xntpd запускается через SMF сервис svc:/network/ntp:default. Конфигурация xntpd описывается в файле /etc/inet/ntp.conf. Если этого файла нет, то xntpd не запустится, даже когда SMF сервис svc:/network/ntp:default находится в состоянии enable.

Чтобы xntpd работал в режиме клиента NTP, в файле /etc/inet/ntp.conf надо задать:

1. Сервер NTP, с которым надо синхронизировать время. Наверняка, в вашей сети такой сервер есть, а если нет, то можно использовать серверы проекта NTP pool.

2. Driftfile, в котором будет сохранятся смещение локальных часов относительно NTP сервера. Смещение берется из driftfile в случае перезапуска xntpd или перезагрузки сервера. Без driftfile синхронизацию придется начинать сначала, что может занять много времени, если смещение большое.

Последовательность действий по настройке клиента NTP в Solaris 10:

1. Создаем driftfile:

bash-3.00# touch /var/ntp/ntp.drift

2. Создаем файл конфигурации ntp:

bash-3.00# vi /etc/inet/ntp.conf

Содержимое файла (замените myntpserver.mydomain.ru на имя или IP вашего NTP сервера):

bash-3.00# cat /etc/inet/ntp.conf
server  myntpserver.mydomain.ru
driftfile /var/ntp/ntp.drift

Серверов для синхронизации может быть несколько, тогда их нужно перечислить отдельными строками. Например, для серверов из проекта NTP pool:

server 0.pool.ntp.org
server 1.pool.ntp.org
server 2.pool.ntp.org
server 3.pool.ntp.org
driftfile /var/ntp/ntp.drift

3. Запускаем xntpd:

bash-3.00# svcadm -v enable ntp
svc:/network/ntp:default enabled.

4. Проверяем работоспособность:

bash-3.00# ntpq -p
 remote           refid      st t when poll reach   delay   offset    disp
==============================================================================
*myntpserver ntp0.zenon.net   2 u   30   64  377     0.92   -2.547    0.17

bash-3.00# tail -f /var/adm/messages
Jan  3 17:06:18 abc ntpdate[19273]: [ID 558275 daemon.notice] adjust time server xx.xx.xx.xx offset -0.047602 sec
Jan  3 17:06:18 abc xntpd[19275]: [ID 702911 daemon.notice] xntpd 3-5.93e+sun 03/08/29 16:23:05 (1.4)
Jan  3 17:06:18 abc xntpd[19275]: [ID 301315 daemon.notice] tickadj = 5, tick = 10000, tvu_maxslew = 495, est. hz = 100
Jan  3 17:06:19 abc xntpd[19275]: [ID 266339 daemon.notice] using kernel phase-lock loop 0041, drift correction 0.00000
Jan  3 17:06:19 abc last message repeated 1 time

ntpq показывает, что синхронизация времени с  NTP сервером выполняется, syslog посылает соответствующие сообщения в журнал.

Все, NTP клиент работает.

Замечание по поводу зон: настройки NTP одинаковы для всех зон на сервере и выполняются только в глобальной зоне.

По инструкции номер порта меняется в конфигурации tomcat в файле $ALF_HOME/tomcat/conf/server.xml и еще в большом количестве конфигурационных файлов alfresco. Я пробовал делать, как рекомендуют, Alfresco Explorer заработал сразу после изменения server.xml, а Share запустить на 80 порту так и не смог. Отредактировал все файлы, указанные в инструкции, в каталоге Web-приложения share также искал и менял все, что относится к 8080, но  Share так и не заработало.

