCP/IP в Microsoft Windows NT/2000/XP и более поздних версиях, а также реализации Windows Sockets версии 2 и более поздних. |
Будучи однажды создан, канал TCP может существовать «вечно». Если клиент и сервер пассивны, то при разрыве соединения, например, при проблемах со средой передачи, сетевой атаке, крахе сервера или клиента, участники соединения (либо один из них) не подозревают о возникших проблемах. Конечно, проблема рано или поздно будет выявлена — когда клиент или сервер попытаются послать какую-то информацию.
В архитектуре клиент-сервер довольно часто встречаются реализации, в которых клиент, отправив запрос на сервер, долгое время ожидает ответа сервера. Еще более актуальная ситуация — в реализациях TCP-сервера необходимо точно знать, сколько из соединившихся клиентов реально существуют. Многие из прикладных протоколов применяют для этого «пустую операцию» (NOP), которая время от времени производится между клиентом и сервером для проверки наличия соединения. Данный подход хорош тем, что он не зависит от реализации стека TCP/IP. Есть и другой метод – таймер контроля работоспособности (keep-alive).
Почему возникает ошибка аутентификации
Существует несколько типичных сценариев, при которых ваш Андроид может выдать ошибку подключения к Wi-Fi. Вот они в порядке популярности:
Ошибка при вводе пароля
Это самая распространенная, но при этом легко устранимая проблема. Опечатки при вводе кода доступа случаются очень часто из-за:
- неудобной мелкой мобильной клавиатуры
- невнимательности при вводе символов и регистра букв
- путаницы заглавной буквы O и цифры 0 и пр.
Неподходящие сетевые настройки
Проблема может скрываться в сбое настроек подключения на телефоне, при этом она легко решается при перезагрузке телефона или повторном переподключении к сети, что также делается достаточно просто.
Неверные настройки маршрутизатора
Динамичный IP и неподходящий тип шифрования могут привести к ошибке аутентификации. Чтобы исправить настройки маршрутизатора, вам нужно будет иметь доступ к его админпанели.
10 — защита архивных данных
Давайте разберёмся с шифрованием различных резервных копий, которые могут храниться на NAS-е. Поскольку Synology DSM состоит из ядра и приложений, то за снэпшоты отвечает одно приложение (Snapshot Replication), за резервные копии между NAS-ами или в облако — другое (Hyper Backup), а за резервирование серверов, виртуальных машин и рабочих мест — третье (Active Backup for Business). Соответственно, механизмы защиты у каждого из приложений свои. Начнём по порядку:
Внутри снимков закодированных папок так же находятся закодированные данные, так что даже при репликации на удалённый сервер, открыть данные без ключа невозможно. Вы не можете просматривать содержимое снэпшотов закодированных папок, что конечно осложняет задачу типа «вытащить нужный файл за вчерашний день. Незащищённые папки имеют доступные снэпшоты, и для их защиты можно использовать защищённое соединение при репликации на удалённый сервер.
Резервирование содержимого самого NAS-а на другой NAS или в облако с помощью программы Hyper Backup поддерживает защиту как при передаче, так и для хранения. Ключ задаётся единожды для задачи резервирования, то есть у вас могут быть разные пароли для сохранения данных в Google и на Synology C2.
В программе резервирования Active Backup for Business кодирование реализовано наиболее удобным способом: каждая задача бэкапа может использовать собственное хранилище (папку верхнего уровня на дисковом томе), которой совершенно не обязательно находиться в смонтированном состоянии, чтобы на неё можно было бэкапиться. Да, вы можете создавать новые задачи или удалять старые, используя защищённую папку, ключ от которой знает только ваш босс. Удобно, правда? И таких папок может быть сколько угодно, вы можете миксовать закодированные и незакодированные хранилища. Ну а подключить закрытую папку вводом пароля придётся при восстановлении бэкапа или для автоматической проверки целостности копий. Кстати, в настройках хранилища можно ввести автомонтирование закрытого хранилища и указать, на каком именно разделе NAS должен хранить ключи доступа, подгружая их после ребута, но я не советую это делать.