Почитав форумы понял, что проблема не у меня одного. Решить удалось с помощью Workaround, из инструкции по смене порта: в конфиге tomcat $ALF_HOME/tomcat/conf/server.xml копируем описание коннектора, работающего на порту 8080, и меняем порт на 80. При этом старый коннектор на порту 8080 не удаляем. Пример конфигурации:

<Connector port="8080" protocol="HTTP/1.1" URIEncoding="UTF-8"
 connectionTimeout="20000"
 redirectPort="8443" />
<Connector port="80" protocol="HTTP/1.1" URIEncoding="UTF-8"
 connectionTimeout="20000"
 redirectPort="8443" />

В результате пользователи ходят через порт 80, используя ссылки вида http://myserver/alfresco и http://myserver/share, а приложения к репозиторию Alfresco подключаются через порт 8080. Работают как Alfresco Explorer, так и Share.

Выглядит примерно так:

pkgadd: ERROR: unable to create package object </var/opt/webstack/mysql>.
 pathname does not exist
 group name <mysql> not found in group table(s)
 owner name <mysql> not found in passwd table(s)
 pkgadd: ERROR: unable to create package object </var/opt/webstack/mysql/5.1>.
 pathname does not exist
 group name <mysql> not found in group table(s)
 owner name <mysql> not found in passwd table(s)
 pkgadd: ERROR: unable to create package object </var/opt/webstack/mysql/5.1/data>.
 pathname does not exist
 group name <mysql> not found in group table(s)
 owner name <mysql> not found in passwd table(s)
 ERROR: attribute verification of </var/opt/webstack/mysql> failed
 group name <mysql> not found in group table(s)
 owner name <mysql> not found in passwd table(s)
 ERROR: attribute verification of </var/opt/webstack/mysql/5.1> failed
 group name <mysql> not found in group table(s)
 owner name <mysql> not found in passwd table(s)
 ERROR: attribute verification of </var/opt/webstack/mysql/5.1/data> failed
 group name <mysql> not found in group table(s)
 owner name <mysql> not found in passwd table(s)
 Creating User/Group:mysql/mysql...

 Installation of <sun-mysql51> partially failed.

Для глобальной зоны (или локльной зоны, если устанавливаете только в нее) решение очень простое – перезапустить скрипт установки Sun Web Stack еще раз:

bash-3.00# ./install amp

Так как скрипт во время предыдущего запуска создал пользователя и группу mysql, то во время второго запуска ошибок не будет. Создастся сервис sun-mysql51:default для управления mysql через SMF. Если сервис перевести в состояние enable, то MySQL запускается и прекрасно работает.

Проблемы продолжаются, если кроме глобальной используются не-глобальные зоны. В существующих зонах установки пакета sun-mysql51 вообще не происходит. Даже повторная установка Sun Web Stack в глобальной зоне не помогает. Чтобы установить MySQL в существующую не-глобальную зону, нужно устанавливать пакет sun-mysql51 в этой зоне напрямую. Причем до установки обязательно создать пользователя и группу mysql. Желательно, чтобы UID и GID пользователей и групп myslq в глобальной и не-глобальной зонах совпадали.

Если создать не-глобальную зону после установки Sun Web Stack, то пакет sun-mysql51 в этой зоне будет установлен и SMF сервис sun-mysql51:default будет создан. Но работать MySQL не будет, т.к. пользователь и группа mysql не будут созданы. Все необходимые каталоги для пакетов просто копируются из глобальной зоны с правами доступа на UID и GID пользователя и группы mysql глобальной зоны. Чтобы заставить работать MySQL в такой ситуации, надо в не-глобальной зоне создать пользователя и группу mysql так, чтобы UID и GID совпадали с UID и GID пользователя и группы mysql в глобальной зоне. После этого MySQL можно запустить через сервис SMF, и MySQL будет работать в не-глобальной зоне.

Следует отметить, что конфигурация SMF в глобальной и не-глобальных зонах разные. Таким образом, сервис MySQL в одной зоне может быть запущен, а в другой выключен командой svcadm.

В форуме Sun есть упоминание о том, что кроме пользователя mysql для успешной установки Sun Web Stack нужен пользователь webservd. Но он создается по-умолчанию на всех релизах Solaris 10, которые у нас используются, так что на эту ошибку я не наткнулся.

Предположим, что в нашем сервер 2 диска: c1t0d0 и c1t1d0, и мы хотим установит на них Solaris с ZFS и зазеркалировать между собой для надежности.

Самый простой способ – при установке Solaris после выбора ZFS в качестве root’овой файловой системы на экране выбора дисков отметить 2 диска для установки. В этом случае программа установки Solaris создаст зеркало автоматически.

Но и вручную создать зеркало системного диска с ZFS достаточно просто.

Последовательность действий следующая:

1. Устанавливаем Solaris с ZFS на диск c1t0d0.

2.Создаем партицую Solaris на всем диске c1t1d0 с помощью команды format, опция fdisk.

3. Копируем таблицу разделов с c1t0d0 на c1t1d0.

bash-3.00# prtvtoc /dev/rdsk/c1t0d0s2 | fmthard -s - /dev/rdsk/c1t1d0s2

4. Добавляем диск c1t1d0 в root pool ZFS:

bash-3.00# zpool attach rpool c1t0d0s0 c1t1d0s0

5. Записываем загрузчик на диск c1t1d0. Для Solaris x86:

bash-3.00# installgrub /boot/grub/stage1 /boot/grub/stage2 /dev/rdsk/c1t1d0s0

Для Solaris SPARC:

bash-3.00# installboot -F zfs /usr/platform/`uname -i`/lib/fs/zfs/bootblk /dev/rdsk/c1t1d0s0

6. Зеркало системного диска на ZFS создано. Нужно дождаться окончания процесса синхронизации (проверка командой zpool status) и пробовать загрузиться со второй половины зеркала.

Англоязычные ссылки:

1. DarkStart: ZFS Root Mirror.

2. Installing a ZFS Root File System (Initial Installation)

3. Booting From an Alternate Disk in a Mirrored ZFS Root Pool

Прежде чем начать, я бы хотел направить всех к посту Scott Rotondo, одного из архитекторов проекта Secure by Default (SBD). Просмотрите пост и напишите автору, что вы думаете об этом новом расширении Solaris.

Сегодня SBD предлагается в виде “все или ничего” – он либо включен, любо выключен с помощью новой команды netservices(1M). Для многих организаций этого недостаточно. Часто требуется сконфигурировать систему так, чтобы некоторые сервисы были выключены или переведены в режим “local only”, а другие включены или “открыты” для поддержки бизнес- или технических требований. Поэтому важно понимать, что именно делает SBD, чтобы Вы лучше могли настроить конфигурацию безопасности своей системы основываясь на своих специфических требованиях. Как я уже писал ранее, конфигурация SBD создается (1) выключением сервисов или (2) настройкой свойств сервисов так, чтобы сервис работал в режиме “local only”.

Включение и выключение сервисов – тривиальная задача. Просто используйте команду svcadm с параметрами enable или disable для настройки интересующего Вас сервиса. Так как это простая задача, не будем ее рассматривать подробно. В третьей и последней части Узнаем: Solaris Secure by Default, я бы хотел сосредоточится на тех сервисах, которые не выключены по-умолчанию, а вместо этого настроены так, чтобы принимать только локальные запросы (создаваемые самой системой).

Посмотрите проектный документ Secure By Default, и вы увидите список таких сервисов (представленный с использованием FMRI):

• svc:/network/rpc/bind
• svc:/system/system-log
• svc:/network/smtp:sendmail
• svc:/system/webconsole:console
• svc:/application/management/wbem
• svc:/application/x11/x11-server
• svc:/application/graphical-login/cde-login
• svc:/network/rpc/cde-ttdbserver:tcp
• svc:/network/rpc/cde-calendar-manager
• svc:/application/print/rfc1179:default

Чтобы задать, работает сервис в обычном режиме, или в Secure by Default, используются свойства SMF. В таблице ниже значения свойств, установленные, когда сервис работает в режиме SBD, выделены жирным шрифтом.