Некорректное соединение через VPN
На телефонах, как и на ПК, можно подключаться к сети через виртуальную частную сеть (VPN) — защищённое соединение, в котором весь трафик шифруется. Но если вы неправильно его настроите, то не сможете получить доступ в Интернет. Проверить эту версию просто: если при включенном VPN мобильные данные не работают, а при выключенном — всё отлично, то искать причину нужно в параметрах виртуальной частной сети.
В Google Play есть огромное количество бесплатных и платных приложений для подключения к Интернету через VPN. Пользоваться ими просто: запустил, выбрал страну или сервер и установил соединение. Ошибок в таких программах обычно не возникает, а если и появляется какой-то сбой, то приложение всегда можно поменять на другое. Иное дело, если VPN настроен без сторонних приложений прямо в параметрах системы
Здесь важно сделать всё правильно, иначе подключение не будет работать
- Выберите VPN-сервис, который вас устраивает.
- Найдите данные для подключения: адрес и тип сервера, имя пользователя и пароль. Эту информацию вы получите после оплаты тарифа VPN. А если сервис бесплатный, то в его описании.
- Откройте приложение «Настройки» на Android.
- В разделе «Сеть и соединение» выберите «Дополнительные настройки».
- Перейдите в подменю VPN.
- Нажмите «Добавить VPN».
- Введите любое название для вашей защищенной сети.
- Укажите тип сервера, его адрес и другие данные, которые получили от VPN-провайдера.
- Сохраните соединение и попробуйте ещё раз подключиться к Интернету.
В зависимости от типа сервера могут потребоваться разные данные. Например, на PPTP дополнительно иногда нужно указывать DNS-серверы, домены для поиска DNS и маршруты пересылки. Эту информацию также должен предоставить VPN-провайдер.
При правильной настройке VPN доступ в Интернет будет и через Wi-Fi, и через мобильный трафик.
Таймер keep-alive
Принцип работы этого таймера предельно прост. Если канал между клиентом и сервером пассивен некоторое время (по умолчанию 2 часа), то посылается служебное сообщение, если ответа на него не поступило, через 75 секунд (обычно) сообщение посылается повторно и так несколько раз. Если ответ получен – таймер сбрасывается, и отчёт начинается заново. Если после нескольких повторов ответа так и не поступило, то соединение разрывается. Число повторов зависит от реализации стека TCP/IP, в некоторых реализациях может изменяться, в некоторых – нет…
При использовании сокетов в Windows keep-alive сообщения по умолчанию выключены. Включить их можно с помощью функции setsockopt:
int setsockopt(
SOCKET s,
int level,
int optname,
constchar* optval,
int optlen
);
|
В качестве параметров в функцию передаются:
-
s
– дескриптор сокета, с которым будет связано соединение; -
level
– уровень, для которого определена требуемая опция (SOL_SOCKET, IPPROTO_TCP,…); -
optname
– опция, значение которой нужно изменить; -
optval
– указатель на буфер со значением опции; -
optlen
– размер буфера optval в байтах.
Для включения/выключения посылки keep-alive используется опция SO_KEEPALIVE уровня SOL_SOCKET. Параметр optval интерпретируется функцией как булево значение, для включения посылки он должен иметь значение TRUE, иначе – FALSE.
DWORD dwRet = 1;
if (setsockopt(sock, SOL_SOCKET,SO_KEEPALIVE,
reinterpret_cast<char*>(&dwRet),sizeof(DWORD)))
{
std::cerr << "setsockopt fail with code "<<
WSAGetLastError() << "\n";
}
|
На практике нет никакого смысла ждать 2 часа до посылки keep-alive сообщения, куда интереснее более реальные интервалы времени (несколько десятков секунд или минут). Для изменения этого интервала в Winsock2 предусмотрена функция WSAIoctl:
int WSAIoctl(
SOCKET s,
DWORD dwIoControlCode,
LPVOID lpvInBuffer,
DWORD cbInBuffer,
LPVOID lpvOutBuffer,
DWORD cbOutBuffer,
LPDWORD lpcbBytesReturned,
LPWSAOVERLAPPED lpOverlapped,
LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine
);
|
В качестве параметров в функцию передаются:
-
s
– дескриптор сокета, с которым будет связано соединение; -
dwIoControlCode
– код выполняемой операции; -
lpvInBuffer
– указатель на входной буфер; -
cbInBuffer
– размер входного буфера в байтах; -
lpvOutBuffer
– указатель на выходной буфер; -
cbOutBuffer
– размер выходного буфера; -
lpcbBytesReturned
– указатель на число байт, которые реально возвращены; -
lpOverlapped
– указатель на структуру WSAOVERLAPPED; -
lpCompletionRoutine
– указатель на функцию завершения операции;
Для изменения интервалов времени нужно передать функции структуру tcp_keepalive с кодом операции SIO_KEEPALIVE_VALS, которые определены в заголовочном файле mstcpip.h.
struct tcp_keepalive {
u_long onoff;
u_long keepalivetime;
u_long keepaliveinterval;
};
|
Поле onoff отвечает за включение/выключение посылки keep-alive сообщений. Если его значение отлично от нуля – посылка будет осуществляться, иначе — нет. Поле keepalivetime определяет интервал между посылкой сообщений при пассивном состоянии канала. Поле keepaliveinterval определяет интервал посылки сообщений, если ответ не получен. Интервалы задаются в миллисекундах. Значения интервалов имеют силу только в пределах соединения, связанного с сокетом s.
struct tcp_keepalive alive;
DWORD dwRet, dwSize;
alive.onoff = 1;
alive.keepalivetime = 10000;
alive.keepaliveinterval = 1000;
dwRet = WSAIoctl(sock, SIO_KEEPALIVE_VALS, &alive, sizeof(alive),
NULL, 0, reinterpret_cast<DWORD*>(&dwSize), NULL, NULL);
if (dwRet == SOCKET_ERROR)
{
std::cerr << "WSAIoctl fail with code " << WSAGetLastError() << "\n";
}
|
2 — настраиваем беспарольную аутентификацию
Всё большую популярность набирают методы идентификации пользователя не через пару логин/пароль, а через токен, которым может выступать как аппаратный ключ, так и смартфон. Начиная с версии DSM 7, в NAS-ах Synology поддерживаются оба этих метода. Для идентификации с аппаратным ключом потребуется, чтобы NAS был доступен по HTTPs через доменное имя, например nas.yourdomain.com, что не всегда возможно и желательно. Идентификация через смартфон не требует даже «белого» IP адреса, и работает через встроенную систему доменных имён Synology QuickConnect.
Настройка проста: всё что нам нужно — это установить на смартфон нужного пользователя программу Synology SignIn, и в свойствах пользователя включить беспарольный вход. После этого сканируем сгенерированный QR-код из приложения, подтверждаем его в настройках NAS-а — и всё. Теперь при попытке войти в NAS вам предложено будет только ввести логин, после чего на смартфон будет отправлено уведомление с просьбой подтвердить вход на устройство. Но возможность аутентификации вводом пароля с клавиатуры остаётся как резервный вариант на случай если смартфон разрядился/потерялся и т.д.
Шаг 4: Настраиваем статичный IP-адрес
Порой ошибка аутентификации может возникнуть из-за неподходящих настроек IP. Их нужно проверить, а при необходимости изменить.
- Для начала вам нужно узнать, какой шлюз использует ваш маршрутизатор. Мы в «Шаге №1» уже рассказывали, как это сделать. Но есть еще один вариант – найти эту информацию на корпусе роутера. Правда не все производители указывают ее. IP-адрес маршрутизатора должен выглядеть примерно так: 192.168.0.1
- Теперь откройте в своем телефоне «Настройки» — «Подключения» — «Wi-Fi» — «Имя сети Wi-Fi».
- В настройках к проблемному подключению раскройте блок «Дополнительно», а затем тапните на строку «Параметры IP». У вас появится два варианта: DHCP и Статический. Выберите второй вариант.
- Перед вами развернуться поля, которые вы должны заполнить следующим образом:
IP-адрес: 192.168.0.140
где 192.168.0 – это часть, которая должна совпадать с IP шлюза вашего маршрутизатора, а последние цифры могут быть любыми в диапазоне от «100» до «199».
Шлюз: 192.168.0.1
— это IP-адрес вашего маршрутизатора.
Длина префикса сети: 24
DNS 1: 192.168.0.1
этот DNS вам автоматически предлагает маршрутизатор, но вы можете изменить его на гугловский: 8.8.8.8
DNS 2: 8.8.8.4
- Сохраните обновленные настройки и заново подключитесь к Сети.