Очень просто, правда? Итак, представим, что Вы работаете в режиме SBD (после запуска команды netservices limited), и у Вас появилась необходимость получать сообщения syslog с других хостов. Все, что Вам нужно сделать:

# svccfg -s system-log setprop config/log_from_remote = true
# svcadm refresh system-log

Если Вы хотите, чтобы изменения вступили в силу немедленно, нужно дополнительно запустить:

# svcadm restart system-log

Еще одна полезная вещь заключается в том, что взаимодействие между глобальной и неглобальными зонами запрещено, т.к. сервисы привязываются к localhost или просто не принимают внешние соединения.

# ifconfig hme0
hme0: flags=1000843 mtu 1500 index 2
        inet 192.168.1.250 netmask ffffff00 broadcast 192.168.1.255
        ether 0:0:0:0:0:0

# rpcinfo -p 192.168.1.250
   program vers proto   port  service
    100000    4   tcp    111  rpcbind
    100000    3   tcp    111  rpcbind
    100000    2   tcp    111  rpcbind
    100000    4   udp    111  rpcbind
    100000    3   udp    111  rpcbind
    100000    2   udp    111  rpcbind

# zlogin time ifconfig hme0:2
hme0:2: flags=1000843 mtu 1500 index 2
        inet 192.168.1.240 netmask ffffff00 broadcast 192.168.1.255

# zlogin time rpcinfo -p 192.168.1.250
rpcinfo: can't contact portmapper: RPC: Authentication error; why = Failed (unspecified error)

Замечательно! На этом третий выпуск  заканчивается. Пожалуйста, сообщите мне, что Вы думаете, или если ли у Вас есть какие-то вопросы. Мне нравится получать отклики и ваше мнение очень важно для нас.

До скорого, Глен.

Другие части статьи: часть 1, часть 2.

В организации, где я работаю, стратегической платформой является Solaris, но web-сервер работает на Linux. Работает стабильно уже в течение 5 лет, особых проблем с ним не было. Сейчас пришло время менять старый web-сервер на новый, на основе Joomla. Поэтому решили заодно попытаться перенести web-сервер на Solaris и более новое железо (Sun Fire T1000). Здесь я расскажу об установке Sun Web Stack на Solaris 10. В дальнейшем планирую написать об опыте использования Solaris в качестве Web-сервера с Apache+PHP+MySQL.

Установка Sun Web Stack очень простая и занимает 4 шага:

1. Качаем дистрибутив. На момент написания статьи доступна версия 1.5. Но на официальной странице проекта почему-то была ссылка только на загрузку версии 1.4. Поэтому пришлось качать напрямую с Sun Downloads.

Придется пройти регистрацию, без нее загрузка недоступна. Выбираем платформу (кроме Solaris SPARC и x86 зачем-то есть еще Red Hat Enterprise Linux 5), и вариант с GlassFish или без него. Я устанавливал без GlassFish, т.к. он мне не нужен, а дистрибутив меньше. Предлагается два варианта дистрибутивов: в native пакетах и IPS/pkg. Я устанавливал из native.

Перед установкой полезно почитать документацию.

2. Распаковываем дистрибутив:

bash-3.00# gunzip webstack-native-1.5-b09-solaris-sparc.tar.gz
bash-3.00# tar xvf webstack-native-1.5-b09-solaris-sparc.tar

3. От root запускаем скрипт установки:

bash-3.00# ./install amp

Скрипт не задает никаких вопросов, просто устанавливает Apache, РHP и MySQL в предопределенные каталоги. При установке выводится список устанавливаемых пакетов. Он может пригодится, если захотите удалить Sun Web Stack, поэтому список установленных пакетов лучше сохранить.

Можно устанавливать компоненты Web Stack по отдельности, указав название компонента скрипту install.