Проверьте, работает ли WhatsApp
Мы всегда виним наши устройства, когда что-то не работает, но, возможно, проблема не локальная. Причина того, что WhatsApp не работает, может быть в том, что не работает служба WhatsApp.
Самый простой способ узнать, заключается ли проблема в самом WhatsApp — попробовать использовать любое другое приложение или браузер. Если все остальное работает, скорее всего, проблема заключается в серверах WhatsApp. Вы также можете использовать онлайн-инструменты, такие как веб-сайт Down Detector. Этот сервис сообщит вам, если возникнут проблемы с самим WhatsApp. Если WhatsApp не работает, все, что вы можете сделать, это дождаться восстановления службы.
Шаг 5: Исправляем настройки маршрутизатора
Прежде чем пытаться изменить настройки роутера, попробуйте перезагрузить его. Возможно произошел какой-то сбой, и ошибка исправиться сама при перезагрузке.
Если же это действие не помогло, то вам нужно изменить настройки шифрования в админпанели. Как войти в нее мы уже рассказывали в Шаге №1. Далее шаги будут несколько различаться из-за того, что производители маршрутизаторов разрабатывают для своих продуктов индивидуальный дизайн интерфейса. Но общая схема действий будет выглядеть так:
- Откройте «Беспроводной режим», а затем «Защита беспроводного соединения».
- На экране появятся настройки защиты. Помимо пароля для подключения к сети, здесь нужно установить тип шифрования. Не стоит отключать защиту, так как этим могут воспользоваться мошенники. Но с настройками шифрования WPA/WPA2 придется повозиться, выбирая то сочетание, которое не мешает аутентификации. Как правило, это выглядит так:
WPA/WPA2 – Personal
Версия: WPA2 – PSK
Шифрование: AES
- Перезагрузите роутер и попробуйте вновь подключиться.
4 — используем встроенный Firewall
В топовых NAS-ах Synology, монтируемых в стойку, поддерживаются функции проброса сетевого порта в виртуальную машину, запущенную на NAS через Virtual Machine Manager. Для каких-то особых ситуаций развёртывания инфраструктуры я рекомендую просто устанавливать в виртуалку PFSense или OPNSense, чтобы можно было пользоваться признанным во всём мире ПО для сетевой безопасности, но если такой возможности нет, встроенный Firewall не стоит сбрасывать со счетов.
По умолчанию он отключен, и буквально в несколько кликов можно закрыть доступ ко встроенным сервисам NAS-а из регионов, в которых у вас нет ни сотрудников, ни клиентов. Все используемые службами порты уже прописаны, так что выбираем все службы, и запрещаем для примера им доступ из Антарктиды, Анголы и некоторых других стран.
Решение 3. Добавление параметра запуска (-tcp) в Steam
Steam изначально использует UDP (протокол пользовательских дейтаграмм) для передачи данных. Мы можем попробовать изменить его на TCP (протокол управления передачей). Как мы все знаем, TCP более надежен, тогда как UDP в основном быстрее. Если мы столкнулись с ошибкой, мы можем попробовать изменить протоколы, чтобы увидеть, будет ли решена проблема.
У вас всегда есть возможность вернуться к настройке по умолчанию, удалив параметр запуска / командную строку.
Не забудьте поставить пробел после строки по умолчанию в целевом диалоговом окне.
Решение 4. Предоставление прав администратора Steam
Steam требует прав администратора для правильной работы, так как он должен синхронизироваться с различными системными файлами и выполнять операции чтения и записи на высокой скорости. Это также требует большой вычислительной мощности и использования памяти. Иногда может случиться так, что Steam не работает должным образом, потому что у него нет прав администратора и он где-то застрял.
Мы можем попробовать настроить весь каталог Steam от имени администратора и посмотреть, будет ли проблема решена.
ключевые особенности
Программа WinSCP позволит нам подключаться к локальным или удаленным SSH-серверам, как для выполнения команд, так и для обмена файлами через популярные протоколы SCP и SFTP, оба из которых основаны на SSH. Вы также можете подключаться к FTP-серверам и даже к Amazon S3, и все это с действительно интуитивно понятным графическим пользовательским интерфейсом.
Некоторые расширенные параметры, которые у нас есть в этом программном обеспечении, заключаются в том, что оно не только позволяет нам передавать файлы между локальными и удаленными компьютерами, но также включает консоль для выполнения команд, как если бы мы использовали PuTTY, на самом деле он отлично интегрируется с PuTTY, потому что он может начать новый сеанс с этой программой для выполнения команд, а не в самом WinSCP
Другой важной особенностью является интеграция PuTTYgen для генерации ключей SSH вместо аутентификации с использованием типичного имени пользователя и пароля. Эта программа позволяет вам настроить мастер-ключ для последующего подключения ко всем зарегистрированным профилям SSH, таким образом, с помощью мастер-ключа мы «разблокируем» все сохраняемые нами подключения
WinSCP может устанавливать соединения через прокси, и мы даже можем настроить SSH-туннель для подключения к недоступному удаленному серверу, таким образом, мы можем обмениваться файлами или выполнять команды через машину перехода, как если бы мы делали это, когда мы туннелировали SSH с помощью популярной Putty в Windows или напрямую в Linux со встроенным SSH-клиентом. Эта программа также позволяет нам приостанавливать и возобновлять передачу файлов в дополнение к добавлению уровня шифрования на уровне файлов. Мы также можем настроить представление пользователя, настроить пользовательские команды для автоматизации определенных действий, легко синхронизировать локальные и удаленные каталоги и даже выбрать несколько файлов на основе установленных нами масок. Finalement,
После того, как мы увидим его основные технические характеристики, мы увидим его установку и ввод в эксплуатацию, где нам нужно будет определиться с очень важным параметром: тип просмотра для пользователя; где будет отображаться локальное и удаленное оборудование.
Принудительная остановка и очистка кеша
Если WhatsApp по-прежнему не работает, может помочь принудительной остановки и очистка кеша смартфона. Принудительная остановка в убивает процесс Linux для приложения, а очистка кеша избавляет от временных файлов, хранящихся в приложении.
Если вы хотите глубже погрузиться в процессы принудительной остановки и очистки кеша, у нас есть специальный пост на эту тему.
Чтобы выполнить принудительную остановку, зайдите в настройки телефона и нажмите «Приложения». Затем прокрутите вниз, пока не найдете WhatsApp, откройте его и нажмите кнопку принудительной остановки. Чтобы очистить кеш, коснитесь параметра «Память» ниже, а затем выберите параметр «Очистить кеш». Как только это будет сделано, запустите WhatsApp и проверьте, работает ли он.
Примеры SCP
$ scp *.txt [email protected]:/homeuser
скопируются все файлы с расширением .txt в папку /home/use на удаленный хост remote.server.com
$ scp -r [email protected]:/homeuser [email protected]:/homeuser
скопируются все файлы из домашнего каталога user на хосте 192.168.0.2 в домашний каталог user на хост 192.168.0.3 рекурсивно
В ssh возможно три варианта копирования файлов:
С локального хоста на удаленный:
$ scp somefile username@server:/homeusername
С удаленного хоста на локальный:
$ scp username@server:/homeusernamefile_name homelocal-usernamefile-name
С удаленного хоста на другой хост:
Это очень практичная и интересная особенность , потому что файлы копируются с одного сервера на другой, не попадая на компьютер на котором запущен процесс копирования. Весь траффик идет непосредственно с сервера на сервер напрямую.
$ scp user_name1@server1:/homeuser_name1file_name user_name2@server2:/homeuser_name2
Руководство по устранению неполадок для ошибки PXE-E61
Ошибки PXE-E61 связаны с PreXot eXecution Environment (PXE), поддерживаемой некоторыми материнскими платами. PXE – это специальный режим загрузки, который позволяет компьютеру искать и загружать загрузочную операционную систему по сети, а не с локального жесткого диска.
Распространено сообщение об ошибке PXE-E61 на компьютере, который по неосторожности пытается загрузить сетевое устройство, когда его фактически не существует. Это часто вызвано неверно сконфигурированными настройками в BIOS, но может быть вызвано отказом жесткого диска.
Это наиболее распространенные ошибки, связанные с PXE
PXE-E61: сбой тестирования носителя, проверьте кабель PXE-M0F: выход из ПЗУ Intel PXE. PXE-M0F : Выход из загрузочного агента Intel. Загрузочное устройство не найдено. Нажмите любую клавишу, чтобы перезагрузить машину.