4. Для Apache и MySQL скрипт установки автоматически создает сервисы для автозапуска через SMF, необходимо просто перевести их в состояние “enable”:

bash-3.00# svcadm enable sun-mysql51
bash-3.00# svcs sun-mysql51
STATE          STIME    FMRI
online          0:38:02 svc:/application/database/sun-mysql51:default
bash-3.00#
bash-3.00# svcadm enable sun-apache22
bash-3.00# svcs sun-apache22
STATE          STIME    FMRI
online          0:39:52 svc:/network/http:sun-apache22

На этом установка завершена. Программы находятся в каталоге /opt/webstack, конфигурационные файлы – /etc/opt/webstack, а данные – /var/opt/webstack.

Проверяем работоспособность:

1. MySQL:

bash-3.00# /opt/webstack/mysql/bin/mysql -u root
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 2
Server version: 5.1.30-log Source distribution

Type 'help;' or '\h' for help. Type '\c' to clear the buffer.

mysql> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| test               |
+--------------------+
3 rows in set (0.02 sec)

mysql>

2. Apache: открывает в браузере страницу http://server-ip.

Для тестирования работоспособности полученного Web-сервера, я установил Joomla, которая заработала без проблем. Никаких настроек в apache и php менять не понадобилось.

P.S. Для удаления Sun Web Stack не существует штатной процедуры. Необходимо просто удалить все пакеты, которые входят в Sun Web Stack. Хорошо, если вы сохранили список таких пакетов, который получился на шаге 3 процесса установки. Если нет, то список установленных пакетов Sun Web Stack можно посмотреть с помощью команды:

bash-3.00# pkginfo | grep sun-

Во втором выпуске “Узнаем: Solaris Secure by Default (SBD)” я бы хотел обратить ваше внимание на страницу проекта Secure by Default OpenSolaris. В особенности убедитесь, что изучили проектный документ.

Этот документ имеет большое значение для понимания того, что именно было сделано в рамках проекта SBD в процессе интеграции в Nevada билд 42. Документ предоставляет удобный справочник по изменениям, которые были внесены SBD, включая введение новых FMRI сервисов, статусы сервисов (enabled или disabled), а также свойства, которые были использованы для управления работой сервисов.

Итак, пожалуйста, посмотрите и дайте знать, что вы думаете.

До скорого, Glenn.

Предыдущие версии Solaris 10 Security Deep Dive были закружены почти 8000 раз.

bash-3.00# zlogin -C alfresco
[Connected to zone 'alfresco' console]

К неглобальной зоне подключились, необходимую работу выполнили, как после этого выйти обратно в глобальную зону? Документация говорит, что для этой цели нужно использовать последовательность символов ~. (тильда точка). Но у меня эта последовательность почти никогда не срабатывала, особенно если я не залогирован в локальной зоне.

Оказывается, как написано, например, здесь, тильда должна вводится только после символа перевода строки, иначе последовательность ~. не сработает.

Итак, чтобы выйти из zlogin, сначала нажимаем Enter, а уже потом ~.

Использованные версии ПО:

• Alfresco Community Edition 3.2r Preconfigured Tomcat bundle for any platform
• Solaris 10 x64 (сервер Sun Fire X2100 M2)
• MySQL 5.1.2 for Solaris x86-64

Сразу скажу, что установить и заставить работать Alfresco 3.2 на Solaris проще, чем предыдущие версии. Во-первых, Alfresco 3.2 сразу рассчитано на работу с MySQL и содержит все необходимые настройки, включая MySQL Connector/J, который раньше надо было загружать отдельно с сайта mysql. Без MySQL Alfresco 3.2 работать отказывается, а это значит, что Вы не натолкнетесь на проблему “More than one root node in index”, которая часто встречалась в предыдущих версиях, если Alfresco сначала запускалось на встроенной HSQL, а затем подключался MySQL (гарантированного решения этой проблемы не существовало).

Во-вторых, все настройки разработчики попытались собрать в один файл: {$ALF_HOME}/tomcat/shared/classes/alfresco-global.properties. Получилось не до конца, например, чтобы поменять порт, на котором работает Alfresco, надо вручную поправить несколько файлах в разных каталогах. Но большая часть настроек оказалась в alfresco-global.properties, что существенно упрощает установку и конфигурирование.