Ошибки PXE-E61 обнаруживаются до запуска компьютера, часто белым текстом на черном фоне и обычно с дополнительным текстом, отображаемым над ошибкой.
Как исправить ошибку PXE-E61
-
Измените порядок загрузки в BIOS для загрузки с жесткого диска вместо сети. Это заставит BIOS искать операционную систему, установленную на локальном жестком диске, как большинство компьютеров.
Старайтесь изо всех сил, чтобы завершить этот шаг. Сначала измените порядок загрузки, чтобы использовать жесткий диск, чтобы компьютер не пытался загрузиться в сеть, а также все сообщения об ошибках, связанные с PXE.
-
Получите доступ к BIOS и убедитесь, что он может обнаружить жесткий диск. Вы можете увидеть ошибку PXE-E61, если компьютер пытается загрузиться с жесткого диска, который не работает или отключен.
Найдите меню Boot и убедитесь, что на экране Порядок загрузки диска (или что-то похожее) отображается жесткий диск и не читается «No Boot Drive». Если BIOS этого не делает Не можете обнаружить жесткий диск, выключите компьютер, откройте корпус компьютера (если вы находитесь на рабочем столе) и убедитесь, что кабели жесткого диска правильно подключены.
Если кабели надежно подключены, а жесткий диск все еще не обнаружен, возможно, вам придется заменить жесткий диск. Прежде чем сделать это, убедитесь, что он действительно мертв, с помощью программы тестирования жесткого диска (если она не работает, то эти программы также не найдут жесткий диск).
-
Если вы пытаетесь загрузиться с USB-устройства, такого как внешний жесткий диск, убедитесь, что устройство действительно загрузочное. Если это не так, BIOS будет искать другое устройство для загрузки и может попытаться использовать сеть, что приведет к ошибке PXE-E61.
Вы можете использовать такую программу, как Rufus, чтобы создать загрузочное USB-устройство. См. Как записать ISO-файл на USB-накопитель, если вам нужна помощь в этом.
Также дважды проверьте, что порядок загрузки настроен для загрузки с USB, что устройство полностью подключено, и что порт USB не виноват – попробуйте переместить устройство на другой порт USB, если вы не уверены.
-
Войдите в BIOS и отключите PXE, если вы на самом деле не хотите его использовать. Он должен называться как Загрузка в сеть или Ethernet , и обычно находится в меню Загрузка .
-
Если вы хотите использовать PXE для загрузки с сетевого устройства, убедитесь, что сетевой кабель полностью подключен. Если нет надежного соединения, то PXE не сможет обмениваться данными по сети и будет производить ошибка PXE-E61.
Замените кабель на известный хороший, если вы подозреваете, что он вышел из строя.
-
Обновите драйверы сетевой карты, чтобы исправить ошибку PXE-E61. Устаревший, отсутствующий или поврежденный драйвер может препятствовать доступу компьютера к сети, что, в свою очередь, мешает правильной работе PXE.
Поскольку вам, скорее всего, не удастся загрузить компьютер для обновления сетевых драйверов, попробуйте запустить в безопасном режиме или изменить порядок загрузки, чтобы сначала использовать локальный жесткий диск. После обновления драйверов сетевой карты попробуйте загрузиться из сети еще раз.
-
Очистите CMOS для сброса BIOS. Если ошибка PXE-E61 вызвана неверно сконфигурированной настройкой BIOS, сброс настроек BIOS по умолчанию позволит устранить ошибку.
5 — настраиваем OpenVPN
Вообще, VPN-тоннели обычно реализуют с помощью программных или аппаратных шлюзов доступа, но каждый NAS от Synology может выступать как клиентом, так и сервером VPN: без зависимости от стороннего ПО, без лицензий и сложных настроек командной строки. Мы рекомендуем максимально заворачивать внешний трафик через VPN, даже если соединение итак защищено. В серверной части поддерживаются устаревший PPTP, быстрый и эффективный L2TP/IPsec и универсальный OpenVPN, который можно использовать не только по UDP, но и по TCP транспорту. Для максимальной безопасности имеет смысл поменять стандартный порт 1194 на произвольный.
Настройка VPN-клиента осуществляется в разделе сетевых подключений, и здесь так же доступны три типа туннелей: PPTP, IPSec и OpenVPN. Последний настраивается путём импорта .ovpn файла, без ручных настроек.
На данном этапе мы произвели все настройки, чтобы защитить учётные записи от попыток похищения пароля или взлома методом перебора. Ещё раз спешу заметить, что пока что наши действия относятся только к web-панели NAS-а, и не касаются хранимых на нём данных.
6 — кодируем Data at Transit для защиты от снифферов
Понятие Data at Transit охватывает любые данные, которые находятся буквально в проводах или в воздухе, то есть передаются между устройствами. Ещё совсем недавно в этой области данные не защищались, поскольку считалось что интранет является безопасной сетью. Наверное, по этой причине по умолчанию в Synology DSM «данные в полёте» не шифруются.
6а — включаем кодирование файловых протоколов
Файловый протокол Samba (SMB) или CIFS, который используется для подключения общих сетевых папок с NAS на компьютеры под управлением Windows и MacOS, поддерживает сквозное кодирование каждого запроса. На сервере Windows Server 2022 и в ОС Windows 11 применяются пакеты средств криптографической защиты AES-256-GCM и AES-256-CCM для защиты SMB 3.1.1. Windows будет автоматически согласовывать этот более сложный метод кодирования при подключении к другому компьютеру, который его поддерживает. Кроме того, этот метод можно сделать обязательным с использованием в групповой политики.
Windows 10 и Windows Server 2016/2019 по-прежнему поддерживают AES-128-GCM и AES-128-CCM для протокола SMB 3.0.
Современные процессоры, на которых построены NAS-ы Synology поддерживают аппаратное ускорение операций кодирование, поэтому влияние на производительность минимальное.
Обратите внимание, что протокол AFP для компьютеров Apple не поддерживает сквозную кодировку, по умолчанию он отключен и трогать здесь ничего не надо: «яблочные» компьютеры прекрасно справляются с работой по протоколу SMB 3
Протокол NFS, часто используемый для Linux клиентов и гипервизоров VMware ESXi, так же по умолчанию не защищён. Это настраивается индивидуально для каждой папки и диапазона IP-адресов в закладке NFS Permissions. Здесь вам нужно создать определённое правило, в котором обязательно выбрать поле Kerberos privacy и отключить тип авторизации AUTH_SYS. После этого вам нужно импортировать ключи Kerberos, общие для всей службы NFS.
Для файлового обмена с простыми устройствами включаем FTPs (кодирование поверх FTP) и SFTP (передача данных по защищённому SSH туннелю), а для того, чтобы ваш NAS мог выступать средством хранения бэкапов с других Linux устройств, включаем протокол RSync, который так же работает по SSH. Здесь всё по умолчанию использует кодирование, и никаких настроек делать не нужно.
Обратите внимание — включение RSync и SFTP не означает включение терминального доступа по SSH, и если последний отключен, а первые два включены, то при подключении через терминал, соединение будет разорвано
Вообще, доступ по SSH вам скорее всего не потребуется, и его можно не включать, но в случае если он всё же нужен, в настройках безопасности вам будет предложен огромный выбор алгоритмов защиты трафика. Я рекомендую отключить поддержку 128-битных ключей, оставив 256-битные и выше.
Осталось только настроить права доступа на общие папки, чтобы исключить возможность доступа с гостевой учётной записи, и почти всё закончено.
Заключение
В MSDN очень скупо описано все, что связано с keep-alive. После практических испытаний я обнаружил, что функция WSAIoctl перекрывает действие setsockopt. Точнее, действие setsockopt мною не проверено, потому как ждать 2 часа у меня терпения не хватает. А вызов setsockopt после WSAIoctl ни к чему не приводит. Если кто-то осведомлён о работе этих функций больше меня, буду рад выслушать пояснения.
Для проверки работы keep-alive я написал простенькую программку, которая соединяется с 21-м портом по заданному адресу. Интервал посылки keep-alive сообщений устанавливается равным 10 секундам, с повтором через 1 секунду. Далее я пользовался анализатором трафика и пакетным фильтром. С помощью пакетного фильтра создал ситуацию потери связи с сервером, в результате которой после нескольких безответных посылок keep-alive возникает событие FD_CLOSE.
Исходник проекта (MSVC 7.0) прилагается в архиве.
Эта статья опубликована в журнале
RSDN Magazine
#1-2004. Информацию о журнале можно найти здесь