Итак, последовательность действий при установке:

1. Установите и настройте MySQL, нужен 5.0.67 или выше.

2. Alfresco 3.2 требует JDK 6. У меня на Solaris 10 10/08, было JDK 5  Update 17, с которой Alfresco работать отказалось. Поэтому пришлось установить вручную JDK 6 Update 16. Взять можно здесь. Рекомендую устанавливать не из пакетов, а из самораспаковывающихся архивов. Из архивов можно установить в любой каталог и при запуске Alfresco прописать путь к этому каталогу в переменную JAVA_HOME. Таким образом, новая версия JDK не повлияет на другие приложения в системе.

Если у Вас 64-битная Solaris (а 32-битных я не встречал давно), то обратите внимание, что необходимо сначала установить 32-битный вариант JDK 6, и только потом 64-битный JDK 6, т.к. 64-битный является расширением 32-битного и не работает без него.

3. Создаем каталог для установки Alfresco, например /opt/alfresco:

bash-3.00# mkdir /opt/alfresco

Копируем дистрибутив в этот каталог и распаковываем его:

bash-3.00# gunzip alfresco-community-tomcat-3.2r.tar.gz
bash-3.00# tar xvf alfresco-community-tomcat-3.2r.tar

4. Создаем базу данных MySQL. Скрипт создания базы /opt/alfresco/extras/databases/mysql/db_setup.sql. Для повышения безопасности рекомендуется в этом скрипте поменять как минимум пароль для доступа к создаваемой базе данных, а лучше также изменить название самой базы и имя пользователя.

В Alfresco версии 3.2 в скрипте db_setup.sql явно указано, чтобы база данных создавалась в кодировке UTF-8, а значит в последующем у Вас не будет проблем с русификацией. В предыдущих версиях кодировка явно указана не была, поэтому у меня на Solaris 10 (как SPARC, так и x86) база создавалась в ISO-8859-1, и вместо русских букв в базе были одни знаки вопроса.

Отредактировав файл db_setup.sql запускам создание базы данных:

bash-3.00# mysql –u root –p < /opt/alfresco/extras/databases/mysql/db_setup.sql

Спросят пароль пользователя root для MySQL, и после успешного ввода база данных будет создана.

5. Редактируем файл alfresco-global.properties. Указываем полный путь к репозиторию:

dir.root=/opt/alfresco/alf_data

Прописываем параметры соединения с базой данных MySQL, если они были изменены в скрипте db_setup.sql:

db.name=alfresco
db.username=alfresco
db.password=alfresco
db.host=localhost
db.port=3306

6. Редактируем файл /opt/alfresco/alfresco.sh. Заменяем в первой строке интерпретатор sh на bash:

#!/bin/bash

Указываем путь к JDK 6:

export JAVA_HOME=/opt/java/jdk1.6.0_16

Указываем полный путь к каталогу установки Alfresco:

ALF_HOME=/opt/alfresco

7. Запускаем Alfresco. В каталоге /opt/alfreso выполняем команду:

bash-3.00# ./alfresco.sh start

Мониторим процесс запуска:

bash-3.00# tail -f /opt/alfresco/alfresco.log

8. Проверяем, что Alfresco работает, открываем в браузере страницу http://localhost:8080/alfresco.

Также необходимо отметить, что документация по установке и настройке Alfresco в версии 3.2 существенно улучшилась. В нее включили подробную инструкцию по установке Tomcat Bundle, правда для Linux, но под Solaris последовательность действий почти такая же. Документация значительно расширилась, можно найти решения почти всех проблем, возникающих при установке на Solaris, например, необходимость заменить sh на bash в файле запуска alfresco.sh.

Документация, конечно, все еще не совершенна. Например, в ней нет описания такой часто выполняемой операции, как смены порта с 8080. Я не нашел простого и гарантированно работающего способа смены порта, при котором работает share. Будем наедятся, что проблема решится в следующих версиях. Повод для надежды есть, т.к. в версии 3.2 появилось много полезных усовершенствований.